Binance mất 6,3 tỷ đô trong 20 phút: cách biết tiền của bạn trên sàn còn nguyên — kể cả khi sàn bị trộm, rút tiền bị khóa và kẻ giả danh hỗ trợ gọi tới trước
20 phút, khoảng 10 chuỗi, 6,3 tỷ đô
Chiều ngày 29/10/2026 theo giờ New York — tức khoảng 3 giờ sáng 30/10 ở Việt Nam — các ví nóng của Binance bắt đầu chuyển tiền ra ngoài mà không ai trong công ty ra lệnh. Theo các hãng điều tra trên chuỗi, phần lớn các lệnh chuyển diễn ra trong khoảng 20 phút, rải trên khoảng 10 mạng: Ethereum, Bitcoin, Tron, XRP, Solana và vài mạng nhỏ hơn.
Con số Binance tự công bố là khoảng 6,3 tỷ đô. Chainalysis, một hãng phân tích chuỗi khối, đếm được khoảng 6,4 tỷ đô. Để dễ hình dung: vụ Bybit tháng 2/2025, trước đó được gọi là vụ trộm sàn lớn nhất lịch sử, là khoảng 1,5 tỷ đô. Vụ này gấp khoảng 4 lần.
Binance dừng rút tiền trên toàn hệ thống ngay trong đêm. Ngày 31/10, FBI ra thông báo xác nhận thủ phạm là TraderTraitor — một nhóm tin tặc của Triều Tiên — và công bố danh sách địa chỉ ví liên quan để các bên khác chặn giao dịch.
Có một chi tiết mà người theo dõi nhà này sẽ nhận ra ngay. Theo Chainalysis, tiền lấy từ Binance đã chảy chung đường với tiền lấy từ Bitget hồi cuối tháng 9 — vụ mà nhà này đã kể trong bài về Bitget mất 387,5 triệu đô. Cùng một dòng tiền, 2 sàn lớn, cách nhau 5 tuần.
Cửa vào là một chiếc máy tính, không phải ổ khóa
Thông tin ban đầu Binance đưa ra: máy tính xách tay của 1 kỹ sư vận hành hệ thống bị cài mã độc. Kẻ tấn công dùng chính quyền truy cập hợp lệ của người đó để đi vào bên trong, rồi phát lệnh rút. Một ngày sau, Binance nói đã tìm thấy thêm những điểm xâm nhập khác. TRM Labs, một hãng điều tra khác, cho biết kẻ tấn công đã vào được hệ thống duyệt giao dịch — chỗ quyết định lệnh rút nào được ký.
Đặt cạnh vụ Bitget, 2 vụ có cùng một hình dạng:
Bài học này rất đắt, và nó không chỉ dành cho sàn. Sàn lớn nhất thế giới có hàng nghìn kỹ sư, có quỹ dự phòng, có ví lạnh — và cửa vào vẫn là một chiếc máy tính cá nhân. Với bạn, cửa vào cũng nằm ở đúng chỗ đó: điện thoại, máy tính, hộp thư của chính bạn.
Vì sao khoảng 3 tỷ đô bị đóng băng được, còn 1,5 tỷ đô thì không
Ngay trong giờ đầu, Tether (bên phát hành USDT) và Circle (bên phát hành USDC) bắt đầu khóa các địa chỉ nhận tiền. Binance nói khoảng 3 tỷ đô tài sản bị lấy đã bị đóng băng trên chuỗi. Chainalysis ước khoảng 2,8 tỷ đô.
Nhưng theo số liệu CNBC tổng hợp, khoảng 1,5 tỷ đô bị lấy là bitcoin — và phần đó không ai khóa được.
Lý do nằm ở bản chất của từng loại. USDT và USDC là đồng tiền do một công ty phát hành, và công ty đó giữ quyền khóa từng địa chỉ. Bitcoin không có công ty nào đứng sau, nên không có nút khóa nào để bấm.
Đây là con dao 2 lưỡi, và tôi muốn bạn nhìn cả 2 lưỡi. Hôm nay, quyền khóa của bên phát hành cứu lại được gần nửa số tiền bị trộm. Nhưng chính quyền đó cũng có thể khóa một địa chỉ của bạn, nếu địa chỉ ấy từng nhận tiền dính tới một vụ như thế này. Biết đồng mình đang cầm thuộc loại nào là biết ai đang có quyền với nó.
Ai trả tiền cho khách, và trả bằng gì
Ngày 31/10, đồng giám đốc điều hành Richard Teng nói Binance đã bổ sung lại 90% số tài sản bị lấy. Phần 10% còn lại là các đồng có thanh khoản thấp, mua lại chậm hơn. Ngày 01/11, tỷ lệ này được báo lên khoảng 95%. Nguồn tiền: quỹ bảo vệ người dùng SAFU, quỹ bảo hiểm hợp đồng tương lai, và ngân quỹ riêng của công ty — không phải tiền thu hồi được từ kẻ trộm.
