Theo Chainalysis và Elliptic, một phản ứng phối hợp giữa các tổ chức phát hành stablecoin, cơ quan thực thi pháp luật Hoa Kỳ, công ty phân tích chuỗi khối, mạng lưới và nền tảng giao dịch đã đóng băng hoặc thu giữ khoảng $2,8 tỷ đến $3 tỷ tài sản tiền mã hóa liên quan đến vụ trộm Binance được báo cáo trị giá $6,3 tỷ trong vòng vài ngày sau cuộc tấn công.
Phản ứng tập trung vào stablecoin, nơi các tổ chức phát hành có thể đưa địa chỉ vào danh sách đen và dừng chuyển khoản. Tether đã đóng băng hơn 1,567 tỷ USDT, trong khi Circle chặn khoảng $823 triệu USDC, đưa hơn $2,3 tỷ trong số stablecoin bị đánh cắp ra khỏi tầm với của kẻ tấn công. Elliptic cho biết số tiền đã đóng băng hoặc thu giữ mà họ xác minh được đạt khoảng $2,85 tỷ, so với tổng thiệt hại ước tính $6,43 tỷ.
Quy mô của can thiệp phản ánh cách các nỗ lực thu hồi ngày càng phụ thuộc vào sự phối hợp nhanh chóng trên các chuỗi khối công khai hơn là vào kiểm soát nội bộ của một công ty. Phần lớn tiền mã hóa bị đánh cắp còn lại gồm các tài sản như ETH và BTC, vốn không có tổ chức phát hành có thể trực tiếp đóng băng số dư.
Các tổ chức phát hành stablecoin hành động trong vài phút
Hành động của Tether chiếm phần lớn nhất trong số tài sản bị đóng băng. Công ty đã chặn các giao dịch liên quan đến hơn 1,567 tỷ USDT sau khi số tiền đến ví Ethereum chính của kẻ tấn công theo xác định của truy vết chuỗi khối. Các báo cáo ban đầu ghi nhận lệnh đóng băng khoảng 1,18 tỷ USDT, tiếp theo 17 phút sau là hành động thứ hai ảnh hưởng đến bốn địa chỉ liên quan đến kẻ tấn công.
Circle đã đóng băng hơn $800 triệu USDC liên quan đến cùng vụ việc, với tổng số được báo cáo lên tới khoảng $823 triệu. Hành động với USDC diễn ra sau lệnh đóng băng đầu tiên của Tether khoảng ba phút và được phối hợp với cơ quan thực thi pháp luật, theo tài liệu được cung cấp.
Tính chung, các lệnh đóng băng USDT và USDC bao phủ khoảng 94% stablecoin được xác định trong số tài sản bị đánh cắp, chủ yếu tập trung trên Ethereum và TRON. Kết quả cho thấy giới hạn thực tế mà kẻ tấn công đánh cắp stablecoin do tổ chức trung tâm phát hành phải đối mặt: chúng có thể kiểm soát khóa riêng, nhưng khả năng chuyển nhượng có thể biến mất khi tổ chức phát hành đưa ví vào danh sách đen.
FBI quy kết hoạt động này cho TraderTraitor
Đơn vị phòng chống tội phạm mạng của FBI đã quy kết vụ trộm cho một nhóm Triều Tiên hoạt động dưới nhãn TraderTraitor trong thông báo công khai ngày 31 tháng 10. Cục này xác định hơn 600 địa chỉ Ethereum, gần 20 địa chỉ Bitcoin và một địa chỉ Solana có liên quan đến hoạt động này.
Sau khi có quy kết, FBI, Cơ quan Mật vụ Hoa Kỳ và Cục Điều tra Hình sự IRS đã kêu gọi các nhà cung cấp hạ tầng và doanh nghiệp tiền mã hóa chặn các giao dịch liên quan đến các ví được liệt kê và mọi địa chỉ liên quan. Yêu cầu bao gồm các nút THORChain, nhà vận hành lệnh gọi thủ tục từ xa (RPC), dịch vụ hoán đổi tức thời, giao thức DeFi, công ty phân tích chuỗi khối và nhà cung cấp dịch vụ tài sản ảo.
