Vụ tấn công mạng trị giá gần 388 triệu USD nhằm vào sàn giao dịch tiền điện tử Bitget đang bước sang giai đoạn mới khi CEO Gracy Chen thừa nhận rằng công ty không kỳ vọng sẽ thu hồi được nhiều số tài sản đã bị đánh cắp.
Trong cuộc trao đổi với CNBC, Chen cho biết khoảng 1,1 triệu USD tài sản liên quan đến vụ tấn công đã được đóng băng. Tuy nhiên, số tiền bị đóng băng này chưa đồng nghĩa với việc Bitget đã thực sự nhận lại được toàn bộ. Công ty vẫn tiếp tục truy vết dòng tiền và phối hợp với các đơn vị an ninh mạng để tìm cách thu hồi tài sản.
Trong khi đó, Bitget cho biết họ đã sử dụng nguồn vốn của chính công ty để bổ sung Quỹ Bảo vệ, thay vì chuyển tổn thất sang người dùng.
Bitget chỉ mới đóng băng khoảng 1,1 triệu USD
Vụ việc bắt đầu từ ngày 24/9/2026, khi hệ thống bảo mật của Bitget phát hiện các giao dịch chuyển tài sản trái phép từ một số ví nóng và ví ấm.
Ban đầu, Bitget ước tính số tài sản bị ảnh hưởng khoảng 351,6 triệu USD. Sau khi tiếp tục phân loại và đối chiếu giao dịch trên nhiều blockchain, con số được điều chỉnh lên khoảng 387,5 triệu USD, gần 388 triệu USD. Bitget cho biết việc điều chỉnh này phản ánh quá trình thống kê đầy đủ hơn, không phải một vụ đánh cắp mới phát sinh sau khi sự cố đã được kiểm soát.
Đến ngày 2/10, CEO Gracy Chen cho biết chỉ khoảng 1,1 triệu USD trong số tài sản bị đánh cắp đã được đóng băng.
Điểm quan trọng là “đóng băng” và “thu hồi” là hai khái niệm khác nhau.
Một lượng tiền điện tử có thể bị đóng băng thông qua sự phối hợp giữa các sàn giao dịch, nhà phát hành stablecoin hoặc các đơn vị theo dõi blockchain, nhưng điều đó không có nghĩa số tiền đã quay trở lại tài khoản của Bitget.
Chen vì vậy không đưa ra kỳ vọng cao về khả năng thu hồi phần lớn số tiền còn lại. Bà cho rằng lịch sử các vụ tấn công lớn trong ngành tiền điện tử cho thấy việc truy tìm và đưa tài sản đã bị chuyển qua nhiều địa chỉ trở lại rất khó khăn.
Bitget dùng vốn của chính mình để khôi phục Quỹ Bảo vệ
Một trong những điểm đáng chú ý nhất sau vụ hack là cách Bitget xử lý khoản thiệt hại.
Trước sự cố, Quỹ Bảo vệ của Bitget có giá trị hơn 464 triệu USD. Sau khi được sử dụng để hấp thụ tác động tài chính của vụ tấn công, giá trị quỹ giảm xuống dưới 200 triệu USD theo dữ liệu được công bố và phân tích từ các địa chỉ on-chain.
Sau đó, Bitget sử dụng nguồn vốn của chính công ty để bổ sung Quỹ Bảo vệ trở lại trên mức 300 triệu USD. Công ty cho biết khoản thiệt hại không được chuyển trực tiếp sang số dư tài khoản của người dùng.
CEO Gracy Chen nhấn mạnh rằng Bitget đã khôi phục Quỹ Bảo vệ bằng nguồn vốn của chính mình và mục tiêu là để công ty gánh chịu tác động tài chính thay vì chuyển sang khách hàng.
Bitget cũng cho biết Quỹ Bảo vệ đã được đưa trở lại mức tối thiểu 300 triệu USD chỉ vài ngày sau khi công ty cam kết thực hiện việc này.
Điều này tạo ra sự phân biệt quan trọng giữa tài sản của người dùng, dự trữ của sàn và Quỹ Bảo vệ.
Ba lớp này không hoàn toàn giống nhau và không nên được hiểu là một nguồn tiền duy nhất.
Proof of Reserves của Bitget vẫn ở mức 131%
Song song với việc xử lý hậu quả của vụ tấn công, Bitget công bố báo cáo Proof of Reserves mới.
Theo dữ liệu chụp vào ngày 29/9/2026, Bitget báo cáo tỷ lệ dự trữ tổng thể ở mức 131%, với cả 19 tài sản nằm trong phạm vi báo cáo đều có tỷ lệ dự trữ trên 100%.
