Sàn crypto Bitget bị hack gần 388 triệu USD

Nguồn ảnh: VnExpress

Sàn giao dịch tiền số Bitget bị rút trái phép khoảng 387,5 triệu USD, sau khi hacker xâm nhập hệ thống backend xử lý giao dịch.

Sự cố bắt đầu từ cuối tuần, khi hệ thống bảo mật của Bitget phát hiện các giao dịch bất thường từ một phần hạ tầng ví nóng và ví ấm. Ban đầu, sàn ước tính khoảng 351,6 triệu USD tài sản bị ảnh hưởng, nhưng sau đó nâng con số lên 387,5 triệu USD khi rà soát thêm các giao dịch trên mạng lưới Zcash và TRON. Theo The Block, đây hiện là một trong những vụ trộm tiền số lớn nhất trong năm 2026.

Ví nóng (hot wallet) là ví tiền số kết nối Internet, dùng để giao dịch và rút tiền thường xuyên nên tiện lợi nhưng có mức độ rủi ro bảo mật cao hơn, đối nghịch so với ví lạnh (cold wallet). Ví ấm (warm wallet) là ví nằm giữa ví nóng và ví lạnh, vẫn có khả năng kết nối hệ thống trực tuyến để phục vụ giao dịch nhưng được tách biệt và kiểm soát chặt hơn ví nóng.

Bitget cho biết khóa riêng tư (private key) không bị đánh cắp, ví lạnh vẫn an toàn và số dư trên tài khoản của khách hàng không bị ảnh hưởng. Tuy nhiên, sự cố đã buộc sàn phải tạm dừng rút tiền để kiểm tra toàn bộ hạ tầng.

Bitget là một sàn giao dịch tiền số được thành lập năm 2018, cung cấp dịch vụ mua bán và giao dịch nhiều loại tài sản trên thị trường toàn cầu. Đây là sàn giao dịch crypto lớn thứ 6 tính theo khối lượng giao dịch, với hàng chục triệu người dùng trên toàn thế giới. Sàn này đã có cộng đồng và kênh hỗ trợ chính thức cho thị trường Việt Nam từ năm 2022.

Điểm đáng chú ý là đây không phải kiểu tấn công phổ biến trong đó hacker lấy được private key rồi trực tiếp phê duyệt giao dịch chuyển tiền. Bitget cho biết kẻ tấn công đã xâm nhập một hệ thống backend (hệ thống phía sau hỗ trợ hoạt động) quan trọng trong hạ tầng ví, sau đó làm giả dữ liệu giao dịch được đưa vào quy trình phê duyệt. Hệ thống cấp quyền của sàn vì vậy đã xử lý các lệnh chuyển tài sản bất hợp pháp như các giao dịch hợp lệ. Nói cách khác, vấn đề nằm ở lớp điều khiển và phê duyệt giao dịch, thay vì khóa mật mã trực tiếp bảo vệ tài sản.

Phân tích của công ty chuyên về điều tra tội phạm tài chính và blockchain TRM Labs cho thấy tiền bị rút từ nhiều mạng, bao gồm Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BNB Chain và Base. Các tài sản bị ảnh hưởng gồm ETH, XRP, BNB, AVAX, USDT, USDC cùng một số token khác.

Ứng dụng sàn giao dịch Bitget trên điện thoại được đặt trước hình ảnh CEO Gracy Chen. Ảnh: Tất Đạt — Ứng dụng sàn giao dịch Bitget trên điện thoại được đặt trước hình ảnh CEO Gracy Chen. Ảnh: *Tất Đạt*

Vụ việc đang làm dấy lên lo ngại về cách hacker vượt qua hệ thống kiểm soát của một sàn giao dịch. Nếu private key bị đánh cắp, việc bảo vệ tài sản thường tập trung vào quản lý khóa, phân quyền phê duyệt giao dịch và sử dụng ví lạnh. Nhưng trong trường hợp Bitget, theo thông tin hiện tại, hacker đã tìm cách khiến hệ thống nội bộ tin rằng một giao dịch trái phép là hợp lệ.

