Tính đến ngày 1/11/2026 theo giờ Việt Nam, những kẻ tấn công Binance vẫn còn đang giữ khoảng 3,2 tỉ USD dưới dạng ETH, BTC, XRP, SOL và TRX. Đây là các tài sản gốc, không có tổ chức phát hành nên không thể bị khóa từ xa. Khoảng 63-67 triệu USD đã được chuyển ra khỏi tầm theo dõi, chủ yếu xuất phát từ mạng TRON qua các dịch vụ hoán đổi liên chuỗi.
Khoảng 2,85 tỉ USD, tương đương 44% tổng vụ việc, đã bị phong tỏa ngay sau khi vụ tấn công diễn ra, gần như toàn bộ là stablecoin do Tether, Circle và các tổ chức phát hành khác chủ động khóa. Tổng tài sản bị rút khỏi các ví Binance lên tới 6,4 tỉ USD, khiến thị trường tài sản mã hoá chao đảo và sụt giảm mạnh sau đó.
Vụ việc cũng cho thấy những kẻ tấn công đã có sự chuẩn bị kỹ lưỡng. Ngay sau khi rút tiền, kẻ tấn công ưu tiên chuyển đổi những tài sản có thể bị khóa như USDT, RLUSD sang ETH, chấp nhận mức lỗ 12-26% so với giá thị trường để hoàn tất trước khi bị phong tỏa (theo Elliptic).
Tính đến ngày 1/11, Binance đã dùng vốn riêng bù đắp 95% tài sản bị mất và mở lại rút tiền theo từng đợt trên 15 mạng. Báo cáo bằng chứng dự trữ đầy đủ dự kiến sẽ được sàn giao dịch lớn nhất thế giới về quy mô giao dịch công bố ngày 03/11.
Đánh giá về vụ tấn công mạng lớn nhất kể từ trước tới nay, Chainalysis, Công ty phân tích dữ liệu blockchain hàng đầu thế giới gọi đây là “kiểu rửa tiền chưa từng thấy” qua ma trận hàng nghìn ví và giao thức tài chính phi tập trung, gây cản trở quá trình truy vết và phong toả.
Chia sẻ về vụ việc, ông Trần Huyền Dinh, Chủ nhiệm ChainTracer, chương trình truy vết của Hiệp hội Blockchain và Tài sản số Việt Nam (VBA), cho rằng, nếu như ở các vụ việc trước đây, những kẻ tấn công thường sử dụng các công cụ rửa tiền như cầu nối liên chuỗi, đặc biệt THORChain, để đổi ETH sang BTC thì ở lần này, chúng tập trung vào các giao thức cho vay, sàn phi tập trung và luân chuyển vòng tròn tự động.
Thứ nhất, tạo ma trận giao dịch để gây nhiễu hoạt động truy vết. Hacker liên tục chuyển tiền qua lại giữa hàng nghìn ví, thậm chí nhiều lần quay về ví cũ. Trên mạng TRON, 638 triệu TRX đã tạo ra tổng cộng 2,12 tỉ TRX lượt luân chuyển qua 2.575 ví và 14.166 giao dịch. Tuy nhiên, phần lớn giao dịch chỉ mang tính luân chuyển nội bộ, khiến các chuyên gia phải phân tích hàng nghìn giao dịch để xác định dòng tiền thực sự.
Thứ hai, lợi dụng giao thức cho vay để né phong tỏa tài sản. Trên Ethereum, hacker gửi 60 triệu USDT vào Aave làm tài sản thế chấp, sau đó vay 19.762 ETH trước khi Tether kịp phong tỏa. Khi stablecoin đã nằm trong quỹ thanh khoản chung, việc khóa riêng tài sản trở nên phức tạp.
Tương tự, ChainTracer phát hiện một ví lớn trên TRON đã gửi và rút khoảng 144,8 triệu TRX qua nền tảng JustLend trước khi chia nhỏ. Cách thức này khiến việc xác định mối liên hệ trực tiếp giữa tài sản gửi vào và rút ra gặp khó khăn.
Thứ ba, chấp nhận bán tháo tài sản để tránh bị đóng băng. Khoảng 325 triệu USDT được hacker chuyển đổi thông qua UniswapX và các hệ thống báo giá RFQ. Đáng chú ý, hacker chấp nhận mức lỗ hơn 10% để hoàn tất giao dịch chỉ trong khoảng 15 phút, trước khi các lệnh phong tỏa có hiệu lực.
Thứ tư, kích hoạt hàng loạt ví mới và chia nhỏ dòng tiền. Trên TRON, nhiều ví được chuyển trước 1 TRX để kích hoạt, sau đó mới nhận các khoản tiền lớn. Tài sản tiếp tục được chia thành những khoản khoảng 98.000 USDT, thấp hơn ngưỡng cảnh báo 100.000 USD được một số hệ thống giám sát sử dụng.
Thứ năm, giữ lại phần lớn tài sản để chờ thời điểm thích hợp. Trong khi dòng tiền trên TRON liên tục được luân chuyển, hơn 3 tỉ USD dưới dạng ETH, BTC, XRP và SOL vẫn nằm yên. Một lượng Bitcoin còn được chia thành các khối 1.000 BTC, có thể nhằm chuẩn bị cho những đợt chuyển đổi tiếp theo.
Theo ông Dinh, những thủ đoạn trên cho thấy hacker không chỉ tìm cách tẩu tán tài sản nhanh chóng mà còn chủ động khai thác đặc điểm vận hành của các giao thức tài chính phi tập trung để gây khó khăn cho việc truy vết và phong tỏa. Đây là thách thức lớn đối với các tổ chức phân tích blockchain và cơ quan điều tra trong quá trình thu hồi tài sản bị đánh cắp.
