币安63亿美元大劫案复盘：当员工成了最薄弱的0day

Tổng hợp & biên soạn: KarenZ, Foresight News

Vào tháng 6, một kỹ sư ví của Binance đã tìm kiếm công cụ lập trình AI trên công cụ tìm kiếm và tải xuống một gói phần mềm đã bị giả mạo; vài tháng sau, một kỹ sư khác tham gia một buổi phỏng vấn trực tuyến và tải xuống một bài tập mã nguồn theo yêu cầu của người phỏng vấn; một tháng sau nữa, kẻ tấn công đã có thể kiểm soát máy tính của cả hai người nhờ công cụ AI nội bộ, và tìm ra thông tin xác thực quyền truy cập dẫn đến cơ sở hạ tầng cốt lõi.

Đây không phải là một bộ phim về an ninh mạng, mà là một con đường tấn công được Binance tái hiện trong báo cáo điều tra sơ bộ về sự cố an ninh ngày 29 tháng 10, công bố ngày 3 tháng 11.

Sự cố này liên quan đến khoảng 6,34 tỷ USD tài sản kỹ thuật số. Binance cho biết kẻ tấn công đã lợi dụng quyền truy cập trái phép vào dịch vụ ký ví nội bộ để khởi tạo giao dịch nằm ngoài quy trình rút tiền thông thường. Cục Điều tra Liên bang Mỹ (FBI) quy sự cố này cho Triều Tiên.

Nhưng nếu chỉ tập trung vào việc chuyển tài sản cuối cùng, người ta dễ bỏ qua phần đáng cảnh giác nhất của cuộc tấn công này: kẻ tấn công không đột nhập vào Binance một cách đột ngột vào ngày 29 tháng 10, mà đã bắt đầu tìm kiếm lối vào từ nhiều tháng trước, dần dần lây nhiễm thiết bị của nhân viên, giành được khả năng truy cập nội bộ, rồi nhờ các công cụ nội bộ của doanh nghiệp để tiến gần hơn đến cơ sở hạ tầng ví.

Binance gọi quá trình này là một chiến dịch tấn công đa giai đoạn (Multi-stage Campaign), và chỉ rõ đây không phải là một vụ xâm nhập hệ thống đơn lẻ, cũng không phải là một cuộc tấn công lừa đảo đơn giản.

Từ cuộc tấn công chuỗi cung ứng vào tháng 6, đến tuyển dụng giả vào tháng 9, rồi đến việc lợi dụng công cụ AI nội bộ để mở rộng phạm vi truy cập vào tháng 10, kẻ tấn công thực chất đã hoàn thành một cuộc xâm nhập kết hợp nhắm vào con người, thiết bị, phần mềm và hệ thống phân quyền.

Chuỗi tấn công này cũng là hồi chuông cảnh báo cho toàn bộ ngành crypto: khi an ninh tài sản cốt lõi của sàn giao dịch được kết nối với các công cụ phát triển, ứng dụng AI và hệ thống phân quyền nội bộ mà nhân viên sử dụng hàng ngày, kẻ tấn công không nhất thiết phải phá vỡ cánh cửa kiên cố nhất trước tiên.

Đôi khi, chỉ cần khiến một nhân viên tải xuống một gói phần mềm trông có vẻ bình thường.

Tháng 6: Bắt đầu từ một gói cài đặt Homebrew bị giả mạo

Quá trình chuẩn bị tấn công được Binance tiết lộ có thể truy ngược sớm nhất đến tháng 6 năm 2026.

Khi đó, một kỹ sư thuộc nhóm DevOps ví (kỹ sư A) đã tìm kiếm một công cụ lập trình AI phổ biến trên công cụ tìm kiếm và tải xuống một gói cài đặt Homebrew đã bị giả mạo.

Homebrew là công cụ quản lý gói phần mềm phổ biến, thông qua đó các nhà phát triển có thể nhanh chóng cài đặt nhiều loại phần mềm và công cụ phát triển.

Nhưng nếu gói cài đặt bị giả mạo độc hại, quá trình cài đặt phần mềm vốn bình thường có thể trở thành kênh để mã độc xâm nhập vào máy tính. Kiểu tấn công này được gọi là tấn công chuỗi cung ứng (Supply Chain Attack).

