Binance thực hiện các cuộc tấn công lừa đảo mô phỏng nhằm vào nhân viên của mình hàng tháng để giảm thiểu rủi ro kỹ thuật xã hội.
Giám đốc an ninh Jimmy Su cho biết nhóm đỏ của sàn giao dịch tạo ra các cuộc tấn công giả mạo để kiểm tra xem nhân viên có nhận ra các tin nhắn, liên kết và yêu cầu đáng ngờ hay không. Những nhân viên không vượt qua phải hoàn thành khóa đào tạo bổ sung. Việc thất bại nhiều lần cũng có thể ảnh hưởng đến đánh giá hiệu suất và có thể dẫn đến việc bị sa thải.
Chương trình này nhắm vào các lỗi do con người mà những kẻ tấn công sử dụng để xâm nhập vào các công ty tiền điện tử. Theo Su, Binance đã thực hiện các cuộc diễn tập này trong ba đến bốn năm. Ông cho biết thói quen bảo mật của công ty đã được cải thiện trong giai đoạn đó. Binance báo cáo có 323 triệu người dùng đã đăng ký, trong khi DefiLlama theo dõi khoảng 137,5 tỷ đô la tài sản được liên kết với sàn giao dịch này.
Nhóm đỏ sử dụng các phương pháp tương tự như các cuộc tấn công thực tế. Một bài kiểm tra có thể là một nhà tuyển dụng giả mạo đưa ra lời mời làm việc. Một bài khác có thể hứa hẹn quyền truy cập miễn phí vào một hội nghị và yêu cầu thông tin cá nhân. Nhóm này ghi lại liệu nhân viên có mở tin nhắn, nhấp vào liên kết hoặc chia sẻ thông tin có thể làm lộ hệ thống của công ty hay không.
Su cho biết những nhân viên không vượt qua sẽ được đào tạo khắc phục. Việc thất bại nhiều lần “sẽ ảnh hưởng tiêu cực đến đánh giá của họ,” ông nói. Các trường hợp nghiêm trọng có thể đẩy đánh giá của một nhân viên xuống mức thấp nhất và dẫn đến việc bị sa thải. Chính sách này cung cấp cho nhân viên một lý do trực tiếp liên quan đến công việc để xác minh các tin nhắn bất ngờ trước khi phản hồi.
Binance đã mô tả nhóm đỏ của mình là một nhóm hacker mũ trắng nội bộ kiểm tra hệ thống từ góc độ của một kẻ tấn công. Sàn giao dịch cũng làm việc với các nhà nghiên cứu bên ngoài thông qua các chương trình săn lỗi nhận thưởng (bug bounty). Mô hình bảo mật của họ bao gồm các lỗ hổng kỹ thuật và hành vi của nhân viên vì kẻ tấn công có thể xâm nhập thông qua các tài khoản hoặc thiết bị đáng tin cậy.
Các cuộc diễn tập này được thực hiện trong bối cảnh kỹ thuật xã hội gây ra phần lớn các vụ mất tiền điện tử được báo cáo. AMLBot đã xem xét hơn 2.500 cuộc điều tra và phát hiện ra rằng 65% các trường hợp mà họ xử lý vào năm 2025 bắt đầu bằng kỹ thuật xã hội chứ không phải là các khai thác phần mềm trực tiếp. Lừa đảo (phishing) chiếm 18% các trường hợp, trong khi việc xâm nhập thiết bị chiếm 13%.
Những kẻ tấn công thường dành hàng ngày hoặc hàng tháng để xây dựng lòng tin trước khi yêu cầu mục tiêu mở một tệp, phê duyệt yêu cầu ví điện tử hoặc chạy một lệnh. Phương pháp này có thể đánh bại các biện pháp kiểm soát kỹ thuật khi một nhân viên có quyền truy cập vào khóa riêng (private keys), tài khoản quản trị viên hoặc hệ thống nội bộ. Thông tin đăng nhập bị đánh cắp có thể dẫn trực tiếp đến việc chuyển tài sản thanh khoản qua các chuỗi khối (blockchains) trong vòng vài phút.