Danh sách tài sản được đưa vào báo cáo bao gồm những đồng tiền lớn như BTC, ETH, USDT, USDC, XRP, SOL, BNB, DOGE, ADA, LINK, SUI, NEAR và một số tài sản khác.
Tỷ lệ 131% về cơ bản có nghĩa là lượng dự trữ được Bitget báo cáo cao hơn tổng số dư tài sản người dùng thuộc phạm vi của báo cáo tại thời điểm chụp dữ liệu.
Bitget sử dụng cơ chế Merkle Tree để cho phép người dùng kiểm tra việc tài sản của mình có nằm trong phạm vi xác minh hay không.
Tuy nhiên, Proof of Reserves không phải là một cuộc kiểm toán tài chính toàn diện.
Đây là điểm cần lưu ý khi đánh giá số liệu 131%. Báo cáo phản ánh trạng thái dự trữ tại một thời điểm cụ thể và chỉ áp dụng cho các tài sản nằm trong phạm vi được công bố.
Do đó, con số 131% không thể được hiểu là bằng chứng rằng mọi rủi ro vận hành hoặc an ninh mạng của một sàn giao dịch đều đã được loại bỏ.
Vụ hack không bắt nguồn từ việc đánh cắp private key
Một chi tiết đáng chú ý trong vụ việc là các nhà điều tra không cho rằng hacker đã đánh cắp private key của Bitget.
Theo thông tin Bitget công bố, cuộc tấn công nhắm vào hệ thống phía sau cơ sở hạ tầng ví. Kẻ tấn công đã khai thác một lỗ hổng trong sản phẩm bảo mật của bên thứ ba để có được quyền truy cập nội bộ đặc quyền, sau đó thao túng quy trình xử lý lệnh rút tiền.
Điều này khác với kịch bản phổ biến mà nhiều người có thể hình dung về một vụ hack crypto: hacker tìm cách lấy trực tiếp private key rồi chuyển tiền khỏi ví.
Trong trường hợp Bitget, vấn đề nằm ở chuỗi hệ thống được tin cậy để xác thực và xử lý giao dịch.
Mandiant, đơn vị thuộc Google Cloud, và công ty bảo mật blockchain SlowMist đã tiến hành các cuộc điều tra độc lập. Hai báo cáo được công bố cuối tháng 9 cho thấy những kẻ tấn công đã xâm nhập vào hai sản phẩm bảo mật của bên thứ ba trước khi tiến sâu hơn vào môi trường ví sản xuất của Bitget.
Theo SlowMist, dấu vết hoạt động độc hại sớm nhất trong các log hiện có được truy tìm về ngày 31/8, khi một lỗ hổng zero-day trong một sản phẩm bên thứ ba bị khai thác.
Sau đó, kẻ tấn công sử dụng quyền truy cập có được để di chuyển trong hệ thống và cuối cùng tiếp cận hạ tầng liên quan đến ví sản xuất.
Hacker đã xóa dấu vết sau khi chuyển tiền
Một trong những yếu tố khiến cuộc điều tra trở nên phức tạp là khả năng xóa hoặc che giấu dấu vết sau khi thực hiện giao dịch.
Gracy Chen mô tả phương thức tấn công là khá tinh vi. Theo bà, kẻ tấn công đã xóa dấu vết sau khi chuyển dữ liệu và thực hiện các thao tác liên quan đến việc rút tài sản, khiến quá trình điều tra pháp chứng kỹ thuật số trở nên khó khăn hơn.
Mandiant và SlowMist đều xác nhận cuộc tấn công liên quan đến việc xâm nhập các hệ thống bảo mật của bên thứ ba trước khi tiếp cận môi trường ví của Bitget.
Điều đáng chú ý là hai báo cáo không công bố tên các sản phẩm bảo mật bị ảnh hưởng.
Khi được hỏi về danh tính nhà cung cấp, Chen từ chối tiết lộ thêm chi tiết và cho rằng việc công khai những thông tin chưa cần thiết có thể tạo thêm rủi ro bảo mật.
Đây cũng là lý do khiến một số chi tiết kỹ thuật của vụ tấn công vẫn chưa được công khai đầy đủ.
Có phải hacker Triều Tiên đứng sau vụ Bitget?
Trước đó, Gracy Chen từng cho biết một số dấu hiệu kỹ thuật ban đầu có điểm tương đồng với các nhóm hacker Triều Tiên đã được biết đến.
Tuy nhiên, đây là điểm cần được phân biệt rất rõ.
