Vụ Binance là hành động từ bên trong
Vụ "Đánh cắp" Binance có khả năng cao là hành động từ bên trong
Điểm chính
- Vụ trộm cắp 6,3 tỷ USD từ Binance đang bị quy cho là do Bắc Hàn thực hiện — nhưng chi tiết quan trọng nhất lại chỉ về một hướng khác.
- Bản thân Binance xác nhận không có khóa riêng của ví nào bị rò rỉ. Cuộc tấn công sử dụng quyền truy cập vào cơ sở hạ tầng ký — chính loại quyền truy cập mà một Insider đã có.
- Các tuyên bố công khai của Binance dao động giữa "tiền của người dùng hoàn toàn an toàn" và "chúng tôi sẽ đền bù mọi thiệt hại" — và câu chuyện "laptop bị hack" của họ mang tính tự phục vụ và chưa được kiểm chứng.
- Đây không phải lần đầu Binance đối mặt với tình huống này. Cuốn tự truyện của CZ nghi ngờ có hối lộ nội bộ trong vụ hack năm 2019, và công ty đã nhận tội vào năm 2023 vì cố tình tạo điều kiện cho rửa tiền.
- Việc gán trách nhiệm cho Bắc Triều Tiên với "độ tin cậy cao" chỉ là khớp mẫu, không phải bằng chứng — và nạn nhân mới là người kiểm soát câu chuyện.
Câu chuyện chính, tóm tắt
Muộn ngày 29 tháng 10 năm 2026, khoảng $6.3 billion đã chuyển ra khỏi ví nóng của Binance trên mười blockchain — Bitcoin, Ethereum, Tron, Solana và những blockchain khác — phần lớn trong hai mươi phút. Theo bất kỳ tiêu chuẩn nào, đây là vụ cắp cướp lớn nhất trong lịch sử tiền mã hóa: gần gấp bốn lần kỷ lục trước đó, là thiệt hại $1.5 billion của Bybit vào tháng 2 năm 2025.
Trong vài giờ, các công ty nghiên cứu dữ liệu chuỗi khối TRM Labs và Chainalysis đã quy kết vụ tấn công "với mức độ chắc chắn cao" cho TraderTraitor, nhóm tội phạm thuộc Triều Tiên có liên quan đến hoạt động Lazarus. Theo tài khoản chính thức của Binance: máy tính xách tay của một kỹ sư DevOps đã bị xâm phạm, kẻ tấn công lợi dụng nó để tiếp cận một service container, rồi từ đó gửi các giao dịch rút tiền trái phép. Khoảng 3 tỷ USD đã bị đóng băng với sự hỗ trợ của Tether, Circle và Ripple. Binance tuyên bố sẽ bồi thường đầy đủ cho mọi người dùng từ quỹ bảo hiểm SAFU và nguồn dự trữ của công ty.
Vụ án xem như khép lại, thị trường dường như nói vậy. Bitcoin giảm giá, BNB suy giảm, và câu chuyện đã định hình thành một khuôn mẫu quen thuộc: lại một vụ tấn công của quốc gia-xã hội, lại một sàn giao dịch phải gánh chịu thiệt hại. Nhưng câu chuyện yên bình ấy lại có một vết nứt chạy xuyên suốt.
Dấu hiệu: Không có Khóa riêng nào bị lộ
Câu quan trọng nhất trong thông báo của chính Binance đã bị lấn át bởi những tiếng ồn. Binance đã tuyên bố — nhiều lần — rằng các nhà điều tra không tìm thấy bằng chứng nào cho thấy khóa riêng của bất kỳ ví nào bị lộ.
Dừng lại và suy nghĩ về ý nghĩa của điều đó. Một tên trộm đột nhập từ bên ngoài phải lấy đi thứ gì đó: một khóa, một cụm từ khôi phục, một mật khẩu, một bí mật ký số. Đó chính là ý nghĩa của từ "hack" trong lĩnh vực tiền điện tử. Nhưng ở đây, không có gì bị đánh cắp. Thay vào đó, kẻ tấn công được cho là đã sử dụng cơ sở hạ tầng ký số — cơ chế ký EIP-7702 trên Ethereum, các giao dịch được ủy quyền trước — để di chuyển quỹ. Nói một cách đơn giản: tiền đã được di chuyển vì có thứ gì đó bên trong quy trình ký số của chính Binance đã ủy quyền cho việc di chuyển đó.
