Hack tiền mã hóa 2026, vụ Binance 6,3 tỷ USD, các cuộc tấn công kỷ lục và vai trò của AI

Vụ Binance bị hack năm 2026 diễn ra như thế nào

Binance bị hack vào tối 29/10/2026 và mất khoảng 6,3 tỷ USD, vụ hack tiền mã hóa lớn nhất lịch sử. Phần lớn số tiền bị rút thông qua hạ tầng ký, không qua lỗi hợp đồng thông minh.

Binance bị hack bao nhiêu tiền

Quy mô phụ thuộc vào ai đếm, khoảng 6,34 tỷ USD theo Binance, 6,36 tỷ USD theo TRM, khoảng 6,4 tỷ USD theo Chainalysis và 6,43 tỷ USD trên 11 chuỗi theo Elliptic. Đợt rút cốt lõi mất khoảng 20 phút tính từ 20:05 UTC theo TRM, nhưng mã của kẻ tấn công điều khiển ví Ethereum chính của Binance tới tận 23:56 UTC.

Kẻ tấn công vào Binance bằng cách nào

TRM, Fireblocks và Blockaid xếp sự cố này vào nhóm xâm phạm hạ tầng ký, không có khai thác hợp đồng thông minh. Lúc 20:20 UTC, một giao dịch duy nhất chứa 50 ủy quyền EIP-7702 ký sẵn từ một ví nóng của Binance, nhằm "đảm bảo ít nhất một chữ ký sẽ có hiệu lực khi được xử lý", theo cách đọc của Fireblocks. EIP-7702 hoạt động từ tháng 5/2025, cho phép một chữ ký giao quyền điều khiển mã ví cho một hợp đồng.

Lô ủy quyền trao ví cho hợp đồng quét của kẻ tấn công, và hợp đồng này lấy đi 167.464 ETH cùng 1,615 tỷ USDT trong một giao dịch, rồi 780 triệu USDC từ một ví thứ hai. TRM truy vết được quá trình chuẩn bị kéo dài ít nhất 36 giờ, được tài trợ qua Tornado Cash.

Lời kể của Binance về điểm xâm nhập đã thay đổi hai lần. Thông báo đầu tiên chỉ đến một máy tính bị xâm nhập.

Điều tra ban đầu của Binance cho thấy sự cố bảo mật có thể liên quan đến laptop của một kỹ sư DevOps bị xâm nhập, giúp kẻ tấn công truy cập một container dịch vụ và gửi các giao dịch rút tiền trái phép. Chúng tôi chưa tìm thấy bằng chứng nào về việc khóa riêng tư của ví bị rò rỉ.

Bài đăng tiếp theo của Binance cùng ngày báo cáo thêm các điểm bị xâm nhập.

Cập nhật điều tra. Điều tra ban đầu của chúng tôi cho thấy sự cố bảo mật có thể liên quan đến một laptop bị xâm nhập, tuy nhiên quá trình điều tra tiếp theo đã phát hiện thêm nhiều điểm bị xâm nhập. … Dòng tiền chảy ra đã dừng khi chúng tôi tạm dừng dịch vụ rút trước đó. Chúng tôi vẫn đang làm việc với các đối tác để đóng băng phần lớn tài sản bị ảnh hưởng, và đến nay đã đóng băng khoảng 3 tỷ USD.

Báo cáo phát hiện ban đầu của Binance, đăng ngày 3/11 trên tài khoản X của sàn, mô tả một chiến dịch kéo dài nhiều tháng.

