Bản gốc | Odaily (@OdailyChina)
Tác giả | Wenser (@wenser 2010)
Vào lúc 23h20 ngày 21 tháng 2 theo giờ Bắc Kinh, ZachXBT đã đăng bài cho biết: "Đã phát hiện có dòng tiền rút khỏi Bybit, với quy mô lên đến 1,46 tỷ USD". Theo theo dõi của Beosin Trace, Bybit đã bị đánh cắp tổng cộng 514.723 Bit của ETH và phái sinh. Sau đó, đồng sáng lập của Bybit, Ben Zhou, đã xác nhận việc ví lạnh của Bybit bị đánh cắp và đang tiến hành xử lý an ninh.
Odaily sẽ theo dõi sự kiện này và cung cấp thông tin cho độc giả tham khảo.
Tiền liên quan chủ yếu là Bit, quy mô vụ việc lên đến 1,46 tỷ USD
Vào lúc 23h20, sau khi ZachXBT đăng thông báo cảnh báo, Odaily đã nhanh chóng theo dõi sự việc sau khi kiểm tra.
Thông tin có thể xác định lúc đó là, địa chỉ liên quan đến hacker là 0x47666Fab8bd0Ac7003bce3f5C3585383F09486E2; sau khi đánh cắp tiền, họ đã nhanh chóng trao đổi mETH & stETH thành Bit trên DEX.
Hacker đã tiến hành trao đổi Swap ngay lập tức
Trong khi mọi người vẫn đang đoán "liệu dòng tiền lớn như vậy có phải Bybit đang sắp xếp lại ví tiền hoặc có mục đích khác", thì ZachXBT nhanh chóng đưa ra gợi ý mới: "Nguồn tin của tôi xác nhận đây là một sự cố an ninh (My sources confirm it's a security incident)."
Ngoài ra, ZachXBT cũng đã cảnh báo các sàn giao dịch, nhà cung cấp dịch vụ và những người liên quan khác: "Đề nghị chặn các địa chỉ EVM sau:
0x47666fab8bd0ac7003bce3f5c3585383f09486e2;
0xa4b2fd68593b6f34e51cb9edb66e71c1b4ab449e;
0x36ed3c0213565530c35115d93a80f9c04d94e4cb;
0x1542368a03ad1f03d96D51B414f4738961Cf4443;
0xdD90071D52F20e85c89802e5Dc1eC0A7B6475f92."
Hành động này nhằm ngăn chặn kênh CEX để hacker rửa tiền ngay lập tức, tránh tiền bị đánh cắp của Bybit bị thất thoát thêm.
Theo thống kê theo dõi của Beosin Trace, tài sản bị đánh cắp bao gồm:
401.347 Bit ETH, trị giá 1,12 tỷ USD;
90.376 Bit stETH, trị giá 253,16 triệu USD;
15.000 Bit cmETH, trị giá 44,13 triệu USD;
8.000 Bit mETH, trị giá 23 triệu USD.
Hiện tại, tiền đã được chia thành các nhóm 10.000 Bit ETH và lắng đọng ở hơn 40 địa chỉ Ethereum, tất cả các địa chỉ của hacker đều đã được thêm vào thư viện nhãn KYT của Beosin, Beosin KYT sẽ cảnh báo về mọi chuyển tiền liên quan đến các địa chỉ của hacker. Đội ngũ an ninh của Beosin phân tích, phương thức tấn công trong sự kiện này tương tự như vụ việc tại WazirX, đều là thông qua giao diện người dùng để lừa đảo, khiến ví đa chữ ký ký vào nội dung độc hại, thay đổi logic thực hiện hợp đồng của ví đa chữ ký, dẫn đến tiền trong ví bị chuyển ra ngoài.
