Ví Wallet tiền điện tử Trust Wallet bị tấn công vào cuối năm: mất 7 triệu USD, Binance cam kết bồi thường toàn bộ

Cuối năm cảnh báo an toàn: Nhà cung cấp dịch vụ ví tiền điện tử Trust Wallet vừa phát hiện lỗ hổng bảo mật nghiêm trọng trong tiện ích mở rộng trình duyệt, dẫn đến khoảng 7 triệu USD vốn của người dùng bị đánh cắp. Người sáng lập Binance CZ ngay lập tức xác nhận trên mạng xã hội rằng sẽ đền bù toàn bộ cho tất cả các người dùng bị ảnh hưởng. Sự kiện này cũng một lần nữa nhấn mạnh những rủi ro an ninh ngày càng nghiêm trọng mà các chủ sở hữu tài sản số phải đối mặt, báo động toàn ngành.

Dòng thời gian tấn công hacker dần lộ diện

Theo điều tra của công ty an ninh blockchain SlowMist, cuộc tấn công mạng được lên kế hoạch kỹ lưỡng này còn có ý đồ hơn nhiều so với vẻ bề ngoài. Người sáng lập SlowMist, Yu Xian, tiết lộ rằng công tác chuẩn bị cho cuộc tấn công đã bắt đầu âm thầm từ đầu tháng 12. Cụ thể, hacker ít nhất bắt đầu chuẩn bị từ ngày 8 tháng 12, thành công cấy mã hậu cửa trong phiên bản Trust Wallet v2.68 vào giữa tháng 12, sau đó bắt đầu chuyển khoản lớn quy mô lớn của người dùng vào ngày Giáng sinh (25 tháng 12), cuối cùng bị chính thức phát hiện.

Dòng thời gian chi tiết này cho thấy toàn bộ chuỗi tấn công liên kết chặt chẽ, thể hiện rõ sự hiểu biết sâu sắc và chuẩn bị kỹ lưỡng của kẻ tấn công đối với hệ thống mục tiêu.

Cơ chế mã hậu cửa tiết lộ, rủi ro rò rỉ dữ liệu cá nhân đáng báo động

Phân tích về mặt kỹ thuật còn khiến người ta lo ngại hơn. SlowMist chỉ ra rằng, mã hậu cửa độc hại thu thập dữ liệu qua công cụ tên PostHog, không chỉ lấy trộm lịch sử giao dịch của người dùng mà còn bao gồm các thông tin cá nhân nhạy cảm nhất như mnemonic của ví. Dữ liệu thu thập sau đó được gửi đến máy chủ do kẻ tấn công kiểm soát (api.metrics-trustwallet[.]com). Điều này có nghĩa là ví tiền điện tử của người dùng bị ảnh hưởng không chỉ đối mặt với nguy cơ mất tiền trực tiếp mà còn bị lộ toàn bộ dữ liệu cá nhân.

Chính thức, Trust Wallet đã đăng bài trên nền tảng cộng đồng, nhắc nhở người dùng nâng cấp ngay lên phiên bản v2.69, đã loại bỏ mã hậu cửa.

Nghi vấn nội bộ tham gia gây rối ngành

Những người trong ngành nhận định đưa ra một giả thuyết đáng lo ngại: lỗ hổng này rất có thể liên quan đến sự tham gia của nhân viên nội bộ. Lý do là, kẻ tấn công có thể gửi bản cập nhật tiện ích mở rộng mới trực tiếp qua kênh chính thức của Trust Wallet, khả năng này vượt xa khả năng của hacker bên ngoài thông thường. SlowMist cũng chỉ ra rằng, kẻ tấn công thể hiện sự quen thuộc “rất rõ” với mã nguồn của Trust Wallet, điều này càng củng cố khả năng nội bộ tham gia.

Chính CZ cũng không phủ nhận giả thuyết này trong phản hồi, thực tế thừa nhận khả năng có nhân viên nội bộ tham gia. Hiện tại, chính thức đang điều tra cách hacker có được quyền gửi bản cập nhật mới.

Khủng hoảng an ninh ví tiền điện tử lan rộng, số liệu ngành gây sốc

Sự kiện Trust Wallet không phải là trường hợp cá biệt. Theo dữ liệu của công ty phân tích blockchain Chainalysis, số vụ trộm ví cá nhân đã tăng vọt lên 158,000 vụ trong năm 2025, gây thiệt hại khoảng 7.13 tỷ USD. Mặc dù số tiền bị đánh cắp giảm so với năm 2024, tần suất các vụ trộm vẫn ở mức cao. Thậm chí, 158,000 vụ này ảnh hưởng đến 80,000 nạn nhân khác nhau, cho thấy vấn đề mang tính phổ biến rộng rãi.

Trước đó, vụ trộm quy mô lớn tại sàn Bybit vào tháng 2 đã gây thiệt hại khoảng 1.5 tỷ USD, nhấn mạnh thêm rằng rủi ro an toàn của tài sản mã hóa không chỉ giới hạn ở một nền tảng hay sản phẩm đơn lẻ.

Hướng dẫn ứng phó cho người dùng và bài học ngành

Đối với người dùng Trust Wallet, chính thức khuyến nghị thực hiện các bước sau ngay lập tức: đầu tiên, xác nhận phiên bản tiện ích mở rộng trình duyệt, nếu chưa nâng cấp lên v2.69 trở lên thì cần cập nhật ngay; thứ hai, khuyên đổi mnemonic ví và chuyển tài sản sang thiết bị lưu trữ ngoại tuyến an toàn; thứ ba, theo dõi tất cả hoạt động liên quan đến ví để đảm bảo không có thiệt hại tài chính thêm.

Sự kiện này đã cảnh báo toàn ngành ví tiền điện tử. Các quy trình an ninh doanh nghiệp, kiểm tra mã nguồn, quản lý nhân viên cần được tăng cường. Người dùng khi chọn dịch vụ ví tiền điện tử cần thận trọng hơn trong việc đánh giá hồ sơ an ninh và năng lực kỹ thuật của nền tảng. Cam kết đền bù toàn bộ của CZ dù đã giữ vững niềm tin của người dùng, nhưng cuộc khủng hoảng an ninh này là lời cảnh tỉnh toàn ngành: đầu tư an ninh không đủ, kiểm soát rủi ro kém sẽ phải trả giá rất đắt.