Trong vụ trộm tiền điện tử lớn nhất đến nay, sàn giao dịch có trụ sở tại Seychelles Bybit đã mất khoảng 1.5 tỷ USD Ethereum (ETH) vào ngày 21 tháng 2 năm 2025, do một cuộc tấn công tinh vi của các tin tặc có liên quan đến Triều Tiên.
Sự vi phạm, được xác nhận bởi CEO của Bybit Ben Zhou, đánh dấu một sự leo thang đáng kể trong tội phạm mạng nhắm vào ngành công nghiệp tiền điện tử và đặt ra các câu hỏi quan trọng về an ninh của tài sản kỹ thuật số.
Hãy cùng phân tích sâu về vụ hack, các phương pháp kỹ thuật được sử dụng, vai trò của phân tích blockchain, sự tham gia của Nhóm Lazarus và các tác động rộng lớn hơn đến hệ sinh thái tiền điện tử.
Bybit: Một Người Chơi Quan Trọng Trong Thị Trường Tiền Điện Tử
Bybit, được thành lập vào năm 2018 và có trụ sở tại Seychelles, đã khẳng định vị thế của mình như một sàn giao dịch tiền điện tử hàng đầu, nổi tiếng với khối lượng giao dịch cao và nhiều lựa chọn đa dạng, bao gồm việc mua và bán các loại tiền điện tử theo giá thị trường hiện tại, đầu cơ vào giá cả tương lai với đòn bẩy, kiếm phần thưởng bằng cách khóa vốn để hỗ trợ hoạt động của blockchain.
Giao diện thân thiện với người dùng của sàn giao dịch và uy tín về các biện pháp bảo mật mạnh mẽ, chẳng hạn như ví lạnh đa chữ ký (multi-sig) và các cuộc kiểm toán bảo mật thường xuyên, đã thu hút một cộng đồng người dùng toàn cầu. Sự nổi tiếng này làm cho vụ hack đặc biệt gây báo động, vì nó phơi bày lỗ hổng thậm chí trên các nền tảng đáng tin cậy nhất.
Phát Hiện Vụ Hack
Vụ hack lần đầu tiên được phát hiện bởi nhà phân tích on-chain ZachXBT, người đã đánh dấu các giao dịch bất thường tổng cộng 1.46 tỷ USD từ ví của Bybit lúc 10:20 sáng ET vào ngày 21 tháng 2 năm 2025.
Những giao dịch này, liên quan đến 401,347 ETH, đã ngay lập tức gây lo ngại về một khả năng vi phạm an ninh. Trong vòng 30 phút, CEO của Bybit Ben Zhou đã xác nhận sự vi phạm trong một bài đăng trên X (trước đây là Twitter), quy kết cuộc tấn công cho một kỹ thuật giao dịch "bị che đậy" mà đã khai thác ví lạnh đa chữ ký của sàn giao dịch trong một quá trình chuyển giao thường lệ sang ví ấm.
Tìm Hiểu Về Ví Lạnh Đa Chữ Ký và An Ninh Của Chúng
Ví Lạnh Đa Chữ Ký Là Gì?
Ví lạnh đa chữ ký (multi-sig) là một loại lưu trữ tiền điện tử được thiết kế để nâng cao an ninh bằng cách yêu cầu nhiều khóa riêng để uỷ quyền một giao dịch.
Không giống như các ví một khoá đơn, dựa vào một khóa và dễ bị tổn thương hơn trước nạn trộm cắp, ví đa chữ ký phân phối sự kiểm soát giữa một số bên hoặc thiết bị. Ví dụ, một ví 2-of-3 đa chữ ký yêu cầu hai trong ba người ký được chỉ định để phê duyệt một giao dịch.
Trong khi đó, ví lạnh là các giải pháp lưu trữ ngoại tuyến, nghĩa là chúng không kết nối với internet, giảm rủi ro của các cuộc tấn công trực tuyến như hacking hoặc phishing.