• Tháng 6/2026, một bộ cài bị đầu độc. Một kỹ sư Wallet DevOps tìm một công cụ lập trình AI phổ biến và tải về một bản cài Homebrew đã bị chỉnh sửa. Binance phát hiện, thay thiết bị và xoay vòng thông tin đăng nhập, nhưng kẻ tấn công đã biết được ai làm trong đội ví.
• Tháng 9, một buổi phỏng vấn việc làm giả. Một kỹ sư thứ hai được tiếp cận trên một nền tảng tìm việc, qua hai vòng phỏng vấn với một công ty hư cấu và tải một "bài tập" thử về máy tính làm việc. Binance cho biết phần mềm bảo vệ điểm cuối của sàn đã bỏ sót mã độc zero-day bên trong.
• Ngày 20/10, công cụ AI nội bộ làm bàn đạp. Từ máy tính đó, kẻ tấn công dùng một công cụ AI nội bộ của Binance để chiếm quyền kỹ sư thứ nhất và một kỹ sư thứ ba, rồi tìm thấy token triển khai container trên máy của kỹ sư DevOps.
• Ngày 29/10, dịch vụ ký. Từ 17:15 đến 19:56 UTC, chúng đăng nhập vào máy của kỹ sư thứ ba, triển khai một container bằng thông tin đăng nhập bị đánh cắp và chạy đoạn script chạm tới dịch vụ ký của ví.

Báo cáo cũng đính chính câu ngày 30/10 rằng dòng tiền ra đã dừng khi sàn tạm ngưng rút. Các ủy quyền EIP-7702 nằm trên chuỗi và vẫn hoạt động bên ngoài hệ thống rút tiền của Binance, và với ví nóng MPC (tính toán đa bên) thì không có một khóa duy nhất nào để thu hồi tất cả cùng lúc. Đây là phát hiện của chính Binance và vẫn còn sơ bộ, đang chờ một cuộc rà soát độc lập.

Ai đứng sau vụ hack Binance và tiền bị đóng băng đến đâu

TRM và Chainalysis quy vụ hack Binance cho nhóm TraderTraitor của Triều Tiên với độ tin cậy cao, và FBI đã công bố danh sách địa chỉ kẻ tấn công. Các nhà phát hành đã đóng băng khoảng 42-45% số tiền. Kẻ tấn công vẫn giữ khoảng 3,0 tỷ USD.

Ai đứng sau vụ hack Binance

Định danh tội phạm vẫn là một đánh giá, và chúng tôi xem nó đúng như vậy. TRM đánh giá với độ tin cậy cao rằng TraderTraitor của Triều Tiên thực hiện vụ trộm. Chainalysis đăng nhận định của mình trên X.

Điều tra viên của chúng tôi quan sát thấy tiền lấy cắp trong vụ Bitget tháng trước do CHDCND Triều Tiên thực hiện đang trộn lẫn với tiền lấy cắp từ Binance. Chúng tôi có độ tin cậy cao rằng CHDCND Triều Tiên chịu trách nhiệm cho vụ hack 6,4 tỷ USD tại Binance.

Cảnh báo của FBI ngày 31/10 kết luận Triều Tiên chịu trách nhiệm cho khoản trộm hơn 6 tỷ USD và công khai danh sách địa chỉ kẻ tấn công. Báo cáo ngày 3/11 của Binance dẫn kết luận này của FBI, còn Triều Tiên bác bỏ các cáo buộc.

Danh mục công khai Lazarus Group do DropsTab Research duy trì ghi lại các khoản trộm trước đây được quy cho nhóm này, dẫn đầu là vụ Bybit năm 2025. Cách theo dõi danh mục nằm ở phần cuối bài.

Nút đóng băng đã giữ lại bao nhiêu tiền

Mọi nhà phát hành có nút đóng băng đều bấm nút ngay trong giờ đầu tiên. Paolo Ardoino (Tether) đăng con số đóng băng đầu tiên của công ty lúc 21:25 UTC ngày 29/10.

Tether đã đóng băng hơn 1,567 tỷ USDT liên quan đến một vụ hack tiềm năng tại sàn Binance. Bảo vệ ngành và các đối tác là ưu tiên hàng đầu của chúng tôi.

Con số đầu tiên đó tính trên mọi chuỗi và tăng lên khoảng 1,76 tỷ USDT. Circle đóng băng 823 triệu USDC, WLFI khóa 27,8 triệu USD1, Hội đồng bảo mật Arbitrum đóng băng khoảng 30 triệu USD, và Ripple đóng băng 40,5 triệu RLUSD. Tính chung, các lệnh đóng băng đạt khoảng 2,7 tỷ USD, tức 42% khoản trộm, theo TRM, và 2,85 tỷ USD, tức 44-45%, theo Elliptic và Binance.

