Sự cố quy mô lớn nhất trong lịch sử 8 tỷ đô la 5:20 sáng, 8 tỷ đô la chỉ trong 20 phút…Dòng thời gian hack Binance
Vụ trộm lớn nhất trong lịch sử tiền mã hóa đã kết thúc chỉ trong 20 phút. Vào sáng sớm ngày 30 tháng 10 theo giờ Hàn Quốc, khoảng 6,3 tỷ đô la, tương đương 8,4 nghìn tỷ won của Hàn Quốc đã được rút ra từ ví nóng của sàn giao dịch lớn nhất thế giới Binance. Tuy nhiên, đồng hồ của sự kiện này đã bắt đầu chạy từ trước đó nhiều hơn. Dựa trên việc theo dõi của các công ty phân tích blockchain, chúng tôi đã tái cấu trúc sự kiện theo thứ tự thời gian.
◇ D-36 giờ: Chuẩn bị im lặng
Cuộc tấn công không phải là vô ý. Theo công ty phân tích TRM Labs, những kẻ tấn công đã bắt đầu hoạt động ít nhất 36 giờ trước. Họ đã tạo trước các ví từ quỹ được nhận từ công cụ rửa tiền 'Tornado Cash', và chuẩn bị 'chữ ký phê duyệt' để khiến ví nóng của Binance (ví được kết nối internet) thực thi mã của những kẻ tấn công. Không có dấu hiệu của việc đánh cắp khóa cá nhân. Thay vì sao chép chìa khóa, đó là cách làm cho kho báu tự mở cửa.
◇ 30 tháng 10 lúc 5:20 sáng: 20 phút rò rỉ
Khoảng 5:20 sáng ngày 30 theo giờ Hàn Quốc (4:20 chiều ngày 29 theo giờ Mỹ phía đông), tài sản bắt đầu di chuyển gần như đồng thời trên 10 blockchain. Theo tổng hợp chéo của Chainalysis và TRM Labs, khoảng 6,3 tỷ đô la. Có những trường hợp hơn 2,5 tỷ đô la được chuyển trong một giao dịch duy nhất. Sự rò rỉ kết thúc chỉ trong khoảng 20 phút. Đó là khoảng 400 tỷ won mỗi phút.
◇ Sáng cùng ngày "Tiền của bạn là an toàn"
Binance đã ngay lập tức dừng toàn bộ các giao dịch nạp và rút tiền. Người sáng lập Zhao Changpeng (CZ) viết "Điều này có vẻ như là một vụ hack", nhưng "quỹ của người dùng là an toàn", và Giám đốc điều hành chung Richard Teng tuyên bố "Điểm quan trọng là quỹ của bạn là an toàn, và chúng tôi sẽ bù đắp mọi khoản lỗ". Công ty đã bảo đảm 6,34 tỷ đô la tài chính thông qua quỹ khẩn cấp SAFU và quỹ của riêng mình, và cho biết họ nắm giữ 80% tài sản bị tổn thương dưới dạng đồng tiền giống nhau. Trong tuyên bố ban đầu, công ty đã chỉ ra con đường xâm nhập là vi phạm máy tính xách tay của một kỹ sư DevOps (Phát triển/Vận hành).
◇ 7:46 sáng, Phòng tuyến của sàn giao dịch nội địa Seoul
Buổi sáng ở Seoul bắt đầu với những thông báo. Upbit đã phát hành thông báo cảnh báo và hạn chế rút tiền đến Binance lúc 7:46 sáng, và Bithumb và Coinone đã theo sau. Không có báo cáo về thiệt hại cá nhân từ những người dùng trong nước, và chưa có bài phát biểu chính thức của cơ quan tài chính. Thị trường bị xáo trộn. Bitcoin giảm mạnh 5%, tạm thời chạm mức thấp nhất trong 6 tuần ở 76.300 đô la, và chỉ thanh lý hợp đồng tương lai Bitcoin đã đạt 479 triệu đô la. Giá cổ phiếu của Coinbase và Robinhood cũng giảm mạnh theo.
◇ Chiều hôm đó: Dấu vân tay của tội phạm
Việc theo dõi on-chain là nhanh chóng. Chainalysis, TRM Labs và Elliptic đã đồng loạt chỉ ra nhóm hack 'TraderTraitor' liên quan đến Cục Tình báo Chiến lược Bắc Triều Tiên - p派系Lazarus. Bằng chứng quyết định là cảnh những quỹ đã bị đánh cắp từ sàn giao dịch Bitget vào tháng trước và quỹ lần này được trộn lẫn trực tiếp trên on-chain. Với Tether đóng băng 1,57 tỷ đô la, khoảng 2,8 đến 3 tỷ đô la hiện đã bị khóa, và FBI và Cơ quan Bảo vệ Bí mật Hoa Kỳ đã bắt đầu cuộc điều tra phối hợp. Tổng số tiền mã hóa bị đánh cắp của Bắc Triều Tiên được ước tính vượt quá 6,5 tỷ đô la bao gồm sự kiện này.
◇ 31 tháng 10 và những câu hỏi còn lại
Sau một ngày, sự kiện trở nên phức tạp hơn. CEO Teng đã sửa đổi, nói rằng không phải một máy tính xách tay mà là "đã phát hiện các điểm xâm nhập bổ sung", và con đường tấn công chính xác vẫn đang trong quá trình điều tra. Binance đang từng bước mở lại các giao dịch rút tiền và đã thông báo rằng sẽ công bố Bằng chứng về dự trữ (PoR) vào ngày 2 tháng 11. Quy mô là chưa từng có. Nó gấp hơn 4 lần vụ hack Bybit năm ngoái (1,5 tỷ đô la), và Elliptic nhận xét "nó có khả năng là vụ trộm lớn nhất trong lịch sử của mọi loại, không chỉ tiền mã hóa".
Tuy nhiên, thực tế rằng số tiền này chỉ bằng 3,9% của tài sản được giữ hộ của Binance (162,8 tỷ đô la) cho thấy hai mặt của tình huống. Chỉ có rất ít sàn giao dịch trên thế giới có thể bồi thường đầy đủ, và ngay cả những ít ỏi đó cũng bị đột nhập. 36 giờ chuẩn bị, 20 phút thực hiện, và cuộc điều tra vẫn chưa kết thúc. Lần này, những gì bị phá vỡ không phải là khóa của kho báu, mà là con người và quy trình hoạt động. Câu tục ngữ cũ rằng đừng để toàn bộ tài sản trên sàn giao dịch đã nhận được bằng chứng 8 tỷ won.