Vụ trộm tiền mã hóa tại Binance ngày 29/10/2026 được ước tính khoảng 6,3–6,4 tỷ USD. Phần lớn tài sản rời khỏi các ví trên nhiều blockchain chỉ trong khoảng 20 phút. FBI quy trách nhiệm cho nhóm TraderTraitor của Triều Tiên; trong khi đó, các đơn vị theo dõi blockchain lần dấu lượng tài sản bị đánh cắp qua nhiều mạng lưới, còn một sự cố tại THORChain khiến hoạt động hoán đổi bị gián đoạn trong thời gian ngắn.
1
12
58
Các con số trên là ước tính từ những cuộc phân tích khác nhau, chưa phải một bảng kê thống nhất. Cũng cần phân biệt tài sản đã được chuyển đi, tài sản bị đóng băng và khoản Binance nói sẽ bù đắp cho khách hàng.
Vụ việc xảy ra thế nào, và ai bị cáo buộc?
TRM Labs ước tính khoảng 6,36 tỷ USD đã rời khỏi ví Binance trên 10 blockchain, phần lớn trong khoảng 20 phút kể từ 20:05 UTC. Các đơn vị khác đưa ra kết quả khác: Elliptic ước tính 6,43 tỷ USD trên 11 blockchain, còn Bitquery theo dõi khoảng 6,3 tỷ USD trên 9 blockchain. Đây là những ước tính từ các phương pháp phân tích riêng, không phải một tổng số đã được thống nhất.
12
58
19
FBI cho biết Triều Tiên đứng sau vụ trộm và gọi hoạt động này là TraderTraitor. Cơ quan này cũng nói các đối tượng đã chuyển đổi tài sản bị đánh cắp chủ yếu sang ether (ETH).
1 Triều Tiên bác bỏ cáo buộc. CoinDesk đưa tin Kim Yo Jong gọi các cáo buộc là hành động khiêu khích chính trị; Reuters cho biết Bình Nhưỡng bác bỏ chúng là “những lời lẽ vô lý”.
56
48
Một số bài viết đề cập khả năng hệ thống liên quan đến quy trình ký giao dịch của ví Binance bị xâm nhập. Tuy nhiên, các tài liệu hiện có chưa cung cấp đủ bằng chứng pháp y để xác lập đầy đủ cách kẻ tấn công tiếp cận hệ thống.
5
16
Lượng SOL bị đánh cắp đã đi đâu?
Theo các báo cáo dẫn dữ liệu theo dõi blockchain, đến ngày 4/11, khoảng 81% trong số 970.522 SOL được cho là liên quan vụ trộm đã rời khỏi các ví gắn với kẻ tấn công. Các ví được Arkham theo dõi còn giữ 182.443 SOL, trị giá khoảng 16,9 triệu USD tại thời điểm đó.
22
29
Các báo cáo mô tả SOL được chia nhỏ sang nhiều ví rồi chuyển đổi, hoán đổi xuyên chuỗi — tức đổi tài sản giữa các blockchain — trong đó có THORChain. Một số nguồn nêu lộ trình qua USDC và Ethereum trước khi dòng tiền tiếp tục hướng tới bitcoin. Đây là thông tin từ hoạt động theo dõi giao dịch, không chứng minh mọi tài sản đều đi cùng một đường hoặc đã được bán hay quy đổi thành tiền mặt.
23
29
Điều này cũng quan trọng khi đánh giá tác động lên thị trường. Một bài viết ghi nhận giá SOL giảm trong thời gian ngắn khi vụ trộm diễn ra, nhưng các nguồn hiện có không xác định được vụ việc đã góp phần đến đâu vào biến động giá nói chung. Những nhận định rộng hơn về diễn biến giá trong tháng 10, vị thế bán khống, dòng tiền ETF hay tiền nạp lên sàn cũng chưa được xác minh ở đây. Chuyển token vào một sàn giao dịch, tự nó, không chứng minh rằng token đã được bán.
28
Vì sao THORChain dừng hoán đổi, rồi mở lại?
