Vào rạng sáng ngày 20 tháng 9, sàn giao dịch tiền điện tử Singapore BingX xác nhận đã có một cuộc tấn công bảo mật. Sự cố này đã dẫn đến "một khoản mất mát nhỏ về tài sản," theo các quan chức của công ty. Tuy nhiên, các chuyên gia đã cho biết rằng nó có thể đã dẫn đến việc đánh cắp hàng triệu đô la. Đây không phải là vụ hack sàn giao dịch tiền điện tử lớn đầu tiên trong những năm gần đây.
Khi thị trường tăng giá trị, rủi ro liên quan đến nó cũng tăng lên. Tin tặc đang tấn công các sàn giao dịch tiền điện tử tập trung bởi vì chúng là cửa ngõ vào thế giới tài sản kỹ thuật số. Các nền tảng này nắm giữ hàng tỷ đô la quỹ của người dùng, khiến chúng trở nên hấp dẫn như các ngân hàng truyền thống ngày xưa đối với tội phạm mạng. Tiền điện tử là phi tập trung, và các sàn giao dịch khác nhau có mức độ an ninh khác nhau. Điều này đã dẫn đến một số vụ trộm lớn nhất trong lịch sử tiền bạc.
Sự gia tăng của các vụ hack sàn giao dịch chứng tỏ một sự thật quan trọng về tiền điện tử: công nghệ blockchain được ca ngợi là an toàn, nhưng những nơi mà người dùng lưu trữ và giao dịch tài sản của họ vẫn dễ bị tấn công. Nhiều vụ hack này lợi dụng các lỗ hổng trong giao thức bảo mật, lỗi mã hoá hoặc thậm chí là sự cẩu thả của nhân viên. Hàng triệu đô la đã bị đánh cắp, làm suy yếu niềm tin của công chúng và khiến mọi người tự hỏi liệu tiền điện tử có bao giờ được sử dụng rộng rãi mà không có hạ tầng tốt hơn.
Trong khi vụ bê bối BingX đang diễn ra, hãy cùng nhìn lại 10 vụ hack sàn giao dịch tiền điện tử lớn nhất trong vài năm qua và nói về các lỗ hổng kỹ thuật, ảnh hưởng tài chính và bài học rút ra.
1. Mt. Gox (2014) – Sự sụp đổ của Người Khổng Lồ
Sàn giao dịch Nhật Bản Mt. Gox thống trị giao dịch Bitcoin vào đầu thập kỷ 2010. Đây là nơi xảy ra cuộc tấn công nổi tiếng nhất trong lịch sử tiền điện tử.
Sàn giao dịch này xử lý hơn 70% tất cả các giao dịch Bitcoin trên toàn thế giới vào thời điểm đỉnh cao của nó. Rất nhiều người đã hoảng sợ khi Mt. Gox đột ngột dừng giao dịch vào tháng 2 năm 2014. Không lâu sau đó, sàn giao dịch này phá sản và cho biết rằng 850.000 BTC, trị giá 450 triệu đô la vào thời điểm đó, đã bị đánh cắp. Tính theo giá trị ngày nay, số tiền đó sẽ là hàng tỷ đô la. Thậm chí 10 năm sau, câu chuyện vẫn khá đáng sợ.
Cuộc tấn công diễn ra trong vài năm. Tin tặc từ từ lấy Bitcoin ra khỏi ví Mt. Gox bằng cách lợi dụng các lỗ hổng trong các ví nóng của công ty và các thực hành bảo mật kém bên trong công ty. Vấn đề chính là một điểm yếu trong hệ thống xác minh giao dịch của sàn giao dịch. Điểm yếu này, gọi là "malleability giao dịch," cho phép bọn trộm thay đổi ID giao dịch và lấy tiền mà không bị phát hiện.
Mark Karpeles, CEO của Mt. Gox, sau đó bị bắt và buộc tội trộm cắp. Vụ hack này vẫn được ghi nhớ như một bài học trong thế giới tiền điện tử vì nó cho thấy mức nguy hiểm khi quản lý kém và bảo mật không đủ mạnh. Một số Bitcoin bị đánh cắp đã được tìm thấy.
