Vụ rút hơn 2,5 tỷ USD tiền mã hóa khỏi Binance đang làm dấy lên nghi vấn hệ thống ký giao dịch của sàn đã bị xâm nhập. Một số phân tích ban đầu cho rằng kẻ tấn công có thể đã lợi dụng quy trình phê duyệt giao dịch để đưa lệnh độc hại qua hệ thống như một giao dịch hợp lệ, thay vì trực tiếp đánh cắp khóa riêng của ví.

Ngày 30/10, Cointelegraph dẫn nhận định sơ bộ của Idan Ben-Natan, đồng sáng lập kiêm CEO Blockaid, cho biết khả năng hạ tầng ký giao dịch bị lợi dụng là cao hơn so với kịch bản khóa riêng bị lộ. Theo ông, các dấu hiệu hiện tại cho thấy vấn đề nhiều khả năng nằm ở hệ thống ký, song chưa đủ cơ sở để kết luận khóa riêng đã bị đánh cắp.

Nhận định này được đưa ra trong bối cảnh Binance vẫn chưa xác định được chính xác đường xâm nhập của cuộc tấn công. Trọng tâm hiện nay là cách kẻ tấn công vượt qua cơ chế phê duyệt giao dịch. Ngay cả khi không nắm được khóa riêng, việc xâm nhập hoặc can thiệp vào hệ thống ký vẫn có thể giúp chúng thực thi giao dịch độc hại dưới vỏ bọc của một giao dịch đã được phê duyệt.

Trong phân tích on-chain đăng trên X, Blockaid cho biết kẻ tấn công đã gộp 50 lệnh phê duyệt EIP-7702 nhắm vào Binance14 vào cùng một giao dịch. Một phê duyệt trong số đó được cho là đã được hệ thống chấp nhận vì khớp với nonce yêu cầu của tài khoản.

EIP-7702 là một đề xuất cải tiến của Ethereum, cho phép tài khoản thông thường thực thi mã của smart contract đã được ủy quyền. Theo Blockaid, tài khoản liên quan đã ủy quyền cho một “sweeper contract” chưa được xác minh, cho phép một bên vận hành được chỉ định rút token và ether.

Diễn biến này cho thấy tài sản có thể đã bị dịch chuyển thông qua lỗ hổng trong cơ chế phê duyệt giao dịch mà không cần sử dụng trực tiếp khóa riêng. Tuy nhiên, hệ thống cụ thể bị xâm nhập và mức độ tiếp cận của kẻ tấn công đối với hạ tầng nội bộ của sàn vẫn chưa được xác nhận.

Ben-Natan cũng đề cập khả năng nhiều thiết bị đã bị xâm nhập cùng lúc, hoặc kẻ tấn công đã di chuyển ngang trong mạng nội bộ của sàn. Dù vậy, ông nhấn mạnh đây mới chỉ là giả thuyết ban đầu, chưa phải kết luận đã được kiểm chứng. Miguel Morel, CEO công ty phân tích blockchain Arkham, cũng cho rằng dữ liệu hiện có chưa đủ để xác định nguyên nhân là đánh cắp khóa riêng hay xâm nhập hạ tầng ký giao dịch. Ông đồng thời lưu ý cuộc tấn công có thể vẫn đang tiếp diễn.

Thị trường cũng chú ý đến điểm tương đồng giữa vụ việc này và vụ tấn công Bybit hồi tháng 2/2025. Ben-Natan đánh giá phương thức ra tay trong hai vụ khá giống nhau. Theo kết quả điều tra pháp chứng mà Bybit công bố khi đó, kẻ tấn công đã xâm phạm thông tin xác thực của một nhà phát triển Safe để tiếp cận hạ tầng ví, sau đó đánh lừa các bên ký duyệt chấp thuận giao dịch độc hại.

Dù chưa xác định được thủ phạm, Blockaid cho rằng các bước chuẩn bị tinh vi ghi nhận trên dữ liệu on-chain có một số đặc điểm tương đồng với cách thức hoạt động của các nhóm tấn công mạng có nguồn gốc từ Triều Tiên. Tuy nhiên, đây vẫn chưa phải bằng chứng mang tính quyết định để quy trách nhiệm.

Diễn biến mới nhất cho thấy trọng tâm an ninh của các sàn giao dịch tiền mã hóa không thể chỉ dừng ở việc lưu trữ khóa riêng. Theo đó, các sàn cần đồng thời bảo vệ quyền truy cập ví, hệ thống xác thực, hệ thống ký giao dịch, cũng như thiết bị vận hành và mạng nội bộ phục vụ quản trị các thành phần này.

Nếu kẻ tấn công có thể lợi dụng quy trình ký mà không cần trực tiếp đánh cắp khóa riêng, các cơ chế quản trị khóa hiện nay có thể không đủ để bảo vệ tài sản. Thị trường đang theo dõi liệu cuộc điều tra của Binance có làm rõ được đường xâm nhập và phạm vi thiệt hại bên trong hệ thống nội bộ hay không.