Vụ hack Binance năm 2026: vụ hack tiền điện tử lớn nhất trong lịch sử

Binance đã nói với khách hàng rằng tiền của họ an toàn. Tuy nhiên, các ví bị rút hết tiền lại xuất hiện trong danh sách tài sản của chính sàn giao dịch này, được công bố bốn tuần trước đó, nhằm bảo đảm cho các khách hàng đó. Cả hai tuyên bố đều có thể đúng cùng một lúc, và khoảng cách giữa chúng là điều hữu ích nhất cần hiểu về vụ hack Binance năm 2026.

Trước hết, cần nói rõ sự thật. Vào tối ngày 29 tháng 10, một kẻ tấn công đã rút sạch tiền từ các ví nóng tại Binance, sàn giao dịch tiền điện tử lớn nhất thế giới, trên khoảng mười chuỗi khối khác nhau. Binance ước tính thiệt hại vào khoảng 6,3 tỷ đô la, phần lớn số tiền này đã bị rút đi chỉ trong khoảng 20 phút. Điều này khiến nó trở thành vụ tấn công mạng tiền điện tử lớn nhất trong lịch sử, gấp khoảng bốn lần vụ trộm Bybit năm 2025. Binance đã tạm ngừng gửi và rút tiền và cam kết sẽ bù đắp mọi tổn thất.

Một số con số dưới đây sẽ thay đổi. Câu chuyện này đã diễn ra được hai ngày và Binance vẫn chưa công bố báo cáo phân tích sau sự kiện; hãy xem mỗi con số như một bức ảnh chụp nhanh tại thời điểm ngày 30 và 31 tháng 10.

Diễn biến vụ tấn công mạng Binance năm 2026, từng phút một.

Tốc độ chính là vũ khí ở đây. Nhưng tốc độ đó có được nhờ sự kiên nhẫn, và chính sự kiên nhẫn đó khiến chiến dịch này trông chuyên nghiệp hơn là một sự may mắn ngẫu nhiên.

Hai mươi phút trên mười chuỗi khối

Theo công ty phân tích blockchain TRM Labs, kẻ tấn công bắt đầu nạp tiền vào ví thông qua Tornado Cash, một dịch vụ trộn tiền che giấu nguồn gốc của các đồng tiền, vào sáng ngày 28 tháng 10. Đó là ít nhất 36 giờ trước khi bất kỳ đồng tiền nào rời khỏi Binance.

Những đợt rút tiền đầu tiên diễn ra lúc 20:05 UTC ngày 29 tháng 10, trên XRP Ledger. Bitcoin tiếp theo vào lúc 20:20 UTC. Cùng phút đó, kẻ tấn công đã gửi 50 yêu cầu xác thực đến một ví nóng của Binance trên Ethereum. Khoảng ba phút rưỡi sau, ví đó đã bị rút sạch tiền chỉ trong một giao dịch. Các đợt rút tiền tiếp tục diễn ra cho đến 23:56 UTC, với đợt thứ hai trên Avalanche và Polygon vào khoảng 23:05 UTC.

Ngay trước nửa đêm theo giờ UTC, mọi chuyện đã kết thúc.

Nguồn gốc của 6,3 tỷ đô la đến từ đâu?

Số tiền này không đến từ một nguồn duy nhất. Nó đến từ các ví nóng trên ít nhất mười mạng lưới khác nhau, điều này cho thấy kẻ tấn công có một số hình thức truy cập vào hệ thống rút tiền của Binance trên nhiều chuỗi khối cùng một lúc.

Nguồn: TRM Labs, dữ liệu tính đến 00:30 UTC ngày 30 tháng 10.

Bạn sẽ thấy các con số khác nhau trên báo chí, và điều đó là bình thường. Binance cho biết khoảng 6,3 tỷ đô la. TRM Labs tính toán được 6,36 tỷ đô la tại thời điểm xảy ra vụ trộm. Chainalysis cho biết khoảng 6,4 tỷ đô la, và Elliptic là 6,43 tỷ đô la trên 11 chuỗi. Sự khác biệt đến từ thời điểm định giá và các chuỗi mà mỗi công ty đưa vào; không ai tranh cãi về những gì đã xảy ra.

