Binance công bố chi tiết vụ hack 6,3 tỷ USD: Đòn đánh tinh vi từ cuộc phỏng vấn giả và công cụ AI nội bộ

Sàn giao dịch tiền mã hóa Binance vừa công bố báo cáo phân tích sự cố (postmortem), làm rõ cách thức tin tặc thực hiện vụ trộm tiền mã hóa lớn nhất lịch sử với tổng thiệt hại lên tới 6,3 tỷ USD sau chiến dịch kéo dài nhiều tháng. Theo Binance, cuộc tấn công là sự kết hợp giữa mã độc phát tán qua công cụ tìm kiếm, thủ đoạn tấn công phi kỹ thuật (social engineering) tinh vi núp bóng quy trình tuyển dụng và việc chiếm quyền truy cập trái phép vào chính công cụ AI nội bộ của công ty.

Các cơ quan chức năng liên bang, bao gồm FBI, đã quy kết vụ tấn công này cho nhóm tội phạm mạng có liên hệ với Triều Tiên mang tên "TraderTraitor".

Kịch bản tấn công nhiều giai đoạn

Theo Binance, vụ xâm nhập diễn ra trong nhiều tháng, bắt đầu từ tháng 6. Bước xâm nhập ban đầu xuất phát từ việc một lập trình viên tải về bộ cài đặt bị chèn mã độc thông qua một quảng cáo độc hại trên Google. Dù đội ngũ an ninh mạng của Binance đã kịp thời phát hiện mã độc và thay thế thiết bị cho nhân viên này, những kẻ tấn công vẫn kịp thu thập được các thông tin tình báo then chốt về đội ngũ kỹ sư và quy trình kỹ thuật nội bộ.

Sang tháng 9, nhóm tin tặc bước vào giai đoạn hai nhắm tới một kỹ sư khác dưới vỏ bọc tuyển dụng nhân sự. Giả dạng làm nhà tuyển dụng tiềm năng, kẻ tấn công đã lên lịch nhiều vòng phỏng vấn, gọi điện trao đổi và chia sẻ các liên kết mạng xã hội nhằm xây dựng lòng tin. Cuối cùng, "nhà tuyển dụng" mạo danh đã thuyết phục được kỹ sư này tải về một bài kiểm tra kỹ thuật có chứa mã độc zero-day.

Các công cụ bảo mật đã không thể phát hiện payload thứ hai này. Mã độc đã thay thế tệp thực thi pyenv tiêu chuẩn bằng một phiên bản độc hại đã qua chỉnh sửa. Thành phần này đóng vai trò mở cửa sau (backdoor), cho phép tin tặc thiết lập kết nối với máy chủ điều khiển bên ngoài và che giấu mọi dấu vết hoạt động.

Khai thác hệ thống AI nội bộ

Đến ngày 20/10, nhóm tấn công đã lợi dụng công cụ AI nội bộ của Binance để chiếm quyền kiểm soát các ví tiền mã hóa của kỹ sư từng bị nhắm đến hồi tháng 6, cùng với ví của một nhân viên thứ ba. Tới ngày 29/10, hacker đăng nhập trực tiếp vào máy trạm của nhân viên thứ ba này để phát động đòn tấn công chính.

Vụ trộm kéo dài gần hai giờ đồng hồ sau khi các giao dịch chuyển tiền trái phép đầu tiên bị phát hiện. Binance giải thích rằng sự chậm trễ trong việc chặn đứng giao dịch bắt nguồn từ kiến trúc ví nóng sử dụng công nghệ tính toán đa bên (Multi-Party Computation - MPC). Do cơ chế ủy quyền của MPC được phân tán, hệ thống không có một khóa riêng (private key) đơn lẻ nào để thu hồi ngay lập tức các ủy quyền EIP-7702 trái phép của kẻ tấn công.

Nỗ lực khắc phục và tác động

CEO Binance Richard Teng khẳng định người dùng sẽ không phải chịu bất kỳ thiệt hại tài chính nào từ vụ tấn công. Khoảng 2,85 tỷ USD tài sản bị đánh cắp đã bị đóng băng hoặc chặn lại kịp thời nhờ nỗ lực của đội ngũ an ninh cùng các đối tác.

Ông Teng cũng xác nhận 98% số token bị ảnh hưởng đã được bồi hoàn, các công tác xử lý cho 2% còn lại đang được gấp rút hoàn tất để việc rút tiền sớm trở lại bình thường trên diện rộng. Binance cho biết thêm hệ thống phòng thủ của sàn trước đó đã đập tan 57 mối đe dọa mạng đáng ngờ khác có liên quan đến Triều Tiên.

Mặc dù các phát hiện đã được công khai, giới chuyên môn vẫn đặt dấu hỏi lớn về cách thiết kế công cụ AI nội bộ của Binance, cũng như lý do công cụ này lại trao cho kẻ tấn công đủ quyền hạn để can thiệp và vô hiệu hóa các biện pháp kiểm soát ví nội bộ.