Safe Wallet publie une mise à jour sur le piratage de Bybit de 1,5 milliard de dollars, listant de nouvelles améliorations de sécurité
Derek H Andersen
3 min de lecture
- Le piratage était ciblé et n'a pas compromis les contrats intelligents de Safe.
- Les pirates ont effacé la trace de leurs activités une fois terminées.
- Bybit utilisait une version gratuite du logiciel Safe
Safe, la plateforme de portefeuille multi-signatures au cœur du piratage de Bybit de 1,5 milliard de dollars du 21 février, a partagé une mise à jour des résultats de son enquête sur le piratage en collaboration avec le cabinet de cybersécurité Mandiant. Elle a également détaillé les leçons tirées du piratage et les actions nécessaires pour renforcer la sécurité dans toute la communauté crypto.
Le Federal Bureau of Investigation (FBI) des États-Unis a attribué la responsabilité du piratage au groupe de menace persistante avancée nord-coréen TraderTraitor, qu’il a identifié en 2022 comme étant le même groupe que celui connu sous le nom de Lazarus Group et d’autres appellations. Mandiant, qui désigne le groupe sous le nom d’UNC4899, a confirmé cette attribution, a déclaré Safe dans son article du 6 mars sur X. Les pirates sont soutenus par le gouvernement nord-coréen.
Le piratage était bien orchestré
Les attaquants ont compromis l’ordinateur portable d’un développeur de Safe qui « disposait d’un accès plus élevé pour effectuer ses fonctions ». Ils ont également détourné des jetons de session AWS pour contourner l’authentification multifactorielle.
L’enquête tente encore de comprendre les actions des attaquants après la compromission de l’ordinateur. Cette tâche est compliquée par le fait que les attaquants ont supprimé leurs logiciels malveillants une fois leur travail terminé et effacé l’historique Bash. Bash est une interface en ligne de commande utilisée par les programmeurs dans les systèmes d’exploitation de type UNIX.
L’ordinateur du développeur a été compromis le 4 février, a établi Safe, et les attaquants ont accédé à l’environnement AWS de Safe le lendemain. Du code JavaScript malveillant a été inséré sur le site Web de Safe d’ici le 19 février. Le 21 février à 14 h 13 UTC, l’exploitation de Bybit s’est produite. Le code malveillant a été supprimé une minute plus tard, et la transaction du vol de Bybit a eu lieu une minute après.
L’ordinateur a été compromis via un projet Docker. Docker est utilisé dans la conception d’applications. Les pirates avaient déjà utilisé des projets Docker pour insérer des logiciels malveillants. L’attaque visait spécifiquement la prochaine transaction d’un portefeuille froid ETH multisig de Bybit.
Le PDG de Bybit, Ben Zhou, avait personnellement approuvé la transaction fatale, qui devait transférer une partie de ses ETH du stockage froid vers un portefeuille chaud après avoir reçu un lien falsifié de Safe.
Bybit a expliqué le jour du piratage : « Cette transaction a été manipulée par une attaque sophistiquée qui masquait l’interface de signature, affichant la bonne adresse tout en altérant la logique sous-jacente du contrat intelligent. »
Les attaquants ont contourné au moins cinq couches de sécurité de Safe lors de leur piratage. Safe a listé plusieurs réinitialisations et améliorations qu’il a mises en place pour éliminer les menaces identifiées et augmenter la sécurité. Les portefeuilles de contrats intelligents Safe et son code source n’ont pas été affectés par le piratage.
Le piratage était évitable
Les organisations Web3 « ont besoin d’améliorations significatives de l’UX [expérience utilisateur] qui simplifient la gestion sécurisée des transactions », a conclu Safe. « L’acte de signer la transaction elle-même constitue actuellement la dernière ligne de défense, et il ne peut être efficace que si l’utilisateur peut comprendre ce qu’il signe. »
Safe, dont le nom est souvent stylisé Safe{Wallet}, est un portefeuille de contrat intelligent qui stocke les signatures et effectue des vérifications pour s’assurer que toutes les approbations requises sont remplies avant qu’une transaction ne soit soumise à une blockchain.
Même si Safe a été compromis lors du piratage, les experts ont critiqué Bybit pour sa sécurité médiocre. Bybit utilisait la version gratuite des services de Safe, décrite comme plus adaptée aux « amateurs de crypto », tandis qu’un logiciel plus sophistiqué était disponible.
Bybit avait remarqué des mois auparavant que le logiciel n’était pas compatible avec d’autres services de sécurité. Cela empêchait Zhou de voir les détails complets du transfert.
Les pirates avaient blanchi les 499 000 ETH qu’ils avaient volés d’ici le 4 mars.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