Cách EIP-7702 biến ví nóng Binance thành vũ khí chống lại chính nó

Phần tấn công vào Binance liên quan đến Ethereum rất tinh vi và thu hút phần lớn sự chú ý. Tuy nhiên, chỉ riêng phần giải thích đó thôi vẫn chưa đầy đủ.

Ví nóng và ví lạnh, nói một cách đơn giản.

Một sàn giao dịch lưu trữ tiền điện tử giống như cách một cửa hàng lưu trữ tiền mặt. Phần lớn tiền điện tử được cất giữ trong một kho tiền ảo, hay còn gọi là " kho lạnh ": các khóa được giữ ngoại tuyến và cố tình làm chậm quá trình chuyển dữ liệu. Một lượng nhỏ hơn được giữ trong ví cầm tay để khách hàng có thể rút tiền nhanh chóng. Ví cầm tay đó chính là ví nóng, được kết nối với hệ thống của sàn giao dịch và có khả năng ký các giao dịch theo yêu cầu.

Ví nóng được thiết kế để lưu trữ một phần nhỏ tổng tài sản. Tuy nhiên, tại một sàn giao dịch lớn như Binance, một phần nhỏ vẫn có thể lên tới hàng tỷ đô la.

Năm mươi chữ ký và một lỗ hổng trong lý thuyết.

EIP-7702 là một bản nâng cấp của Ethereum được triển khai cùng với bản cập nhật Pectra vào tháng 5 năm 2025. Nó cho phép một ví thông thường chuyển quyền kiểm soát các hoạt động của mình cho một đoạn mã hợp đồng thông minh, miễn là ví đó ký một văn bản ủy quyền. Hãy coi nó như một giấy ủy quyền cho tài khoản ngân hàng.

Kẻ tấn công đã sử dụng chính xác phương pháp đó. TRM Labs báo cáo rằng kẻ tấn công đã chuẩn bị 50 giấy ủy quyền đã ký, mỗi giấy được liên kết với một bộ đếm giao dịch khác nhau, sao cho một trong số chúng khớp với trạng thái hiện tại của ví. Một giấy đã khớp. Ví nóng sau đó đã chạy mã "quét" của kẻ tấn công và gửi token của nó đi chỉ trong một thao tác. Đồng Giám đốc điều hành Binance, Richard Teng, cho biết việc ủy quyền đã vượt qua các quy trình kiểm soát phê duyệt thông thường của sàn giao dịch.

Điều này khiến tôi thấy khó hiểu. Lỗ hổng EIP-7702 chỉ tồn tại trên Ethereum và các chuỗi tương thích. Nó không thể giải thích được việc 18.270 BTC đã rời khỏi ví Bitcoin như thế nào, hoặc tiền từ Tron và XRP đã di chuyển ra sao. Những giao dịch đó yêu cầu chuyển khoản có chữ ký thông thường, điều này cho thấy kẻ tấn công đã tiếp cận được cơ sở hạ tầng ký điện tử của Binance.

Thông tin từ chính Binance đã thay đổi. Bản cập nhật đầu tiên – được đăng tải chỉ vài giờ sau vụ trộm – đổ lỗi cho một chiếc máy tính xách tay bị xâm nhập thuộc về một kỹ sư DevOps, dẫn đến việc truy cập vào một container dịch vụ, và cho biết “không có bằng chứng về việc rò rỉ khóa riêng tư”. Một ngày sau, sàn giao dịch này cho biết họ đã tìm thấy “thêm các điểm xâm nhập”. Cả hai phiên bản đều không hẳn là sai. Nhưng một câu chuyện thay đổi trong vòng 24 giờ là lý do cần chờ đợi kết quả điều tra cuối cùng trước khi đưa ra kết luận chắc chắn.

Binance khẳng định tiền của bạn an toàn. Hãy đọc kỹ các điều khoản.