Phản hồi của Bybit: Giao dịch ví đa chữ ký bị tấn công và thay đổi, tài sản trong ví lạnh khác vẫn an toàn, rút tiền trên sàn vẫn hoạt động bình thường
Đồng sáng lập Bybit, Ben Zhou, đã phát đi tuyên bố: "Khoảng 1 giờ trước, ví lạnh đa chữ ký ETH của Bybit đã thực hiện một giao dịch chuyển đến ví nóng của Bybit. Giao dịch cụ thể này có thể đã bị thay đổi, tất cả các chủ sở hữu ví đa chữ ký đều nhìn thấy giao diện người dùng bị thay đổi hiển thị địa chỉ chuyển tiền chính xác, và đường dẫn website đến từ @safe. Tuy nhiên, thông tin ký tên là để thay đổi logic hợp đồng thông minh của ví lạnh ETH của chúng tôi. Điều này đã khiến hacker kiểm soát được ví đa chữ ký cụ thể này của chúng tôi và chuyển toàn bộ Bit ETH trong ví lạnh đến một địa chỉ không xác định. Xin yên tâm, các ví lạnh khác của Bybit vẫn an toàn, tất cả các rút tiền trên CEX đều hoạt động bình thường."
Ngoài ra, Ben Zhou cũng nhanh chóng kêu gọi sự giúp đỡ từ công chúng: "Chúng tôi sẽ thường xuyên cập nhật tình hình mới nhất của sự kiện này cho mọi người. Nếu có bất kỳ nhóm nào có thể giúp chúng tôi truy tìm số tiền bị đánh cắp, chúng tôi sẽ vô cùng biết ơn."
Động thái tiền trên chuỗi: Hacker đang nhanh chóng bán tháo Bit, đã chuyển 10.000 Bit ETH vào 39 địa chỉ
Vào lúc 23h35, Arkham đã phát hiện số Bit ETH và stETH trị giá 1,4 tỷ USD mà Bybit bị rút ra đã được chuyển đến các địa chỉ mới để bán. Tính đến thời điểm đó, hacker đã bán được khoảng 200 triệu USD stETH. Địa chỉ truy vết trên chuỗi là https://intel.arkm.com/explorer/address/0x47666Fab8bd0Ac7003bce3f5C3585383F09486E2.
Vào lúc 0h00, ZachXBT tiếp tục cập nhật tình hình tiền trên chuỗi mới nhất, trong đó, 10.000 Bit ETH đã được hacker phân tán chuyển vào 39 địa chỉ khác nhau, ngoài ra, kẻ tấn công này cũng đã chuyển 10.000 Bit ETH vào 9 địa chỉ khác.
Vào lúc 12h18, theo theo dõi của Arkham, khoảng 100 triệu USD Bit ETH (khoảng 400.000 Bit) đã được chuyển từ địa chỉ gốc của hacker đến ví mới.
Động thái tiền trên chuỗi
Tính đến thời điểm viết bài, địa chỉ gốc của hacker chỉ còn lại tài sản trị giá 3,669 triệu USD, trong đó số dư Bit ETH đã giảm xuống còn 1.346 Bit.
Thông tin trên chuỗi
Sau khi điều tra sơ bộ, ông Dư Tuyết, nhà sáng lập của công ty an ninh SlowMist, đã đăng bài cho rằng, dựa trên cách thức tấn công ví đa chữ ký Safe và phương thức rửa tiền hiện tại, ban đầu nghi ngờ sự kiện này có thể do hacker Triều Tiên thực hiện, tuy nhiên vẫn cần tiếp tục theo dõi để xác định thông tin cụ thể.
Sau đó, SlowMist đã công bố chi tiết hoạt động của kẻ tấn công Bybit:
Một hợp đồng thực hiện độc hại đã được triển khai vào UTC 2025-02-19 7:15:23: https://etherscan.io/address/0xbdd077f651ebe7f7b3ce16fe5f2b025be2969516
Vào UTC 2025-02-21 14:13:35, kẻ tấn công đã sử dụng ba chủ sở hữu để ký giao dịch, thay thế hợp đồng thực hiện của Safe bằng hợp đồng độc hại: https://etherscan.io/tx/0x46deef0f52e3a983b67abf4714448a41dd7ffd6d32d32da69d62081c68ad7882
Sau đó, kẻ tấn công đã sử dụng các hàm cửa sau "sweepETH" và "sweepERC20" trong hợp đồng độc hại để đánh cắp tiền từ ví nóng.