Ngày 31/10, một lần tái tổ chức khối trên Ethereum ảnh hưởng đến khoản nạp 10 ETH vào THORChain. Theo các báo cáo, giao thức đã hoàn tiền hai lần, sau đó tạm dừng hoán đổi như một biện pháp khẩn cấp. Chainalysis cho biết sự gián đoạn này vô tình làm chậm việc chuyển đổi tài sản liên quan vụ trộm Binance, vì người dùng — bao gồm cả những đối tượng bị nghi là kẻ tấn công — không thể hoán đổi qua nhiều cầu nối của THORChain trong thời gian tạm dừng.
38
46
Sau bản cập nhật v3.21.1, THORChain khôi phục hoán đổi liên quan đến Bitcoin, Ethereum và chín tài sản khác được liệt kê trong báo cáo. Theo tin về việc mở lại, các giao dịch liên quan đến Solana, BNB Smart Chain và Cosmos Hub vẫn tạm dừng.
41
Một báo cáo riêng dẫn dữ liệu của Grey Ledger cho biết 41 giao dịch hoán đổi liên quan đến các địa chỉ mà đơn vị này theo dõi đã hoàn tất trong vòng 25 phút sau khi giao dịch mở lại, với 368,12 ETH được chi trả. Đây là kết quả theo dõi được báo cáo, không phải bản kê đầy đủ về số tiền bị đánh cắp hay bằng chứng rằng mọi địa chỉ nhận tiền đều do cùng một nhóm kiểm soát.
42
FBI đề nghị các dịch vụ tiền mã hóa, trong đó có các đơn vị vận hành node của THORChain, hạn chế giao dịch liên quan vụ trộm. Danh sách được công bố gồm 608 địa chỉ Ethereum, 19 địa chỉ Bitcoin và một địa chỉ Solana. Các node của THORChain hoạt động độc lập, vì vậy không thể đơn giản hóa việc thực thi đề nghị này thành một quyết định duy nhất áp dụng cho toàn giao thức.
34
40
60
Tiền bị đóng băng, số dư còn lại và khoản bù đắp cho khách hàng
Elliptic cho biết Tether và Circle đã đóng băng khoảng 2,8 tỷ USD stablecoin liên quan vụ trộm. Các ước tính khác cũng ghi nhận tài sản bị đóng băng hoặc chặn lại ở mức hàng tỷ USD, nhưng tổng số thay đổi tùy theo nguồn và thời điểm báo cáo.
52
60
Một số ước tính riêng cho rằng khoảng 3,21–3,25 tỷ USD vẫn nằm trong các địa chỉ liên quan vụ trộm, chủ yếu là bitcoin và ether. Đây là số liệu tại từng thời điểm theo dõi; tài sản còn trong ví liên quan không đồng nghĩa với tài sản đã được thu hồi, còn số dư bị đóng băng cũng không phải là số tiền kẻ tấn công vẫn kiểm soát.
53
60
Binance cho biết sẽ bù đắp tổn thất cho khách hàng. Một báo cáo đăng ngày 4/11 cho biết sàn đã bù đắp khoảng 98% số tiền bị ảnh hưởng. Khoản bù đắp cho khách hàng khác với việc thu hồi tiền mã hóa từ những người đã lấy số tài sản đó.
27
50
Bằng chứng cho thấy điều gì — và chưa cho thấy điều gì?
Những điểm được các nguồn hỗ trợ rõ nhất là: một vụ trộm quy mô rất lớn diễn ra trong thời gian ngắn; FBI quy trách nhiệm cho nhóm TraderTraitor của Triều Tiên, trong khi Triều Tiên phủ nhận; lượng lớn SOL bị đánh cắp đã được chuyển đi; và việc THORChain tạm dừng đã làm gián đoạn hoán đổi xuyên chuỗi trong một thời gian.
1
12
22
38
56
Các nguồn hiện có không đủ để coi mọi lộ trình giao dịch được nêu là đã xác nhận, đánh đồng việc chuyển tiền với việc rút tiền thành công, hay kết luận vụ trộm chắc chắn là nguyên nhân khiến giá Solana biến động. Số tiền bị đóng băng, số dư còn trong các ví liên quan và khoản Binance đã bù đắp mô tả những điều khác nhau — nên cần được xem xét riêng.