Hai tháng trước Binance, Cronos còn đi xa hơn mọi nhà phát hành. Các validator dừng mạng và quay lui 10.961 khối, gần hai giờ lịch sử, để đảo ngược vụ khai thác Tectonic. Đợt quay lui hoàn lại khoảng 111,2 triệu USD, xóa luôn các giao dịch không liên quan trong cùng khung thời gian, và bỏ sót khoảng 9,19 triệu USD đã rời đi qua bridge.

Nhóm DropsTab đã tổng hợp 15 lần can thiệp như vậy, từ hard fork The DAO năm 2016 đến động thái của Hội đồng bảo mật Arbitrum với tiền của hacker Binance.

Không phải khóa của bạn, không phải coin của bạn. Trừ khi chuỗi nói khác. Tuần này Arbitrum đã chuyển 30 triệu USD của hacker Binance. Không khóa, không chữ ký. Lần thứ hai trong năm nay.

Kẻ tấn công đua tốc độ đổi stablecoin trước khi bị đóng băng. Theo Bitquery, 729 triệu USDT trốn được khỏi lệnh đóng băng. 495 triệu đổi sang ETH qua UniswapX và 1inch với mức trả giá cao hơn khoảng 16%, 234 triệu đổi sang TRX trên SunSwap, và cuộc chạy đua này khiến kẻ tấn công mất khoảng 119 triệu USD so với giá thị trường. Elliptic và Hacken ước tính giá trị đổi trước đóng băng gần 786 triệu USD.

Chainalysis theo dõi đúng kịch bản này khi nó đang diễn ra.

Những kẻ khai thác Binance đang gấp rút chạy trước các lệnh đóng băng stablecoin một bước. Một thủ thuật chúng tôi đang theo dõi là gửi stablecoin vào các giao thức DeFi, sau đó nhận lại tại các địa chỉ mới, sạch. … Circle và Tether đã góp phần vào 2,8 tỷ USD tiền bị đóng băng tính đến giờ. … đổi stablecoin có thể bị đóng băng ở một bên lấy ETH không thể đóng băng ở bên kia.

Aave cho phép kẻ tấn công biến USDT có thể đóng băng thành ETH. Kẻ tấn công gửi 60 triệu USDT vào Aave V3 và vay 19.762 WETH, khoảng 44,6 triệu USD, theo biên bản quản trị của Aave. Danh sách đen ví không với tới tài sản thế chấp nằm trong quỹ dùng chung của Aave, và vị thế này vẫn mở đến ngày 3/11.

Trên Tron, khoảng 628 triệu USD của khoản trộm gồm khoảng 613 triệu USDT và 46 triệu TRX theo TRM, và Tether đóng băng khoảng 379 triệu USDT trên Tron theo Bitquery. Elliptic đo các khoản chi trả từ 7 đến 11 triệu USD mỗi giờ suốt 31 giờ liên tục, trải trên khoảng 200 ví, và mô tả là "gần như chắc chắn do phần mềm điều khiển".

Kẻ tấn công còn giữ bao nhiêu tiền

Đến ngày 3/11, chưa đồng nào trong số tiền bị đóng băng được thả ra. Ảnh chụp của Bitquery ngày hôm đó cho thấy khoảng 3,0 tỷ USD vẫn nằm trong tay kẻ tấn công, gồm 1,40 tỷ USD BTC, 1,22 tỷ USD ETH, 292 triệu USD XRP và 75 triệu USD SOL. Khoản ETH, khoảng 540.000 token, gồm cả ETH mua bằng stablecoin đã đổi.

Nếu bạn giữ USDT hoặc USDC, nhà phát hành có thể đóng băng số dư của bạn theo đúng cách đó.

Người dùng Binance được hoàn tiền và rút tiền ra sao

Binance cam kết bù toàn bộ thiệt hại bằng quỹ SAFU và tiền của công ty, và nói 98% tài sản token bị ảnh hưởng đã được bù đủ trước ngày 31/10. Rút tiền đã mở lại theo giai đoạn, và ngày đầu tiên ghi nhận hơn 3,6 tỷ USD được rút ra. Các tuyên bố về hoàn tiền đều do Binance tự công bố, chưa có kiểm toán độc lập.

