Blockaid: Quyền ví Ethereum được dùng trong vụ tấn công Binance

Blockaid cho biết kẻ tấn công đã lợi dụng tính năng EIP-7702 của Ethereum để cấp quyền thực thi cho mã có thể rút tài sản khỏi một ví Binance trong sự cố bảo mật ngày 29/10.

Binance ước tính tổng tác động của sự cố khoảng 6,3 tỷ USD và cho biết khoảng 3 tỷ USD tài sản bị ảnh hưởng đã được đóng băng. Sàn đang tiếp tục điều tra và dự kiến công bố báo cáo kỹ thuật sau khi hoàn tất.

Quyền EIP-7702 tạo đường rút tài sản

EIP-7702 cho phép một tài khoản Ethereum ủy quyền thực thi các chức năng cho hợp đồng thông minh. Mã của hợp đồng xác định những thao tác được phép thực hiện.

Theo Blockaid, tài khoản Binance đã ủy quyền cho một hợp đồng có chức năng rút token và Ether. Một địa chỉ được chỉ định làm “operator” có quyền sử dụng các chức năng đó, tạo đường rút tài sản khỏi ví bị ảnh hưởng, bao gồm cả tiền mới chuyển vào.

Một trong 50 quyền được chấp nhận

Blockaid cho biết kẻ tấn công đã gửi 50 quyền ủy quyền có chữ ký với các giá trị nonce liên tiếp trong một giao dịch; một quyền khớp với nonce của tài khoản khi giao dịch được ghi vào blockchain.

Nonce là bộ đếm giúp xác định liệu một quyền ủy quyền có được chấp nhận hay không và thay đổi khi các giao dịch được xử lý. Theo Blockaid, kẻ tấn công dường như không biết nonce hiện tại của ví. Hiện chưa rõ kẻ tấn công có được các chữ ký cần thiết bằng cách nào.

Binance tiếp tục điều tra sự cố

Trong cập nhật bảo mật ngày 30/10, Binance ước tính tổng tác động của sự cố khoảng 6,3 tỷ USD, trong đó khoảng 3 tỷ USD tài sản bị ảnh hưởng đã được đóng băng.

Điều tra ban đầu của Binance chỉ ra rằng máy tính xách tay của một kỹ sư có thể đã bị xâm nhập, dẫn đến các giao dịch rút tiền trái phép. Sàn cho biết sẽ bù đắp tổn thất và công bố báo cáo kỹ thuật sau khi hoàn tất điều tra.

Tổng kết

Blockaid xác định một quyền ủy quyền EIP-7702 đã kết nối ví Binance với mã có khả năng rút tài sản. Cách kẻ tấn công có được chữ ký cần thiết vẫn chưa được làm rõ, trong khi Binance tiếp tục điều tra sự cố.

Tuyên bố miễn trừ: Bài viết này chỉ nhằm mục đích cung cấp thông tin dưới dạng blog cá nhân, không phải là khuyến nghị đầu tư. Nhà đầu tư cần tự nghiên cứu kỹ lưỡng trước khi đưa ra quyết định và chúng tôi không chịu trách nhiệm đối với bất kỳ quyết định đầu tư nào của bạn.

Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, TinTucBitcoin.com hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.