Ngày 21/02/2025, sàn giao dịch tiền mã hóa Bybit đã hứng chịu một cuộc tấn công mạng nghiêm trọng, gây thiệt hại khoảng 1,5 tỷ USD. Đây là một trong những vụ hack lớn nhất trong lịch sử ngành blockchain, gióng lên hồi chuông cảnh báo về an ninh tài sản số trên toàn cầu, trong đó có Việt Nam.
Theo thông tin từ Bybit, vụ tấn công xảy ra khi sàn này thực hiện chuyển tiền từ ví lạnh (cold wallet) sang ví ấm (warm wallet) nhằm đáp ứng nhu cầu giao dịch hàng ngày. Tin tặc đã khai thác đặc điểm và sơ hở trong quy trình này để chiếm đoạt 401.347 ETH, 90.376 stETH, 15.000 cmETH và 8.000 mETH.
Nhà điều tra on-chain nổi tiếng ZachXBT nhận định, vụ hack Bybit có nhiều điểm tương đồng với vụ tấn công Phemex trước đây, củng cố giả thuyết về sự tham gia của nhóm hacker Lazarus, tổ chức đã gây ra nhiều vụ đánh cắp tài sản số lên đến hàng tỷ USD.
Ngay sau sự cố, ông Nguyễn Lê Thành, Ủy viên Ban Chấp hành, Chủ nhiệm Ủy ban An toàn Thông tin của Hiệp hội Blockchain Việt Nam (VBA), đồng thời là Nhà sáng lập VeriChains đã có mặt tại Dubai để phối hợp điều tra. Hiệp hội Blockchain Việt Nam đã tập hợp các chuyên gia công nghệ, an ninh mạng để phân tích và đánh giá kỹ thuật vụ tấn công.
Ông Nguyễn Lê Thành cho biết, với sự hỗ trợ của các đối tác, Bybit đã công bố một danh sách đen các địa chỉ ví đáng ngờ được xác định cho đến nay. Danh sách địa chỉ hiện tại là kết quả trong ba ngày làm việc liên tục của các chuyên gia và điều tra viên hàng đầu trong ngành.
Đồng thời, Bybit đã chính thức gửi lời cảm ơn đến các đối tác như Verichains và các chuyên gia công nghệ, an ninh mạng, đã cung cấp các phân tích quan trọng, đóng góp vào cuộc điều tra nhằm khám phá sự thật đằng sau vụ tấn công.
Cơ chế bảo mật bị khai thác
Ông Phan Đức Trung, Chủ tịch Hiệp hội Blockchain Việt Nam nhấn mạnh, qua vụ việc của Bybit cần nâng cao an toàn thông tin và quản lý tài sản mã hóa, đồng thời áp dụng nghiêm ngặt những nguyên tắc bảo mật cao nhất từ thiết kế kỹ thuật đến vận hành thực tế.
“Cơ chế yêu cầu 3 chữ ký trong hợp đồng thông minh (smart contract) của Bybit dù tiên tiến, nhưng chưa đủ để đối phó với các cuộc tấn công tinh vi. Việc thiết kế và vận hành các nền tảng giao dịch tài sản mã hóa đòi hỏi sự cẩn trọng tuyệt đối, đặc biệt ở khâu bảo mật. Nếu Việt Nam phát triển các sàn giao dịch tài sản mã hóa trong tương lai, cần tuân thủ nghiêm ngặt các tiêu chuẩn an toàn từ giai đoạn thiết kế đến triển khai. Chỉ một sai sót nhỏ cũng có thể gây hậu quả nghiêm trọng,” ông Trung chia sẻ.
Theo báo cáo kỹ thuật ngày 21/2/2025 của các chuyên gia từ Hiệp hội Blockchain Việt Nam, Công ty cổ phần TrustKeys Finance (thành viên VBA), Khoa An toàn Thông tin Học viện Công nghệ Bưu chính Viễn thông (PTIT), Viện Công nghệ Thông tin và Truyền thông – Học viện Kỹ thuật Quân sự và ngành Ứng dụng phần mềm – Trường Cao đẳng Việt Mỹ Hà Nội, vụ hack diễn ra theo ba giai đoạn chính:
Đầu tiên, kẻ tấn công đã tạo ra một giao dịch giả mạo với giá trị 0 ETH nhằm đánh lừa hệ thống xác thực. Giao dịch này chứa mã độc trong các tham số, qua đó cho phép tin tặc kiểm soát hợp đồng ví đa chữ ký, khiến nó bị thay đổi logic và không còn an toàn theo thiết kế ban đầu của Safe.global.
Tiếp theo, kẻ tấn công bằng các biện pháp nghiệp vụ, thủ đoạn chưa được xác định rõ, đưa giao dịch này vào danh sách chờ ký của ứng dụng ví đa chữ ký safe.global, và giao dịch này được xác thực bởi những người giữ khóa kiểm soát ví đa chữ ký này. Điều này khai thác đặc điểm trong hợp đồng thông minh của Safe.global, sử dụng phương thức “delegatecall” (gọi là hàm ủy thác) để thay đổi địa chỉ triển khai logic ví. Cuối cùng, sau khi đã chiếm quyền điều khiển, tin tặc tiến hành rút toàn bộ tài sản ETH và các token ERC-20 (token chuẩn ERC-20) từ ví lạnh của Bybit.
TS Nguyễn Trung Thành, Chủ nhiệm Ủy ban Web3 của VBA, đặt ra nghi vấn về một số điểm kẻ tấn công có thể khai thác: Nền tảng API và/hoặc máy phục vụ giao diện web của sản phẩm ví Multisig mà Bybit sử dụng, hoặc các biện pháp tấn công chuyên sâu vào các máy quản lý ví đa chữ ký của Bybit.