Cơ quan Mật vụ Hoa Kỳ cho biết đã liên hệ với các bên tham gia ngành trong vòng vài phút sau sự cố. Cơ quan này cũng cho biết các công tố viên liên bang tại Washington, D.C., và Khu vực Trung tâm California đã tham gia cùng các đơn vị của Bộ Tư pháp.
Các chiến dịch tấn công mạng của Triều Tiên đã nhiều lần dựa vào hoán đổi tài sản nhanh, giao dịch cầu nối và số lượng lớn ví mới tạo để gây khó khăn cho việc truy vết. Trong trường hợp này, tốc độ đóng băng đầu tiên dường như đã ngăn một phần đáng kể số dư stablecoin di chuyển qua quy trình đó.
Việc truy vết mở rộng từ hàng trăm lên hàng nghìn ví
Các công ty tình báo chuỗi khối Elliptic, Chainalysis, TRM Labs và SlowMist đã tổng hợp dữ liệu địa chỉ và theo dõi chuyển động của tài sản bị đánh cắp. Elliptic đã công bố danh sách đen có thể tải xuống, tăng từ hàng trăm địa chỉ lên hàng nghìn, và sau đó là hàng chục nghìn, khi các nhà điều tra lần theo giao dịch qua các ví mới.
Chainalysis báo cáo rằng khoảng 2,8 tỷ USD đã bị đóng băng vào khoảng 11:30 sáng Giờ miền Đông ngày 3 tháng 11. Công ty cho biết các nhà điều tra đã chia sẻ manh mối với đối tác trong ngành để xác định và chặn tài sản, đồng thời cảnh báo rằng việc kẻ tấn công sử dụng hàng nghìn địa chỉ có thể mở rộng thành hàng chục nghìn trong những tuần tiếp theo.
TRM Labs cho biết có độ tin cậy cao về quy kết TraderTraitor, dẫn ra các mẫu mà họ so sánh với vụ xâm nhập Bybit năm 2025 và vụ KelpDAO tháng 4 năm 2026. SlowMist mô tả một chuỗi tấn công liên quan đến EIP-7702, một tiêu chuẩn Ethereum có thể cho phép một tài khoản sở hữu bên ngoài tạm thời sử dụng mã hợp đồng thông minh. Theo SlowMist, kẻ tấn công đã tập dượt trong nhiều giờ trước khi sử dụng kỹ thuật này trong một vụ trộm hàng loạt nhắm vào token trong ví nóng.
Vụ tấn công được báo cáo sẽ được xếp hạng là vụ trộm tiền mã hóa lớn nhất từng được ghi nhận, vượt khoảng 1,5 tỷ USD bị đánh cắp từ Bybit vào tháng 2 năm 2025 hơn bốn lần. So sánh này cũng cho thấy thách thức vận hành trở nên lớn hơn bao nhiêu khi kẻ tấn công bắt đầu với hàng tỷ USD trải rộng trên nhiều chuỗi và loại tài sản.
Các mạng đã sử dụng quyền quản trị khẩn cấp
Arbitrum và Optimism đã sử dụng các biện pháp khẩn cấp do quản trị dẫn dắt để chuyển token từ các địa chỉ do kẻ tấn công kiểm soát sang các ví đóng băng. Hội đồng bảo mật của Arbitrum đã chuyển khoảng 8.426 ETH và khoảng 74,56 triệu ARB vào ngày 30 tháng 10, tài sản trị giá khoảng 30,5 triệu USD trong tài liệu được cung cấp.
