Một phân tích từ DSRV cho rằng vụ rút trái phép tài sản số quy mô lớn tại Binance không bắt nguồn từ lỗ hổng blockchain, mà nằm ở quyền ký và quy trình vận hành nội bộ của sàn giao dịch.

Theo các nguồn tin trong ngành tài sản số, ngày 30/10 theo giờ Hàn Quốc, khoảng 6,3 tỷ USD, tương đương gần 8.000 tỷ won, đã bị rút trái phép khỏi ví nóng của Binance. Nguyên nhân ban đầu được nhắc đến là thiết bị làm việc của nhân viên có thể đã bị xâm nhập, kéo theo việc hệ thống phê duyệt và ký giao dịch bị truy cập trái phép.

DSRV đánh giá sự cố này cho thấy blockchain không bị xâm phạm trực tiếp. Theo đơn vị này, mục tiêu thực sự của cuộc tấn công là con người, thiết bị nắm quyền ký và cấu trúc vận hành cho phép một điểm bị xâm nhập có thể dẫn tới việc dịch chuyển lượng tài sản lớn.

DSRV cho biết dấu hiệu ban đầu cho thấy cuộc tấn công có thể xuất phát từ các buổi phỏng vấn tuyển dụng giả mạo và các gói cài đặt đã bị chỉnh sửa để lây nhiễm mã độc vào thiết bị của nhân viên. Sau đó, phạm vi tấn công được cho là mở rộng sang các thiết bị khác thông qua công cụ AI nội bộ.

Đơn vị này chỉ ra hai điểm yếu chính: khả năng truy cập dịch vụ ký thông qua token cấp quyền còn lưu trên thiết bị, và các chữ ký ủy quyền EIP-7702 đã được ký sẵn. Dù Binance áp dụng cơ chế tính toán đa bên (MPC) để tăng cường bảo mật cho ví đa tài sản, DSRV cho rằng vấn đề vẫn nằm ở chỗ các quyền ủy quyền đã cấp không thể bị thu hồi ngay lập tức.

Từ vụ việc này, DSRV khuyến nghị cần kiểm soát chặt việc thực thi mã từ bên ngoài trong môi trường phát triển cũng như trên thiết bị làm việc. Đồng thời, môi trường ký cần được tách biệt hoàn toàn với thiết bị phục vụ công việc thông thường.

DSRV cũng cho rằng các công cụ và tác nhân AI phải được quản lý quyền hạn tương đương như tài khoản của con người. Các token cấp quyền chỉ nên có hiệu lực trong thời gian ngắn và phải được phê duyệt bởi nhiều chủ thể. Theo đơn vị này, ngay cả khi đã áp dụng MPC và multisig, các nút ký vẫn cần một cơ chế kiểm tra chính sách độc lập.

Cách vận hành ví nóng cũng được xem là điểm cần siết chặt. DSRV đề xuất áp trần lượng tài sản lưu trong ví nóng, tăng tỷ trọng tài sản lưu trữ trong ví lạnh, đồng thời tách riêng quy trình ký theo mức độ rủi ro của từng blockchain và từng loại ví.

Để hạn chế nguy cơ nhân viên bị thao túng bởi các thủ đoạn social engineering, DSRV cho rằng cần có cơ chế hiển thị rõ ràng để người phê duyệt có thể kiểm tra chính xác đối tượng ký, số tiền và địa chỉ nhận trước khi xác nhận giao dịch.

DSRV đồng thời cảnh báo các sàn giao dịch tại Hàn Quốc cũng không đứng ngoài nguy cơ tương tự.

Theo đơn vị này, Luật bảo vệ người dùng tài sản số của Hàn Quốc yêu cầu các sàn trong nước phải lưu trữ ít nhất 80% tài sản số của khách hàng trong ví lạnh. Tuy nhiên, DSRV lưu ý rằng nếu hệ thống ký bị xâm nhập như trong sự cố lần này, phần tài sản còn lại trong ví nóng vẫn có thể gây ra thiệt hại lớn.

Vấn đề bồi thường cho người dùng khi xảy ra sự cố cũng vẫn là khoảng trống đáng chú ý. Theo cơ chế hiện hành, các sàn phải bảo đảm một phần nhất định số dư trong ví nóng bằng bảo hiểm hoặc quỹ dự phòng. Tuy nhiên, quy định bồi thường không phụ thuộc vào lỗi theo Luật giao dịch tài chính điện tử hiện chưa áp dụng với các sàn giao dịch tài sản số.

Sau sự cố Binance, cơ quan quản lý tài chính Hàn Quốc cũng đã tăng cường kiểm tra an ninh đối với các sàn trong nước.

Ủy ban Dịch vụ Tài chính Hàn Quốc (FSC) cho biết tại cuộc họp khẩn ngày 2/11 với sự tham gia của các sàn giao dịch, Cơ quan Giám sát Tài chính, Cơ quan An ninh Tài chính và Hiệp hội các sàn giao dịch tài sản số Hàn Quốc (DAXA), cơ quan này đã yêu cầu tăng tỷ trọng ví lạnh, giám sát thường trực hoạt động nạp rút, báo cáo và chia sẻ thông tin về truy cập bất thường, đồng thời bổ sung trích lập quỹ dự phòng.

DSRV nhấn mạnh rằng câu trả lời cho câu hỏi lưu trữ tài sản ở đâu là an toàn không nằm ở một địa điểm cụ thể, mà phụ thuộc vào việc khóa và quyền ký nằm trong tay ai, cũng như phải đi qua bao nhiêu lớp xác thực trước khi được thực thi.