20 phút đọc
Vụ hack Binance mà Triều Tiên bị cáo buộc đã lấy đi khoảng 6,36 tỷ USD khỏi sàn vào ngày 29/10/2026, phần lớn chỉ trong khoảng 20 phút, theo TRM Labs. FBI đã nêu tên đơn vị hacker TraderTraitor của Triều Tiên là thủ phạm, Bình Nhưỡng gọi đó là “luận điệu vô lý”, còn Binance cho biết sẽ tự bù đắp khoản thiệt hại của người dùng. Nếu bạn giữ tiền mã hóa ở bất kỳ đâu, vụ này đáng đọc kỹ: nó cho thấy hacker nhà nước đột nhập sàn bằng cách nào, tiền đi đâu sau đó và ai trả giá khi tiền biến mất.
Điểm chính cần nhớ
- Khoảng 6,36 tỷ USD rời ví Binance trên mười blockchain ngày 29/10/2026, phần lớn trong chừng 20 phút (TRM Labs).
- FBI nói Triều Tiên thực hiện vụ này qua đơn vị mà họ gọi là TraderTraitor. Triều Tiên phủ nhận qua hãng thông tấn nhà nước KCNA.
- Binance cho biết sẽ bù lỗ bằng nguồn lực của chính mình, quỹ bảo hiểm hợp đồng tương lai và một phần quỹ SAFU, đồng thời các đối tác đã giúp đóng băng khoảng 3 tỷ USD.
- Con số này gấp khoảng bốn lần vụ Bybit bị lấy khoảng 1,5 tỷ USD hồi tháng 2/2025, vụ mà FBI cũng quy cho Triều Tiên.
Vụ hack Binance diễn ra thế nào, từng bước một
Cuộc tấn công vừa nhanh vừa rộng. Ngày 29/10/2026, kẻ tấn công chuyển khoảng 6,36 tỷ USD khỏi các ví của Binance trên mười blockchain khác nhau, và theo TRM Labs, phần lớn số tiền biến mất trong khoảng 20 phút. NPR và CBS News làm tròn thành 6,3 tỷ USD. PBS NewsHour mô tả đây nhiều khả năng là vụ trộm tiền mã hóa lớn nhất từ trước đến nay.
Binance là một trong những sàn giao dịch tiền mã hóa lớn nhất thế giới, nơi người ta mua, bán và lưu giữ tiền số. Những ngày sau vụ trộm cũng diễn biến rất nhanh.
| Ngày | Diễn biến | Nguồn đưa tin |
|---|---|---|
| 29/10/2026 | Khoảng 6,36 tỷ USD rời ví Binance trên mười blockchain, phần lớn trong khoảng 20 phút | TRM Labs, NPR, CBS |
| 31/10/2026 | Binance cho biết đã khôi phục tài sản đối ứng cho 90% số tài sản bị ảnh hưởng và dự kiến mở lại việc rút tiền vào Chủ nhật | CNBC |
| 31/10 đến 1/11/2026 | FBI nói Triều Tiên, thông qua TraderTraitor, chịu trách nhiệm | NBC News, PBS, Bloomberg |
| 2/11/2026 | Kim Yo Jong bác bỏ các cáo buộc của Mỹ là “luận điệu vô lý”, qua KCNA. Đồng CEO của Binance nói dòng tiền rút ra đã trở lại bình thường | Reuters qua US News, ABC News |
| Đang diễn ra | Các hãng phân tích blockchain lần theo quá trình rửa tiền, việc rút tiền đã mở lại | Elliptic qua Crypto Times, Gizmodo |
Vì sao FBI nói Triều Tiên đứng sau vụ hack Binance
Việc quy trách nhiệm có hai lớp, và sức nặng của chúng khác nhau. Lớp đầu tiên là chính thức. FBI nói Triều Tiên chịu trách nhiệm, hành động qua đơn vị hacker mà họ gọi là TraderTraitor, theo NBC News, PBS và Bloomberg, những hãng đã đưa tin tuyên bố này trong khoảng từ 31/10 đến 1/11/2026.