Binance cam kết chi trả toàn bộ tổn thất từ quỹ SAFU và tiền của công ty, và nói 98% tài sản token bị ảnh hưởng đã được bù đủ trước ngày 31/10, có thể xem trên trang Proof of Reserves của sàn. Đây là tuyên bố của chính Binance, phía sau chưa có cuộc kiểm toán độc lập nào.

Rút tiền mở lại theo giai đoạn từ ngày 1/11, với Bitcoin và Ethereum đi trước. Ngày đầu tiên ghi nhận hơn 3,6 tỷ USD được rút ra.

Hack tiền mã hóa năm 2026 lên đến bao nhiêu tiền

Tổn thất hack tiền mã hóa năm 2026 lên tới mức kỷ lục 8,7 tỷ USD theo TRM Labs. Riêng vụ Binance chiếm 6,36 tỷ USD, phần còn lại của năm nhỏ hơn nhiều.

Nửa đầu năm 2026 lập kỷ lục về tần suất. TRM Labs đếm 207 sự cố trong sáu tháng đầu 2026, tăng từ khoảng 83 vụ cùng kỳ năm trước, với 972 triệu USD bị lấy cắp so với 2,3 tỷ USD của nửa đầu 2025, và cảnh báo rằng mức giảm chỉ phản ánh việc vắng một vụ trộm quy mô 2025.

Vụ Binance đẩy tổng từ đầu năm của TRM lên mức kỷ lục 8,7 tỷ USD, khoảng 31% trong tổng khoảng 28 tỷ USD từng bị trộm trong lịch sử tiền mã hóa. Trừ đi con số 6,36 tỷ USD của TRM cho Binance, một số liệu không nhà cung cấp nào công bố, năm 2026 còn khoảng 2,3 tỷ USD.

Hai tiêu đề về nửa đầu năm khác nhau vì phương pháp đếm. TRM giữ vụ trộm 1,5 tỷ USD của Bybit trong số liệu gốc 2025, nên nửa đầu 2026 đọc ra giảm 57%, còn CertiK loại Bybit ra và đọc ra tăng 28%. Bảng dashboard quý 3 của CertiK, cập nhật lần cuối trước Binance, cộng thêm 1,28 tỷ USD qua 255 sự cố. Chúng tôi không so sánh chéo giữa các nhà cung cấp.

Phép đếm riêng của chúng tôi, dựng từ các báo cáo sự cố công khai và đăng ngày 3/11, cho kết quả sát với TRM, 8,78 tỷ USD bị lấy cắp qua 328 vụ hack, riêng Binance chiếm 72%.

2026 đã là năm tệ nhất từng ghi nhận: 8,78 tỷ USD bị lấy cắp qua 328 vụ hack. Nhiều hơn cả 2021-2023 cộng lại. Riêng Binance chiếm 72%.

Triều Tiên chiếm 85% giá trị bị lấy cắp năm 2026 khi tính cả Binance, khoảng 45% khi loại Binance ra, theo TRM, tức 7,4 tỷ USD trong năm nay và 12,8 tỷ USD gộp mọi năm. TRM ghi nhận chỉ 13 trong 100 vụ trộm của Triều Tiên từ 2017 khai thác mã hợp đồng.

TRM đếm khai thác hợp đồng thông minh trong 125 trên 207 sự cố, nhưng chúng chỉ mang phần nhỏ số tiền, còn báo cáo nửa đầu 2026 của Blockaid quy 74% trong 1,1 tỷ USD bị lấy cắp qua 212 sự cố cho các cuộc tấn công vào bảo mật vận hành. Các sự cố của Polymarket năm 2026 cũng theo đúng tỷ lệ đó: người dùng mất tiền qua trang web chứ không phải qua hợp đồng, như chúng tôi phân tích trong bài đánh giá các vụ hack Polymarket.

