Vụ Binance bị hack 6,3 tỷ USD bắt nguồn từ một kỹ sư muốn nhảy việc

Hacker tạo cuộc phỏng vấn tuyển dụng giả với kỹ sư Binance, từ đó dùng mã độc và công cụ AI nội bộ để rút 6,3 tỷ USD tiền số.

Trong báo cáo ban đầu vừa được công bố ngày 3/11, ban lãnh đạo Binance chính thức nêu lý do dẫn tới việc sàn tiền số lớn nhất thế giới bị hack.

Một kỹ sư phần mềm của Binance bị hacker giả danh nhà tuyển dụng tiếp cận, mời tham gia phỏng vấn cho một công việc khác rồi gửi bài kiểm tra lập trình chứa mã độc. Theo CEO Richard Teng, thủ đoạn này là bước đầu trong vụ tấn công khiến khoảng 6,3 tỷ USD tài sản bị đánh cắp.

Cụ thể, Jimmy Su, Giám đốc an ninh thông tin, cho biết vào tháng 9, một kỹ sư phần mềm của sàn đang tìm việc mới. Người này được liên hệ qua nền tảng tuyển dụng hợp pháp bởi kẻ tự nhận là giám đốc dự án. Kẻ này tổ chức phỏng vấn trực tuyến, giả danh nhân sự và chia sẻ tài khoản mạng xã hội có ảnh cá nhân để tạo lòng tin.

Trong vòng phỏng vấn tiếp theo, người tự nhận là CEO đã gọi video trực tiếp nhằm tạo dựng lòng tin và yêu cầu kỹ sư này tải một “bài tập” lập trình về máy tính làm việc. Tệp này chứa mã độc chưa từng được phát hiện trước đó (zero-day malware), có khả năng qua mặt hệ thống bảo mật thiết bị đầu cuối.

Tuy nhiên, đây không phải lần đầu hacker tìm cách thâm nhập. Trước đó, vào tháng 6, một kỹ sư khác đã cài đặt gói phần mềm Homebrew bị chỉnh sửa khi tìm kiếm công cụ AI. Homebrew là công cụ miễn phí giúp người dùng macOS cài đặt và quản lý phần mềm bằng các dòng lệnh trên máy tính. Kẻ tấn công đã phát tán phiên bản bị chỉnh sửa, có chứa mã độc, để xâm nhập thiết bị của kỹ sư Binance. Sàn giao dịch này sau đó phát hiện sự cố và thay thiết bị, nhưng cho biết các kỹ sư thuộc nhóm quản lý ví vẫn có nguy cơ bị xâm nhập.

Đến ngày 20/10, hacker sử dụng máy tính bị xâm nhập qua cuộc phỏng vấn giả và một công cụ AI nội bộ để tiếp cận máy tính của hai kỹ sư phụ trách ví. Ngày 29/10, tin tặc sử dụng thông tin đăng nhập đánh cắp được để thiết lập môi trường chạy phần mềm (software environment) và thực thi mã độc, khiến tiền bắt đầu rời khỏi hệ thống lúc 20h05 theo giờ UTC (múi giờ tiêu chuẩn toàn cầu, chậm hơn giờ Việt Nam 7 tiếng).

Hacker khai thác EIP-7702, một tính năng của mạng Ethereum, để thiết lập quyền thực thi giao dịch trái phép đối với ví nóng của Binance. Theo ông Su, do hệ thống ví nóng sử dụng công nghệ tính toán đa bên (MPC), không một khóa riêng lẻ nào có thể tự thu hồi quyền này. Quá trình kiểm soát sự cố kéo dài từ khuya ngày 29/10 cho đến 0h10 ngày 30/10, theo giờ UTC.

Binance cho biết đã phong tỏa khoảng 2,85 tỷ USD tài sản liên quan và khôi phục khoảng 98% lượng token bị ảnh hưởng. Sàn khẳng định người dùng không phải chịu thiệt hại tài chính từ vụ việc.

Theo Reuters, Cục Điều tra Liên bang Mỹ (FBI) quy vụ tấn công cho nhóm hacker TraderTraitor có liên hệ với Triều Tiên. Cơ quan này đã công bố các địa chỉ ví tiền số liên quan và kêu gọi các sàn giao dịch, dịch vụ blockchain chặn giao dịch với những địa chỉ này. Tuy nhiên, AP cho biết, bà Kim Yo Jong, em gái lãnh đạo Triều Tiên Kim Jong Un, bác bỏ cáo buộc. Bà gọi đây là hành động khiêu khích chính trị và cho rằng Washington đang cố gắn Bình Nhưỡng với các vụ tội phạm mạng trên thế giới.

Binance cũng thông tin đã ngăn chặn 57 nỗ lực tấn công bị nghi có liên quan đến Triều Tiên trong năm nay. Doanh nghiệp dự kiến mời các chuyên gia an ninh mạng độc lập đánh giá sự cố, tăng đầu tư vào công nghệ phát hiện mối đe dọa bằng AI và xây dựng quỹ nghiên cứu an ninh mạng, đồng thời triển khai các chương trình hợp tác với những công ty AI lớn.

Tiểu Gu