Như crypto.news đã đưa tin, cuộc tấn công vào Drift Protocol vào tháng 4 năm 2026 đã rút cạn khoảng 285 triệu đô la sau khi những kẻ tấn công xâm nhập vào khóa quản trị viên. Các nhà nghiên cứu đã liên kết vụ vi phạm này với kỹ thuật xã hội và các lỗi bảo mật vận hành hơn là các hợp đồng thông minh (smart contracts) bị lỗi. Kẻ tấn công đã thay đổi cài đặt thị trường và giới hạn rút tiền trước khi chuyển tài sản qua hàng chục giao dịch.
Su xác định các cuộc phỏng vấn việc làm giả mạo là một kịch bản được sử dụng trong các bài kiểm tra của Binance. Những kẻ tấn công thực sự sử dụng cùng một phương pháp này chống lại các nhà phát triển, giám đốc điều hành và nhóm đầu tư. Chúng có thể chuyển một cuộc trò chuyện từ LinkedIn, Telegram hoặc email sang một cuộc họp video, sau đó tuyên bố rằng camera hoặc micro của nạn nhân cần cập nhật.
Các hacker liên quan đến Triều Tiên đã sử dụng các tài khoản Telegram bị xâm nhập và các cuộc gọi Zoom deepfake để liên hệ với các chuyên gia tiền điện tử. Những kẻ tấn công giả mạo các liên hệ quen thuộc và yêu cầu nạn nhân cài đặt các tệp được cho là để khắc phục sự cố âm thanh. Những tệp đó thay vào đó lại phát tán phần mềm độc hại có khả năng truy cập thiết bị, dữ liệu trình duyệt và ví tiền điện tử.
Một người dùng Venus Protocol đã mất khoảng 13,5 triệu đô la vào tháng 9 năm 2025 sau khi phê duyệt một giao dịch độc hại. Venus đã tạm dừng nền tảng cho vay của mình và thu hồi tài sản thông qua một quy trình quản trị khẩn cấp. Trường hợp này cho thấy cách một sự xâm nhập ở cấp độ người dùng có thể đặt tài sản vào rủi ro ngay cả khi các hợp đồng của giao thức vẫn còn nguyên vẹn.
Các cuộc mô phỏng hàng tháng cho phép Binance so sánh tỷ lệ thất bại và cập nhật đào tạo khi những kẻ tấn công thay đổi phương pháp của chúng. Một khóa học hàng năm duy nhất có thể không chuẩn bị đầy đủ cho nhân viên trước những chiêu dụ mới được xây dựng xung quanh các sự kiện hiện tại, các liên hệ đáng tin cậy hoặc lời mời làm việc. Các bài kiểm tra thường xuyên cũng cho thấy liệu nhân viên có báo cáo các tin nhắn đáng ngờ thay vì chỉ xóa chúng hay không.
Tuy nhiên, các cuộc mô phỏng không thể loại bỏ mọi rủi ro. Những kẻ tấn công có thể chiếm đoạt tài khoản chính chủ, sao chép các cuộc trò chuyện trước đó và sử dụng trí tuệ nhân tạo để tạo ra các tin nhắn âm thanh, video và văn bản đầy thuyết phục. Các công ty vẫn cần kiểm soát truy cập, giới hạn giao dịch, giám sát thiết bị và phản ứng sự cố nhanh chóng bên cạnh việc đào tạo nhân viên.
Su cho biết những thói quen bảo mật ban đầu của Binance “còn nhiều điều cần cải thiện,” nhưng việc kiểm tra lặp lại đã mang lại sự tiến bộ. Sàn giao dịch coi nhận thức của nhân viên là một phần trong hệ thống phòng thủ rộng lớn hơn của mình chứ không phải là một nhiệm vụ tuân thủ một lần. Nhân viên vẫn cần xác minh các yêu cầu bất thường thông qua một kênh riêng biệt trước khi mở tệp, chia sẻ thông tin hoặc phê duyệt giao dịch.