Các thiết lập ví lạnh đa chữ ký của Bybit yêu cầu sự phê duyệt từ nhiều người ký, một thực tiễn tiêu chuẩn để bảo vệ số lượng lớn tiền điện tử.
Việc Bybit sử dụng ví lạnh đa chữ ký nhằm mục đích bảo vệ lượng ETH lớn của mình, làm cho sự vi phạm đặc biệt đáng ngạc nhiên và nhấn mạnh sự tinh vi của cuộc tấn công.
Vụ Hack Được Thực Hiện Như Thế Nào: Chi Tiết Kỹ Thuật
Những kẻ tấn công đã vượt qua sự bảo mật đa chữ ký của Bybit thông qua kết hợp của kỹ thuật xã hội và thao túng kỹ thuật tiên tiến.
Dưới đây là sự phân tích chi tiết về cuộc tấn công:
1. Truy Cập Ban Đầu Qua Kỹ Thuật Xã Hội
Các hacker, được cho là thuộc nhóm Lazarus có liên kết với Triều Tiên, có thể đã truy cập ban đầu thông qua các kỹ thuật lừa đảo tinh vi, chẳng hạn như:
- Email lừa đảo nhắm mục tiêu: Các email nhắm mục tiêu được thiết kế để lừa nhân viên hoặc người ký tiết lộ thông tin xác thực hoặc nhấp vào liên kết độc hại.
- Các trang web giả: Các trang phishing mô phỏng giao diện Bybit chính thức để thu thập khóa riêng hoặc cụm từ hạt giống.
- Nhiễm Do Mã Độc: Cung cấp mã độc để xâm nhập hệ thống hoặc thiết bị được sử dụng bởi những người ký.
Các chiến lược kỹ thuật xã hội này khai thác lỗi con người, một lỗ hổng nghiêm trọng ngay cả trong những hệ thống bảo mật nhất.
2. Thao Túng Giao Dịch Qua Giao Diện Bị Che Đậy
Trong một lần chuyển giao thường lệ từ ví lạnh đa chữ ký Ethereum của Bybit sang ví ấm (một ví online để thực hiện các giao dịch nhanh hơn), những kẻ tấn công đã thực hiện cuộc tấn công của chúng.
Những hacker đã thay đổi giao diện ký, phần giao diện đối mặt với người sử dụng nơi người ký chấp thuận giao dịch. Giao diện này bị thao túng để hiển thị một địa chỉ giao dịch hợp pháp trong khi lồng ghép mã độc vào logic hợp đồng thông minh bên dưới.
Người ký, không biết về sự thao túng, đã phê duyệt những gì có vẻ như là một chuyển giao thường lệ. Tuy nhiên, giao dịch được phê duyệt chứa mã độc đã thay đổi các cơ chế kiểm soát của ví.
3. Thay Đổi Logic Hợp Đồng Thông Minh
Mã độc được lồng trong giao dịch khai thác các lỗ hổng trong quy trình phê duyệt giao dịch.
Giao dịch được phê duyệt đã thay đổi logic điều hành hợp đồng thông minh, cấp quyền kiểm soát ví cho tin tặc. Điều này cho phép họ chuyển 401,347 ETH đến một địa chỉ không xác định dưới sự kiểm soát của họ.
Cuộc tấn công không làm ảnh hưởng đến blockchain Ethereum hoặc các hợp đồng thông minh của nó mà thay vào đó khai thác quy trình nội bộ của Bybit để xác thực và phê duyệt giao dịch.
4. Rửa Và Phân Tán Quỹ
Sau khi kiểm soát được quỹ, tin tặc nhanh chóng phân tán số ETH bị đánh cắp qua nhiều ví để che giấu dấu vết của chúng.
ETH được phân chia thành từng phần 1,000 ETH và được gửi đến hơn 40 ví khác nhau.
Tin tặc đã chuyển đổi ETH thành các loại tiền điện tử khác hoặc thành tiền fiat thông qua các sàn giao dịch phi tập trung (DEXs), thiếu yêu cầu biết khách hàng của bạn (KYC) của các sàn giao dịch tập trung, làm cho việc đóng băng hoặc thu hồi quỹ trở nên khó khăn hơn.
