Binance: Tin tặc dùng phỏng vấn tuyển dụng giả, công cụ AI để trộm 6,3 tỷ USD
- Chris Summers
- •
Binance cho biết tin tặc giả danh nhà tuyển dụng, sử dụng AI và thủ đoạn “thao túng tâm lý” để chiếm quyền kiểm soát máy tính của một kỹ sư, qua đó đánh cắp 6,3 tỷ USD chỉ trong 4 phút. FBI xác định Triều Tiên đứng sau vụ việc.
Sàn giao dịch tiền điện tử này bị tấn công hôm thứ Năm (29/10) và đã công bố báo cáo ban đầu, nêu chi tiết những gì cuộc điều tra tìm ra.
“Kết quả điều tra hiện tại cho thấy đây là một chiến dịch tinh vi, gồm nhiều giai đoạn,” Binance viết trên X hôm thứ Ba (3/11). “Đây không phải một vụ xâm nhập đơn lẻ hay một vụ lừa đảo giả mạo (phishing) đơn giản.”
“Kẻ tấn công kết hợp nhiều kỹ thuật, gồm thao túng tâm lý qua các buổi phỏng vấn tuyển dụng giả, tải phần mềm độc hại, chiếm quyền công cụ AI nội bộ, xâm nhập thiết bị đầu cuối và một phương thức phê duyệt giao dịch tinh vi,” công ty cho biết.
Hôm thứ Bảy (31/10), FBI thông báo đã xác định một nhóm tin tặc Triều Tiên có tên “TraderTraitor” đứng sau vụ tấn công Binance. Nhóm này bị cho là đã thực hiện vụ đánh cắp 1,5 tỷ USD từ sàn Bybit ngày 21/2/2025.
Trước đó cùng ngày 3/11, bà Kim Yo-jong, em gái nhà lãnh đạo Triều Tiên Kim Jong-un, đã bác bỏ cáo buộc của FBI và gọi đó là “luận điệu phi lý”, theo hãng thông tấn nhà nước KCNA.
Cuộc điều tra của Binance cho thấy vụ trộm bắt đầu từ tháng 6. Khi đó, một nhân viên bộ phận hạ tầng ví mà Binance gọi là “Kỹ sư A” tải về Homebrew, một trình quản lý gói phần mềm mã nguồn mở, để cài một công cụ lập trình AI phổ biến. Bản cài đặt Homebrew này đã bị chỉnh sửa trái phép.
“Đội ngũ an ninh của chúng tôi đã phát hiện điểm bất thường, thay thiết bị và đổi toàn bộ thông tin đăng nhập liên quan để chủ động phòng ngừa,” Binance cho biết.
Tuy nhiên, theo công ty, khi đó Kỹ sư A và cả nhóm hạ tầng ví đã lọt vào tầm ngắm của tin tặc.
Sau đó, một nhân viên khác, được gọi là “Kỹ sư phần mềm B”, nhận được lời mời làm việc qua một nền tảng tìm việc hợp pháp. Người liên hệ với anh tự xưng là giám đốc dự án của một công ty, nhưng công ty này không có thật.
Vị “giám đốc dự án” này sắp xếp vòng phỏng vấn đầu với một người đại diện bộ phận nhân sự, rồi vòng hai với một người tự nhận là CEO của công ty.
Ở vòng đầu, người đại diện nhân sự phỏng vấn Kỹ sư phần mềm B qua video trực tiếp và chia sẻ với anh tài khoản mạng xã hội của chính mình, có cả ảnh và video cá nhân. Theo Binance, mọi việc đều nhằm tạo lòng tin, và thủ đoạn này đã thành công.
“Cách tiếp cận này tinh vi và lừa lọc hơn các thủ đoạn thao túng tâm lý từng thấy trước đây,” công ty nhận định.
Khi vòng phỏng vấn thứ hai sắp kết thúc, Kỹ sư phần mềm B được yêu cầu tải về một “bài tập”.
Người kỹ sư không hề biết tệp tải về chứa một kho mã độc. Sau khi được tải xuống máy tính của anh, kho mã này thực hiện hàng loạt hoạt động trái phép.
“Phần mềm độc hại sử dụng các kỹ thuật che giấu và né tránh tinh vi, trong đó có việc thay một thành phần của công cụ phát triển hợp pháp bằng phiên bản độc hại, để thực thi lệnh và thiết lập liên lạc với một máy chủ bên ngoài do kẻ tấn công kiểm soát,” Binance viết.
Vụ trộm chỉ mất 4 phút
Đến ngày 29/10, phần mềm độc hại bắt đầu hoạt động và chỉ mất 4 phút để lấy đi 6,3 tỷ USD tiền điện tử.
Binance nêu chi tiết: “Từ 20h05 đến 20h09 (giờ UTC), 5 ví nóng của Binance đã chuyển 233,46 triệu XRP tới một địa chỉ do kẻ tấn công kiểm soát. Các ví nóng của Binance trên mạng Solana và Optimism đã chuyển khoảng 970.500 SOL và 44,2 triệu OP tới các địa chỉ do kẻ tấn công kiểm soát”.
“Lẽ ra sự việc này không được để xảy ra. Chúng tôi xin lỗi vì những lo ngại, gián đoạn và bất an mà sự việc gây ra cho người dùng, đối tác và cả ngành,” công ty viết trong báo cáo công bố hôm thứ Ba.
Công ty cho biết đội ngũ an ninh của họ đã phát hiện và ngăn chặn 57 trường hợp đe dọa mạng nghi có liên quan đến Triều Tiên trong năm 2026.
“Những âm mưu tấn công này phản ánh mối đe dọa dai dẳng từ các tác nhân được nhà nước hậu thuẫn nhắm vào ngành tiền điện tử,” Binance nói thêm.
Các thủ đoạn đó “gồm phỏng vấn việc làm gian lận, phần mềm độc hại ngụy trang thành công cụ phổ biến dành cho lập trình viên, gói phần mềm và tiện ích trình duyệt bị chiếm quyền, ứng dụng hội nghị video giả, cùng các chiến dịch thao túng tâm lý nhằm đánh cắp thông tin đăng nhập hoặc cài phần mềm độc hại truy cập từ xa”.
Trước đó, bà Kim Yo-jong chỉ trích Mỹ, cho rằng Washington đã sai khi biến Triều Tiên thành kẻ chịu tội thay trong các vụ tấn công mạng.
“FBI đang tìm cách gắn cho CHDCND Triều Tiên cái mác ‘quốc gia tội phạm mạng’, khi tuyên bố đã có thông tin rằng một tổ chức tin tặc được CHDCND Triều Tiên ‘hậu thuẫn’ có liên quan đến vụ việc,” bà nói.
Bà nói thêm: “Mỹ làm sai lệch nhận thức của dư luận quốc tế, như thể mọi tội phạm mạng ở khắp nơi trên thế giới đều do chúng tôi gây ra. Đây là hành động khiêu khích chính trị nghiêm trọng nhằm vào CHDCND Triều Tiên”.
Binance cho biết sàn có hơn 335 triệu người dùng trên toàn cầu, mỗi ngày giao dịch 95 tỷ USD tài sản số và sản phẩm phái sinh.
Xem thêm
Từ khóa trí tuệ nhân tạo Triều Tiên FBI Kim Yo-jong tiền điện tử tin tặc Triều Tiên Binance
