Anh kỹ sư Binance và chiếc Laptop nghi vấn

Cuộc điều tra sơ bộ cho thấy kẻ tấn công có thể đã chiếm quyền điều khiển laptop của một kỹ sư DevOps thuộc Binance để xâm nhập hệ thống và thực hiện các giao dịch rút tiền trái phép, thay vì đánh cắp trực tiếp private key.

Vụ xâm nhập an ninh mạng chấn động nhắm vào sàn giao dịch tiền mã hóa lớn nhất thế giới đang dần hé lộ những mắt xích kỹ thuật đầu tiên. Theo kết quả điều tra sơ bộ từ Binance, vụ việc gây thiệt hại ước tính lên tới 6,3 tỷ USD có thể xuất phát từ việc laptop của một kỹ sư DevOps bị xâm nhập, dẫn tới việc cơ sở hạ tầng ký duyệt giao dịch nội bộ bị thao túng.

Lỗ hổng từ laptop kỹ sư DevOps 

Binance cho biết kẻ tấn công dường như đã tận dụng quyền truy cập từ laptop của kỹ sư DevOps để tiếp cận container dịch vụ nội bộ, từ đó phát lệnh rút tiền trái phép. Đáng chú ý, sàn khẳng định chưa tìm thấy bằng chứng nào cho thấy private key của ví bị lộ hay bị đánh cắp.

Đánh giá này hoàn toàn trùng khớp với phân tích chuyên môn trước đó từ Ido Ben-Natan, CEO của công ty bảo mật Web3 Blockaid. Chia sẻ với Cointelegraph, ông Ben-Natan nhận định đây là một kịch bản lạm dụng khóa điển hình:

“Dấu hiệu cho thấy hạ tầng ký duyệt (signing infrastructure) đã bị can thiệp. Chúng tôi không cho rằng private key đã bị lộ ra ngoài. Kẻ tấn công đã đánh lừa hoặc xâm nhập vào hệ thống ký để hợp thức hóa các giao dịch độc hại mà không cần phải trích xuất khóa gốc.”

Phân tích on-chain từ Blockaid chỉ ra rằng kẻ tấn công đã đóng gói 50 ủy quyền chuẩn EIP-7702 vào một giao dịch duy nhất nhắm vào ví nóng Binance 14. Một trong các ủy quyền này khớp chính xác với nonce yêu cầu của tài khoản, giúp giao dịch được mạng lưới chấp thuận.

EIP-7702 là cơ chế cho phép tài khoản ủy quyền thực thi mã hợp đồng thông minh. Lợi dụng điều này, tài khoản bị ảnh hưởng đã bị chuyển quyền ủy quyền sang một hợp đồng "sweeper" chưa được xác minh, cho phép kẻ tấn công rút sạch token khỏi ví. Ben-Natan cũng không loại trừ khả năng cuộc tấn công đã xâm nhập qua nhiều thiết bị nội bộ khác nhau để di chuyển trong mạng lưới của Binance.

Đại diện Blockaid cũng lưu ý rằng phương thức tấn công tinh vi, khâu chuẩn bị on-chain bài bản lần này mang nhiều nét tương đồng với các chiến dịch thường thấy từ các nhóm tin tặc Lazarus có liên hệ với Triều Tiên. 

Thiệt hại 6,3 tỷ USD: Đóng băng thành công một nửa, quỹ SAFU cam kết bồi thường

Binance ước tính tổng giá trị tài sản bị ảnh hưởng rơi vào khoảng 6,3 tỷ USD. Ngay sau khi phát hiện sự cố, sàn đã khẩn trương phối hợp cùng các đối tác mạng lưới blockchain để đóng băng thành công khoảng 3 tỷ USD tài sản onchain.

Trước những lo ngại từ cộng đồng nhà đầu tư, Binance đưa ra các biện pháp xử lý khẩn cấp:

• Đảm bảo an toàn tài sản người dùng: 
  Mọi khoản thiệt hại phát sinh sẽ được bù đắp toàn bộ thông qua Quỹ bảo hiểm tài sản khẩn cấp cho người dùng (SAFU) cùng nguồn vốn dự trữ của công ty.
• Tạm ngừng nạp/rút: 
  Các cổng nạp và rút tiền tạm thời bị đóng để phục vụ rà soát an ninh, đồng thời các ủy quyền liên quan đến địa chỉ ví bị xâm nhập đã bị thu hồi hoàn toàn.
• Minh bạch thông tin: 
  Binance cam kết sẽ công bố báo cáo kiểm toán dự trữ tài sản (Proof of Reserves) cập nhật và tung ra bản báo cáo kỹ thuật chi tiết (post-mortem) ngay sau khi quá trình điều tra hoàn tất.
• Phối hợp pháp lý: 
  Binance đang làm việc chặt chẽ với cơ quan thực thi pháp luật và các đơn vị tình báo on-chain nhằm truy vết dòng tiền và xác định danh tính nhóm tin tặc.

Nội dung chỉ nhằm cung cấp thông tin, không phải lời khuyên đầu tư.