Đối với người dùng thông thường, vụ hack Binance năm 2026 chỉ gói gọn trong một câu duy nhất từ sàn giao dịch, được lặp đi lặp lại trong mọi bản cập nhật. Thông điệp của Binance luôn nhất quán: tiền của khách hàng an toàn, và sàn giao dịch sẽ bù đắp mọi tổn thất từ quỹ khẩn cấp và tiền của công ty. Tôi không có lý do gì để nghĩ rằng sàn giao dịch sẽ không trả tiền. Câu hỏi đặt ra là lời hứa này có ý nghĩa gì.

Những gì SAFU có thể và không thể bảo hiểm

Binance cho biết họ đã dành ra 6,34 tỷ đô la để bù đắp thiệt hại do vụ tấn công mạng gây ra, trong đó khoảng 5 tỷ đô la đã được nắm giữ dưới dạng các token bị ảnh hưởng. Họ đang mua phần còn lại trên thị trường và thông qua các sàn giao dịch OTC. Tài sản bị đóng băng không được tính vào con số này.

Quỹ Bảo vệ Tài sản cho Người dùng (SAFU) được nhắc đến khá thường xuyên. Quy mô của nó nhỏ hơn nhiều người tưởng. Binance mô tả nó vào khoảng 1 tỷ đô la, và ví Bitcoin trên chuỗi của họ nắm giữ khoảng 15.000 BTC, trị giá khoảng 1,17 tỷ đô la theo giá ngày thứ Sáu. Sean Farrell của Fundstrat ước tính rằng SAFU có thể bù đắp khoảng một phần ba số tiền bị mất do lệnh đóng băng. Phần còn lại đến từ bảng cân đối kế toán của chính Binance.

Đó là một kết quả tốt nếu bảng cân đối kế toán vững mạnh. Tuy nhiên, các quy định của SAFU cho phép Binance "toàn quyền quyết định" về việc thanh toán, và các luật sư được BBC trích dẫn đã cảnh báo rằng cam kết này có thể không ràng buộc về mặt pháp lý. Một lời hứa được bảo đảm bằng hàng tỷ đô la vẫn chỉ là lời hứa, chứ không phải là hợp đồng.

Vấn đề chứng minh dự trữ

Bằng chứng về lượng dự trữ là một danh sách công khai các ví mà sàn giao dịch sử dụng để chứng minh rằng họ nắm giữ ít nhất lượng tiền điện tử tương đương với số tiền khách hàng đã gửi vào. CoinDesk đã kiểm tra báo cáo ngày 1 tháng 10 của Binance và phát hiện ra rằng ví Ethereum bị rút hết tiền, được gắn nhãn Binance 14, nằm trong danh sách đó.

Khoảng 204.500 ETH bị đánh cắp trong vụ tấn công mạng vào Binance chỉ chiếm khoảng 5,6% tổng số ETH mà Binance ghi nhận là tiền dự trữ của khách hàng. Trước khi số ETH này được bù đắp, lượng ETH dự trữ chỉ chiếm khoảng 94% số dư của khách hàng thay vì trên 100%. Binance có thể sẽ nhanh chóng bổ sung lượng ETH này, và lượng USDC dự trữ của họ hiện ở mức 108%. Nhưng câu nói "tiền của khách hàng không bị ảnh hưởng" nên được hiểu là "khách hàng sẽ không phải chịu tổn thất", đó là một tuyên bố khác.

Công bằng mà nói, Farrell không thấy rủi ro đáng kể nào về khả năng thanh toán. Tiêu chí của ông rất đơn giản: tốc độ mở lại các khoản rút tiền và liệu dòng tiền chảy ra có được duy trì một cách có trật tự hay không.

Vụ hack Binance khiến hệ thống bị đóng băng: tại sao stablecoin phục hồi còn Bitcoin thì không.

Việc đóng băng là phần duy nhất trong câu chuyện này có hiệu quả, và nó có hiệu quả vì một lý do mà những người theo chủ nghĩa thuần túy về tiền điện tử thường không thích.

