Safe Wallet lanza actualización sobre el hackeo de $1.5 mil millones a Bybit, lista nuevas mejoras de seguridad
Derek H Andersen
3 min de lectura
- El hackeo fue dirigido y no comprometió los contratos inteligentes de Safe.
- Los hackers borraron el registro de sus actividades después de terminar.
- Bybit estaba utilizando una versión gratuita del software Safe
Safe, la plataforma de billetera de múltiples firmas en el centro del hackeo de $1.5 mil millones a Bybit el 21 de febrero, compartió una actualización de los hallazgos de su investigación sobre el hackeo en colaboración con la firma de ciberseguridad Mandiant. También detalló las lecciones aprendidas del hackeo y las acciones necesarias para fortalecer la seguridad en toda la comunidad de criptomonedas.
El Federal Bureau of Investigation de EE. UU. ha echado la culpa del hackeo al grupo de amenazas persistentes avanzadas norcoreano TraderTraitor, que identificó en 2022 como el mismo grupo que ha sido referido como el Grupo Lazarus y otros nombres. Mandiant, que se refiere al grupo como UNC4899, ha confirmado la atribución, dijo Safe en su artículo del 6 de marzo en X. Los hackers están respaldados por el gobierno norcoreano.
El hackeo fue bien orquestado
Los atacantes comprometieron la laptop de un desarrollador de Safe que «tenía mayor acceso para realizar sus funciones». También secuestraron tokens de sesión de AWS para evitar la autenticación multifactor.
La investigación aún está tratando de entender las acciones de los atacantes después de comprometer la computadora. Esta tarea se complica por el hecho de que los atacantes eliminaron su malware cuando terminaron y borraron el historial de Bash. Bash es una interfaz de línea de comandos utilizada por programadores en sistemas operativos tipo UNIX.
La computadora del desarrollador fue comprometida el 4 de febrero, Safe estableció, y los atacantes accedieron al entorno AWS de Safe al día siguiente. Había código JavaScript malicioso insertado en el sitio web de Safe para el 19 de febrero. El 21 de febrero a las 14:13 UTC, ocurrió la explotación de Bybit. El código malicioso fue eliminado un minuto después, y la transacción del robo de Bybit tuvo lugar un minuto después.
La computadora fue comprometida a través de un proyecto Docker. Docker se utiliza en el diseño de aplicaciones. Los hackers habían utilizado proyectos Docker antes para insertar malware. El ataque dirigió específicamente a la siguiente transacción de una billetera fría ETH multisig de Bybit.
El CEO de Bybit, Ben Zhou, aprobó personalmente la fatídica transacción, que estaba destinada a mover parte de su ETH del almacenamiento frío a una billetera caliente después de recibir un enlace falsificado de Safe.
Bybit explicó el día del hackeo: «Esta transacción fue manipulada a través de un ataque sofisticado que ocultó la interfaz de firma, mostrando la dirección correcta mientras alteraba la lógica del contrato inteligente subyacente».
Los atacantes eludieron al menos cinco capas de seguridad de Safe en su hackeo. Safe enumeró varios restablecimientos y mejoras que ha implementado para eliminar las amenazas identificadas y aumentar la seguridad. Las billeteras inteligentes de Safe y su código fuente no se vieron afectadas por el hackeo.
El hackeo era evitable
Las organizaciones Web3 «necesitan mejoras significativas en la UX [experiencia de usuario] que simplifiquen la gestión segura de transacciones», concluyó Safe. «El acto de firmar la transacción en sí es actualmente la última línea de defensa, y solo puede ser efectiva si el usuario puede entender lo que está firmando».
Safe, cuyo nombre a menudo se estiliza como Safe{Wallet}, es una billetera de contrato inteligente que almacena firmas y realiza verificaciones para asegurar que se cumplan todas las aprobaciones requeridas antes de que una transacción se envíe a una blockchain.
Aunque Safe fue comprometida en el hackeo, los expertos han criticado a Bybit por su seguridad deficiente. Bybit utilizó la versión gratuita de los servicios de Safe, que fue descrita como más apropiada para «aficionados a las criptomonedas», mientras que estaba disponible un software más sofisticado.
Bybit había notado meses antes que el software no era compatible con otros servicios de seguridad. Esto impedía que Zhou viera los detalles completos de la transferencia.
Los hackers habían lavado todo el ETH 499.000 que habían robado para el 4 de marzo.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