Phân tích của công ty an ninh mạng Hypernative cho rằng lỗ hổng nằm ở việc hệ thống phê duyệt giao dịch có thể dựa vào thông tin về địa chỉ nhận và số tiền do một dịch vụ backend cung cấp, thay vì tự xác minh lại các thông tin này trước khi phê duyệt giao dịch. Hiểu một cách đơn giản, hacker không nhất thiết phải "ăn cắp chìa khóa két sắt". Họ tìm cách đánh lừa hệ thống quản lý để chính hệ thống mở két và chuyển tiền. Điều này đặt ra câu hỏi lớn hơn cho các sàn tập trung: việc kiểm soát private key vẫn chưa đủ nếu lớp phần mềm đứng trước quy trình phê duyệt giao dịch có thể bị thao túng.

Ngay sau khi phát hiện vụ việc, Bitget tạm dừng toàn bộ hoạt động rút tiền. Sàn nhấn mạnh đây là biện pháp bảo mật, không phải do thiếu thanh khoản. Hoạt động giao dịch và nạp tiền vẫn được duy trì, trong khi số dư tài khoản của khách hàng được giữ nguyên. Sàn cho biết quỹ bảo vệ người dùng của mình đang có hơn 464 triệu USD, đủ để bao phủ khoản thiệt hại 387,5 triệu USD được xác định trong vụ việc. Tuy nhiên, nhiều chuyên gia lưu ý toàn bộ quỹ bảo vệ không hoàn tiền là tiền mặt có thể lập tức sử dụng.

Bitget nghi ngờ có liên quan tới các nhóm hacker Triều Tiên, nhưng đây chưa phải là kết luận cuối cùng của cuộc điều tra. CEO Gracy Chen cho biết phân tích IP, hành vi và dữ liệu cho thấy phương thức tấn công "rất nhất quán" với các nhóm hacker Triều Tiên. Công ty cũng cho rằng một số địa chỉ được sử dụng để rửa tiền có sự tương đồng với các vụ tấn công trước đây.

TRM Labs thận trọng hơn. Đơn vị này cho biết các địa chỉ liên quan vụ Bitget có những điểm giao với các ví từng được sử dụng trong các vụ hack trước đây được cho là liên quan tới Triều Tiên, trong đó có vụ Bybit. Tuy nhiên, TRM cho biết chưa chính thức quy trách nhiệm vụ Bitget cho Triều Tiên và cho rằng cần thêm bằng chứng kỹ thuật để củng cố liên kết này.

Cuộc điều tra hiện có sự tham gia của Mandiant - công ty an ninh mạng thuộc Google Cloud - và SlowMist - công ty an ninh mạng có kinh nghiệm truy lùng nhiều vụ hack sàn crypto - cùng các cơ quan chức năng. Nhiệm vụ ưu tiên hiện tại là tập trung vào việc truy tìm dòng tiền.

Sau khi xác định đường tấn công, Bitget cho biết lỗ hổng đã được khắc phục và sự cố đã được cô lập. Sàn cũng lập chương trình Recovery Bounty, treo thưởng 5% giá trị cho những bên hỗ trợ trực tiếp việc đóng băng hoặc thu hồi tài sản bị ảnh hưởng, tùy theo điều kiện chương trình.