Phân Tích Blockchain và Theo Dõi Quỹ
Các công ty phân tích blockchain đóng vai trò quan trọng trong việc theo dõi các quỹ bị đánh cắp, mặc dù nỗ lực của tin tặc nhằm che giấu các hoạt động của chúng.
Các công ty và công cụ quan trọng liên quan bao gồm:
- Elliptic: Một công ty phân tích blockchain theo dõi ETH bị đánh cắp trong khi chúng được phân tán và thanh lý. Phần mềm của Elliptic phân tích các mẫu giao dịch và địa chỉ ví để xác định hoạt động đáng ngờ.
- Arkham Intelligence: Một công ty phân tích khác cung cấp theo dõi thời gian thực của các quỹ, xác định các ví liên quan và các dòng giao dịch.
- MistTrack by Slow Mist: Một công cụ pháp y blockchain được sử dụng để lập bản đồ chuyển động của ETH bị đánh cắp trên mạng Ethereum. MistTrack cảnh báo các giao dịch thử nghiệm và các mẫu ví cho thấy kỹ thuật của Nhóm Lazarus.
Mặc dù có những nỗ lực này, tốc độ và quy mô của việc thanh lý làm cho sự phục hồi trở nên thách thức.
Việc sử dụng DEXs và các công cụ trộn (công cụ xáo trộn tiền điện tử để che giấu nguồn gốc của nó) của tin tặc càng làm phức tạp quá trình.
Nhóm Lazarus: Thủ Phạm Đằng Sau Vụ Hack
Nhóm Lazarus Là Ai?
Nhóm Lazarus là một nhóm tin tặc được bảo trợ bởi nhà nước Triều Tiên, nổi tiếng với việc thực hiện các tội phạm mạng nổi bật, bao gồm các vụ cướp tiền điện tử, các cuộc tấn công ransomware và gián điệp.
Nhóm này được cho là hoạt động dưới sự chỉ đạo của Cục Tình báo Triều Tiên, với mục tiêu chính là tạo ra doanh thu cho chế độ.
Bằng Chứng Liên Kết Lazarus Với Vụ Hack Bybit
Các nhà phân tích blockchain, bao gồm ZachXBT, đã liên kết vụ hack Bybit với các khai thác trước đây của Nhóm Lazarus dựa trên nhiều chỉ số.
- Giao dịch thử nghiệm: Các giao chuyển nhỏ được gửi trước khi cuộc tấn công chính để kiểm tra chức năng của ví, một dấu ấn của các chiến thuật của Lazarus.
- Ví liên quan: Các ví được sử dụng trong vụ hack Bybit có liên quan đến những ví đã tham gia vào các vụ hack trước đây như vụ tấn công Phemex.
- Biểu đồ pháp y và phân tích thời gian: Các mẫu thời gian giao dịch và hoạt động ví khớp với những hành vi đã biết của Lazarus.
Hồ Sơ Theo Dõi Của Nhóm Lazarus
Nhóm Lazarus có một lịch sử dài về việc trộm cắp tiền điện tử, với các ví dụ đáng chú ý bao gồm:
- Vụ hack Ronin Network (2022): Đánh cắp 600 triệu USD ETH và USDC từ nền tảng gaming Axie Infinity.
- Vụ hack Phemex (2024): Liên kết đến vụ hack Bybit thông qua các kỹ thuật và mẫu ví tương tự.
- Tổng cộng năm 2024: Được ước tính đã đánh cắp 1.34 tỷ USD qua 47 vụ hack, chiếm 61% của tất cả các hoạt động tiền điện tử bất hợp pháp trong năm đó.
Các kỹ thuật tiên tiến của nhóm, chẳng hạn như các khai thác zero-day (các lỗ hổng chưa được biết đến trước đó) và kỹ thuật xã hội tinh vi, khiến họ trở thành mối đe dọa đáng gờm đối với ngành công nghiệp tiền điện tử.