Cơ chế quản trị của Optimism đã chuyển khoảng 44 triệu OP, trị giá khoảng 5 triệu USD. Các can thiệp này tổng cộng khoảng 35 triệu USD và cho thấy một số mạng layer-2 có thể hành động trực tiếp hơn các mạng lớp nền khi cấu trúc quản trị cho phép kiểm soát khẩn cấp.
World Liberty Financial riêng rẽ đã đóng băng các tài sản liên quan đến vụ tấn công, bao gồm khoảng 27 triệu USD bằng USD1 và khoảng 2 triệu USD giá trị WLFI. Tổ chức cho biết dự định làm việc với BitGo để xử lý các tài sản bị ảnh hưởng.
Các biện pháp như vậy có thể bảo toàn tài sản trong lúc xảy ra trộm cắp đang diễn ra, nhưng chúng cũng đặt quyền hạn khẩn cấp vào tay các hội đồng bảo mật, người bỏ phiếu quản trị hoặc tổ chức phát hành token. Sự đánh đổi đó ngày càng trở nên rõ ràng khi các mạng thiết kế biện pháp phòng vệ chống lại các vụ khai thác quy mô lớn.
Các giao thức DeFi đã kiểm soát nguồn tiền đi vay
Kẻ tấn công cũng đã sử dụng tiền bị đánh cắp trong tài chính phi tập trung trước khi các hạn chế ở cấp giao thức được áp dụng. Dữ liệu trên chuỗi cho thấy khoảng 60 triệu USDT được gửi vào Aave V3, sau đó là khoản vay khoảng 19.762 WETH, trị giá khoảng 44,6 triệu USD vào thời điểm đó.
Aave đã phản ứng bằng cách tạm dừng các khoản nạp mới và vay trên hàng trăm dự trữ thị trường do DAO vận hành trên V3 và V4. Rút tiền, trả nợ và thanh lý vẫn khả dụng, cho phép người dùng giảm vị thế và duy trì sức khỏe của các thị trường hiện có trong khi chặn phơi nhiễm mới liên quan đến tài sản thế chấp bị xâm phạm.
Các nền tảng tập trung bao gồm OKX, Coinbase và Bybit cũng tham gia vào các biện pháp nhằm chặn các giao dịch từ các ví bị xâm phạm. Các tài sản vẫn còn có thể di chuyển đặt ra con đường thu hồi khó khăn hơn, đặc biệt nếu chúng đến các bàn giao dịch OTC, dịch vụ trộn tiền hoặc kênh rút tiền khỏi sàn giao dịch trước khi bị nhận diện.
Kẻ tấn công được báo cáo vẫn kiểm soát khoảng 420.000 ETH và 18.270 BTC, trị giá trong tài liệu được cung cấp khoảng 2,4 tỷ USD. Không giống USDT, USDC và các token do quản trị kiểm soát, Bitcoin và Ether không thể bị tổ chức phát hành token đóng băng. Việc thu hồi chúng sẽ phụ thuộc vào truy vết, tịch thu tài sản hoặc xác định điểm mà tiền bước vào một dịch vụ được quản lý sẵn sàng hoặc bắt buộc phải hành động.
Tìm hiểu cách các sàn bảo vệ quỹ sau các vụ khai thác bảo mật lớn trong hướng dẫn khôi phục chi tiết này.
Tuyên bố miễn trừ trách nhiệm: Nội dung trên trang này chỉ nhằm mục đích cung cấp thông tin chung và không đại diện cho quan điểm hoặc lời khuyên tài chính của Toobit. Chúng tôi không đảm bảo về tính chính xác hoặc đầy đủ của thông tin này và không chịu trách nhiệm cho bất kỳ lỗi, thiếu sót hoặc kết quả nào phát sinh từ việc sử dụng thông tin. Đầu tư vào tài sản kỹ thuật số có rủi ro; người dùng nên tự đánh giá tình hình tài chính và các rủi ro liên quan. Để biết thêm chi tiết, vui lòng tham khảo Điều khoản Dịch vụ và Công bố Rủi ro.