2. Coincheck (2018) – Vụ đánh cắp NEM trị giá 500 triệu đô la
Hơn 500 triệu đô la giá trị token NEM (XEM) đã bị đánh cắp từ sàn giao dịch Coincheck tại Nhật Bản vào tháng 1 năm 2018.
Các giao dịch NEM phức tạp hơn giao dịch Bitcoin vì chúng cần được phê duyệt bởi nhiều hơn một người. Nhưng điều đó không giúp được. Tại sao? Thật không may, Coincheck giữ hầu hết NEM của mình trong "ví nóng." Những cái ví này trực tuyến và có thể bị hack khá dễ dàng.
Tin tặc xâm nhập vào máy chủ của Coincheck và truy cập vào ví nóng của sàn giao dịch. Một nhược điểm lớn trong bảo mật của sàn giao dịch là không sử dụng ví multi-signature cho một số lượng lớn tài sản như vậy. Khi chúng đã ở bên trong, tin tặc chuyển NEM sang các tài khoản khác nhau. Mặc dù công nghệ blockchain không thể bị thay đổi, Coincheck không thể hoàn tác các giao dịch vì NEM là phi tập trung.
Sự minh bạch của blockchain NEM giúp cảnh sát tìm thấy một số tiền bị đánh cắp, nhưng rất nhiều trong số đó vẫn mất tích. Vì vụ hack, Coincheck đã phải bồi thường cho những người dùng bị ảnh hưởng từ tiền túi. Điều này dẫn đến việc chính phủ Nhật Bản giám sát các sàn giao dịch chặt chẽ hơn.
3. Bitfinex (2016) – Bài toán Multi-Sig
Bitfinex là một trong những sàn giao dịch tiền điện tử lớn nhất vào tháng 8 năm 2016 khi một vụ hack đánh cắp 120.000 BTC, trị giá khoảng 72 triệu đô la.
Một công ty bảo mật blockchain gọi là BitGo cung cấp Bitfinex với hệ thống ví multi-signature. Tuy nhiên, cách setup này bị phát hiện có các lỗ hổng do vụ hack.
Tin tặc xâm nhập bảo mật của Bitfinex và truy cập vào ví nóng của sàn giao dịch. Nhược điểm trong quản lý chìa khóa của Bitfinex và lỗi mã hoá trong việc triển khai multi-sig là lý do tin tặc có thể truy cập, như đã được khám phá sau đó.
Cả tác động tài chính và cách xử lý sau đó của vụ hack Bitfinex đều đáng chú ý. Để đại diện số tiền bị mất, sàn giao dịch đã tạo ra một token (BFX) mà người dùng có thể giao dịch hoặc giữ lại cho đến khi tình hình tài chính của sàn giao dịch cải thiện. Mặc dù Bitfinex đã bồi thường cho khách hàng bị ảnh hưởng, sự kiện này đã đặt câu hỏi về an toàn của các sàn giao dịch tập trung và tính hữu ích của ví multi-signature.
4. Binance (2019) – Một mục tiêu quá lớn để thất bại
Vào tháng 5 năm 2019, một vụ hack lớn đã xảy ra tại Binance, một trong những sàn giao dịch tiền điện tử lớn nhất về khối lượng. Vào thời điểm đó, 7.000 BTC—tương đương khoảng 40 triệu đô la—bị đánh cắp. Đó là một sự kiện lớn trong ngành công nghiệp tiền điện tử, ít nhất là nói như vậy.
Tin tặc sử dụng sự kết hợp của lừa đảo, virus, và các kỹ thuật tinh vi khác để lấy một số lượng lớn khóa API của người dùng, mã 2FA, và có thể các thông tin khác có thể giúp lẻn vào nội bộ của sàn giao dịch khổng lồ này.
Bởi vì các phương pháp tinh vi được sử dụng, vụ hack Binance nổi bật. Cuộc tấn công đã được thực hiện một cách rất tổ chức bởi những kẻ tấn công, những người đã rút Bitcoin trong một giao dịch nhanh chóng gây ra trình báo động.
Việc rút tiền bị dừng ngay lập tức và một phản ứng khẩn cấp được khởi động bởi Binance. May mắn cho người dùng của mình, những tổn thất đã được bù đắp bởi quỹ SAFU (Secure Asset Fund for Users) của Binance, được thành lập đặc biệt cho các tình huống khẩn cấp như thế này.
