Hack Binance phơi bày 3 lỗ hổng “có thể tránh được”, theo sáng lập Coinex

Các chuyên gia dày dạn kinh nghiệm trong ngành đưa ra nhận định

Người sáng lập sàn giao dịch đối thủ Coinex đã bình luận về vụ trộm lớn nhất trong lịch sử tiền điện tử, khẳng định vụ vi phạm tại Binance đã phơi bày "ít nhất ba sai lầm nghiêm trọng hoàn toàn có thể tránh được". Yang còn nhấn mạnh rằng đây là sự thiếu kỷ luật trong vận hành chứ không phải do thiếu công nghệ tiên tiến.

Nhận định của ông được đưa ra trong bối cảnh Binance đang nỗ lực khắc phục hậu quả của vụ vi phạm an ninh mà theo sàn giao dịch này đã khiến khoảng 6,34 tỷ USD tài sản bị rút khỏi các ví nóng vào ngày 29/10. FBI cho rằng vụ tấn công này do nhóm Tradertraitor của Triều Tiên thực hiện.

Ba sai lầm

Danh sách của Yang như sau:

• Không tách biệt môi trường làm việc và cá nhân: Ông Yang cho biết môi trường phát triển và vận hành “không được cách ly hoàn toàn”. Ông lập luận rằng nhân viên có quyền truy cập vào hệ thống sản xuất lẽ ra phải sử dụng các thiết bị chuyên dụng (với tất cả các hoạt động lập trình, trò chuyện và duyệt web được xử lý trên một máy riêng biệt). Điểm này trùng khớp trực tiếp với những gì Binance đã tiết lộ trong báo cáo phân tích sự cố gần đây nhất của họ.
• Một thông tin đăng nhập có thể vận hành hệ thống sản xuất: Yang cho biết chỉ cần một thông tin đăng nhập là đủ để vận hành các dịch vụ sản xuất, nghĩa là một lần rò rỉ thông tin đã cho phép kẻ tấn công có quyền truy cập đầy đủ. Ông đề xuất sử dụng trình quản lý phiên dựa trên trình duyệt tương tự như Session Manager của Amazon Web Services (AWS), kết hợp với khóa bảo mật phần cứng làm yếu tố xác thực thứ hai, để việc bị đánh cắp một thông tin đăng nhập duy nhất không dẫn đến vi phạm an ninh.
• Chữ ký đa bên chỉ tồn tại trên giấy tờ. Điểm thứ ba của Yang nhắm vào thiết lập tính toán đa bên (MPC) của Binance, một phương pháp phân chia quyền ký giữa nhiều bên. Ông cho biết những người ký không xác minh giao dịch một cách có ý nghĩa, do đó việc xâm nhập một nút có tác động tương tự như một chữ ký duy nhất. Ông lập luận rằng chữ ký đa phương chỉ hoạt động khi mỗi người ký kiểm tra giao dịch một cách độc lập thay vì tin tưởng vào yêu cầu đến từ phía trên.

Binance kể lại sự việc

Bản tường trình của chính Binance cũng ủng hộ nội dung chỉ trích của Yang khi đồng CEO Richard Teng nói với CNBC rằng sau các cuộc phỏng vấn giả mạo, những kẻ tấn công đã “xâm nhập mạnh mẽ vào các công cụ AI nội bộ của chúng tôi” và có được quyền truy cập vào “hệ thống ủy quyền giao dịch ví của chúng tôi”. Như Bitcoin.com News đã đưa tin, báo cáo phân tích sau sự cố đã xác định nguyên nhân vụ vi phạm là do một cuộc phỏng vấn xin việc giả mạo và các công cụ trí tuệ nhân tạo (AI) bị xâm nhập.

Sàn giao dịch này sau đó đã xây dựng lại hệ thống ví bị ảnh hưởng, thay thế các thiết bị, thu hồi thông tin đăng nhập và tăng cường các biện pháp kiểm soát rủi ro cho dịch vụ ví. Teng cũng chia sẻ với Fox Business rằng “công ty chịu trách nhiệm hoàn toàn”, đồng thời lưu ý rằng 98% tài sản bị ảnh hưởng đã được bù đắp.

Yang không phải là người duy nhất cho rằng vụ hack này là một thất bại trong quản lý rủi ro. Austin Campbell, người sáng lập Zero Knowledge Group, đã nói với các phương tiện truyền thông về tiền điện tử rằng “tiền điện tử chưa bao giờ được xây dựng để đảm bảo an ninh ngoài lĩnh vực công nghệ”, và sau đó kêu gọi tạm dừng các giao dịch trị giá hàng tỷ đô la trong 24 giờ.

Một nhà phê bình có lợi ích trực tiếp

Lời chỉ trích của Yang mang một bối cảnh bất thường, bởi vào tháng 9, ông đã thông báo rằng Coinex sẽ bắt đầu quá trình đóng cửa có trật tự, với việc rút tiền vẫn được mở cho đến ngày 22 tháng 12 năm 2026. Ông cho biết lúc đó rằng các rủi ro về bảo mật và tuân thủ khi vận hành một sàn giao dịch đã trở nên khó kiểm soát hơn, đồng thời nhấn mạnh rằng "chấp nhận rủi ro vô hạn để đổi lấy doanh thu hạn chế không còn là lựa chọn hợp lý nữa."

Nói cách khác, người sáng lập đang phân tích những thất bại của Binance đã quyết định rằng những rủi ro tương tự không đáng để gánh chịu tại chính công ty của mình.

Cuối cùng, cần lưu ý rằng không có giải pháp nào của Yang là mới lạ; tức là, việc tách biệt thiết bị, sử dụng khóa phần cứng và kiểm tra người ký độc lập đều là những lời khuyên tiêu chuẩn dành cho bất kỳ công ty lớn nào. Chính việc một công ty có nguồn lực như Binance lại bị đánh bại do những lỗ hổng đó mới khiến bài đăng của ông trở nên cay đắng.

Dù sao đi nữa, cái giá phải trả cũng rất đắt, với một phân tích ước tính Binance có thể đã mất khoảng một nửa lợi nhuận trong vòng năm năm do các khoản phạt và vụ hack. Với việc các hacker phân tán số tiền bị đánh cắp vào 12.000 ví, các sàn giao dịch khác có khả năng sẽ phải đối mặt với cùng câu hỏi mà Yang vừa đặt ra: liệu những nền tảng cơ bản của họ có thực sự được đảm bảo hay không?