Bitget bị hack 387,5 triệu USD: vì sao tin tặc không cần khóa riêng tư?

Tối 24/9/2026, sàn Bitget phát hiện các lệnh chuyển tiền trái phép từ ví của mình. Chỉ trong vài giờ, khoảng 387,5 triệu USD tài sản crypto đã rời khỏi sàn, biến đây thành vụ hack lớn nhất năm 2026 tính đến nay và là một trong mười vụ lớn nhất lịch sử ngành. Điều khiến giới bảo mật chú ý không nằm ở con số, mà ở cách thức: tin tặc không đánh cắp khóa riêng tư, cũng không giả mạo yêu cầu rút của người dùng. Chúng khiến chính hệ thống phê duyệt của sàn thực hiện những giao dịch trông như bình thường. Bài viết này giải thích chuyện gì đã xảy ra, vì sao cơ chế đó quan trọng với mọi người dùng sàn tập trung, và những điểm nào vẫn chưa được xác nhận.

Tóm tắt nhanh

• Câu trả lời ngắn: tin tặc chiếm được thông tin đăng nhập nội bộ cấp cao thông qua lỗ hổng trong một sản phẩm bảo mật của bên thứ ba, rồi gửi lệnh rút giả vào hệ thống ví của sàn. Khóa riêng tư không bị lộ và ví lạnh không bị ảnh hưởng.

• Số liệu chính: tổng thiệt hại khoảng 387,5 triệu USD, trong đó phần lớn nhất là khoảng 102,93 triệu XRP, trị giá khoảng 157,48 triệu USD.

• Rủi ro chính: kiểu tấn công này nhắm vào quy trình và phần mềm vận hành, tức là thứ mà Bằng chứng dự trữ hay ví lạnh không đo được.

• Cần theo dõi tiếp: lịch mở lại lệnh rút theo từng tài sản đến ngày 2/10, báo cáo bảo mật đầy đủ mà Bitget dự kiến công bố trong tuần này, và danh tính sản phẩm bên thứ ba bị khai thác.

Chuyện gì đã xảy ra?

Theo thông báo chính thức của Bitget, lúc 18:31 UTC ngày 24/9/2026, hệ thống bảo mật của sàn phát hiện các lệnh chuyển trái phép từ một số ví nóng và kích hoạt quy trình ứng phó khẩn cấp. Vụ xâm nhập ảnh hưởng tới một phần lớp ví nóng và ví ấm, tức những ví phục vụ hoạt động hằng ngày của sàn. Các ví lạnh ngoại tuyến không bị ảnh hưởng. Bitget Wallet, sản phẩm ví tự lưu ký riêng biệt, nơi người dùng tự nắm giữ tài sản, cũng không liên quan tới sự cố.

Tốc độ rút tiền rất nhanh. Theo dữ liệu truy vết của Bitquery, lúc 19:01 UTC, các ví của Bitget đã chuyển tiền cho kẻ tấn công trên năm chuỗi khối khác nhau chỉ trong 15 giây. Một số phân tích khác ghi nhận khoảng 185 triệu USD đã dịch chuyển trong vòng một phút.

Con số thiệt hại cũng thay đổi theo thời gian. Ban đầu Bitget công bố khoảng 351,6 triệu USD. Ngày 25/9, sàn nâng con số lên khoảng 387,5 triệu USD sau khi phát hiện thêm các giao dịch trên chuỗi Zcash và TRON. Bitget nhấn mạnh rằng đây là việc thống kê đầy đủ hơn các giao dịch trong cùng sự cố, không phải tiền tiếp tục bị lấy sau khi sự cố đã được khoanh vùng.

Tài sản bị lấy gồm nhiều loại. Theo công cụ theo dõi on-chain Lookonchain, phần lớn nhất là khoảng 102,93 triệu XRP, tiếp theo là 31.890 ETH trị giá khoảng 85,75 triệu USD, cùng với USDT, USDC, USDT0, 3.000 XAUt (vàng token hóa), BNB, AVAX và TRX. Kẻ tấn công đã nhanh chóng đổi phần lớn số tài sản trên các chuỗi EVM sang khoảng 67.982 ETH.

Sau sự cố, Bitget tạm dừng toàn bộ lệnh rút nhưng vẫn duy trì giao dịch và nạp. Sàn cho biết Quỹ bảo vệ người dùng, với quy mô hơn 464 triệu USD, đủ bù toàn bộ khoản thiệt hại, và số dư tài khoản người dùng không bị ảnh hưởng. Token BGB của sàn giảm gần 7% xuống 1,93 USD, sau đó hồi nhẹ lên 1,97 USD.

Từ 08:00 UTC ngày 28/9, Bitget bắt đầu mở lại lệnh rút theo từng giai đoạn, bắt đầu với BTC. Đến 09:00 UTC cùng ngày, sàn cho biết đã có 9.585 người dùng tạo lệnh rút, tổng cộng khoảng 4.098 BTC. Đây là sự cố đầu tiên thuộc loại này mà Bitget gặp phải trong tám năm hoạt động.