Mặc dù các hệ thống bảo mật của nền tảng đã bị thâm nhập, nhưng các giao thức của Binance đã cho phép họ giảm thiểu thiệt hại và hồi phục nhanh chóng, theo CEO Binance Changpeng Zhao, người đã phát biểu về vụ việc sau đó.
Vụ hack này chứng minh rằng không có nền tảng nào an toàn từ các cuộc tấn công mạng không ngừng phát triển.
5. KuCoin (2020) – Vụ trộm 275 triệu đô la
Một vụ hack xảy ra vào tháng 9 năm 2020 tại sàn giao dịch Singapore KuCoin, và giá trị khoảng 275 triệu đô la tiền Ethereum, Bitcoin, và token ERC-20 đã bị đánh cắp.
Một lần nữa, ví nóng của sàn giao dịch đã bị thâm nhập, chứng minh rủi ro khi giữ tài sản lớn trực tuyến.
Cả số lượng bị đánh cắp và phản ứng nhanh chóng của KuCoin làm cho cuộc tấn công đáng chú ý. Một phần lớn tài sản bị đánh cắp đã nhanh chóng được đông lạnh bởi sàn giao dịch, hợp tác với các nhóm dự án và các doanh nghiệp blockchain. Cuối cùng, hơn 200 triệu đô la trong số tiền bị cướp đã được trả lại.
Phản ứng của KuCoin cho thấy các biện pháp an ninh tiền điện tử đang trở nên tiên tiến như thế nào, đặc biệt là khả năng làm việc với các dự án blockchain để ngăn chặn hoặc hoàn tác chuyển tiền bị đánh cắp.
Nhưng nó đã gây ra một cuộc trò chuyện rộng hơn về những nguy hiểm của các sàn giao dịch tập trung và nhấn mạnh sự cần thiết phải cải thiện an ninh cho ví nóng.
6. NiceHash (2017) – Vụ hack khai thác trị giá 64 triệu đô la
Thị trường khai thác tiền điện tử NiceHash tại Slovenia đã bị tấn công vào tháng 12 năm 2017, dẫn đến vụ đánh cắp 4.700 BTC, trị giá khoảng 64 triệu đô la vào thời điểm đó.
Sau khi lấy tiền từ NiceHash, những kẻ tấn công có khả năng đã sử dụng kỹ thuật social engineering để truy cập vào hệ thống nội bộ của công ty.
Không giống các cuộc tấn công thông thường hơn, điều này nhắm vào một nền tảng khai thác.
Người dùng của NiceHash, những người đã cho thuê sức mạnh tính toán của họ cho người khác đổi lại Bitcoin, đã phải chịu mất mát lớn. Để đối phó, công ty đóng băng tất cả các hoạt động và khởi động một cuộc điều tra toàn diện.
Mặc dù NiceHash cuối cùng đã trả lại cho những người dùng bị ảnh hưởng, sự cố này cho thấy mức độ dễ bị tấn công của toàn bộ hệ sinh thái tiền điện tử, bao gồm cả các nền tảng khai thác.
7. Liquid (2021) – Vụ khai thác trị giá 94 triệu đô la
Sàn giao dịch Nhật Bản Liquid đã mất hơn 94 triệu đô la giá trị của Bitcoin, Ethereum, và các loại tiền điện tử khác trong một vụ tấn công vào tháng 8 năm 2021.
Tài sản của Liquid được chuyển đến nhiều địa chỉ sau khi tin tặc truy cập vào ví nóng của họ. Ngay khi nhận ra rằng có thể mất nhiều tiền hơn, sàn giao dịch đã chuyển tiền vào ví lạnh.
Sau đó, Liquid hợp tác với các sàn giao dịch khác để ngừng tất cả các giao dịch nhằm xác định kẻ trộm và, hy vọng, khôi phục tiền bị đánh cắp. Mặc dù một phần tài sản đã được khôi phục, sự cố này đã làm nổi lên những mối lo ngại tiếp tục về độ dễ bị tấn công của ví nóng và những khó khăn của bảo mật tài sản kỹ thuật số theo thời gian thực.
