Truy vết dòng tiền on-chain vụ tấn công ví nóng Binance 29/10/2026

1. Tóm tắt kết quả

Trên Ethereum, ví nhận chính 0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c đã nhận 197.539,60 ETH, 1.875,46 triệu USDT, 823 triệu USDC và hơn 60 loại token khác từ 03 ví nóng của Binance. Tại mốc 00:35 UTC ngày 30/10/2026 (07:35 giờ Việt Nam), khoảng 474.866 ETH (xấp xỉ 1,09 tỷ USD) nằm tại 13 ví do kẻ tấn công kiểm soát và chưa bị phong tỏa. Phần stablecoin bị phong tỏa trên Ethereum đã ghi nhận là 1.380,46 triệu USDT và 823 triệu USDC.

Giá quy đổi tham chiếu 2.302,18 USD/ETH theo trang Etherscan lúc 20:41 UTC ngày 29/10/2026; đây là giá thị trường, không phải giá chính thức. Các số liệu Bitcoin (khoảng 18.270 BTC) và TRON (khoảng 630 triệu USD) do báo chí nêu chưa có địa chỉ ví công khai nên chưa xác minh được (xem Mục 6).

2. Phạm vi và phương pháp

Báo cáo truy vết từ ví 0x5227…2f8c xuôi theo dòng tiền tới tầng 4–5, trong khung 18:00 UTC ngày 29/10/2026 đến 00:35 UTC ngày 30/10/2026 (khối 26.302.017).

• Nguồn dữ liệu: Etherscan API V2 cho Ethereum, Arbitrum và Polygon (giao dịch thường, giao dịch nội bộ, chuyển token, số dư, mã hợp đồng, trạng thái danh sách đen của USDT và USDC); trang Etherscan công khai cho Avalanche, Optimism và Base; báo chí cho Bitcoin và TRON.
• Lọc token: chỉ tính token theo địa chỉ hợp đồng thật (USDT 0xdAC17F958D2ee523a2206206994597C13D831ec7, USDC 0xA0b86991c6218b36c1d19D4a2e9Eb0cE3606eB48…); loại bỏ các token giả mạo trùng ký hiệu.
• Phân loại địa chỉ: kiểm tra mã hợp đồng từng địa chỉ để phân biệt ví thường (EOA), ví có ủy quyền EIP-7702 (mã bắt đầu 0xef0100) và hợp đồng thông minh.
• Ví do kẻ tấn công kiểm soát: chỉ gán khi có ít nhất một trong hai dấu hiệu trên chuỗi: nhận phí gas trực tiếp từ ví 0x5227 hoặc từ ví đã gán trước đó, hoặc nhận tài sản rồi chuyển tiếp theo cùng mô thức.
• Múi giờ: toàn bộ thời gian ghi theo UTC; giờ Việt Nam = UTC + 7.
• Dữ liệu động: số dư thay đổi liên tục khi kẻ tấn công tiếp tục bán token; số liệu chốt tại khối nêu trên.

3. Cơ chế tấn công

Dữ liệu trên chuỗi cho thấy kẻ tấn công nắm được quyền ký của ít nhất 02 ví nóng Binance, không khai thác lỗi hợp đồng. Binance 14 bị ủy quyền EIP-7702 cho hợp đồng của kẻ tấn công; Binance 16 tự ký giao dịch chuyển tiền trực tiếp. Cách kẻ tấn công có được chữ ký (lộ khóa, hệ thống ký bị thao túng hay nội gián) chưa xác định được từ dữ liệu công khai.

Hai điểm đáng chú ý về vận hành:

• Binance 14 vẫn bị ủy quyền ít nhất tới 21:44 UTC, nên khoản 200,40 triệu USDT nạp bổ sung vào ví này bị quét tiếp sau 6 khối. Tại mốc truy vấn, Binance 14 không còn mã ủy quyền (mã tài khoản rỗng).
• Binance 16 không có giao dịch ủy quyền; các giao dịch chuyển tiền do chính khóa của Binance 16 ký. Đây là dấu hiệu sự cố nằm ở hạ tầng ký của sàn, không chỉ ở một khóa đơn lẻ.