Khác với tấn công lừa đảo truyền thống, tấn công chuỗi cung ứng không nhất thiết phải trực tiếp lừa lấy mật khẩu người dùng, mà ẩn mã độc trong phần mềm, công cụ hoặc quy trình cập nhật mà người dùng tin tưởng, khiến người dùng thực thi chương trình độc hại trong lúc sử dụng phần mềm bình thường.

Đối với nhân viên phát triển, rủi ro loại này đặc biệt đáng cảnh giác. Máy tính làm việc của họ thường cài đặt nhiều công cụ bên thứ ba, và có thể còn lưu giữ thông tin xác thực truy cập vào kho mã nguồn, dịch vụ đám mây và cơ sở hạ tầng nội bộ.

Binance cho biết nhóm bảo mật của họ đã phát hiện bất thường vào thời điểm đó, chủ động thay thế thiết bị của kỹ sư A, đồng thời luân chuyển toàn bộ thông tin xác thực liên quan.

Nhưng kẻ tấn công đã tiếp cận được vai trò công việc của kỹ sư này, cũng như những người liên quan trong nhóm cơ sở hạ tầng ví của anh ta.

Nói cách khác, ngay cả khi thiết bị được thay thế và thông tin xác thực được luân chuyển, kẻ tấn công vẫn có thể tiếp tục tìm kiếm lối vào khác, cố gắng tiếp cận cùng nhóm này.

Tháng 9: Một cuộc tuyển dụng giả đưa mã độc vào máy tính làm việc

Vào tháng 9, kẻ tấn công chuyển mục tiêu sang một kỹ sư phần mềm khác (kỹ sư B), sử dụng cuộc tấn công kỹ thuật xã hội có tính lừa đảo cao hơn.

Kỹ sư B đã công khai kinh nghiệm nghề nghiệp của mình trên một nền tảng tuyển dụng chính thức, bao gồm kinh nghiệm làm việc tại Binance. Sau đó, một người tự xưng là Giám đốc Dự án (Project Director) của một công ty đã chủ động liên hệ và mời anh tham gia phỏng vấn.

Toàn bộ quy trình tuyển dụng được thiết kế khá hoàn chỉnh.

Vòng phỏng vấn đầu tiên do một người tự xưng là HR phụ trách, hai bên giao tiếp qua video trực tiếp. Để tạo dựng lòng tin, đối phương còn chia sẻ một tài khoản mạng xã hội có chứa ảnh và video cá nhân.

Sau khi vòng đầu kết thúc, kẻ tấn công tiếp tục đẩy quy trình tiến lên.

Vòng phỏng vấn thứ hai chuyển sang một ứng dụng trò chuyện xã hội phổ biến. Gần cuối buổi, đối phương yêu cầu kỹ sư B tải xuống một kho mã nguồn có tên "Assignment" (bài tập) và chạy nó trên máy tính làm việc của mình.

Đối với kỹ sư phần mềm, việc tải xuống mã nguồn, cấu hình môi trường phát triển và hoàn thành bài kiểm tra kỹ thuật vốn dĩ là khâu bình thường trong tuyển dụng.

Nhưng kho mã nguồn này thực chất chứa mã độc. Theo tiết lộ của Binance, kẻ tấn công đã sử dụng kỹ thuật làm rối mã và né tránh phát hiện, bao gồm thay thế các thành phần của công cụ phát triển hợp pháp bằng phiên bản độc hại, khiến nó có thể thực thi lệnh và thiết lập liên lạc với máy chủ bên ngoài do kẻ tấn công kiểm soát.

Binance mô tả đây là phần mềm độc hại zero-day (0-day malware), vào thời điểm đó chưa bị công cụ bảo vệ an ninh điểm cuối phát hiện. Kẻ tấn công còn cố gắng che giấu hoạt động độc hại, xóa dấu vết liên quan, làm tăng độ khó cho việc phát hiện và điều tra sau này.