TraderTraitor là gì và liên quan thế nào đến Lazarus?
TraderTraitor là tên FBI đặt cho một nhóm có liên hệ với nhà nước Triều Tiên, chuyên nhắm vào các công ty tiền mã hóa. Lazarus Group là nhãn cũ và rộng hơn mà giới nghiên cứu an ninh mạng dùng nhiều năm nay để chỉ hacker của chính phủ Triều Tiên. Có thể hình dung TraderTraitor là một nhóm hoạt động dưới cái ô lớn Lazarus.
Các “thám tử blockchain” tìm thấy gì?
Lớp thứ hai đến từ các công ty tư nhân chuyên lần theo dòng tiền trên blockchain công khai (sổ cái mở ghi lại mọi giao dịch tiền mã hóa). TRM Labs, Chainalysis và Elliptic đều gắn vụ hack với TraderTraitor và Lazarus, theo báo cáo của NPR, CNBC và CoinDesk. Các công ty này đối chiếu mẫu ví, lộ trình rửa tiền và kỹ thuật với những vụ trước. Kết quả của họ là phân tích, không phải phán quyết của tòa, và tại thời điểm viết bài chưa có cáo buộc hình sự nào được công bố.
Hacker đã vào Binance bằng cách nào? Những gì đã biết
Đến đây dữ kiện mỏng dần, nên mọi chi tiết đều chỉ nên xem là tạm thời. NPR cho biết nhiều chi tiết vẫn chưa rõ.
Giả thuyết kỹ thuật được nhắc nhiều nhất, từ TRM Labs, hướng đến việc hạ tầng ký giao dịch của ví nóng của Binance bị xâm nhập. Ví nóng là loại ví nối internet mà sàn dùng để xử lý các lệnh rút tiền hằng ngày, và mỗi lần chuyển tiền ra đều cần một chữ ký mật mã. TRM cho rằng kẻ tấn công đã lấy được các chữ ký từ trước rồi thực thi chúng cùng lúc. Điều đó giải thích tốc độ 20 phút: phần việc khó đã xong trước khi ai kịp nhận ra.
Lời giải thích đầu tiên của Binance là một máy tính xách tay của nhân viên bị xâm nhập, và các báo cáo sau đó mô tả thêm nhiều điểm bị xâm nhập khác, theo NPR và TRM Labs. Fortune đưa tin các điệp viên Triều Tiên đã dùng LinkedIn và những buổi phỏng vấn việc làm giả để đánh lừa một kỹ sư của Binance. Đó là thông tin do báo đưa, chưa phải kết luận đã xác nhận, nhưng cách làm này khớp với một mô thức đã được ghi nhận từ lâu: nhà tuyển dụng giả gửi một “bài test lập trình” hoặc một tài liệu cài mã độc lên máy của nạn nhân.
Triều Tiên phủ nhận vụ hack Binance: KCNA nói gì
Bình Nhưỡng bác bỏ cáo buộc. Kim Yo Jong, em gái của nhà lãnh đạo Kim Jong Un và là quan chức cấp cao thường phát đi các tuyên bố nhắm vào Washington và Seoul, gọi những cáo buộc của Mỹ là “luận điệu vô lý và không có gì mới”. Bà nói chúng cho thấy sự thù địch của Washington, theo hãng thông tấn nhà nước KCNA, do Reuters qua US News và ABC News đưa lại.
KCNA, tức Hãng thông tấn Trung ương Triều Tiên, là cơ quan ngôn luận chính thức của chính phủ nước này, nên các tuyên bố của KCNA là lập trường của chính phủ, không phải tin tức độc lập. Triều Tiên vẫn thường xuyên phủ nhận việc dính líu đến các vụ trộm mạng bị quy cho họ. Vì vậy, một bên là kết luận quy trách nhiệm của FBI được các phân tích blockchain độc lập củng cố, bên kia là lời phủ nhận dứt khoát của một nhà nước.