AI có đang làm các vụ hack tiền mã hóa nguy hiểm hơn không

Báo cáo của chính Binance đặt công cụ AI trên đường tấn công. Vụ xâm nhập bắt đầu từ một bộ cài giả của một công cụ lập trình AI, và kẻ tấn công đi qua một công cụ AI nội bộ. AI không ký giao dịch trộm, và chưa nhà cung cấp nào định lượng được phần thiệt hại hack do AI. AI đẩy quy mô lừa đảo lên rõ rệt.

Phát hiện ngày 3/11 của Binance là nguồn thứ nhất đầu tiên đặt AI trên đường đi của một vụ trộm kỷ lục, ở hai điểm. Chỗ đứng đầu tiên có được khi một kỹ sư tìm một công cụ lập trình AI phổ biến và cài một gói Homebrew đã bị chỉnh sửa, và ngày 20/10 kẻ tấn công dùng chính công cụ AI nội bộ của Binance để tiếp cận thêm hai kỹ sư. Không bước nào trong đó ký giao dịch trộm. Công cụ AI chỉ là một bề mặt đáng tin mà kẻ tấn công có thể đi xuyên qua, giống như buổi phỏng vấn việc làm giả. Trước báo cáo này, TRM, Fireblocks và luồng thảo luận trên diễn đàn Aave không nêu vai trò nào của AI.

Chainalysis tìm thấy các đường dây lừa đảo dùng AI bóc tách trung bình 3,2 triệu USD mỗi đường dây, so với 719 nghìn USD ở các đường dây không dùng AI, khoảng 4,5 lần sinh lời hơn. Chỉ số AI trong tội phạm của TRM lên 54 trên 100 từ khoảng 28 năm 2024, với lừa đảo là hạng mục duy nhất được xếp mức trưởng thành. Lừa đảo mạo danh tăng khoảng 1.400% so với cùng kỳ trong dữ liệu của Chainalysis, một xu hướng chúng tôi phân tích trong bài về lừa đảo mạo danh.

Thiệt hại từ tác tử AI được nêu tên vẫn nhỏ. Blockaid truy vụ mất khoảng 216 nghìn USD của Bankr vào một cuộc tấn công chèn lệnh từ prompt tháng 5, và CertiK gắn vụ 100 nghìn USD của Zerion cho kỹ thuật xã hội dùng AI liên quan Triều Tiên. Đó là hai vụ trộm tác tử AI duy nhất được định giá bằng tiền.

Vụ hack lớn nhất năm 2026 tại một dự án AI đi qua khóa bị lộ, không phải qua AI. Vụ đúc tháng 9 của ASI Alliance tạo ra khoảng 2,3 tỷ FET trái phép qua khóa bị lộ, đến 3/11 vẫn chưa có đốt hay re-back nào được xác nhận, và một phần đã được đổi lấy khoảng 523 ETH theo dấu vết của Bitquery.

Nếu bạn để một tác tử AI như Bankr chi tiền từ ví mình, quyền đó là một ủy quyền cùng dạng với thứ đã rút cạn Binance, nên phần kiểm tra EIP-7702 ở cuối bài cũng áp dụng cho nó. Danh mục miễn phí hệ sinh thái x402 và tác tử AI trên DropsTab liệt kê các tác tử xử lý tiền qua chuẩn thanh toán x402.

AI làm lừa đảo năm 2026 sinh lời hơn, và trong vụ trộm kỷ lục, công cụ AI là một phần của con đường dẫn tới quyền ký bị đánh cắp. Mối đe dọa dài hạn hơn với chính các khóa đó là máy tính lượng tử, thứ chúng tôi viết kỹ trong bài về tiền mã hóa kháng lượng tử.

Token bị hack xong thì nguồn cung thay đổi ra sao

Vụ hack sàn tập trung không chạm tới nguồn cung token, và tổng cung BNB vẫn bằng mức trần 131.511.243 sau vụ trộm lớn nhất lịch sử. Vụ đúc trái phép mới là sự kiện nguồn cung. Kết cục của nó phụ thuộc vào đốt token, re-back, phát hành lại hay di trú, và vào việc ai đó có thể đóng băng token đã đúc hay không.