Các báo cáo điều tra của Mandiant và SlowMist được công bố ngày 30/9 không quy kết vụ tấn công cho Triều Tiên. Chen cũng cho biết cần chờ thêm thông tin trước khi đưa ra kết luận cuối cùng về nguồn gốc của nhóm tấn công.
Do đó, ở thời điểm hiện tại, việc nói “hacker Triều Tiên đứng sau vụ Bitget” là vượt quá những gì các báo cáo điều tra công khai đã xác nhận.
Điều đã được xác nhận rõ hơn là phương thức xâm nhập thông qua các sản phẩm bảo mật của bên thứ ba, quyền truy cập đặc quyền và việc thao túng hệ thống xử lý giao dịch.
Vì sao hacker có thể chuyển gần 388 triệu USD?
Vụ việc cho thấy một rủi ro quan trọng đối với các sàn giao dịch tập trung.
Một hệ thống có thể bảo vệ private key rất chặt chẽ nhưng vẫn có thể bị tấn công nếu các hệ thống xung quanh private key bị xâm nhập.
Trong trường hợp Bitget, theo kết quả điều tra được công bố, hacker không cần trực tiếp lấy private key. Thay vào đó, họ tìm cách khiến hệ thống phía sau hiểu rằng những lệnh chuyển tiền bất thường là các giao dịch hợp lệ.
Nói cách khác, mục tiêu không nhất thiết là “lấy chìa khóa”, mà là “thuyết phục hệ thống rằng người đang sử dụng chìa khóa là hợp lệ”.
Đây là một vấn đề lớn đối với các tổ chức quản lý lượng tài sản kỹ thuật số hàng tỷ USD.
Khi hệ thống có nhiều lớp bảo mật, mỗi lớp lại trở thành một phần của chuỗi tin cậy. Nếu một mắt xích bên ngoài bị xâm nhập nhưng vẫn có quyền truy cập quá rộng vào hệ thống nội bộ, kẻ tấn công có thể lợi dụng chính cơ chế bảo vệ để thực hiện hành vi trái phép.
Bitcoin, Ether và USDT đã được mở lại hoạt động rút tiền
Sau khi tạm dừng rút tiền trên toàn nền tảng để kiểm tra và bảo đảm an toàn hệ thống, Bitget đã bắt đầu khôi phục dịch vụ theo từng giai đoạn.
Theo cập nhật mới, việc rút Bitcoin, Ether và USDT đã được nối lại. Các loại tiền điện tử còn lại, cùng dịch vụ tiền pháp định và giao dịch ngang hàng P2P, được Bitget lên kế hoạch tiếp tục khôi phục vào ngày 2/10.
Việc mở lại từng nhóm tài sản thay vì khôi phục toàn bộ cùng lúc phản ánh cách tiếp cận thận trọng sau một sự cố liên quan đến hệ thống rút tiền.
Bitget cho biết lỗ hổng liên quan đến vụ tấn công đã được xác định và khắc phục, trong khi quá trình kiểm tra bảo mật và truy vết tài sản vẫn tiếp tục.
Vụ Bitget cho thấy rủi ro lớn nhất có thể nằm ở đâu?
Vụ tấn công gần 388 triệu USD không chỉ đặt ra câu hỏi về Bitget mà còn cho thấy một vấn đề rộng hơn đối với ngành tiền điện tử.
Các sàn giao dịch hiện đại phụ thuộc vào một hệ thống công nghệ rất phức tạp gồm ví nóng, ví lạnh, máy chủ, hệ thống quản trị, phần mềm bảo mật, nhà cung cấp bên thứ ba, công cụ giám sát giao dịch và hệ thống kiểm soát rủi ro.
Chỉ một mắt xích bị xâm nhập cũng có thể tạo ra rủi ro cho toàn bộ chuỗi.
Đó là lý do những vụ hack lớn ngày càng không chỉ xoay quanh câu chuyện “private key bị đánh cắp”.
Các cuộc tấn công có thể nhắm vào:
- Nhà cung cấp phần mềm bên thứ ba.
- Hệ thống quản trị nội bộ.
- Quyền truy cập của nhân viên.
- Công cụ giám sát và xác thực giao dịch.
- Máy chủ xử lý ví.
- API và hệ thống tự động hóa.
- Quy trình phê duyệt lệnh rút tiền.
Vụ Bitget đặc biệt đáng chú ý vì nó cho thấy hacker có thể tìm cách đi vòng qua các lớp bảo vệ thay vì tấn công trực tiếp vào tài sản.