Người dùng Binance có mất tiền không? Khoản lỗ được bù thế nào
Cho đến nay, Binance nói người dùng sẽ không phải gánh khoản mất mát. Sàn cho biết sẽ tự bù thiệt hại cho người dùng, dùng nguồn lực của doanh nghiệp, một phần quỹ bảo hiểm hợp đồng tương lai và một phần Secure Asset Fund for Users (SAFU, Quỹ tài sản an toàn cho người dùng), theo CNBC. SAFU là quỹ dự phòng khẩn cấp mà Binance lập từ nhiều năm trước cho đúng loại sự cố này.
Bao nhiêu tiền đã được khôi phục hoặc đóng băng?
Trong bản cập nhật ngày 31/10, Binance cho biết đã khôi phục tài sản đối ứng cho 90% số tài sản bị ảnh hưởng và dự kiến mở lại việc rút tiền vào Chủ nhật, theo CNBC. Binance cũng cho biết đã phối hợp với các đối tác blockchain để đóng băng khoảng 3 tỷ USD số tài sản bị ảnh hưởng, theo PBS NewsHour. Đóng băng thường nghĩa là bên phát hành token, hoặc một sàn khác nhận số tiền bị đánh cắp, khóa các đồng đó để chúng không thể di chuyển hay quy đổi thành tiền.
SAFU phải gánh bao nhiêu?
Các báo cáo không thống nhất. Một nguồn nói Binance đang dùng một nửa lượng bitcoin của SAFU. Nguồn khác nói SAFU bù khoảng một phần năm khoản mất. Chừng nào Binance chưa công bố bảng phân bổ đầy đủ, cả hai con số đều chưa được xác nhận.
Ngày 2/11, đồng CEO của Binance nói dòng tiền rút ra đã trở lại bình thường và công ty có “sức khỏe tài chính rất vững”, theo Reuters qua US News. Ngoài ra, Quartz đưa tin giám đốc tài chính Kaiser Ng sẽ rời đi, Justin Yek tiếp quản vị trí này.
Triều Tiên rửa tiền mã hóa bị đánh cắp bằng cách nào
Trộm được hàng tỷ USD mới là nửa dễ. Biến chúng thành tiền dùng được mà không bị bắt thì chậm hơn nhiều, và các hãng phân tích blockchain đang theo dõi quá trình đó ngay trước mắt công chúng.
Elliptic báo cáo rằng hacker đã rửa một phần số tiền qua các meme token trên NEAR, một mạng blockchain, theo Crypto Times ngày 10/11/2026. Gizmodo cũng đưa tin về việc rửa tiền qua memecoin. Meme token là những đồng tiền đùa vui hoặc chạy theo cơn sốt, giao dịch mỏng và hỗn loạn. Đổi tiền trộm qua lại với chúng có thể làm mờ dấu vết và khiến những đồng vốn dễ truy ra trông như giao dịch đầu cơ bình thường.
Trình tự thường thấy trong các vụ liên quan đến Triều Tiên diễn ra như sau:
- Chia nhỏ số tiền ra nhiều ví và nhiều blockchain, như đã xảy ra ở đây với mười chuỗi.
- Đổi các token mà bên phát hành có thể đóng băng sang loại khó đóng băng hơn.
- Chuyển qua lại giữa các blockchain bằng cầu nối (bridge) và dịch vụ hoán đổi.
- Rút tiền mặt từ từ qua các môi giới và sàn có khâu xác minh danh tính lỏng lẻo.
Mỗi bước đều để lại dấu vết công khai. Đó là lý do 3 tỷ USD bị đóng băng rất quan trọng: mỗi đồng bị đóng băng là một đồng kẻ tấn công không thể tiêu.