Một vụ khai thác đúc token tạo ra nguồn cung hoặc được gỡ bỏ hoặc đè lên thị trường, và tháng 10 thêm hai ca, Cysic và Initia. Bảng dưới theo dõi mọi vụ đúc trong năm 2026 mà chúng tôi kiểm chứng, kèm kết cục nguồn cung và không có giá. BNB không có trong bảng, vì vụ trộm tại sàn chỉ dịch chuyển số dư.

Lỗi trong bộ máy hợp đồng thông minh của Initia, bị khai thác ngay ngày ra mắt, cho phép kẻ tấn công đúc 2 triệu AUSD chéo chuỗi ngày 23/10 và đổi ra khoảng 2,7 triệu USD, và Agora nói hãng không có hợp đồng AUSD nào trên Initia, nên nhà phát hành không đóng băng được gì.

Với token không trần, hãy đối chiếu với một ảnh chụp nguồn cung có ngày. Khoảng 4 tỷ ONE bị đúc trong tháng 8, tương đương khoảng 26% nguồn cung thời điểm đó theo số của Harmony, con số bạn kiểm tra được trên trang coin Harmony, còn Syscoin đã đốt phần bị đúc.

Drift nằm ngoài bảng do thiết kế. Dự án mất khoảng 285 triệu USD cho tài sản thế chấp giả, và không DRIFT nào bị đúc.

Immunefi theo dõi 82 token bị hack trong giai đoạn 2024-2025 và thấy khoảng 84% vẫn dưới mức giá trước hack sau sáu tháng, với mức trung vị giảm 61%. Khi một công ty phá sản khi tiền vẫn nằm bên trong, bảng theo dõi phá sản tiền mã hóa của chúng tôi ghi lại chủ nợ thu hồi được gì.

rsETH của KelpDAO khép lại kế hoạch phục hồi bằng đợt cuối 20.373,72 rsETH, và token được bảo chứng đầy đủ kể từ khi mở lại.

Trên các chuỗi riêng tư, tính toàn vẹn nguồn cung có thể không kiểm chứng nổi, như chủ nhân Zcash trải nghiệm giai đoạn 2022-2026, điều chúng tôi viết trong bài so Zcash với Bitcoin.

Những vụ hack lớn nhất năm 2026 và cách thức tấn công

Bốn trong năm vụ trộm lớn nhất năm 2026 không cần lỗi hợp đồng thông minh. Binance, Bitget, KelpDAO và Drift đều đi qua khóa, tầng ký hoặc một người vận hành bị lừa. Lỗi mã của Liquid Network là ngoại lệ lớn duy nhất.

Xếp theo thiệt hại, Binance vượt kỷ lục cũ của Bybit hơn bốn lần, và mọi vụ trộm khác năm 2026 đều dưới cột mốc 625 triệu USD mà Ronin lập năm 2022.

Tính trên mọi năm kể từ 2010, nhóm DropsTab đếm được hơn 1.200 dự án bị hack với khoảng 27,6 tỷ USD bị lấy cắp, và vẽ các vụ lớn nhất lên cùng một biểu đồ.

Gần như toàn bộ thế giới crypto đã bị hack ít nhất một lần. Hơn 1.200 dự án. 27,6 tỷ USD bị lấy cắp.

Bitget là vụ hack sàn còn lại của năm, năm tuần trước Binance, và quy mô của nó vẫn bị tranh cãi. CEO Gracy Chen đặt vụ trộm ngày 24/9 tại 351,6 triệu USD, Halborn và CertiK tại 387,5 triệu, còn ZachXBT tại 388 triệu USD. Halborn truy lối vào tới một lỗ hổng trong sản phẩm bảo mật bên thứ ba làm lộ thông tin đăng nhập nội bộ.

ZachXBT sau đó nối hai vụ trộm này với nhau trên chuỗi.

Cập nhật. Tiền lấy cắp từ vụ 6,3 tỷ USD tại Binance và vụ 388 triệu USD tại Bitget đã được trộn vào cùng một địa chỉ cách đây 45 phút, sau khi đến qua THORChain. Điều này cho thấy rất có thể cùng một chủ thể đứng sau cả hai vụ việc.