Tin tặc lấy tiền bằng cách nào khi không có khóa riêng tư?

Để hiểu vì sao vụ này đặc biệt, cần biết một sàn giao dịch tập trung thường tổ chức ví của mình như thế nào.

Ví nóng luôn kết nối mạng, dùng để xử lý các lệnh rút hằng ngày của người dùng. Nó tiện lợi nhưng dễ bị tấn công nhất, nên sàn thường chỉ giữ ở đây một phần nhỏ tài sản.

Ví ấm là lớp trung gian, dùng để bổ sung tiền cho ví nóng khi cần, thường phải qua thêm các bước phê duyệt.

Ví lạnh được giữ ngoại tuyến, chứa phần lớn tài sản dự trữ. Việc chuyển tiền từ ví lạnh chậm và cần nhiều chữ ký, đổi lại độ an toàn cao hơn nhiều.

Phần lớn các vụ hack sàn trong lịch sử xoay quanh một câu hỏi: kẻ tấn công có lấy được khóa riêng tư hay không. Khóa riêng tư là thứ duy nhất có thể ký một giao dịch trên chuỗi, nên ai có khóa là có tiền.

Vụ Bitget đi theo một hướng khác. Theo kết quả điều tra ban đầu mà sàn công bố, kẻ tấn công khai thác lỗ hổng trong một sản phẩm bảo mật của bên thứ ba mà Bitget sử dụng, qua đó lấy được thông tin đăng nhập nội bộ cấp cao. Với quyền đó, chúng gửi các lệnh rút giả vào hệ thống ví, khiến hệ thống thực hiện các giao dịch bất thường và vượt qua lớp kiểm soát rủi ro. CEO Gracy Chen giải thích rằng tin tặc không giả mạo lệnh rút của người dùng và cũng không lấy được khóa riêng tư của bất kỳ ví nào.

Hãy hình dung một ngân hàng có két sắt kiên cố và một thủ quỹ chỉ chi tiền khi nhận được phiếu chi hợp lệ. Kẻ gian không phá két, cũng không trộm chìa khóa của thủ quỹ. Chúng lẻn vào bộ phận lập phiếu chi và tạo ra những tờ phiếu đúng mẫu, đủ dấu. Thủ quỹ làm đúng quy trình và chi tiền. Chìa khóa vẫn an toàn, nhưng tiền vẫn mất.

Đó là lý do vụ việc này quan trọng với toàn ngành, không chỉ với một sàn. Nó cho thấy bề mặt tấn công của một sàn tập trung không chỉ nằm ở khóa riêng tư, mà ở toàn bộ chuỗi phần mềm và quy trình quyết định việc ký cái gì. Các công ty bảo mật mô tả đây là kiểu tấn công nhắm vào hạ tầng ngoài chuỗi để tạo ra một vụ khai thác trên chuỗi. Một kịch bản tương tự từng xảy ra với Bybit vào tháng 2/2025, khi khoảng 1,5 tỷ USD bị lấy đi sau khi giao diện ký giao dịch bị thao túng.

Một bài học thứ hai nằm ở cách kẻ tấn công xử lý tài sản sau đó. Stablecoin như USDT có thể bị bên phát hành đóng băng: Tether đã đóng băng 239.113 USDT trong hai ví của kẻ tấn công. Vì vậy, tin tặc ưu tiên đổi nhanh sang những tài sản mà không một bên nào có thể đóng băng, như ETH, và tách nhỏ XRP để chuyển đi. Tốc độ đổi tài sản trong những giờ đầu thường quyết định phần lớn khả năng thu hồi.

Dữ liệu cho thấy điều gì, và chưa cho thấy điều gì?

Với một sự cố đang diễn ra, cần tách rõ bốn loại thông tin: điều đã được xác nhận, điều được báo cáo, điều là ước tính, và điều còn bỏ ngỏ.

Đã được xác nhận bởi Bitget: thời điểm phát hiện, tổng thiệt hại khoảng 387,5 triệu USD, phạm vi giới hạn ở ví nóng và ví ấm, ví lạnh an toàn, khóa riêng tư không bị lộ, lỗ hổng đã được khắc phục, và lịch mở lại lệnh rút. Sàn cũng đã công bố các địa chỉ ví của kẻ tấn công để hỗ trợ truy vết.

Được báo cáo bởi bên thứ ba: cơ cấu tài sản bị lấy theo Lookonchain, và tốc độ chuyển tiền theo Bitquery. Riêng Bitquery tự truy vết được 21 giao dịch trên tám chuỗi khối, định giá theo thời điểm mỗi giao dịch rời ví, với tổng khoảng 357,36 triệu USD. Con số này thấp hơn con số chính thức vì khác phạm vi và cách định giá, không phải vì có mâu thuẫn.