• Binance thậm chí còn công bố thao tác cụ thể của script độc hại đối với công cụ pyenv trên máy tính của kỹ sư B:
• Tạo một tệp pyenv_ mới;
• Thay thế thành phần pyenv hợp pháp ban đầu bằng phiên bản độc hại;
• Xóa tệp hợp pháp ban đầu;
• Đổi tên tệp độc hại thành pyenv;
• Xóa lối vào lệnh ban đầu, tạo lại liên kết tượng trưng và khởi động zsh.

pyenv là một công cụ quản lý phiên bản Python phổ biến. Kẻ tấn công bằng cách thay thế các thành phần hợp pháp của nó, khiến chương trình độc hại giả dạng công cụ phát triển bình thường, từ đó thực thi lệnh và kết nối với máy chủ bên ngoài.

Tính chất ẩn giấu của kiểu tấn công này nằm ở chỗ người dùng có thể vẫn sử dụng các lệnh phát triển quen thuộc một cách bình thường, mà không biết chương trình phía sau đã bị thay thế.

Một buổi phỏng vấn kỹ thuật trông có vẻ bình thường, cứ thế trở thành lối vào để kẻ tấn công xâm nhập vào máy tính làm việc của nhân viên.

Ngày 20 tháng 10: Công cụ AI nội bộ bị cuốn vào chuỗi tấn công

Nếu hai giai đoạn trước giải quyết vấn đề làm thế nào để xâm nhập thiết bị của nhân viên, thì những gì xảy ra vào ngày 20 tháng 10 có nghĩa là kẻ tấn công bắt đầu mở rộng vào bên trong nhóm ví của Binance.

Binance tiết lộ kẻ tấn công đã lợi dụng máy tính của kỹ sư B đã bị xâm nhập, cùng với một công cụ AI nội bộ của Binance, để tiếp tục kiểm soát máy tính của kỹ sư A và một kỹ sư phần mềm ví khác (kỹ sư C).

Binance không tiết lộ tên cụ thể của công cụ AI này, cũng không nói rõ kẻ tấn công đã lợi dụng chức năng nào của nó. Do đó, không thể dựa vào đây để kết luận rằng bản thân mô hình AI có lỗ hổng, hoặc đơn giản quy nó thành cuộc tấn công tiêm nhiễm gợi ý (prompt injection).

Nhưng có thể xác nhận rằng công cụ AI nội bộ đã được đưa vào con đường mở rộng phạm vi truy cập của kẻ tấn công.

Khi các công cụ AI bước vào bên trong doanh nghiệp, chúng có thể kết nối với kho mã nguồn, cơ sở tri thức, môi trường phát triển và các dịch vụ nội bộ khác. Quyền truy cập, cơ chế xác thực danh tính và nhật ký thao tác mà công cụ sở hữu cũng trở thành một phần của hệ thống an ninh doanh nghiệp.

Sự cố này còn phơi bày một vấn đề then chốt khác.

Binance cho biết kẻ tấn công nhanh chóng phát hiện trên máy tính của kỹ sư A có lưu một token quyền triển khai container (Container Deployment Permission Token).

Container (vùng chứa) là một môi trường chạy phần mềm tương đối độc lập, nhóm phát triển có thể đóng gói ứng dụng và các phụ thuộc của nó rồi triển khai lên máy chủ hoặc đám mây.

Còn token quyền triển khai container có thể hiểu là giấy thông hành để gọi các khả năng triển khai liên quan. Nó không phải là khóa riêng tư ví, nhưng nếu có quyền truy cập vào môi trường nội bộ quan trọng, nó có thể trở thành lối vào để tiến gần hơn đến hệ thống cốt lõi.

Đến đây, kẻ tấn công không chỉ kiểm soát thiết bị của nhân viên, mà còn tìm ra thông tin xác thực quyền có thể kết nối đến hệ thống triển khai nội bộ.

Ngày 29 tháng 10: Từ máy tính nhân viên đến dịch vụ ký ví

Ngày 29 tháng 10, cuộc tấn công bước vào giai đoạn cuối.

Theo tiết lộ của Binance, từ 17:15 đến 19:56 (UTC) cùng ngày, kẻ tấn công đăng nhập vào máy tính của kỹ sư C, sử dụng thông tin xác thực đánh cắp trước đó từ kỹ sư A để triển khai một container, kích hoạt script độc hại và chính thức phát động tấn công.

Sau đó, kẻ tấn công lợi dụng quyền truy cập trái phép vào dịch vụ ký ví nội bộ của Binance để khởi tạo giao dịch nằm ngoài quy trình rút tiền thông thường.

Binance cho biết sự cố này liên quan đến khoảng 6,