Hậu quả của vụ đánh cắp Bybit: Hiện đang trong tầm kiểm soát
Số tiền Bit ETH liên quan lên đ
Tuy nhiên, về trung và dài hạn, lo ngại của thị trường không đáng lo ngại. Có quan điểm cho rằng, điều này là do ETH là tài sản phi tập trung nhất ngoài BTC, hacker hầu như sẽ nắm giữ phần lớn ETH, chứ không phải trực tiếp bán tháo với giá thấp.
Đối với vấn đề sau, Bybit chính thức cũng đã phản hồi ngay lập tức. Vào lúc 0 giờ 7 phút ngày 22, đồng sáng lập Bybit Ben Zhou đã đăng bài phản hồi: "Ngay cả khi không thể thu hồi được khoản tổn thất do vụ tấn công hacker gây ra, tài sản của Bybit vẫn được bảo đảm 1:1, chúng tôi có thể gánh chịu khoản tổn thất này." Thể hiện sự vững chắc và tự tin của một sàn giao dịch lâu đời.
Về vấn đề này, ngoài việc chứng minh trữ lượng Merkle trees thông thường của sàn giao dịch, theo thông tin Ben Zhou, đồng sáng lập kiêm CEO Bybit, đã đề cập trong một cuộc phỏng vấn trước đây, cũng có thể được sử dụng làm bằng chứng. Trong đó, ông đề cập rằng "Trong tài sản của công ty Bybit, khoảng 80% là stablecoin, phần còn lại dưới dạng tiền pháp định. Mục tiêu cốt lõi của cấu hình này là đảm bảo tài chính vững chắc của sàn giao dịch, chứ không phải nhằm mục đích tăng giá tài sản."
Hỗ trợ và phản hồi từ nhiều phía
Sau khi sự kiện xảy ra, CZ đã phản hồi trên bài đăng của Ben Zhou rằng: "Đây không phải là tình huống dễ xử lý. Đề nghị tạm thời ngừng tất cả rút tiền, như một biện pháp an ninh tiêu chuẩn. Nếu cần, sẽ cung cấp bất kỳ sự hỗ trợ nào." Đồng sáng lập Binance, He Yi, cũng phản hồi với CEO Bybit Ben Zhou rằng "Nếu cần, sẽ cung cấp hỗ trợ".
Sáng lập viên TRON Justin Sun đăng bài viết rằng, "Đang theo dõi sát sao sự cố an ninh của Bybit, sẽ nỗ lực hết sức để hỗ trợ đối tác theo dõi các khoản tiền liên quan và cung cấp mọi hỗ trợ có thể."
Ngoài ra, nhà phân tích chuỗi @ai_ 9684 xtpa phân tích rằng: "Ethena có 21% USDe đang thực hiện chiến lược phòng ngừa Delta trung tính tại Bybit, trong đó phần ETH có giá trị 227 triệu USD, không chắc liệu có bị ảnh hưởng hay không. Sau khi Bybit xác nhận bị đánh cắp, ENA đã giảm 11,5% và thu hồi mức tăng trong ngày."
Sau đó, Ethena Labs đã đăng bài viết cho biết, họ đã nhận thấy sự kiện liên quan đến Bybit, tất cả các tài sản giao dịch spot hỗ trợ USDe đều được lưu giữ thông qua giải pháp lưu ký ngoài sàn, không có bất kỳ khoản tiền dự trữ nào được lưu trữ tại bất kỳ sàn giao dịch nào, bao gồm cả Bybit. Hiện tại, tổng số lỗ chưa thực hiện của vị thế phòng ngừa tại Bybit chỉ dưới 30 triệu USD, chưa đến một nửa quỹ dự trữ, USDe vẫn có đủ số dư thế chấp, sẽ cung cấp thêm thông tin khi có cập nhật mới.
Tin mới nhất, CEO Bybit Ben Zhou đã đăng bài trên nền tảng Xcho biết sẽ tiến hành phát trực tiếp để trả lời tất cả các câu hỏi.
Odaily cũng sẽ tiếp tục theo dõi tin tức mới nhất về vụ việc tài sản của Bybit bị đánh cắp, hy vọng sự việc này sẽ có kết thúc tốt đẹp.