Còn là nghi vấn: danh tính kẻ tấn công. CEO Bitget cho biết địa chỉ IP và mô hình giao dịch on-chain phù hợp với kỹ thuật của các nhóm tin tặc có liên hệ với Triều Tiên, nhưng việc quy trách nhiệm chưa được xác nhận chính thức và cơ quan thực thi pháp luật vẫn đang điều tra. Bối cảnh chung là có thật: theo Chainalysis, các nhóm tin tặc liên quan tới Triều Tiên đã lấy cắp mức kỷ lục 2 tỷ USD tiền mã hóa trong năm 2025, ngày càng nhắm vào sàn giao dịch bằng cách cài người vào làm nhân viên IT, giả danh nhà tuyển dụng hoặc tiếp cận lãnh đạo bằng các đề xuất đầu tư giả.

Chưa được công bố: nguyên nhân gốc đầy đủ, và đặc biệt là tên sản phẩm bảo mật của bên thứ ba bị khai thác. Đây là chi tiết quan trọng, vì nếu sản phẩm đó cũng được các công ty khác sử dụng thì rủi ro không dừng lại ở một sàn.

Còn một điểm dễ bị hiểu sai. Báo cáo Bằng chứng dự trữ tháng 8/2026 của Bitget, bản cập nhật hằng tháng thứ 45 liên tiếp, cho thấy tỷ lệ dự trữ tổng là 122%. Con số đó giải thích vì sao sàn có đủ nguồn lực để bù thiệt hại. Nhưng nó không nói gì về mức độ an toàn của phần mềm vận hành. Mức dự trữ đầy đủ và an ninh vận hành là hai câu hỏi khác nhau, và vụ việc này cho thấy rõ sự khác biệt đó.

Người dùng nên theo dõi điều gì tiếp theo?

Với người đang có tài sản trên Bitget, mốc quan trọng nhất là lịch mở lại lệnh rút. Theo lịch sàn công bố, ETH được mở lại lúc 08:00 UTC ngày 29/9, USDT lúc 08:00 UTC ngày 30/9, còn các token khác, tiền pháp định và P2P bắt đầu từ 08:00 UTC ngày 2/10. Việc các mốc này có được giữ đúng hay không là thước đo thực tế nhất cho lời khẳng định rằng số dư người dùng không bị ảnh hưởng.

Mốc thứ hai là báo cáo bảo mật đầy đủ. Các công ty an ninh mạng Mandiant và SlowMist đang hỗ trợ điều tra. Khi báo cáo được công bố, hãy chú ý ba câu hỏi: tin tặc đã có mặt trong hệ thống từ bao lâu trước khi bị phát hiện, vì sao lớp kiểm soát rủi ro không chặn được một lượng tiền lớn như vậy trong thời gian ngắn, và sản phẩm bên thứ ba nào đã bị khai thác.

Mốc thứ ba là tiến độ truy vết. Bitget đã đưa ra mức thưởng 5% cho việc tự nguyện đóng băng và 5% cho việc tự nguyện hoàn trả tài sản của kẻ tấn công. Các sàn khác như Bybit và OKX cũng tuyên bố hỗ trợ truy vết và chặn chuyển tiền khi có thể. Tuy vậy, với phần lớn tài sản đã được đổi sang ETH và XRP, khả năng thu hồi thực tế thường chỉ là một phần nhỏ.

Với người dùng sàn tập trung nói chung, có một số điểm thực tế nên kiểm tra. Chỉ tin thông tin từ kênh chính thức của sàn: sau mỗi vụ hack lớn, những lời mời "hoàn tiền" hay "xác minh tài khoản" giả mạo thường xuất hiện ngay trên mạng xã hội. Hãy tìm hiểu cách sàn bạn dùng phân tách ví nóng và ví lạnh, và sàn có quỹ bảo vệ người dùng hay không, quy mô bao nhiêu so với tài sản đang nắm giữ. Và hãy nhớ rằng tài sản trên sàn tập trung là tài sản do sàn lưu ký, nên an ninh của sàn cũng là an ninh của bạn.

Điều gì sẽ thay đổi cách hiểu trong bài này? Nếu báo cáo cuối cùng cho thấy khóa riêng tư thực ra có bị ảnh hưởng, hoặc có tài sản ví lạnh liên quan, thì bản chất sự cố sẽ khác hẳn so với những gì đã được công bố.

Kết luận

Vụ Bitget bị hack khoảng 387,5 triệu USD không phải vụ trộm khóa riêng tư, mà là vụ lừa hệ thống phê duyệt của chính sàn bằng thông tin đăng nhập nội bộ lấy được qua lỗ hổng của một sản phẩm bên thứ ba. Bài học chính là an ninh của một sàn tập trung phụ thuộc vào toàn bộ chuỗi phần mềm và quy trình, không chỉ vào nơi cất khóa. Những điều còn bỏ ngỏ gồm danh tính kẻ tấn công, tên sản phẩm bị khai thác, và việc lịch mở lại lệnh rút có được giữ đúng đến ngày 2/10 hay không.