Tiểu Gu

Cuối tuần qua, hệ thống bảo mật của sàn giao dịch tiền số Bitget phát hiện những giao dịch bất thường, xuất phát từ một phần hạ tầng gồm ví nóng và ví ấm. Ban đầu, Bitget ước tính tài sản bị ảnh hưởng trị giá khoảng 351,6 triệu USD, nhưng con số tăng lên sau khi sàn rà soát thêm dữ liệu. Khi tính cả các giao dịch trên mạng lưới Zcash và TRON, tổng thiệt hại được xác định là 387,5 triệu USD, theo thông tin trong bài viết của VnExpress. The Block xếp vụ việc vào nhóm những vụ trộm tiền số lớn nhất năm 2026, cho thấy quy mô đáng kể của sự cố tại Bitget. Ví nóng kết nối Internet, phục vụ giao dịch và rút tiền thường xuyên, thuận tiện hơn nhưng cũng đối mặt rủi ro bảo mật cao hơn ví lạnh. Ví ấm nằm giữa hai loại ví, vẫn kết nối với hệ thống trực tuyến nhưng được tách biệt và kiểm soát chặt chẽ hơn ví nóng. Bitget cho biết khóa riêng tư, vốn được dùng để phê duyệt quyền kiểm soát tài sản, không bị đánh cắp trong vụ tấn công. Sàn cũng nói ví lạnh vẫn an toàn, số dư tài khoản khách hàng không bị ảnh hưởng, nhưng đã tạm ngừng rút tiền để rà soát hạ tầng. Động thái này khiến việc rút tài sản bị gián đoạn, trong khi hoạt động giao dịch và nạp tiền vẫn tiếp tục theo thông báo của sàn. Điểm khác thường nằm ở cách kẻ tấn công vượt qua quy trình bảo vệ, thay vì lấy khóa riêng tư rồi tự phê duyệt lệnh chuyển tiền. Bitget cho biết tin tặc xâm nhập một hệ thống backend quan trọng trong hạ tầng ví, sau đó làm giả dữ liệu giao dịch đưa vào quy trình phê duyệt. Hệ thống cấp quyền đã xử lý những lệnh chuyển tài sản bất hợp pháp như giao dịch hợp lệ, theo thông tin được công bố về vụ việc. Phân tích của TRM Labs cho thấy tiền bị rút qua nhiều mạng blockchain, gồm Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BNB Chain và Base. Các tài sản bị ảnh hưởng gồm ETH, XRP, BNB, AVAX, USDT, USDC cùng một số token khác, phản ánh phạm vi rộng của sự cố. Cách thức này khiến trọng tâm điều tra không chỉ là việc bảo vệ khóa, mà còn là độ tin cậy của phần mềm xử lý và duyệt lệnh. Hypernative nhận định lỗ hổng có thể nằm ở việc hệ thống phê duyệt dựa vào địa chỉ nhận và số tiền do dịch vụ backend cung cấp. Nếu không tự xác minh lại các thông tin ấy trước khi cho phép chuyển tài sản, quy trình bảo vệ có thể bị đánh lừa. Nói dễ hiểu, tin tặc không nhất thiết phải lấy chìa khóa két sắt, mà có thể khiến hệ thống quản lý tin rằng lệnh chuyển tiền là hợp pháp. Vụ việc vì thế đặt ra câu hỏi về giới hạn của biện pháp giữ khóa riêng tư tại các sàn giao dịch tập trung. Ngay cả khi khóa được bảo vệ, lớp phần mềm đứng trước quy trình phê duyệt vẫn có thể trở thành điểm yếu nếu dữ liệu đầu vào bị thao túng. Bitget nói việc dừng rút tiền là biện pháp bảo mật, không phải dấu hiệu thiếu thanh khoản, đồng thời khẳng định số dư người dùng được giữ nguyên. Bitget cho biết quỹ bảo vệ người dùng có hơn 464 triệu USD, cao hơn khoản thiệt hại 387,5 triệu USD được xác định, nhưng chuyên gia lưu ý quỹ không đồng nghĩa toàn bộ tiền mặt sẵn sàng hoàn trả. Sàn nghi ngờ vụ tấn công có liên quan đến các nhóm hacker Triều Tiên, tuy nhiên đây chưa phải kết luận cuối cùng của cuộc điều tra. CEO Gracy Chen nói phân tích địa chỉ IP, hành vi và dữ liệu cho thấy phương thức tấn công rất nhất quán với các nhóm này; Bitget, thành lập năm 2018, là sàn lớn thứ sáu theo khối lượng giao dịch, có hàng chục triệu người dùng và cộng đồng Việt Nam từ năm 2022.