Tính đến ngày 1/11/2026 theo giờ Việt Nam, những kẻ tấn công Binance vẫn còn đang giữ khoảng 3,2 tỷ USD dưới dạng ETH, BTC, XRP, SOL và TRX. Đây là các tài sản gốc, không có tổ chức phát hành nên không thể bị khóa từ xa. Khoảng 63-67 triệu USD đã được chuyển ra khỏi tầm theo dõi, chủ yếu xuất phát từ mạng TRON qua các dịch vụ hoán đổi liên chuỗi.

Khoảng 2,85 tỷ USD, tương đương 44% tổng vụ việc, đã bị phong tỏa ngay sau khi vụ tấn công diễn ra, gần như toàn bộ là stablecoin do Tether, Circle và các tổ chức phát hành khác chủ động khóa. Tổng tài sản bị rút khỏi các ví Binance lên tới 6,4 tỷ USD, khiến thị trường tài sản mã hoá chao đảo và sụt giảm mạnh sau đó.

Vụ việc cũng cho thấy những kẻ tấn công đã có sự chuẩn bị kỹ lưỡng. Ngay sau khi rút tiền, kẻ tấn công ưu tiên chuyển đổi những tài sản có thể bị khóa như USDT, RLUSD sang ETH, chấp nhận mức lỗ 12-26% so với giá thị trường để hoàn tất trước khi bị phong tỏa (theo Elliptic).

Tính đến ngày 1/11, Binance đã dùng vốn riêng bù đắp 95% tài sản bị mất và mở lại rút tiền theo từng đợt trên 15 mạng. Báo cáo bằng chứng dự trữ đầy đủ dự kiến sẽ được sàn giao dịch lớn nhất thế giới về quy mô giao dịch công bố ngày 3/11.

Đánh giá về vụ tấn công mạng lớn nhất kể từ trước tới nay, Chainalysis, Công ty phân tích dữ liệu blockchain hàng đầu thế giới gọi đây là “kiểu rửa tiền chưa từng thấy” qua ma trận hàng nghìn ví và giao thức tài chính phi tập trung, gây cản trở quá trình truy vết và phong toả.

Đồng quan điểm, ông Trần Huyền Dinh, Chủ nhiệm ChainTracer, chương trình truy vết của Hiệp hội Blockchain và Tài sản số Việt Nam, cho rằng, nếu như ở các vụ việc trước đây, những kẻ tấn công thường sử dụng các công cụ rửa tiền như cầu nối liên chuỗi, đặc biệt THORChain, để đổi ETH sang BTC thì ở lần này, chúng tập trung vào các giao thức cho vay, sàn phi tập trung và luân chuyển vòng tròn tự động.

Ảnh minh hoạ

Cụ thể, những kẻ tấn công đã luân chuyển tài sản chiếm được theo vòng tròn tự động. Tiền không đi một chiều mà bị chuyển qua lại giữa các ví, nhiều lần quay về ví đã dùng trước đó. Trên TRON, 638 triệu TRX đã tạo ra 2,12 tỷ TRX lượt luân chuyển qua 2.575 ví và 14.166 giao dịch (theo SomaXBT). Các vòng chuyển này triệt tiêu lẫn nhau, chỉ có một phần nhỏ thực sự đi ra ngoài. Mục đích là tạo “nhiễu”: điều tra viên phải kiểm tra hàng nghìn giao dịch không mang ý nghĩa để tìm ra vài giao dịch quan trọng. Chainalysis cho rằng tốc độ và tính lặp lại của các giao dịch cho thấy việc này do phần mềm tự động thực hiện, không phải do con người.

Thứ hai, dùng giao thức cho vay để né phong tỏa và cắt dấu vết. Trên Ethereum, kẻ tấn công gửi 60 triệu USDT vào Aave làm tài sản thế chấp và vay ra 19.762 ETH trước khi Tether kịp khóa ví. Khi USDT đã nằm trong quỹ chung của Aave, Tether không thể khóa riêng phần này mà không ảnh hưởng người dùng khác. Trên TRON, Chainalysis ghi nhận kẻ tấn công dùng các nền tảng cho vay để né phong tỏa stablecoin.

Báo cáo của ChainTracer, chương trình truy vết của Hiệp hội Blockchain và Tài sản số Việt Nam, cũng thấy ví nhận TRX lớn nhất gửi và rút khoảng 144,8 triệu TRX qua quỹ cho vay JustLend trước khi chia nhỏ. Tiền rút ra từ quỹ chung không còn liên kết trực tiếp với tiền đã gửi vào, nên quỹ cho vay được dùng như một điểm cắt dấu vết.

Thứ ba, bán stablecoin cho nhà tạo lập thị trường qua giao thức đặt lệnh theo ý định. Khoảng 325 triệu USDT được bán qua UniswapX và các hệ thống hỏi giá (RFQ), nơi các nhà tạo lập thị trường chuyên nghiệp khớp lệnh ngay lập tức với khối lượng lớn. Kẻ tấn công chấp nhận lỗ hơn 10% để đổi xong 325 triệu USDT trong khoảng 15 phút, trước khi lệnh phong tỏa có hiệu lực. Đây cũng là một trong những điểm khác biệt so với các vụ việc trước đây nhằm né động thái phong toả stablecoin bởi các đơn vị phát hành.

Thứ tư, kích hoạt ví hàng loạt và chia nhỏ dưới ngưỡng cảnh báo. Trên TRON, nhiều ví mới nhận một khoản 1 TRX trước khi nhận tiền lớn; đây là bước kích hoạt tài khoản trên TRON, được thực hiện hàng loạt. Sau đó tiền được chia thành các khoản khoảng 98.000 USDT, thấp hơn ngưỡng 100.000 USD mà nhiều sàn và công cụ giám sát dùng để cảnh báo.

Thứ năm, kiên nhẫn với phần lớn tài sản. Trong khi TRON bị rửa liên tục, hơn 3 tỷ USD dưới dạng ETH, BTC, XRP và SOL vẫn nằm yên. Bitcoin được chia sẵn thành các khối 1.000 BTC để thuận tiện xử lý sau. Nhiều khả năng kẻ tấn công chờ sự chú ý của thị trường giảm trước khi xử lý phần này.

Sau khi vụ việc xảy ra Binance cho biết nguyên nhân vụ tấn công bắt đầu từ máy tính xách tay của một kỹ sư vận hành hệ thống (DevOps) bị xâm nhập, từ đó kẻ tấn công truy cập được hệ thống có quyền gửi lệnh rút tiền. Binance chưa phát hiện khóa bí mật bị lộ, nhưng sau đó cho biết còn nhiều điểm bị xâm nhập khác.