Vụ hack Binance: Các cuộc phỏng vấn việc làm giả diễn ra trước vụ trộm $6.3 tỷ

Một cuộc phỏng vấn việc làm được dàn dựng là một trong những con đường tin tặc đã dùng để lấy $6.3 tỷ từ Binance. Những kẻ xâm nhập đã ở bên trong sàn giao dịch nhiều tháng, dựa vào những phương thức mà các công ty tiền mã hóa đối thủ đã cảnh báo từ lâu trước vụ xâm phạm.

Binance tiết lộ vào ngày 3 tháng 11 rằng vụ tấn công ngày 29 tháng 10 bắt nguồn từ hai kỹ sư, mỗi người bị xâm phạm qua một con đường riêng.

Trường hợp sớm hơn bắt đầu từ tháng 6, khi một kỹ sư đang tìm kiếm một công cụ AI đã tải xuống một gói phần mềm đã bị can thiệp trái phép.

Binance đã phát hiện vụ nhiễm, thay máy và đặt lại thông tin đăng nhập. Dù vậy, đến lúc đó những kẻ xâm nhập đã thu thập thông tin về nhân viên đó và về nhóm ví.

Sau đó là các cuộc phỏng vấn giả.

Chiêu trò tuyển dụng giả khiến Binance thiệt hại hơn $6 tỷ

Một kỹ sư khác được liên hệ vào tháng 9 thông qua một nền tảng tuyển dụng thật. Nhà tuyển dụng tiềm năng đã lập các cuộc phỏng vấn video với một người được cho là đại diện nhân sự và một người tự giới thiệu là CEO của công ty.

Cuối cùng, kỹ sư này được giao một bài tập lập trình. Các tệp anh ta tải xuống mang mã độc vượt qua phần mềm bảo mật của máy.

Đến ngày 20 tháng 10, những kẻ tấn công đã móc nối máy bị xâm phạm và một công cụ AI nội bộ để tiếp cận thêm các kỹ sư Binance.

Thông tin đăng nhập triển khai sau đó bị đánh cắp và được dùng để cài mã độc vào hạ tầng ví của Binance.

Các giao dịch rút tiền gian lận bắt đầu vào ngày 29 tháng 10. Khoảng $6.3 tỷ đã bị lấy đi trong vòng vài giờ.

Binance cho biết khoảng $2.85 tỷ đã bị phong tỏa và 98% số token bị ảnh hưởng đã được thay thế bằng tiền của công ty.

Các sàn giao dịch đối thủ đã cảnh báo về chiêu trò này trước đó

Kịch bản tuyển dụng đã được ghi nhận rõ ràng từ trước.

Kraken công khai vào tháng 5 năm 2025 về một đặc vụ Triều Tiên bị nghi ngờ đã cố gắng gia nhập đội ngũ kỹ thuật của mình.

Coinbase báo cáo thêm một vụ xâm nhập bị nghi ngờ vào tháng 8 năm 2026, mô tả cách hoạt động bất thường khiến họ xác định được một nhà thầu có thể đã bị xâm phạm.

Đáng chú ý hơn, Microsoft đã cảnh báo vào tháng 3 rằng tin tặc có liên hệ với Triều Tiên đang tổ chức các cuộc phỏng vấn lập trình giả để lây nhiễm máy của các nhà phát triển.

TIẾT LỘ: Các công ty Anh đang vô tình tài trợ cho chương trình hạt nhân của Triều Tiên, một cuộc điều tra của Telegraph có thể tiết lộ.

Giả danh những người lao động từ xa hợp pháp, đội quân khoảng 100,000 đặc vụ của Kim Jong-un gửi đơn ứng tuyển hàng loạt và sử dụng các chiêu trò lừa dối để…

— The Telegraph, ngày 31 tháng 10 năm 2026

Tại sao Binance không thể ngăn chặn được?

Ba câu hỏi an ninh hiện cần được trả lời.

Thứ nhất, làm thế nào một nhân viên có thể chạy một bài tập lập trình không đáng tin cậy trên một máy được liên kết với các hệ thống của công ty?

Thứ hai, làm thế nào mà vụ nhiễm tháng 6 vẫn còn có ý nghĩa sau khi Binance đã phát hiện ra và xử lý nó?

Thứ ba, làm thế nào mà thông tin đăng nhập triển khai bị đánh cắp lại mở khóa được các hệ thống cấp phép cho các giao dịch rút tiền trị giá hàng tỷ USD?

Binance chưa cho biết những biện pháp bảo vệ nào đã bị hỏng, hay liệu các cảnh báo trước đó của ngành có khiến họ bổ sung các biện pháp bảo vệ hay không.

FBI đã đổ lỗi cho nhóm TraderTraitor của Triều Tiên về vụ trộm.

Đối với Binance, câu hỏi cốt lõi là làm thế nào một chiêu trò tuyển dụng đã được biết đến lại có thể chạm tới hạ tầng bảo vệ hàng tỷ USD tài sản của khách hàng.