Cuộc rút tiền trái phép bắt đầu từ năm ví
Vụ hack Binance là sự cố rút tài sản trái phép từ các ví do sàn kiểm soát, trong đó quyền ký giao dịch bị xâm phạm trên nhiều mạng lưới và dòng XRP là dấu vết đầu tiên được ghi nhận. Theo đơn vị phân tích TRM Labs, từ 20:05 đến 20:09 UTC ngày 29 tháng 10, năm ví Binance chuyển 233,46 triệu XRP đến một địa chỉ do kẻ tấn công kiểm soát, chỉ giữ lại số dư tối thiểu. Đây không phải một lần rút tiền đơn lẻ mà là đợt mở màn của cuộc tấn công đa chuỗi: các ví trên XRP Ledger, Ethereum, Bitcoin, Tron, Solana cùng những mạng khác đều bị chuyển tài sản. Binance cho biết điều tra ban đầu phát hiện giao dịch rút trái phép; đánh giá tiếp theo chỉ ra quyền truy cập ký giao dịch đã bị xâm phạm. Quy mô nhiều mạng khiến sự cố trở thành vấn đề kiểm soát truy cập, không chỉ là rủi ro riêng của XRP.
Điểm cần phân biệt là 233,46 triệu XRP và số RLUSD bị đánh cắp là hai nhóm tài sản riêng, không thể cộng gộp thành một con số thiệt hại duy nhất. XRP là tài sản gốc trên XRP Ledger, còn RLUSD là stablecoin do Ripple phát hành. Các báo cáo theo dõi mô tả XRP là dòng tài sản đầu tiên bị rút trong đêm; những khoản chuyển ở các mạng khác diễn ra tiếp sau đó. Cách kể chính xác phải giữ riêng từng tài sản và từng tuyến giao dịch, thay vì biến nhiều luồng khác nhau thành một tổng số thiếu căn cứ.
Sau khoảng 80 giờ, XRP được chia vào sáu ví
Sau khoảng 80 giờ, địa chỉ lưu trữ XRP của kẻ tấn công bắt đầu hoạt động trở lại. Lúc 03:47 UTC ngày 2 tháng 11, địa chỉ này gửi các khoản thử nghiệm 1.000 XRP tới sáu ví mới; từ 03:52 đến 04:00 UTC, các khoản chuyển lớn phân tán tổng cộng 233,46 triệu XRP vào những ví đó. Năm ví nhận khoảng 40 triệu XRP mỗi ví, ví thứ sáu nhận 33,46 triệu. Sau các giao dịch, địa chỉ nguồn chỉ còn 23,7 XRP; đến 04:37 UTC, sáu ví mới chưa chuyển tiếp tài sản. Việc chia nhỏ không xóa dấu vết trên sổ cái công khai. Trái lại, nó tạo thêm địa chỉ cần giám sát và khiến việc truy tìm, ngăn nạp tài sản tại các sàn trở thành mắt xích quan trọng.
XRP bị đánh cắp không thể bị Ripple đóng băng như một stablecoin: XRP không có tổ chức phát hành có quyền can thiệp vào số dư. Vì vậy, khả năng thu hồi phụ thuộc vào việc lần theo giao dịch XRP và phối hợp để các sàn chặn tiền gửi nếu tài sản xuất hiện ở đó. Một phần tài sản khác của vụ tấn công được chuyển qua các tuyến Tron; các báo cáo theo dõi nêu khoảng 242 triệu USD qua mạng này, nhưng đó là luồng riêng, không phải giá trị XRP cần cộng vào số XRP đã phân tán. Các nhà chức trách Mỹ được nguồn tin quy trách nhiệm vụ trộm cho Triều Tiên. Với hơn 3 tỷ USD tài sản bị đánh cắp vẫn chưa được động đến theo báo cáo, sáu ví XRP tiếp tục là đầu mối đáng theo dõi.
Ripple phong tỏa RLUSD, Binance khôi phục rút tiền
Phản ứng của Ripple cho thấy giới hạn và sức mạnh khác nhau giữa tài sản gốc với stablecoin do doanh nghiệp phát hành. Ripple phong tỏa 40,5 triệu RLUSD trên Ethereum lúc 22:01 UTC ngày 29 tháng 10; đây là phần RLUSD bị đánh cắp mà công ty có thể chặn, không phải XRP. Theo thông tin điều tra được trích dẫn, kẻ tấn công đã bán 48 triệu trong tổng số 88,5 triệu RLUSD bị đánh cắp; do đó, con số bị phong tỏa không đại diện cho toàn bộ lượng RLUSD liên quan. Ripple cũng hạn chế RLUSD trong các ví Binance bị xâm phạm để ngăn tài sản tiếp tục di chuyển. Cần giữ riêng ba dữ kiện: lượng RLUSD bị đánh cắp, phần đã bán và phần bị đóng băng. Gộp chúng với lượng XRP sẽ làm sai lệch cả bản chất lẫn diễn biến của vụ việc.
Binance bắt đầu mở lại dịch vụ rút tiền trên chín mạng, trong đó có XRP Ledger, lúc 04:00 UTC ngày 3 tháng 11. Việc khôi phục được tiến hành theo từng giai đoạn sau các kiểm tra bảo mật; đợt đầu gồm XRP cùng một số tài sản lớn khác. Đồng sáng lập Binance Yi He xác nhận rút tiền trên Ethereum đã hoạt động lại đối với RLUSD và một số stablecoin khác. Đây là tín hiệu vận hành được nối lại, không đồng nghĩa mọi tài sản liên quan đã được thu hồi. Binance cho biết dự kiến có bằng chứng đầy đủ cho mười loại tài sản vào ngày 3 tháng 11, đồng thời sẽ mở thêm tài sản và mạng sau khi kiểm tra bảo mật hoàn tất.
Kết luận: truy vết quan trọng hơn những con số giật gân
Diễn biến cho thấy hai hướng xử lý khác nhau: XRP bị đánh cắp được lần theo qua sổ cái và sáu ví nhận, còn Ripple RLUSD có thể bị nhà phát hành phong tỏa. Binance khôi phục rút tiền từng bước, nhưng việc mở lại dịch vụ không tự chứng minh rằng tài sản đã được thu hồi hay lỗ hổng đã được xử lý triệt để. Vì vậy, cách đánh giá thận trọng nhất là tách riêng từng tài sản, theo dõi giao dịch tiếp theo và chờ kết quả kiểm tra bảo mật. Vụ hack Binance đặt ra câu hỏi lớn về quyền ký giao dịch xuyên mạng; câu trả lời sẽ nằm ở khả năng giải thích cơ chế xâm nhập và ngăn các ví nhận biến thành điểm thoát tiền.
