Vụ chuyển 2 tỷ USD khỏi ví Binance có dấu hiệu bất thường, nhưng chưa thể xác nhận là một vụ hack

Hơn 2 tỷ USD tài sản đã rời các ví Ethereum được công khai gắn nhãn là hot wallet của Binance vào ngày 29 tháng 10. Các giao dịch đủ bất thường để cần một cảnh báo bảo mật ngay lập tức, nhưng chưa đủ để kết luận Binance đã bị hack.

Tại thời điểm xuất bản, Binance chưa công bố tuyên bố nào nhận diện địa chỉ nhận, xác nhận vụ khai thác hoặc cho biết tài sản khách hàng đang gặp rủi ro.

Giao dịch trung tâm của cảnh báo là:

`0x53bd38b816c23e74134786c29a8c18d792777998a3b9326047b583100e88e2f3`

Blockchain cho thấy điều gì

Khoảng 20:24 UTC, ví được gắn nhãn Binance 14 chuyển khoảng 167.464 ETH tới một địa chỉ mới hoạt động bắt đầu bằng `0x5227`. Cùng giao dịch đó còn di chuyển hơn 60 số dư token, gồm khoảng 1,6 tỷ USD USDT theo các ước tính ban đầu từ trình khám phá blockchain.

Hai mươi bốn giây sau, ví Binance 16 gửi thêm khoảng 28.005 ETH tới cùng địa chỉ.

Bên nhận sau đó chuyển tiếp khoảng 195.460 ETH tới một địa chỉ mới khác trong khoảng 15 phút, đồng thời giữ lại phần lớn token. Theo mức giá trong các báo cáo đầu tiên, tổng ETH và token vượt 2 tỷ USD. Một số cảnh báo thời gian thực ước tính gần 2,5 tỷ USD vì giá token và định giá danh mục thay đổi theo nhà cung cấp và từng phút.

Đây là các giao dịch có thể quan sát. Chúng không cho biết chữ ký có được ủy quyền hay không, ai kiểm soát đích nhận hoặc Binance còn kiểm soát tài sản sau khi chuyển hay không.

Nhãn ví công khai cũng không phải bằng chứng pháp lý về quyền sở hữu. Binance 14 và Binance 16 có lịch sử dài phù hợp với hoạt động hot wallet của sàn, nhưng nhà phân tích bên ngoài không có sổ cái nội bộ hay bản đồ ví đầy đủ của Binance.

Vì sao giao dịch có vẻ bất thường

Quy mô không phải dấu hiệu cảnh báo duy nhất. Các sàn lớn thường xuyên chuyển hàng tỷ USD giữa ví nóng, kho lạnh, đối tác và khách hàng tổ chức.

Điều đáng lo là đường đi do các nhà quan sát on-chain ghi nhận. Một địa chỉ tham gia khởi tạo hoặc trả phí cho hoạt động này được cho là đã nhận nhiều khoản ETH nhỏ có nguồn gốc từ Tornado Cash. Mô hình đó che khuất nguồn gas và khó phù hợp với hoạt động ngân quỹ thông thường của một sàn.

Địa chỉ đích cũng mới hoạt động và nhanh chóng chuyển tiếp ETH. Địa chỉ mới, gas được cấp từ dịch vụ riêng tư và chuyển tiếp ngay lập tức đều là dấu hiệu thường được xem xét trong điều tra xâm phạm khóa.

Không dấu hiệu nào tự nó chứng minh hành vi trộm cắp. Đội bảo mật có thể cố ý dùng hạ tầng mới khi luân chuyển khẩn cấp. Một khoản rút của tổ chức có thể tới địa chỉ chưa có lịch sử. Giao dịch cũng có thể dùng relayer, quyền được ủy thác hoặc ví vận hành bị trình khám phá gắn nhãn thiếu chính xác.

Mô tả đúng ở giai đoạn này là khả năng hot wallet bị xâm phạm, không phải vụ khai thác Binance đã được xác nhận.

Không thể bỏ qua khả năng bảo trì

Binance đã thông báo bảo trì ví Ethereum vào 06:00 UTC ngày 28 tháng 10, dự kiến tạm dừng nạp và rút khoảng một giờ. Các giao dịch đáng ngờ xảy ra vào ngày hôm sau.

Thông báo đó tạo ra một cách giải thích hợp lý: sàn có thể đang di chuyển hạ tầng ví, hợp nhất số dư hoặc hoàn tất công việc vận hành bị chậm. Binance từng cảnh báo rằng người ngoài có thể hiểu sai các giao dịch lớn vì sàn liên tục cân bằng thanh khoản giữa ví nạp, ví nóng và ví lạnh.

Tuy nhiên, thông báo bảo trì không mô tả việc chuyển hàng tỷ USD tới những địa chỉ đang bị xem xét. Mô hình cấp vốn liên quan Tornado cũng cần lời giải thích mà bảo trì thông thường không cung cấp.

Cho đến khi Binance công khai nhận địa chỉ đích hoặc giải thích giao dịch, bảo trì chỉ là một khả năng chứ chưa phải câu trả lời.

Điều gì sẽ xác nhận một vụ khai thác

Một giao dịch lớn chỉ trở thành sự cố bảo mật được xác nhận khi có thêm bằng chứng về mất quyền kiểm soát hoặc chữ ký trái phép.

Những tín hiệu quan trọng cần theo dõi gồm:

• tuyên bố chính thức của Binance về vụ khai thác, khóa riêng bị xâm phạm hoặc việc di chuyển ví được ủy quyền;
• rút tiền bị đình chỉ lâu hơn thời gian bảo trì thông thường;
• phối hợp khẩn cấp với Tether để đóng băng USDT;
• tài sản nhanh chóng được hoán đổi, bắc cầu hoặc gửi vào dịch vụ riêng tư và sàn khác;
• thông điệp có chữ ký hoặc giao dịch hoàn trả chứng minh Binance vẫn kiểm soát bên nhận;
• kết luận độc lập từ một đơn vị điều tra on-chain uy tín.

Di chuyển của ETH sẽ đặc biệt quan trọng. Nhà phát hành có thể đóng băng USDT, còn ETH gốc không có cơ chế tương đương. Kẻ tấn công vì thế có thể ưu tiên chuyển đổi hoặc phân tán những tài sản khó ngăn chặn hơn.

Người dùng nên làm gì lúc này

Người dùng không nên xem các tuyên bố trên mạng xã hội là xác nhận, nhưng cần theo dõi kênh chính thức của Binance cùng trạng thái nạp và rút.

Sự kiện nóng như vậy cũng thu hút lừa đảo. Không trả lời tin nhắn yêu cầu chuyển tiền tới địa chỉ “an toàn”, không kết nối ví với trang xác minh không chính thức và không chia sẻ cụm từ khôi phục hay thông tin đăng nhập. Bộ phận hỗ trợ Binance không cần seed phrase để bảo vệ số dư trên sàn.

Quy mô giao dịch đòi hỏi lời giải thích nhanh. Nếu Binance kiểm soát đích nhận, sàn có thể loại bỏ phần lớn bất định bằng cách công bố và cung cấp bằng chứng có thể kiểm tra. Nếu không, đây có thể là một trong những sự cố ví sàn lớn nhất từng được ghi nhận.

Hiện tại, blockchain xác nhận một chuyển động tài sản rất bất thường. Nó chưa xác nhận một vụ hack.

Đây là câu chuyện đang diễn biến. Signal21 sẽ cập nhật khi Binance hoặc các nhà điều tra độc lập cung cấp thông tin có thể xác minh.

Bài viết này là phân tích thị trường, không phải khuyến nghị mua hoặc bán.