Liquid là khoản lỗ lớn duy nhất năm 2026 do lỗi mã. Bài hậu kiểm của Blockstream mô tả lỗi cache range-proof trong phần mềm Elements đã đúc khoảng 4.000 L-BTC không có bảo chứng, và không khóa nào bị xâm phạm. Nhóm tự xưng white hat trả lại 3.400 BTC sau đàm phán, với khoảng 602 BTC vẫn còn thiếu.

Bridge của KelpDAO tin một verifier duy nhất của LayerZero, cấu hình 1-of-1 DVN, và kẻ tấn công nhồi dữ liệu giả vào nó. Nhóm tấn công Drift có sẵn chữ ký bàn giao admin mà Solana cho phép kích hoạt sau. Cả hai vụ đều không nằm trong mã hợp đồng.

Tectonic, một giao thức cho vay trên Cronos, bị rút cạn qua tài sản thế chấp. Ngày 30/8, kẻ tấn công thổi giá token TONIC thanh khoản mỏng, dùng nó làm tài sản thế chấp và vay 120,4 triệu USD trên chín thị trường, theo bài hậu kiểm của Cronos. Sau đó chính chuỗi đã đảo ngược phần lớn khoản lỗ.

Nhà sáng lập Aave Stani Kulechov phân tích cách vụ KelpDAO để giao thức cho vay gánh khoản nợ xấu khoảng 200 triệu USD.

Vụ khoảng 1,5 tỷ USD của Bybit tháng 2/2025 giữ kỷ lục cho tới khi có vụ Binance. Vụ kiện tại Mỹ của sàn giành được lệnh cấm sơ bộ tháng 8/2026, với 48,4 triệu USD thu hồi và 30,5 triệu USD đóng băng, vẫn mang tính biểu tượng trước một kẻ tấn công do nhà nước đứng sau.

Thiệt hại lan rộng hơn số tiền bị đánh cắp

Giá trị trong các ví công khai của Binance giảm 24,5% trong tuần sau sự cố theo DefiLlama, tương đương khoảng 41,6 tỷ USD, và phần lớn vượt biến động chung của thị trường. Thiệt hại lớn hơn của một vụ trộm khổng lồ là làn sóng rút tiền và dịch chuyển nó kích hoạt, vượt số tiền bị lấy.

Ngày 3/11 chúng tôi tra tổng giá trị bị khóa (TVL) của các ví công khai trên DefiLlama. So với mức nền giảm 4,4%, trung bình của Bybit và Robinhood, khoảng 20,1 điểm phần trăm trong mức giảm của Binance, cỡ 34 tỷ USD, là của riêng sàn, và riêng khoản trộm chỉ giải thích khoảng 3,8 điểm. Một phần chênh lệch có thể đến từ giá BNB.

OKX tăng 59,8%, khoảng 10,8 tỷ USD, gần một phần tư số tiền rời Binance, trong một tuần thị trường đi xuống.

Aave bị cả hai vụ trộm khổng lồ năm 2026 đánh trúng. Sau KelpDAO tháng 4, Aave gánh nợ xấu và TVL rơi từ khoảng 26,4 tỷ xuống 14,3 tỷ USD trong sáu ngày, còn tháng 10, đa chữ ký khẩn cấp của giao thức đóng băng 292 thị trường chỉ trong vài giờ.

Tether đứng cả hai đầu của câu chuyện đóng băng, với tư cách nhà phát hành lẫn nhà đầu tư. Hồ sơ nhà đầu tư Tether trên DropsTab liệt kê 41 đồng trong danh mục, và chỉ Drift, có thể thêm LayerZero, dính tới các vụ khai thác năm nay.

Hồ sơ gọi vốn của DropsTab cho thấy Drift huy động khoảng 52 triệu USD từ Multicoin, Polychain, Jump và Alameda, mất khoảng 285 triệu USD, rồi cần khoản tín dụng cứu trợ từ Tether, công ty đã đóng băng USDT bị trộm của Binance. Bản ghi của chúng tôi ghi khoảng 145 triệu USD cho khoản này, còn con số được đưa tin khi token phục hồi ra mắt là khoảng 147,5 triệu USD.