Tác Động Đến Ethereum Và Hệ Sinh Thái Tiền Điện Tử
An Ninh Của Ethereum
Mặc dù quy mô vụ hack, Ethereum bản thân nó không bị ảnh hưởng.
Lỗ hổng nằm ở quy trình nội bộ của Bybit, không phải trên blockchain Ethereum hoặc các hợp đồng thông minh của nó.
Đây là lý do tại sao.
Blockchain Ethereum, một sổ cái giao dịch phi tập trung, vẫn an toàn. Cuộc tấn công không khai thác các lỗi trong cơ chế đồng thuận của blockchain (bằng chứng cổ phần) hoặc hệ thống hợp đồng thông minh của nó.
Việc vi phạm xuất phát từ các phê duyệt giao dịch bị thao túng, làm nổi bật rủi ro của các quy trình tập trung vào con người trong quản lý tiền điện tử.
Mặc dù bản thân mã hợp đồng thông minh không bị hack, việc thao túng quy trình phê duyệt thông qua một giao diện bị che đậy đã đặt ra mối lo ngại về an ninh của các giao diện người dùng và cơ chế ký giao dịch trong các ví đa chữ ký.
Tác Động Rộng Hơn Đến Thị Trường
Vụ hack đã có những tác động ngay lập tức và lây lan đến thị trường tiền điện tử.
Giá ETH đã giảm hơn 3% sau khi xác nhận vụ hack, phản ánh sự biến động cao.
Sự vi phạm trùng hợp với ETHDenver, một trong những hội nghị lớn nhất về hệ sinh thái Ethereum, tạo ra một bóng râm giảm giá lên một sự kiện thường có xu hướng tăng cho ETH.
Sự cố này làm xói mòn niềm tin vào các sàn giao dịch tập trung, khiến người dùng đặt câu hỏi về sự an toàn của tài sản của họ và gia tăng sự quan tâm đến các giải pháp tài chính phi tập trung (DeFi).
Và tất nhiên, thực tế rằng vụ hack lớn nhất từ trước đến nay xảy ra trong thị trường tăng giá cần được nhìn nhận.
Phản Ứng Và Nỗ Lực Khôi Phục Của Bybit
Phản ứng nhanh chóng của Bybit đã giúp giảm bớt hoảng loạn và chứng minh được khả năng chịu đựng hoạt động. Nội dung: Sàn giao dịch đã xử lý hơn 580.000 yêu cầu rút tiền sau vụ hack, đảm bảo người dùng có thể truy cập vào khoản tiền của họ.
Bybit cũng đã bảo đảm các khoản vay cầu nối để bù đắp tổn thất, giúp người dùng yên tâm về khả năng thanh toán của mình. Sàn giao dịch đã phát động một chương trình cung cấp tới 10% số tiền được thu hồi cho các hacker đạo đức giúp đỡ trong việc thu hồi ETH bị đánh cắp.
Những biện pháp này, dù chủ động, vẫn làm nổi bật những thách thức trong việc thu hồi tiền trong các vụ hack quy mô lớn, đặc biệt là do kỹ thuật rửa tiền của kẻ tấn công.
Các biện pháp phòng ngừa cho tương lai
Để tránh các cuộc tấn công tương tự, các chuyên gia khuyến nghị một bộ biện pháp an ninh toàn diện dựa trên các quy trình tốt nhất của ngành và những hiểu biết từ sự cố của Bybit.
1. Xác thực đa yếu tố (MFA)
Yêu cầu nhiều lớp xác minh khi phê duyệt giao dịch, chẳng hạn như:
- Xác thực sinh trắc học: Vân tay hoặc nhận diện khuôn mặt.
- Token phần cứng: Thiết bị vật lý tạo mã một lần.
- Mật khẩu tạm thời dựa trên thời gian (TOTP): Các ứng dụng như Google Authenticator để tạo mã tạm thời.
2. Kênh truyền thông an toàn
Sử dụng các kênh được mã hóa và xác thực cho tất cả các liên lạc liên quan đến giao dịch, chẳng hạn như:
- Email mã hóa đầu cuối: Các công cụ như ProtonMail hoặc Signal để nhắn tin an toàn.