4. Dòng tiền vào ví nhận chính 0x5227…2f8c

Ví 0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c là ví thường (EOA), hoạt động đầu tiên lúc 20:24:23 UTC ngày 29/10/2026, nhận tài sản từ 03 nguồn đều thuộc Binance.

Từ ví 0x5227, tài sản đi theo 03 hướng:

• ETH: 195.460 ETH chuyển nguyên khối sang ví 0x8532fa14acaf483729c449b8458aeddb900543d4 lúc 20:38:47 UTC (0x551d7961…); khoảng 10 ETH dùng làm phí gas cho các ví tầng 2; còn lại 2.071,39 ETH.
• USDT: 500 triệu sang ví 0x9749292d74fd460982d0912ea9515ea24736c762 lúc 20:30:11 (0x68d7d69d…) và 200 triệu sang ví 0x0ddf0480016e6bcb2c1f5d190d221fba1320697e lúc 20:33:23 (0x1fc0ef33…). Phần còn lại 1.175,46 triệu USDT bị phong tỏa tại chỗ.
• Token khác: từ 21:22 UTC, từng loại token được chuyển sang một ví riêng đã được cấp sẵn 0,5–2 ETH phí gas, rồi bán qua Uniswap (chi tiết Mục 5).

5. Truy vết các nhánh trên Ethereum

Kẻ tấn công ưu tiên đổi USDT sang ETH trong khoảng 20:30–21:09 UTC, trước khi Tether phong tỏa (từ khoảng 21:05 UTC). Nhờ đó khoảng 495 triệu USDT đã thoát được dưới dạng ETH. Token khác được bán từ 21:46 UTC qua Uniswap.

Sơ đồ dòng tiền trên Ethereum · 7 nhánh, 13 ví giữ ETH (hình trong báo cáo gốc). Nhánh 0x77ed, 0x7aa4 còn đi qua ví 0xccbe…a263 trước khi tới 0xb171; chi tiết từng bước ở các mục dưới.

5.1. Nhánh ETH nguyên khối

Ví 0x8532fa14acaf483729c449b8458aeddb900543d4 nhận 195.460 ETH lúc 20:38:47 UTC và chưa chuyển đi (số dư 195.460,003 ETH tại mốc truy vấn).

5.2. Nhánh 500 triệu USDT qua ví 0x9749292d…c762

• Đổi 325 triệu USDT sang 122.316,32 ETH qua UniswapX (hợp đồng Dutch Order Reactor V2 0x00000011f84b9aa48e5f8aa8b9897600006289be, nhận 105.592,87 ETH) và hợp đồng 0x399740157391a9f1bf4e9921a8834f9bc8f2678e (nhận 16.723,45 ETH), trong 20:34–20:49 UTC. USDT đi tới 05 bên khớp lệnh: 0xbeef02961503351625926ea9a11ae13b29f5c555 (145 triệu), 0x0000000000be226afde21672a5e4adc45692e69d (100 triệu), 0x74edc79fea13bdf1f7841570227127cec493bdd9 (50 triệu), 0x9b1303ebf09bc51b7fac376c9e421e8daae63b82 (28,60 triệu), 0xec4fb7e7c35c241e1138a2d8cfbb09f3ad1ccb22 (1,40 triệu).
• Chuyển 122.310 ETH sang ví 0xc887af690e0301cd4edbbce8f8d31b4ec65b286a lúc 21:47 UTC (0xbd7822f7…); ví này chưa chuyển đi.
• Chuyển 175 triệu USDT sang ví 0x811f15855476156ebf86ba3b84fafb8ceaa4e84c lúc 20:59 (0x1fb992f9…), rồi sang ví 0xaa246bf639586a6ba46762d378ce50ca4fc654a0 lúc 21:08 (0xb6d7d3ff…). Khoản 174.999.872,33 USDT tại đây đã bị phong tỏa.

