Il 21 febbraio l’exchange di criptovalute Bybit, con sede a Dubai, ha subito il furto di circa 1,5 miliardi di dollari in Ethereum, il più grande nella storia delle criptovalute. Il 26 febbraio l’FBI ha attribuito l’attacco alla Corea del Nord, al gruppo che chiama TraderTraitor e che è più noto come Lazarus.
I fondi stavano in un cold wallet, un portafoglio offline protetto da più firme. Durante un trasferimento programmato verso il portafoglio operativo, i firmatari di Bybit hanno approvato quella che sembrava un’operazione di routine. In realtà la transazione modificava il contratto del portafoglio e ne consegnava il controllo agli attaccanti.
Le analisi preliminari hanno ricostruito il percorso. Gli attaccanti hanno compromesso il computer di uno sviluppatore di Safe{Wallet}, la piattaforma multifirma usata da Bybit, e hanno sostituito un file JavaScript della sua interfaccia web. Il codice malevolo si attivava solo per il portafoglio di Bybit: ai firmatari mostrava una transazione legittima mentre ne faceva firmare un’altra. Pochi minuti dopo il furto il file è stato ripulito.
Bybit ha detto di poter coprire le perdite e ha garantito i prelievi dei clienti. Gli attaccanti hanno cominciato subito a riciclare i fondi, convertendoli in bitcoin e in altre criptovalute e frammentandoli su migliaia di indirizzi. L’FBI ha pubblicato gli indirizzi collegati e chiede a exchange e operatori di bloccarne le transazioni.
Firmare ciò che non vedi
Bybit aveva fatto tutto ciò che i manuali consigliano: portafoglio offline, firme multiple, più persone coinvolte. Non è bastato, perché tutti i firmatari si fidavano della stessa interfaccia. Se lo strumento che ti mostra cosa stai firmando è compromesso, la tua firma non protegge più niente: approva ciò che vuole l’attaccante.
Se gestisci fondi con portafogli multifirma, verifica le transazioni su un dispositivo indipendente e decodifica i dati grezzi invece di fidarti di ciò che mostra la pagina web. Tratta con sospetto qualunque operazione che modifica il contratto o i permessi del portafoglio. E proteggi le postazioni degli sviluppatori e le chiavi del cloud dei tuoi fornitori: sono il varco preferito per gli attacchi alla catena di fornitura.
Se invece sei un semplice utente, la regola resta quella di sempre. Sugli exchange tieni solo i fondi che ti servono.