Từ 06:00 giờ quốc tế ngày 01/11, rút tiền mở lại theo từng đợt, đợt đầu 15 mạng. Tới 15:30 cùng ngày, khách đã rút khoảng 4,65 tỷ đô và nạp vào khoảng 1,01 tỷ đô, tức chảy ra ròng khoảng 3,64 tỷ đô.
Nếu bạn đã đọc bài Bitget, bạn biết con số trên màn hình là một dòng sổ, còn coin thật nằm trong ví của sàn. Vụ Binance cho thấy nửa còn lại của câu chuyện: dòng sổ ấy đổi lại được ra coin thật là nhờ sàn còn đủ tiền và quyết định bỏ tiền ra. Binance làm được vì quy mô — theo bằng chứng dự trữ ngày 28/10, sàn đang giữ khoảng 171 tỷ đô tài sản, nên 3,64 tỷ đô chảy ra chỉ khoảng 2,1%.
Đó là một quyết định tốt của Binance. Nhưng nó là quyết định của Binance. Với một sàn nhỏ hơn, cùng một vụ trộm có thể là cả ngân quỹ — như một chuyên gia nói với báo Thanh Niên ngày 31/10: Binance có cam kết bồi thường, còn sàn nhỏ thì việc bồi thường sẽ khó hơn.
Cùng tuần đó ở Việt Nam: 2 hồ sơ qua cửa cấp độ 4
Một tuần trước vụ Binance, ngày 22/10, CAEX — hồ sơ sàn thuộc hệ sinh thái VPBank — công bố được Cục An ninh mạng (Bộ Công an) thẩm định và đồng ý hồ sơ đề xuất an toàn hệ thống thông tin cấp độ 4. Nhà này đã đọc tin đó từng chữ trong bài về CAEX và cấp độ 4.
Ngay hôm sau, 23/10, tới lượt TCEX — hồ sơ sàn có Chứng khoán Kỹ Thương (TCBS) tham gia sáng lập — công bố được thẩm định và chấp thuận hồ sơ đề xuất cấp độ 4, theo Công văn số 5490/BCA-A05 ngày 12/10/2026. Cùng ngày 22/10 với CAEX, SCEX — pháp nhân trước đây mang tên Lộc Phát Việt Nam, vừa tăng vốn lên 10.000 tỷ đồng ngày 14/10 — cũng công bố qua thẩm định này. Vậy là tính tới hôm nay, 3 trong 5 hồ sơ đã công bố có tờ giấy ở khoản 7 Điều 9 Nghị quyết 05/2025/NQ-CP.
Đặt 2 tin này cạnh vụ Binance, bạn thấy cấp độ 4 thật ra đang chống lại cái gì. Không chỉ là tường lửa hay máy chủ. Nó là cả câu hỏi: ai được quyền chạm vào hệ thống duyệt rút tiền, từ máy nào, và ai kiểm người đó. Cũng vì vậy mà Điều 8 Nghị quyết 05 không chỉ đòi máy móc, mà đòi cả người: ít nhất 10 nhân sự có chứng chỉ về an ninh mạng. Vụ Binance là lời giải thích rõ nhất cho dòng điều kiện đó.
Còn giấy phép thì sao? Từ ngày 20/01/2026 Bộ Tài chính mở nhận hồ sơ tới hôm nay, 02/11/2026, là 286 ngày, và số giấy phép đã cấp vẫn là 0. Ông Trần Xuân Tiến, Tổng thư ký Chi hội Blockchain TP.HCM, nói với báo Thanh Niên rằng vụ hack không ảnh hưởng tới thời gian cấp phép, còn tiêu chuẩn bảo mật và an toàn tài sản thì vẫn được cân nhắc kỹ.
Đây là phía cơ hội của câu chuyện. Khi sàn trong nước mở, bạn sẽ có quyền hỏi những câu mà hôm nay người dùng sàn ngoại phải chờ sàn tự nói. Dự thảo Thông tư về báo cáo và công bố thông tin đã đặt sẵn những câu đó — xem bài về những gì sàn sẽ phải khai với bạn.
Việc làm được ngay, từ hôm nay
Đọc xong rồi thì đi tiếp đâu
Nếu bạn chưa đọc, bài nền của câu chuyện này là Bitget mất tiền mà số dư khách không đổi — đọc nó trước thì vụ Binance sẽ rõ gấp đôi.
Còn nếu bạn muốn biết 5 hồ sơ sàn trong nước là ai, ai đứng sau và đã đi tới đâu, mở bài về 5 hồ sơ sắp được cấp phép.
Chúc bạn khai ngộ
Master Xuân Hùng
P.s: Sống trong mục tiêu.
Từ mục tiêu, con đường sẽ hiện dần ra.