5.3. Nhánh 200 triệu USDT qua ví 0x0ddf0480…697e

• Ví 0x0ddf bán 10 triệu USDT lấy 3.552,23 ETH, rồi chuyển 190 triệu USDT và 3.552 ETH sang ví 0x8d53903625b8e839b9df4bd28b0efb1cd6b8639a (20:52–20:53 UTC).
• Ví 0x8d53 gửi 60 triệu USDT làm tài sản thế chấp trên Aave V3 (0x87870bca3f3fd6335c3f4ce8392d69350b4fa4e2) và vay 19.762,41 ETH (0x01b3406c…, 0xa85ad480…). Khoản USDT này đã vào pool của Aave nên không bị phong tỏa tại ví; ví 0x8d53 còn giữ 60.000.891,74 aEthUSDT và khoản nợ 19.762,57 WETH.
• Ví 0x8d53 chuyển 130 triệu USDT và 23.314,5 ETH sang ví 0x77edef23fbd05921c26fe29fcc3a65e14d2ac3eb (21:01–21:02). Ví 0x77ed bán khoảng 50 triệu USDT lấy 18.085,23 ETH, rồi chuyển 80 triệu USDT và 41.397,81 ETH sang ví 0x7aa4d3029e4c6a8e916300014ad95b6d6c03bfd1 (21:06–21:07).
• Ví 0x7aa4 bán khoảng 50 triệu USDT lấy 16.497,65 ETH, rồi chuyển 30 triệu USDT và 57.891,85 ETH sang ví 0xccbef95633adb5cd2b5038db5a38d77e726ca263 (21:11), tiếp tới ví 0xb171ca86f82070282138352ff7111b494060c8c3 (21:16). Khoản 30 triệu USDT tại 0xb171 đã bị phong tỏa.
• Ví 0xb171 chuyển 57.891,77 ETH sang ví 0x897c80d1a9729e94460e2bd93178bd5215158df3 lúc 21:35 (0x2552fea8…).

5.4. Nhánh token khác

Ba tổ chức phát hành token đã tự thu hồi tài sản khỏi ví 0x5227 qua ví đa chữ ký Safe của họ, không do kẻ tấn công ký: BEAM 984.249.380,29 về địa chỉ 0x0 (0x4f325fb4…); SNX 8.405.741,58 về Synthetix protocolDAO (0x0d4a20dd…); SAND 58.397.344,21 về ví Safe 0x84a917f50b16d1564d53ac85c63d7c48b645d87d (0x0a68d2f4…). Hai lệnh chuyển RSR của kẻ tấn công lúc 00:21 và 00:24 UTC thất bại, có dấu hiệu bị chặn tại hợp đồng token.

6. Các mạng khác

Cùng địa chỉ 0x5227 cũng nhận tài sản từ ví Binance trên Arbitrum và Polygon; số liệu trên hai mạng này đã xác minh qua API. Bitcoin và TRON mới có số liệu tổng do báo chí nêu, chưa có địa chỉ ví công khai.

Tổng 5,57–5,8 tỷ USD mà báo chí nêu gộp cả Bitcoin và TRON. Binance chưa xác nhận các dòng tiền này thuộc vụ tấn công (Decrypt, TFTC).

7. Hiện trạng tài sản tại mốc 00:35 UTC ngày 30/10/2026

13 ví trên Ethereum giữ tổng cộng 474.866,10 ETH chưa bị phong tỏa; 04 ví lớn nhất chiếm 89% và chưa phát sinh giao dịch chuyển đi.

Tài sản đã bị phong tỏa hoặc thu hồi (đã kiểm tra trên chuỗi):

USDT bị phong tỏa ghi nhận trên Ethereum là 1.380,46 triệu, thấp hơn con số hơn 1,567 tỷ USDT mà Tether công bố. Phần chênh lệch có thể nằm ở các ví hoặc mạng khác chưa truy vết; cần đối chiếu với Tether.

8. Nhận định và kiến nghị

Đây là cuộc tấn công được chuẩn bị trước và có kịch bản né phong tỏa rõ ràng; rủi ro lớn nhất hiện nay là 474.866 ETH chưa bị phong tỏa có thể được đưa qua cầu nối hoặc mixer.