Các stablecoin như USDT và USDC được phát hành bởi các công ty kiểm soát hợp đồng token. Họ có thể đóng băng, đốt và phát hành lại token. TRM Labs đã ghi nhận phản hồi: Tether đóng băng tiền lúc 21:01 UTC, Circle lúc 21:04, Ripple lúc 22:01, World Liberty Financial lúc 22:10 và Hội đồng An ninh của Arbitrum ngay sau nửa đêm.

Theo thống kê của Elliptic, hiện tại 2,84 tỷ đô la đang bị đóng băng, chiếm khoảng 44% tổng số tiền bị đánh cắp và gần như toàn bộ là stablecoin. Ước tính của Binance cho thấy con số này gần 3 tỷ đô la.

Bitcoin và Ether không có tổ chức phát hành. Không ai có thể vô hiệu hóa chúng. TRM ước tính rằng khoảng 2,4 tỷ đô la Mỹ BTC và ETH vẫn đang nằm dưới sự kiểm soát của kẻ tấn công. Các nhà điều tra có thể theo dõi những đồng tiền này trên các chuỗi khối công khai và cố gắng chặn chúng tại các sàn giao dịch, nhưng điều đó cần thời gian.

Ngay cả tiền bị đóng băng cũng không được hoàn trả ngay lập tức. Trong cuộc phỏng vấn với CNBC, Ari Redbord của TRM Labs cho biết việc đóng băng "ngăn chặn dòng tiền di chuyển", trong khi việc hoàn trả đòi hỏi phải có lệnh của tòa án. Eric Jardine, trưởng bộ phận nghiên cứu của Chainalysis, cho biết việc hoàn trả tiền "có thể mất nhiều tháng hoặc nhiều năm".

Vụ tấn công mạng Binance xếp hạng như thế nào trong số những vụ tấn công lớn nhất trong lịch sử?

Các tiêu đề báo chí tập trung vào quy mô của kỷ lục. Tuy nhiên, mô hình đằng sau đó lại khiến các nhà phân tích tại TRM Labs và Elliptic lo ngại hơn, bởi vì họ đã theo dõi nó nhiều lần trong năm nay.

Cả TRM Labs và Chainalysis đều khẳng định với độ tin cậy cao rằng vụ tấn công này do TraderTraitor, một nhóm tin tặc được nhà nước Triều Tiên hậu thuẫn, thực hiện. Một phần bằng chứng nằm trên chuỗi khối: số tiền thu được từ Binance đã bị trộn lẫn với số tiền bị đánh cắp từ Bitget một tháng trước đó. Elliptic thận trọng hơn, và chưa có chính phủ nào đưa ra tuyên bố chính thức về thủ phạm. Bản thân Binance cũng chưa nêu tên kẻ gây ra vụ tấn công.

Phương pháp này khá quen thuộc — chuẩn bị kỹ lưỡng, các giao dịch được ký kết trước, sau đó là một đợt tấn công ồ ạt trước khi bất kỳ ai kịp phản ứng. Mô hình tương tự đã xuất hiện tại Bybit, KelpDAO và Bitget. Theo thống kê của TRM, Triều Tiên đã đánh cắp 12,8 tỷ đô la tiền điện tử kể từ năm 2017, và 7,4 tỷ đô la trong số đó chỉ riêng trong năm 2026, chiếm khoảng 85% giá trị bị đánh cắp trong các vụ tấn công năm nay. Ngành công nghiệp này đã biết rõ kịch bản này ít nhất 20 tháng nay. Và nó vẫn hiệu quả tại sàn giao dịch lớn nhất thế giới.

Tin tức thị trường và chính trị sau vụ tấn công Binance.

Theo tiêu chuẩn của thị trường tiền điện tử, các thị trường đã phản ứng khá bình tĩnh. CNBC đưa tin Bitcoin giảm 4,1% xuống còn khoảng 77.446 đô la vào thứ Sáu, Ether giảm 4,4% và BNB giảm 6% xuống còn khoảng 701 đô la. Theo dữ liệu của CoinGlass, hơn 1,6 tỷ đô la các vị thế đòn bẩy đã bị thanh lý trong vòng 24 giờ.