- Cổng an toàn dành riêng: Hệ thống nội bộ để phê duyệt giao dịch, cách ly khỏi các mối đe dọa bên ngoài.
3. Kiểm toán bảo mật thường xuyên
Tiến hành đánh giá và thử nghiệm thâm nhập thường xuyên để xác định các lỗ hổng:
- Kiểm toán từ bên thứ ba: Thuê các công ty uy tín để xem xét các giao thức bảo mật.
- Tấn công mô phỏng: Kiểm tra hệ thống chống lại các kịch bản phishing, phần mềm độc hại và tấn công kỹ thuật xã hội.
4. Đào tạo nhân viên
Giáo dục nhân viên về việc nhận biết các mối đe dọa từ kỹ thuật xã hội, chẳng hạn như:
- Nhận thức về tấn công spear-phishing: Huấn luyện nhân viên nhận biết email hoặc liên kết đáng nghi.
- Vệ sinh thông tin xác thực: Tránh sử dụng lại mật khẩu hoặc lưu trữ khóa không an toàn.
5. Quản lý tài sản đa dạng
Phân bổ quỹ trên nhiều ví để hạn chế rủi ro:
- Cân bằng kho lạnh và ví nóng: Giữ phần lớn quỹ trong kho lạnh, với số ít trong ví nóng cho các hoạt động hàng ngày.
- Phân phối chữ ký đa phương (multi-sig): Sử dụng các cấu hình chữ ký đa phương khác nhau cho các nhóm tài sản khác nhau.
6. Hệ thống phát hiện bất thường
Triển khai các công cụ để phát hiện và cảnh báo về các mẫu giao dịch bất thường, chẳng hạn như:
- Mô hình học máy: Xác định sai lệch khỏi hoạt động bình thường, như các giao dịch lớn tại thời điểm không thông thường.
- Cảnh báo thời gian thực: Thông báo cho đội ngũ bảo mật về các dòng tiền khả nghi.
7. Cập nhật thông tin về mối đe dọa
Liên tục cập nhật các biện pháp bảo mật để đối phó với các mối đe dọa mạng đang nổi lên:
- Nguồn cấp dữ liệu tình báo về mối đe dọa: Đăng ký các dịch vụ theo dõi các kiểu tấn công mới.
- Phòng vệ trước lỗ hổng không ngày: Triển khai các bản vá và cập nhật kịp thời để khắc phục các lỗ hổng mới phát hiện.
Những biện pháp này rất quan trọng, đặc biệt là trước kỹ thuật tiên tiến của Nhóm Lazarus, bao gồm các lỗ hổng không ngày, kỹ thuật xã hội phức tạp và rửa tiền nhanh chóng.
Kết luận: Bài học cho ngành công nghiệp tiền mã hóa
Vụ hack của Bybit, vụ trộm tiền mã hóa lớn nhất trong lịch sử, nhấn mạnh những thách thức bảo mật liên tục mà ngành phải đối mặt, đặc biệt từ những tác nhân được nhà nước tài trợ như Nhóm Lazarus.
Dù Ethereum vẫn an toàn, sự cố này nhấn mạnh nhu cầu của các quy trình nội bộ vững chắc, các biện pháp an ninh mạng tiên tiến và liên tục giám sát để bảo vệ tài sản kỹ thuật số.
Khi hệ sinh thái tiền mã hóa phát triển, các sàn giao dịch phải ưu tiên sự tin tưởng của người dùng và sự bền bỉ trong hoạt động để điều hướng hiệu quả qua những cuộc khủng hoảng như vậy.
Sự cố của Bybit là một lời nhắc nhở nghiêm túc rằng ngay cả những nền tảng an toàn nhất cũng dễ bị tổn thương trước lỗi con người và các cuộc tấn công tinh vi, nhấn mạnh tầm quan trọng của bảo mật từng lớp và sự hợp tác trong ngành để chống lại tội phạm mạng.