Nhận định

• Quyền ký bị xâm nhập ở nhiều ví. Binance 14 bị ủy quyền EIP-7702 bằng chữ ký hợp lệ của chính ví này; Binance 16 tự ký chuyển tiền; Hot Wallet 34 bị điều khiển gián tiếp qua Binance 14. Mô thức này phù hợp với giả thuyết hạ tầng ký của sàn bị xâm nhập, không phải lỗi hợp đồng.
• Chuẩn bị trước gần 37 giờ. Ví khởi phát nhận tiền Tornado Cash từ 07:39 UTC ngày 28/10; hợp đồng sweep được triển khai lúc 15:59:11 UTC, trước giao dịch ủy quyền 4 giờ 22 phút; 50 chữ ký ủy quyền được gửi cùng lúc, phù hợp với mục đích chống thu hồi nhanh.
• Né phong tỏa có chủ đích. Trong 30 phút đầu, kẻ tấn công đổi 325 triệu USDT sang ETH qua UniswapX, thế chấp 60 triệu USDT trên Aave để vay ETH, và chuyển USDT liên tiếp qua 4–5 ví mới. Kết quả: khoảng 495 triệu USDT thoát trước khi Tether phong tỏa.
• Dấu hiệu chuẩn bị chuyển chéo chuỗi. Đã có 02 giao dịch thử qua hợp đồng cầu nối 0x0439e60f02a8900a951603950d8d4527f400c3f1 (0,49 ETH từ 0x3e2b…32d5 và 0,5 ETH từ 0x0e772ee615c7f93373c7519f2c36e780696477d3). Các ví 0xb58bf76d209fa71f60013ce1933ca331177a4f08 và 0xf1eadb247ffc7d7d6600e84daaf9ee85737e73c4 vừa được cấp 0,5 ETH lúc 00:19–00:27 UTC nhưng chưa hoạt động.

Kiến nghị

• Đưa toàn bộ địa chỉ tại Phụ lục vào danh sách theo dõi và chặn nạp của các hệ thống chuyển đổi tài sản số mà chương trình có quan hệ, kể cả các ví mới phát sinh từ đó.
• Đặt cảnh báo giao dịch cho 04 ví giữ 423.010 ETH (0x8532, 0xc887, 0x897c, 0x5440) và 02 ví vừa được cấp phí gas.
• Theo dõi vị thế Aave của ví 0x8d53903625b8e839b9df4bd28b0efb1cd6b8639a: 60 triệu aEthUSDT vẫn có thể được rút nếu kẻ tấn công trả nợ 19.762,57 WETH.
• Mở rộng truy vết sang Avalanche, Optimism, Base (cần gói API trả phí) và sang Bitcoin, TRON khi có địa chỉ công khai.

9. Giới hạn, nguồn và phụ lục

Giới hạn

• Dữ liệu trên chuỗi chỉ xác định đến địa chỉ ví; báo cáo không xác định danh tính người đứng sau các ví.
• Các bên khớp lệnh nhận 325 triệu USDT (Mục 5.2) và các pool Uniswap là đối tác giao dịch, không phải ví của kẻ tấn công.
• Số dư thay đổi liên tục; số liệu chốt tại khối 26.302.017 (00:35 UTC ngày 30/10/2026).
• Avalanche, Optimism, Base, Bitcoin và TRON chưa được truy vết trên chuỗi.

Phụ lục — danh mục ví do kẻ tấn công kiểm soát trên Ethereum

Ví Binance liên quan: Binance 14 0x28C6c06298d514Db089934071355E5743bf21d60; Binance 16 0xDFd5293D8e347dFe59E90eFd55b2956a1343963d; Hot Wallet 34 0xee7ae85f2fe2239e27d9c1e23fffe168d63b4055.

Nguồn

• Dữ liệu trên chuỗi: Etherscan, Arbiscan, Polygonscan
• Decrypt — tổng hợp theo mạng và phong tỏa
• CryptoTicker — cơ chế EIP-7702 và mốc thời gian
• investingLive — tạm dừng rút tiền và phong tỏa
• Finbold — tổng phong tỏa Binance công bố
• TechFlow — tin Arbitrum Security Council phong tỏa