Đồng thời, TS Thành chỉ ra năm bài học quan trọng qua vụ việc này: Thứ nhất, yếu tố con người là mắt xích dễ bị khai thác nhất, khi kẻ tấn công lợi dụng sự bất cẩn của người ký duyệt giao dịch. Thứ hai, vụ việc chỉ ra sự thiếu sót trong hạ tầng công nghệ, đặc biệt là các cổng kết nối và giao diện người dùng, khiến lệnh giao dịch độc hại có thể được chấp nhận.
Thứ ba, thiết kế hợp đồng thông minh linh hoạt có thể trở thành điểm yếu nếu không được kiểm soát chặt chẽ. Thứ tư, có sự khác biệt giữa blockchain và hệ thống tài chính truyền thống, trong khi blockchain minh bạch giao dịch nhưng khó lấy lại tài sản khi bị chiếm đoạt.
“Cuối cùng, vụ tấn công không liên quan trực tiếp đến lỗi thiết kế hợp đồng, nhưng nhấn mạnh sự cần thiết phải cải thiện giao diện người dùng và cơ chế xác thực để giảm thiểu rủi ro trong tương lai”, TS Thành đánh giá.
Để đưa ra các nhận định trên, các chuyên gia cùng đội Taskforce của Hiệp hội Blockchain Việt Nam đã phân tích các giao dịch on-chain và dịch ngược các smart contract của kẻ tấn công đã thực hiện. Ngoài sự việc tấn công chính thức vào sàn Bybit, nhóm còn nhận thấy rằng kẻ tấn công đã “thực tập” hay diễn tập trước đó 2 ngày vào các smart contract tương đương ví multisig nhưng do họ kiểm soát.
Tác động thị trường và phản ứng từ Bybit
Chỉ trong 4 giờ sau vụ hack, thị trường ETH đã chứng kiến làn sóng thanh lý hợp đồng tương lai lên tới 76 triệu USD, kéo theo tổng giá trị thanh lý 499,23 triệu USD trong vòng 24 giờ. Giá Ethereum giảm 3% xuống còn 2.727 USD, trong khi Bitcoin cũng giảm 1%.
Ngay sau sự cố, ông Ben Zhou, CEO Bybit, đã lên tiếng trấn an khách hàng rằng các ví khác của sàn không bị ảnh hưởng và công ty vẫn có đủ năng lực tài chính để khắc phục thiệt hại.
Đến sáng 24/2 (giờ Việt Nam), CEO Bybit tiếp tục tuyên bố đã bù đắp toàn bộ số ETH bị mất. Báo cáo Proof of Reserves (POR) mới được kiểm toán sẽ sớm được công bố, khẳng định tỷ lệ tài sản 1:1, đảm bảo 100% quyền lợi cho khách hàng. Bybit cũng đã hợp tác với các tổ chức như Tether, THORChain, Changelly, FixedFloat và Avalanche để đóng băng 42,89 triệu USD tài sản bị đánh cắp và huy động 446.870 ETH (khoảng 1,23 tỷ USD) thông qua vay, tiền gửi và mua trên thị trường.
Thống kê cho thấy, từ năm 2020 đến 25/02/2025, tổng số vụ hack tiền mã hóa ước tính khoảng 657 vụ, với tổng thiệt hại khoảng 12,8 tỷ USD. Trong đó, 5 vụ hack tiền mã hoá lớn nhất gồm: Bybit (2025) với thiệt hại 1,5 tỷ USD; Ronin (2022) với thiệt hại 615 triệu USD; Poly Network (2021) với thiệt hại 610 triệu USD; DMM Bitcoin (2024) với thiệt hại 300 triệu USD; KuCoin (2020) với thiệt hại 281 triệu USD.
Cần thiết lập tiêu chuẩn an ninh tài sản số tại Việt Nam
Từ sự kiện này, ông Phan Đức Trung kêu gọi Việt Nam cần nhanh chóng thiết lập các tiêu chuẩn an toàn thông tin và quản lý tài sản mã hóa. “Khi thị trường tài sản số ngày càng phát triển, việc thiếu khung pháp lý rõ ràng không chỉ khiến nhà đầu tư dễ bị tổn thương mà còn hạn chế tiềm năng của ngành blockchain. Chỉ khi có luật pháp làm nền tảng, chúng ta mới xây dựng được hệ sinh thái tài sản mã hóa đáng tin cậy, vừa bảo vệ người dùng vừa thúc đẩy đổi mới”, ông Trung nhấn mạnh.
VBA và các chuyên gia an ninh mạng sẽ tiếp tục theo dõi vụ việc, cập nhật thông tin và đề xuất giải pháp nhằm nâng cao tiêu chuẩn bảo mật trong lĩnh vực blockchain tại Việt Nam.
| Thông tin thêm về vụ việc – Tổng thiệt hại: 1,5 tỷ USD. – Phương thức tấn công: Khai thác delegatecall để thay đổi logic hợp đồng thông minh. – Ví bị ảnh hưởng: Chỉ ví đa chữ ký ETH multisig, các ví khác chưa phát hiện có dấu hiệu bị tấn công. – Phản ứng Bybit: Đảm bảo khách rút tiền bình thường, đủ khả năng bồi hoàn, hợp tác truy vết hacker. – Tác động thị trường: Giá ETH giảm 3%, thanh lý 76 triệu USD hợp đồng tương lai trong 4 giờ. |
Tham khảo thêm bài phân tích của ông Phan Đức Trung: Tại đây
Tham khảo thêm bài phân tích kỹ thuật của TS Nguyễn Trung Thành cùng các chuyên gia công nghệ: Tại đây
Tham khảo thêm hacker tấn công Kyber Elastic: Tại đây