Sàn crypto Bitget bị hack gần 388 triệu USD

Sàn giao dịch tiền số Bitget bị rút trái phép khoảng 387,5 triệu USD, sau khi hacker xâm nhập hệ thống backend xử lý giao dịch.

Sự cố bắt đầu từ cuối tuần, khi hệ thống bảo mật của Bitget phát hiện các giao dịch bất thường từ một phần hạ tầng ví nóng và ví ấm. Ban đầu, sàn ước tính khoảng 351,6 triệu USD tài sản bị ảnh hưởng, nhưng sau đó nâng con số lên 387,5 triệu USD khi rà soát thêm các giao dịch trên mạng lưới Zcash và TRON. Theo The Block, đây hiện là một trong những vụ trộm tiền số lớn nhất trong năm 2026.

Ví nóng (hot wallet) là ví tiền số kết nối Internet, dùng để giao dịch và rút tiền thường xuyên nên tiện lợi nhưng có mức độ rủi ro bảo mật cao hơn, đối nghịch so với ví lạnh (cold wallet). Ví ấm (warm wallet) là ví nằm giữa ví nóng và ví lạnh, vẫn có khả năng kết nối hệ thống trực tuyến để phục vụ giao dịch nhưng được tách biệt và kiểm soát chặt hơn ví nóng.

Bitget cho biết khóa riêng tư (private key) không bị đánh cắp, ví lạnh vẫn an toàn và số dư trên tài khoản của khách hàng không bị ảnh hưởng. Tuy nhiên, sự cố đã buộc sàn phải tạm dừng rút tiền để kiểm tra toàn bộ hạ tầng.

Bitget là một sàn giao dịch tiền số được thành lập năm 2018, cung cấp dịch vụ mua bán và giao dịch nhiều loại tài sản trên thị trường toàn cầu. Đây là sàn giao dịch crypto lớn thứ 6 tính theo khối lượng giao dịch, với hàng chục triệu người dùng trên toàn thế giới. Sàn này đã có cộng đồng và kênh hỗ trợ chính thức cho thị trường Việt Nam từ năm 2022.

Điểm đáng chú ý là đây không phải kiểu tấn công phổ biến trong đó hacker lấy được private key rồi trực tiếp phê duyệt giao dịch chuyển tiền. Bitget cho biết kẻ tấn công đã xâm nhập một hệ thống backend (hệ thống phía sau hỗ trợ hoạt động) quan trọng trong hạ tầng ví, sau đó làm giả dữ liệu giao dịch được đưa vào quy trình phê duyệt. Hệ thống cấp quyền của sàn vì vậy đã xử lý các lệnh chuyển tài sản bất hợp pháp như các giao dịch hợp lệ. Nói cách khác, vấn đề nằm ở lớp điều khiển và phê duyệt giao dịch, thay vì khóa mật mã trực tiếp bảo vệ tài sản.

Phân tích của công ty chuyên về điều tra tội phạm tài chính và blockchain TRM Labs cho thấy tiền bị rút từ nhiều mạng, bao gồm Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BNB Chain và Base. Các tài sản bị ảnh hưởng gồm ETH, XRP, BNB, AVAX, USDT, USDC cùng một số token khác.

Vụ việc đang làm dấy lên lo ngại về cách hacker vượt qua hệ thống kiểm soát của một sàn giao dịch. Nếu private key bị đánh cắp, việc bảo vệ tài sản thường tập trung vào quản lý khóa, phân quyền phê duyệt giao dịch và sử dụng ví lạnh. Nhưng trong trường hợp Bitget, theo thông tin hiện tại, hacker đã tìm cách khiến hệ thống nội bộ tin rằng một giao dịch trái phép là hợp lệ.

Phân tích của công ty an ninh mạng Hypernative cho rằng lỗ hổng nằm ở việc hệ thống phê duyệt giao dịch có thể dựa vào thông tin về địa chỉ nhận và số tiền do một dịch vụ backend cung cấp, thay vì tự xác minh lại các thông tin này trước khi phê duyệt giao dịch. Hiểu một cách đơn giản, hacker không nhất thiết phải "ăn cắp chìa khóa két sắt". Họ tìm cách đánh lừa hệ thống quản lý để chính hệ thống mở két và chuyển tiền. Điều này đặt ra câu hỏi lớn hơn cho các sàn tập trung: việc kiểm soát private key vẫn chưa đủ nếu lớp phần mềm đứng trước quy trình phê duyệt giao dịch có thể bị thao túng.

Ngay sau khi phát hiện vụ việc, Bitget tạm dừng toàn bộ hoạt động rút tiền. Sàn nhấn mạnh đây là biện pháp bảo mật, không phải do thiếu thanh khoản. Hoạt động giao dịch và nạp tiền vẫn được duy trì, trong khi số dư tài khoản của khách hàng được giữ nguyên. Sàn cho biết quỹ bảo vệ người dùng của mình đang có hơn 464 triệu USD, đủ để bao phủ khoản thiệt hại 387,5 triệu USD được xác định trong vụ việc. Tuy nhiên, nhiều chuyên gia lưu ý toàn bộ quỹ bảo vệ không hoàn tiền là tiền mặt có thể lập tức sử dụng.

Bitget nghi ngờ có liên quan tới các nhóm hacker Triều Tiên, nhưng đây chưa phải là kết luận cuối cùng của cuộc điều tra. CEO Gracy Chen cho biết phân tích IP, hành vi và dữ liệu cho thấy phương thức tấn công "rất nhất quán" với các nhóm hacker Triều Tiên. Công ty cũng cho rằng một số địa chỉ được sử dụng để rửa tiền có sự tương đồng với các vụ tấn công trước đây.

TRM Labs thận trọng hơn. Đơn vị này cho biết các địa chỉ liên quan vụ Bitget có những điểm giao với các ví từng được sử dụng trong các vụ hack trước đây được cho là liên quan tới Triều Tiên, trong đó có vụ Bybit. Tuy nhiên, TRM cho biết chưa chính thức quy trách nhiệm vụ Bitget cho Triều Tiên và cho rằng cần thêm bằng chứng kỹ thuật để củng cố liên kết này.

Cuộc điều tra hiện có sự tham gia của Mandiant - công ty an ninh mạng thuộc Google Cloud - và SlowMist - công ty an ninh mạng có kinh nghiệm truy lùng nhiều vụ hack sàn crypto - cùng các cơ quan chức năng. Nhiệm vụ ưu tiên hiện tại là tập trung vào việc truy tìm dòng tiền.

Sau khi xác định đường tấn công, Bitget cho biết lỗ hổng đã được khắc phục và sự cố đã được cô lập. Sàn cũng lập chương trình Recovery Bounty, treo thưởng 5% giá trị cho những bên hỗ trợ trực tiếp việc đóng băng hoặc thu hồi tài sản bị ảnh hưởng, tùy theo điều kiện chương trình.