Phản ứng chính trị diễn ra nhanh chóng. FBI cho biết họ đã nắm được vụ việc, và Cơ quan Mật vụ Hoa Kỳ cho biết họ đang hợp tác với Circle. Chủ tịch CFTC Michael Selig nói rằng vụ tấn công mạng "chứng minh chính xác quan điểm của chúng tôi" về đề xuất ngày 5 tháng 10 của cơ quan này nhằm yêu cầu các sàn giao dịch nước ngoài phục vụ người Mỹ phải đăng ký. Binance.US, một công ty riêng biệt, cho biết họ không bị ảnh hưởng.

Người dùng Binance nên làm gì khi việc rút tiền bị tạm dừng?

Sau vụ hack Binance, mối đe dọa mà hầu hết người dùng sẽ gặp phải trong tuần này đến từ những kẻ lừa đảo. Chúng thường lợi dụng các vụ hack tiền điện tử lớn để tung ra những tin nhắn giả mạo "rút tiền đã hoạt động trở lại" và các biểu mẫu "hoàn tiền" yêu cầu thông tin đăng nhập hoặc cụm từ khôi phục của bạn.

Binance cho biết họ đặt mục tiêu khôi phục lại việc rút tiền vào Chủ nhật, ngày 1 tháng 11, và công bố bằng chứng đầy đủ về dự trữ vào thứ Hai, ngày 2 tháng 11. Cho đến lúc đó, hãy thực hiện một vài bước hợp lý sau:

• Chỉ sử dụng ứng dụng Binance chính thức hoặc trang web mà bạn tự nhập vào. Bỏ qua các liên kết trong tin nhắn riêng, email và quảng cáo tìm kiếm.
• Kiểm tra lại khóa API, thiết bị đã đăng nhập và danh sách trắng rút tiền của tài khoản, và xóa bất cứ thứ gì bạn không nhận ra.
• Tuyệt đối không chia sẻ cụm từ khôi phục hoặc mã xác thực hai yếu tố (2FA). Không có nhân viên hỗ trợ thực sự nào sẽ hỏi điều đó.
• Khi rút tiền được mở lại, hãy kiểm tra kỹ mạng lưới và địa chỉ hai lần. Chuyển tiền vội vàng sẽ gây ra những tổn thất riêng.

Ngoài ra còn có một bài học dài hạn hơn. Những đồng tiền điện tử bạn dự định nắm giữ trong nhiều năm không nhất thiết phải nằm trên bất kỳ sàn giao dịch nào. Ví phần cứng do bạn kiểm soát sẽ loại bỏ toàn bộ loại rủi ro kỹ thuật số này, mặc dù nó tạo ra một rủi ro mới: bạn phải chịu trách nhiệm về khóa riêng của mình.

Phán quyết về vụ hack Binance năm 2026: một lời hứa, chứ không phải là sự đảm bảo.

Binance có lẽ sẽ bồi thường đầy đủ cho mọi khách hàng. Họ có đủ tiền và có mọi lý do thương mại để làm vậy. Đó là điều đáng mừng.

Điều đáng lo ngại là người dùng đang dựa vào thiện chí của Binance, chứ không phải nghĩa vụ pháp lý, và lời giải thích của sàn giao dịch về cách thức bị xâm phạm đã thay đổi một lần. Việc điều tra sau sự việc sẽ cho thấy liệu đây chỉ là do một chiếc máy tính xách tay bị lỗi hay là vấn đề sâu xa hơn trong cách thức sàn giao dịch lớn nhất thế giới ký kết các giao dịch của mình.

Vậy câu hỏi đáng đặt ra cho bất kỳ nền tảng nào đang lưu giữ tiền điện tử của bạn sau vụ hack Binance là: nếu ngày mai họ mất hàng tỷ đô la, thì chính xác bạn sẽ được bồi thường bao nhiêu và từ ai? Nếu bạn không thể trả lời câu hỏi đó, tuần này là thời điểm tốt để tìm hiểu.

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.