8. Cryptopia (2019) – Sự sụp đổ của một người khổng lồ nhỏ
Mặc dù có quy mô khiêm tốn, sàn giao dịch tiền điện tử Cryptopia của New Zealand đã được người dùng của mình đánh giá cao.
Một vụ tấn công vào tháng 1 năm 2019 phá hỏng sàn giao dịch, đánh cắp khoảng 16 triệu đô la giá trị tiền điện tử. Cryptopia đã phải dừng tất cả các hoạt động sau vụ hack và sàn giao dịch này đã phá sản.
Bởi vì Cryptopia không có nhiều tiền để trả cho các nạn nhân, cuộc tấn công này đặc biệt tồi tệ đối với họ. Tất cả tài sản của một số người dùng đã bị mất. Các quy trình nội bộ và quản lý rủi ro của sàn giao dịch đã được xem xét lại sau khi các cuộc điều tra tiết lộ nhiều vi phạm bảo mật.
9. Zaif (2018) – Vụ hack trị giá 60 triệu đô la
Cuộc tấn công xảy ra vào tháng 9 năm 2018 tại sàn giao dịch tiền điện tử Nhật Bản Zaif đã dẫn đến vụ đánh cắp khoảng 60 triệu đô la giá trị Bitcoin, Bitcoin Cash, và MonaCoin.
Sau khi xâm nhập vào ví nóng của sàn giao dịch, tin tặc đã di chuyển số tiền này xung quanh. Trong một thời gian trước khi bất kỳ ai nhận ra.
Để bù đắp một số khoản lỗ của mình, Tech Bureau, công ty mẹ của Zaif, đã bán quyền kiểm soát công ty cho Fisco, một nhà cung cấp dịch vụ tài chính Nhật Bản khác. Kết quả của vụ hack, Zaif đã phải tạm thời ngừng hoạt động, và chính phủ Nhật Bản bắt đầu thắt chặt các biện pháp đối với các sàn giao dịch tiền điện tử.
10. Bitmart (2021) – Vi phạm ví nóng trị giá $150 triệu
Vào tháng 12 năm 2021, đã xảy ra một vụ hack lớn tại Bitmart, một sàn giao dịch bitcoin nổi tiếng trên toàn thế giới. Tiền của người dùng trị giá gần $150 triệu đã bị đánh cắp trong cuộc tấn công. Ví nóng cho Binance Smart Chain (BSC) và các token Ethereum (ETH) trên sàn giao dịch là những điểm yếu khiến vụ hack xảy ra. Các hacker có thể làm bất cứ điều gì chúng muốn với tiền điện tử được lưu trữ trong ví của Bitmart khi đã có chìa khóa ví của sàn giao dịch.
Một trong những mánh khóe phức tạp hơn của kẻ tấn công là họ đã thiết lập rút tiền tự động cho nhiều token, như Safemoon, Shiba Inu (SHIB), và các token khác.
Công ty bảo mật PeckShield đã là công ty đầu tiên phát hiện các giao dịch không bình thường và thông báo cho mọi người biết về chúng. Ngay sau đó, CEO của Bitmart là Sheldon Xia xác nhận vụ hack và ngừng việc rút và nạp tiền trên trang cho tới khi họ có thể đánh giá thiệt hại.
Bitmart nhanh chóng thông báo với người dùng của mình rằng họ sẽ bù đắp các khoản lỗ bằng túi tiền của chính mình.
Giống như các vụ hack khác, vụ hack Bitmart đã thu hút sự chú ý vào các vấn đề bảo mật lớn đi kèm với việc lưu trữ ví nóng. Bất cứ thứ gì luôn được kết nối với internet đều dễ bị tấn công.
Tuy nhiên, còn nhiều hơn thế nữa.
Các cuộc tấn công như thế này khiến mọi người đặt câu hỏi về mức độ tin cậy của các sàn giao dịch tập trung và khả năng bảo vệ tiền của người dùng của chúng.
Do những gì đã xảy ra, nhiều người đã rút ra kết luận rằng bảo mật cần được thắt chặt và lưu trữ ví lạnh cần trở nên phổ biến hơn để những vấn đề tương tự không xảy ra một lần nữa.