Đó là một sự khác biệt sâu sắc. Cơ sở hạ tầng ký số bị xâm phạm không phải là "chúng ta bị cướp." Mà là "một người có quyền truy cập ký hợp lệ đã di chuyển số tiền." Và những người nắm giữ quyền truy cập ký hợp lệ, theo định nghĩa, là người ở bên trong tòa nhà — hoặc đã được ai đó cho phép vào.
Một thực thể nhà nước bên ngoài sẽ phải nỗ lực cực kỳ lớn để tiếp cận lớp đó mà không bị phát hiện. Một người trong nội bộ, hoặc một người trong nội bộ hợp tác với đối tác bên ngoài, đã đứng trên lớp đó. Câu chuyện "laptop bị hack" rất thuận tiện vì nó giải thích cho việc thiếu mất khóa bị đánh cắp — nhưng đó là tài khoản chưa được xác minh của Binance, và nó xứng đáng nhận được sự hoài nghi tương tự như bản nháp đầu tiên về sự kiện của bất kỳ nạn nhân nào nào.
Một Câu Chuyện Mâu Thuẫn, Tự Phục Vụ
Theo dõi các thông điệp của chính Binance và bạn sẽ thấy câu chuyện này lung lay. Trong một thông điệp, tiền của người dùng được tuyên bố là "hoàn toàn an toàn." Trong thông điệp tiếp theo, công ty sẽ "chịu mọi khoản lỗ." Hai tuyên bố này không thể cùng lúc mang tính chất tùy tiện. Tài khoản của Binance tại Mỹ Latinh đã xác nhận mức thiệt hại "khoảng 6,3 tỷ USD" đồng thời cảnh báo con số "có thể tiếp tục tăng." Các tuyên bố được đưa ra một cách chập chờn, đôi khi mâu thuẫn lẫn nhau — điều mà nhiều hãng truyền thông đã ghi nhận.
Không có gì trong số này chứng minh có hành vi sai phạm. Các công ty trong khủng hoảng thường truyền thông kém hiệu quả. Nhưng khi thực thể kể câu chuyện cũng là thực thể kiểm soát cuộc điều tra, công chúng chỉ nhận được đúng một phiên bản sự kiện — và phiên bản đó có sẵn động cơ đổ lỗi cho một đối thủ nước ngoài thay vì thừa nhận lỗ hổng trong chính tổ chức của mình.
Lịch Sử Mà Không Ai Muốn Đề Cập
Đây là nơi lý thuyết vụ làm ăn bên trong ngừng là suy đoán và trở thành một mô hình.
Trước tiên, 2019. Vào tháng 5 năm 2019, tin tặc đã rút cắp 7,000 bitcoin — khoảng $40 million vào thời điểm đó — từ ví nóng của Binance. Trong hồi ký của chính mình, người sáng lập Changpeng Zhao viết rằng ông nghi ngờ mạnh mẽ nhóm Lazarus của Triều Tiên, và rằng những kẻ tấn công có thể đã hối lộ một nhân viên nội bộ. Đó không phải là lời bình luận từ một người ngoài. Đó là người sáng lập, trong văn bản, thừa nhận rằng con đường nội bộ đã được đặt ra bàn cân.
Thứ hai, năm 2023. Binance và Zhao đã nhận tội về các cáo buộc liên bang và trả mức giải quyết 4.3 tỷ USD — khoản thỏa thuận doanh nghiệp lớn nhất trong lịch sử thực thi các vụ án tội phạm tài chính của Bộ Tài chính Hoa Kỳ. Bộ Tư pháp đã trình bày, với chi tiết cụ thể, cách Binance cố ý không ngăn chặn tiền tội phạm: khoảng 106 triệu USD bitcoin chảy trực tiếp từ thị trường ngầm Hydra, hàng trăm triệu USD nữa thông qua dịch vụ trộn Bestmixer, và một âm mưu che giấu người dùng Mỹ sau nhãn "UNKWN" sau khi công khai tuyên bố chặn họ. Chính lời của Zhao từ một cuộc trò chuyện nội bộ: "Thà xin lỗi còn hơn xin phép."
Thứ ba, là mô hình chung của ngành. Các vụ trộm cắp trên sàn giao dịch không phải lúc nào cũng do bên ngoài thực hiện. Năm 2019, Bithumb của Hàn Quốc kết luận rằng khoản lỗ 19 triệu USD của họ là do một cựu nhân viên có quyền truy cập vào ví nóng thực hiện. Điểm mấu chốt không phải là mọi vụ hack đều do bên trong gây ra. Điểm mấu chốt là "kẻ tấn công do nhà nước hậu thuẫn" là câu chuyện mặc định vì đó là câu chuyện mà mọi người — bao gồm cả nạn nhân — cảm thấy thoải mái nhất, và cũng là câu chuyện dễ dàng nhất để đưa ra.