Hack Binance so với hack Bybit: năm 2026 khác năm 2025 thế nào
Trước vụ này, mốc để so sánh là Bybit. Tháng 2/2025, sàn đó mất khoảng 1,5 tỷ USD trong một vụ hack mà FBI cũng quy cho Triều Tiên, theo NBC News. Vụ trộm ở Binance lớn hơn khoảng bốn lần.
| Tiêu chí so sánh | Bybit (2/2025) | Binance (10/2026) |
|---|---|---|
| Số tiền bị lấy | Khoảng 1,5 tỷ USD | Khoảng 6,36 tỷ USD (TRM Labs), hoặc 6,3 tỷ USD (NPR, CBS) |
| FBI quy trách nhiệm | Triều Tiên | Triều Tiên, qua TraderTraitor |
| Tốc độ và phạm vi | Xem bài của NBC News | Mười blockchain, phần lớn trong khoảng 20 phút |
| Điểm xâm nhập được đưa tin | Xem bài của NBC News | Xâm nhập hệ thống ký giao dịch của ví nóng (TRM Labs), máy tính xách tay nhân viên (Binance), phỏng vấn việc làm giả (Fortune) |
| Ai bù khoản lỗ | Xem bài của NBC News | Binance: vốn doanh nghiệp, quỹ bảo hiểm hợp đồng tương lai, một phần SAFU |
Điểm đáng chú ý là quy luật lặp lại. Cả hai lần, một sàn hàng đầu bị tấn công, FBI nêu tên Triều Tiên và tiền bị chia nhỏ rất nhanh. Việc kẻ tấn công có tiếp tục nâng quy mô hay không phụ thuộc một phần vào việc bao nhiêu tiền trong vụ này vẫn bị giữ đóng băng.
Vì sao trộm tiền mã hóa quan trọng với chế độ Triều Tiên
Triều Tiên chịu các lệnh trừng phạt quốc tế nặng nề vì chương trình hạt nhân và tên lửa, khiến nước này bị cắt khỏi phần lớn thương mại và ngân hàng bình thường. Các quan chức Mỹ và những chuyên gia giám sát trừng phạt của Liên Hợp Quốc từ lâu cáo buộc nước này dùng trộm cắp mạng để kiếm ngoại tệ mà các lệnh trừng phạt lẽ ra đã chặn. Tiền mã hóa phù hợp với mục tiêu đó: chuyển qua biên giới trong vài phút, không cần ngân hàng, và một nhóm nhỏ người giỏi có thể lấy trong một buổi chiều nhiều hơn những gì nhiều mặt hàng xuất khẩu hợp pháp kiếm được trong nhiều năm.
Vì vậy các chính phủ coi những vụ trộm này là vấn đề an ninh, không chỉ là tội phạm nhắm vào một công ty. Nếu muốn hiểu rộng hơn về việc nền kinh tế bị cô lập của miền Bắc khác miền Nam ra sao, hãy đọc hướng dẫn của chúng tôi về sự khác biệt giữa Triều Tiên và Hàn Quốc.
Vụ hack Binance có ý nghĩa gì với người dùng tiền mã hóa và thị trường bên ngoài Hàn Quốc
Với người dùng bình thường, bài học thực tế nằm ở chỗ bạn để tiền ở đâu. Tiền giữ trên sàn phụ thuộc vào độ an toàn của sàn đó và khả năng chi trả sau khi mất mát. Binance nói họ bù được vụ này. Những nền tảng nhỏ hơn có thể không có quỹ dự phòng cỡ đó.
Hãy theo dõi ba tín hiệu thực tế:
- Rút tiền: Binance cho biết dự kiến mở lại và việc rút đã khởi động lại. Ở bất kỳ sàn nào, chậm trễ hay hạn mức là dấu hiệu cảnh báo.
- Công bố thông tin: một bản phân tích công khai rõ ràng về cách khoản lỗ được bù, kể cả phần SAFU còn tranh cãi, tạo niềm tin hơn những lời trấn an.
- An ninh của con người: chi tiết phỏng vấn việc làm giả được đưa tin cho thấy nhân viên, chứ không chỉ mã nguồn, mới là mục tiêu.
Với thị trường, phát biểu của đồng CEO rằng dòng tiền rút ra đã bình thường cho thấy người dùng không kéo nhau rút hàng loạt kéo dài, nhưng giá từng token còn phụ thuộc vào nhiều yếu tố hơn một vụ hack. Bài viết này giải thích sự kiện và không phải lời khuyên đầu tư.
FAQ
Triều Tiên có hack Binance không?