Theo dõi nguồn cung token bị hack và ví hacker trên DropsTab

Tab Hacked & Exploited Tokens của DropsTab đặt nguồn cung, điểm CertiK và số sàn niêm yết của token bị hack cạnh nhau, cảnh báo ví của Drops Bot cho thấy phần tiền chưa bị đóng băng di chuyển đi đâu, còn danh mục Lazarus ghi lại các khoản trộm quy cho Triều Tiên. Không công cụ nào đưa tiền trở lại, và cả ba đều miễn phí.

Ba công cụ miễn phí giúp bạn tiếp tục canh chừng sau một vụ hack.

Kiểm tra nguồn cung và nơi giao dịch trong tab Hacked & Exploited Tokens. Tab của DropsTab Research liệt kê các token còn giao dịch sau một vụ khai thác năm 2026, với nguồn cung lưu hành kèm tỷ lệ trong tổng cung, số sàn niêm yết và điểm CertiK, có thể sắp xếp hoặc nhân bản miễn phí trong Tab Builder. Hãy so nguồn cung với số liệu trước vụ hack, vì vụ đúc làm đổi nguồn cung còn vụ trộm sàn thì không. Trong tab hiện tại, SAND và FET giữ điểm CertiK AA, DRIFT ở BBB, CYS ở BB, còn WEMIX không có báo cáo CertiK.

Canh địa chỉ kẻ tấn công đã công bố bằng Drops Bot. Drops Bot theo dõi bất kỳ địa chỉ công khai nào ngay trong Telegram, với 20 ví ở gói miễn phí trên 30 mạng gồm cả Tron, kèm bộ lọc chiều IN và OUT, lọc theo giá trị giao dịch, nhãn tự đặt cho từng ví và không cần khóa riêng tư. Hướng dẫn cấu hình cảnh báo ví dẫn từng bước. Chỉ dùng địa chỉ do FBI, TRM, Chainalysis hoặc Binance công bố. Hướng dẫn truy vết cá voi tiền mã hóa của chúng tôi chỉ cách kiểm tra ai sở hữu một ví, và các danh sách địa chỉ cũ đi rất nhanh.

Theo dõi danh mục Lazarus. Danh mục Lazarus ghi lại các khoản trộm quy cho nhóm này từ những vụ trước, dẫn đầu là Bybit. Địa chỉ kẻ tấn công Binance được liệt kê trong cảnh báo ngày 31/10 của FBI, và đặt cảnh báo ví trên các địa chỉ đó là cách theo dõi khoản tiền Binance di chuyển.

Kiểm tra ủy quyền EIP-7702 trên ví của bạn

Vụ Binance dùng lại một đòn vốn đã đánh trúng ví người dùng thường. EIP-7702, hoạt động từ bản nâng cấp Pectra của Ethereum ngày 7/5/2025, cho phép một chữ ký giao mã ví cho một hợp đồng. Ủy quyền tồn tại cho tới khi bị đặt lại về địa chỉ số 0, và ủy quyền ký khi không nêu chuỗi cụ thể sẽ chạy trên mọi chuỗi tương thích Ethereum.

Danh sách ủy quyền EIP-7702 trên Etherscan và Revoke.cash hiển thị ủy quyền mà không chạm vào tiền, và Etherscan gắn cờ các bên ủy quyền lừa đảo. Việc hủy diễn ra trong ví, với MetaMask ở mục Chi tiết tài khoản rồi Tài khoản thông minh, theo từng mạng, và tốn gas.

Một nghiên cứu đăng trên arXiv tháng 12/2025 quét các ủy quyền EIP-7702 trên chuỗi của Ethereum và đếm hơn 26.000 địa chỉ nạn nhân, với các bên ủy quyền gắn tội phạm nắm gần một nửa tổng số ủy quyền, và nạn nhân lớn nhất mất hơn 3.300 ETH.