Khi một công ty có lịch sử được ghi nhận về việc che giấu những gì họ đang làm, thì lời giải thích chưa được kiểm chứng của họ về vụ xâm nhập bảo mật của chính mình không nên được chấp nhận một cách dễ dãi. Đó không phải là thuyết âm mưu. Đó là quy trình kiểm tra cơ bản.
Điều gì sẽ giải quyết vấn đề này
Câu hỏi về vụ làm ăn nội bộ có thể được trả lời, và câu trả lời sẽ đến từ bằng chứng mà Binance kiểm soát — đó chính là vấn đề. Một giải pháp đáng tin cậy sẽ bao gồm: một báo cáo điều tra pháp lý độc lập của bên thứ ba (không phải báo cáo sau sự cố do chính công ty soạn thảo); danh tính và phạm vi truy cập của mọi người có thẩm quyền ký đã liên quan trong khung thời gian hai mươi phút; và một báo cáo công khai về các hệ thống nội bộ nào đã ủy quyền cho các lệnh rút tiền.
Cho đến khi có bằng chứng đó, lập trường trung thực là vụ này rất có thể là một vụ làm nội bộ — hoặc một tay trong nội bộ điều khiển một tay từ bên ngoài. Việc quy kết cho Bắc Triều Tiên không phải là bằng chứng; đó là một suy luận rút ra từ những điểm tương đồng với các sự cố trong quá khứ. Những điểm tương đồng không phải là dấu vân tay.
Kết luận khó chịu: vụ trộm cắp lớn nhất trong lịch sử tiền điện tử có thể không hề là một vụ đột nhập. Nó có thể là một cánh cửa được mở từ bên trong. Và một công ty có lịch sử của Binance đã xứng đáng nhận mọi sự soi xét mà nó phải đối mặt.
FAQ
Thực tế đã bị đánh cắp bao nhiêu từ Binance? Khoảng $6.3 billion đã được chuyển ra khỏi ví nóng của Binance trên mười blockchain trong khoảng hai mươi phút vào ngày 29 tháng 10 năm 2026. Khoảng $3 billion đã bị đóng băng; Binance tuyên bố sẽ bồi thường toàn bộ thiệt hại của khách hàng từ quỹ SAFU và dự trữ của công ty.
Tại sao một số người nghĩ đó là vụ việc do người trong cuộc thực hiện? Vì Binance xác nhận không có khóa riêng của ví nào bị lộ. Các khoản tiền đã được chuyển thông qua cơ chế ký số bị xâm phạm — quyền truy cập được ủy quyền, không phải khóa bị đánh cắp. Loại quyền truy cập này là loại mà một người trong cuộc đã có sẵn, và Binance có một lịch sử khiến câu chuyện "laptop bị hack" của họ khó được chấp nhận một cách đơn giản.
Lịch sử mà họ đang đề cập là gì? Trong hồi ký của mình, CZ cho biết vụ hack Binance năm 2019 có thể liên quan đến một insider bị mua chuộc. Năm 2023, Binance và CZ đã nhận tội về các cáo buộc liên bang và trả 4,3 tỷ USD vì cố tình tạo điều kiện cho rửa tiền và che giấu người dùng Mỹ khỏi các nhà quản lý.
Không phải Triều Tiên chính thức bị quy trách nhiệm sao? Đúng vậy — TRM Labs và Chainalysis quy kết vụ tấn công này cho nhóm TraderTraitor của Triều Tiên "với độ tin cậy cao." Nhưng đó chỉ là một suy luận dựa trên sự tương đồng với các sự cố trong quá khứ, chứ không phải bằng chứng. Bên bị hại kiểm soát cuộc điều tra, và chưa có báo cáo pháp y độc lập nào được công bố.
Bằng chứng nào sẽ giải quyết vấn đề? Một báo cáo pháp y độc lập từ bên thứ ba, một bản ghi chép đầy đủ về các quyền ký nào đã bị can thiệp, và một lời giải thích công khai về các hệ thống nội bộ nào đã phê duyệt các lệnh rút tiền. Không có bất kỳ điều nào trong số đó được công bố.