FBI nói Triều Tiên chịu trách nhiệm, hành động qua đơn vị TraderTraitor. Các hãng blockchain TRM Labs, Chainalysis và Elliptic cũng gắn vụ tấn công với hacker Triều Tiên. Triều Tiên phủ nhận qua KCNA, và tại thời điểm viết bài chưa có cáo buộc hình sự nào được công bố.
Vụ hack Binance mất bao nhiêu tiền?
TRM Labs ước tính khoảng 6,36 tỷ USD, được chuyển qua mười blockchain ngày 29/10/2026. NPR và CBS đưa con số 6,3 tỷ USD. Binance cho biết các đối tác đã giúp đóng băng khoảng 3 tỷ USD số tài sản bị ảnh hưởng.
Khách hàng Binance có mất tiền không?
Binance nói sẽ tự bù thiệt hại cho người dùng, bằng vốn doanh nghiệp, một phần quỹ bảo hiểm hợp đồng tương lai và một phần SAFU. Ngày 31/10, sàn cho biết đã khôi phục tài sản đối ứng cho 90% số tài sản bị ảnh hưởng. Hãy chỉ kiểm tra tài khoản của bạn qua ứng dụng hoặc trang web chính thức của Binance.
TraderTraitor là gì?
TraderTraitor là tên FBI đặt cho một đơn vị hacker có liên hệ với nhà nước Triều Tiên, chuyên nhắm vào các công ty tiền mã hóa. Nhóm này thường được gắn với Lazarus Group, nhãn mà giới nghiên cứu dùng để chỉ hacker của chính phủ Triều Tiên.
Hacker đã vào bằng cách nào?
Điểm xâm nhập chính xác vẫn chưa rõ. TRM Labs hướng đến việc hệ thống ký giao dịch của ví nóng Binance bị xâm nhập, Binance ban đầu nêu một máy tính xách tay nhân viên bị chiếm quyền, còn Fortune đưa tin các điệp viên dùng LinkedIn và phỏng vấn việc làm giả để đánh lừa một kỹ sư.
Vụ hack Binance có lớn hơn vụ hack Bybit không?
Có. Bybit mất khoảng 1,5 tỷ USD hồi tháng 2/2025 trong một vụ hack mà FBI cũng quy cho Triều Tiên. Vụ trộm ở Binance, khoảng 6,3 tỷ USD, lớn gấp khoảng bốn lần, và PBS gọi đó nhiều khả năng là vụ trộm tiền mã hóa lớn nhất từ trước đến nay.
Điều cần theo dõi tiếp sau vụ hack Binance
Ba câu hỏi vẫn còn bỏ ngỏ. Thứ nhất là điểm xâm nhập chính xác: một báo cáo hậu sự cố đầy đủ từ Binance sẽ cho biết mọi chuyện bắt đầu từ một chiếc laptop, một buổi phỏng vấn giả hay nhiều vụ xâm nhập cùng lúc. Thứ hai là con số thu hồi cuối cùng: hãy xem bao nhiêu trong 3 tỷ USD bị đóng băng tiếp tục bị giữ, và liệu có thêm tiền được lấy lại khi Elliptic, Chainalysis và TRM Labs tiếp tục lần theo quá trình rửa tiền. Thứ ba là phản ứng của Washington: Bộ Tư pháp Mỹ có công bố cáo buộc không, hay Bộ Tài chính có trừng phạt thêm các ví và những người liên quan không. Để cập nhật, hãy theo dõi trang thông báo chính thức của Binance, các tuyên bố công khai của FBI và blog nghiên cứu của các hãng blockchain, và đọc mọi phản hồi của KCNA đúng như bản chất của nó: lời khẳng định của chính phủ Triều Tiên.
Bài liên quan
Nguồn trmlabs.com · npr.org · cbsnews.com · pbs.org · cnbc.com · k-korea.blog · usnews.com · qz.com
Giá, giờ mở cửa và tình trạng hàng có thể thay đổi. Hãy kiểm tra trang chính thức trước khi mua hoặc đi.