Giải thích vụ hack Bybit một cách dễ hiểu, đến học sinh tiểu học cũng tiếp thu được

Tuần trước, một số tài sản điện tử khổng lồ đã bị đánh cắp. Hacker làm vậy như thế nào?

Ngày 21/02/2025, thị trường tiền điện tử chấn động khi Bybit - một trong những sàn giao dịch lớn nhất thế giới - bị hack mất 1,4 tỷ USD. Số tiền khổng lồ lập tức khiến vụ việc mang danh “lớn nhất lịch sử”, vượt qua hai vụ trộm tài sản điện tử trước là Ronin (624 triệu USD) và Poly Network (610-613 triệu USD).

Được biết, cuộc tấn công tinh vi nhắm vào Safe.global - ví lạnh đa chữ ký, hay multisignature cold wallet (multisig), vốn yêu cầu nhiều chữ ký từ các bên khác nhau để phê duyệt giao dịch. Hacker không tấn công vào hợp đồng thông minh, mà nhắm tới khai thác lỗ hổng trong giao diện người dùng, lỗ hổng do chính hacker đã cài vào trước đó.

Theo bài đăng tổng hợp thông tin của CyberJutsu Academy , nhằm tìm kiếm nguyên nhân, cách khắc phục cũng như đề ra những biện pháp đảm bảo an toàn cho tài sản số, một nhóm các chuyên gia của Verichains do ông Thành Nguyễn dẫn dầu đã thực hiện một cuộc điều tra tại chính trụ sở của Bybit tại Dubai. Trong nỗ lực tìm kiếm manh mối, Verichains phối hợp với nhiều đội ngũ bảo mật quốc tế khác, trong đó có Sygnia Labs.

Trong báo cáo sơ bộ dài 28 trang do Verichains đăng tải, chúng ta tìm được nhiều chi tiết đáng chú ý đằng sau vụ hack “lớn nhất lịch sử” này. Và để bài viết dễ hiểu hơn, mỗi đoạn giải thích sẽ đi kèm với một … lời giải thích dễ hiểu hơn.

Hacker xâm nhập hệ thống ra sao?

Công đoạn 1: Chỉnh sửa tệp tin JavaScript

Vụ việc là một cuộc tấn công tinh vi, nhắm vào Safe.global - nền tảng ví multisig được Bybit tin dùng. Hacker đã xâm nhập dịch vụ đám mây, thay đổi mã JavaScript trên giao diện người dùng để âm thầm thao túng giao dịch.

Cụ thể, hacker đã có thể xâm nhập hệ thống AWS S3 hoặc CloudFront của Safe.global (nơi lưu trữ mã giao diện người dùng) và thay đổi các tệp JavaScript. Bằng cách này, hacker thay đổi cách “cửa két sắt” hoạt động.

Safe.global xác nhận hacker đã khai thác lỗ hổng thông qua máy tính của một nhà phát triển, rất có thể tên này đã xâm nhập máy tính thông qua malware, bằng hình thức tấn công giả mạo (phishing) hay kỹ nghệ xã hội (social engineering, hay hiểu đơn giản là thao túng tâm lý nạn nhân).



Điều tra cho thấy hai tệp JavaScript là _app-52c9031bfa03da47.js và 6514.b556851795a4cbaa.js đã bị thay đổi. So sánh giữa hai phiên bản file ác tính và lành tính, nhóm chuyên gia của Verichains nhận thấy những khác biệt chính như sau:

Thứ nhất, một tệp mã độc đã thay đổi hàm “executeTransaction” và “signTransaction”, can thiệp vào quá trình thực thi và ký giao dịch, khiến giao dịch bị chuyển hướng.

Thứ hai, một tệp khác chỉnh sửa hàm “useGasLimit”, có thể thay đổi cách giới hạn phí giao dịch được xử lý, tạo điều kiện cho hacker thực hiện hành vi mà không bị phát hiện. Những thay đổi này trong mã JavaScript là chìa khóa để thao túng ví multisig của Bybit.

Theo thông tin điều tra được, hoạt động đánh cắp thông tin bắt đầu từ thời điểm 15:29:25 UTC ngày 18/2 vừa qua, khi hacker gửi đi một hợp đồng độc hại chứa logic chuyển tiền mới.

Công đoạn 2: Rút tiền bằng lỗ hổng đã tạo

Thay vì dùng yêu cầu quy chuẩn call (operation=0), mã độc hướng giao dịch sang delegatecall (operation=1), cho phép hợp đồng tấn công (sga) thực thi logic chuyển tiền mới để về tay kẻ gian. Check Point Research và Safe.global đồng thời khẳng định lỗ hổng nằm ở giao diện, không phải hợp đồng thông minh.



Với logic bị thay đổi, hacker kích hoạt hai hàm “sweepETH” và “sweepERC20”, lập tức rút 401.347 Ether và nhiều tài sản số khác. Chainalysis cho hay tài sản đã được phân tán qua nhiều ví.

Kết luận của Verichains

Tệp JavaScript lành tính của app.safe.global dường như đã bị thay thế bằng mã độc vào ngày 19/02/2025, lúc 15:29:25 UTC, nhắm cụ thể vào ví Lạnh đa chữ ký Ethereum của Bybit (địa chỉ: 0x1Db92e2EeBC8E0c075a02BeA49a2935BcD2dFCF4).

Cuộc tấn công được thiết kế để kích hoạt trong giao dịch tiếp theo của Bybit, và nó đã diễn ra vào ngày 21/02/2025, lúc 14:13:35 UTC.

Dựa trên kết quả điều tra từ máy tính đã ký vào giao dịch và nội dung file JavaScript độc hại được lưu trong thư viện Wayback Archive, Verichains kết luận rằng tài khoản AWS S3 hoặc CloudFront/API Key của Safe.Global có khả năng đã bị rò rỉ hoặc xâm phạm.

Verichains khẳng định cần tiến hành điều tra thêm để xác thực kết quả và nguyên nhân vấn đề.