Vụ hack gần 388 triệu USD của Bitget đang cho thấy một thực tế quan trọng của ngành tiền điện tử: việc bảo vệ tài sản không chỉ phụ thuộc vào private key hay ví lạnh mà còn phụ thuộc vào toàn bộ hệ thống công nghệ đứng phía sau quy trình giao dịch.
Theo các kết quả điều tra được công bố, hacker đã khai thác lỗ hổng zero-day trong sản phẩm bảo mật của bên thứ ba, từ đó giành quyền truy cập đặc quyền và tiến sâu hơn vào hệ thống ví sản xuất. Mandiant và SlowMist vẫn đang hỗ trợ quá trình điều tra và truy vết tài sản.
Đối với Bitget, bài toán khó nhất hiện nay không chỉ là xử lý hậu quả tài chính mà còn là thu hồi tài sản. Với khoảng 1,1 triệu USD mới được đóng băng trong tổng số gần 388 triệu USD bị đánh cắp, triển vọng thu hồi phần lớn số tiền vẫn rất hạn chế theo đánh giá của CEO Gracy Chen.
Ở chiều ngược lại, Bitget đã sử dụng vốn của chính mình để bổ sung Quỹ Bảo vệ trở lại trên mức 300 triệu USD và công bố Proof of Reserves với tỷ lệ tổng thể 131% cho snapshot ngày 29/9. Đây là những cơ chế mà công ty đưa ra để duy trì khả năng bảo vệ số dư người dùng sau sự cố.
Vụ việc cũng là lời nhắc quan trọng đối với toàn bộ thị trường crypto: một hệ thống có thể được bảo vệ tốt ở lớp tài sản nhưng vẫn tồn tại rủi ro ở những lớp phần mềm, quyền truy cập và nhà cung cấp bên thứ ba xung quanh nó.
Nguồn tham khảo: CNBC; Bitget; Mandiant/Google Cloud; SlowMist; The Block; TokenPost.
Lưu ý: Nội dung chỉ nhằm cung cấp thông tin về sự kiện và an ninh thị trường tiền điện tử, không phải khuyến nghị đầu tư. Tài sản kỹ thuật số có mức độ biến động và rủi ro cao. Người dùng nên tự đánh giá rủi ro và kiểm tra thông tin từ nguồn chính thức trước khi đưa ra quyết định.
Câu hỏi về vụ hack sàn Bitget
Bitget bị hack bao nhiêu tiền?
Bitget hiện ước tính khoảng 387,5 triệu USD tài sản bị ảnh hưởng trong sự cố ngày 24/9/2026, thường được làm tròn thành gần 388 triệu USD. Con số ban đầu là khoảng 351,6 triệu USD và sau đó được điều chỉnh khi quá trình thống kê giao dịch trên nhiều blockchain được hoàn thiện.
Bitget đã thu hồi được bao nhiêu tiền?
Khoảng 1,1 triệu USD tài sản đã được đóng băng, nhưng Bitget lưu ý rằng tài sản bị đóng băng chưa chắc đã được trả lại cho sàn. CEO Gracy Chen cho biết công ty không kỳ vọng sẽ thu hồi được phần lớn số tiền còn lại.
Tiền của người dùng Bitget có bị mất không?
Bitget cho biết số dư tài khoản người dùng không bị ảnh hưởng và Quỹ Bảo vệ được sử dụng để hấp thụ tác động tài chính của vụ việc. Công ty sau đó dùng vốn riêng để đưa Quỹ Bảo vệ trở lại trên mức 300 triệu USD.
Private key của Bitget có bị đánh cắp không?
Theo kết quả điều tra được Bitget công bố, private key không bị xâm phạm. Hacker khai thác hệ thống và quyền truy cập đặc quyền để thao túng quy trình xử lý lệnh rút tiền thay vì trực tiếp đánh cắp private key.
Proof of Reserves 131% có nghĩa gì?
Theo báo cáo của Bitget dựa trên snapshot ngày 29/9, tỷ lệ dự trữ tổng thể là 131%, với cả 19 tài sản được bao phủ đều có tỷ lệ trên 100%. Điều này phản ánh lượng dự trữ được báo cáo so với tài sản người dùng thuộc phạm vi xác minh tại thời điểm chụp dữ liệu.
Vụ hack có được xác nhận là do hacker Triều Tiên thực hiện không?
Chưa. Một số dấu hiệu kỹ thuật ban đầu được Gracy Chen cho rằng tương đồng với các nhóm hacker Triều Tiên, nhưng các báo cáo điều tra của Mandiant và SlowMist được công bố chưa quy kết vụ việc cho Triều Tiên.
