Tin tặc tấn công Binance sử dụng các cuộc phỏng vấn tuyển dụng giả mạo để thực hiện vụ đánh cắp tiền mã hóa trị giá 6,3 tỷ USD

An ninh mạng Các đối tượng tấn công sàn Binance sử dụng phỏng vấn tuyển dụng giả mạo để thực hiện vụ đánh cắp tiền mã hóa trị giá 6,3 tỷ USD FBI cho biết Triều Tiên đứng sau vụ tấn công này. Tác giả: Mariella Moon Ngày 4/11/2026, 3:50 EST Bangla press/Shutterstock Theo dõi Engadget trên Google: Nguồn ưu tiên Google Discover Binance đã công bố thêm thông tin chi tiết về vụ tấn công mạng gây thiệt hại 6,34 tỷ USD tài sản số. Tuyên bố của sàn giao dịch tiền mã hóa này dẫn lại kết luận của FBI, khẳng định Triều Tiên chịu trách nhiệm về vụ tấn công và vụ đánh cắp diễn ra vào ngày 29/10. Binance cũng giải thích rằng đây không phải là một chiến dịch diễn ra trong ngày một ngày hai. Vào tháng 6, một kỹ sư Wallet DevOps phụ trách hạ tầng ví của Binance đã tải về bản cài đặt homebrew bị chỉnh sửa của một công cụ lập trình AI phổ biến tìm thấy qua công cụ tìm kiếm. Binance đã phát hiện dấu hiệu bất thường vào thời điểm đó và kịp thời xử lý, nhưng sự việc đã làm lộ thông tin về các đồng nghiệp của kỹ sư này cho kẻ tấn công. Đến tháng 9, một kỹ sư phần mềm của Binance nhận được tin nhắn từ một "Giám đốc dự án" thông qua một nền tảng tuyển dụng hợp pháp. Người này đã trải qua hai vòng phỏng vấn xin việc; vòng đầu tiên là cuộc gọi video trực tiếp với người tự xưng là đại diện nhân sự, người này đã chia sẻ tài khoản mạng xã hội cá nhân để tạo lòng tin. Vòng phỏng vấn thứ hai diễn ra qua một ứng dụng nhắn tin với đối tượng tự xưng là Tổng giám đốc điều hành (CEO) của công ty giả mạo. Đối tượng giả danh CEO này đã gửi một bài tập và được kỹ sư tải về. Tập tin này chứa mã độc và đã được kích hoạt trong quá trình cài đặt. Theo Binance, mã độc đã "sử dụng các kỹ thuật xáo trộn và né tránh tinh vi" nhằm tránh bị phát hiện. Cụ thể, mã độc đã thay thế một thành phần công cụ phát triển hợp lệ bằng phiên bản độc hại để thực thi các dòng lệnh. Mã độc cũng đồng thời che giấu các hoạt động và xóa dấu vết xâm nhập trong quá trình hoạt động. Vào ngày 20/10, các đối tượng tấn công đã lợi dụng máy tính bị xâm nhập của kỹ sư phần mềm, sử dụng một công cụ AI nội bộ để chiếm quyền kiểm soát máy tính của kỹ sư Wallet DevOps cùng máy tính của một kỹ sư đồng nghiệp khác. Tiếp đó, vào ngày 29/10, chúng đăng nhập vào máy tính của kỹ sư thứ ba, sử dụng thông tin xác thực đã đánh cắp từ kỹ sư Wallet DevOps đầu tiên và kích hoạt một tập lệnh độc hại để phát động cuộc tấn công. Trong số 6,34 tỷ USD tài sản số bị ảnh hưởng bởi sự cố, 2,85 tỷ USD đã bị phong tỏa. Binance thừa nhận việc dịch chuyển tài sản vẫn tiếp diễn ngay cả sau khi sàn tạm ngừng tính năng rút tiền, do các giao dịch này trước đó đã được cấp phép. Tính đến ngày 3/11, sàn giao dịch đã tái thiết lập hệ thống ví và các công cụ AI nội bộ bị ảnh hưởng, thay thế các thiết bị liên quan, vô hiệu hóa thông tin xác thực cùng các mã token bị xâm nhập, hoàn thành việc quét an ninh tăng cường trên thiết bị của nhân viên và nâng cấp hệ thống với khả năng phát hiện bất thường bằng AI. Binance cho biết sẽ tự gánh chịu các tổn thất tài chính từ vụ tấn công và đã chuẩn bị đủ nguồn lực để bù đắp số tiền bị đánh cắp. Sàn này cũng thông báo đã khôi phục 98% lượng tài sản token bị ảnh hưởng và "đang trong quá trình thu mua các tài sản có tính thanh khoản thấp hơn còn lại".