Crypto․com non ha insabbiato l'attacco hacker del 2023, il CEO confuta le affermazioni di ZachXBT

Nel 2023, un adolescente e i suoi complici hanno preso il controllo dell'account di un dipendente dell'exchange di criptovalute Crypto․com, cosa che l'investigatore blockchain ZachXBT ha accusato l'azienda di aver nascosto. 

Rispondendo al post della piattaforma di scambio sabato, ZachXBT ha affermato che la piattaforma era stata compromessa diverse volte, ma che avrebbe "insabbiato una violazione che ha interessato le informazioni personali degli utenti".

Il CEO di Crypto.com: non abbiamo nascosto una violazione pubblica

Lunedì, l'amministratore delegato Kris Marszalek ha risposto alle accuse di ZachXBT, definendole "completamente infondate". In un post su X, ha scritto che la società non ha omesso di segnalare una violazione della sicurezza e ha presentato una "Notifica didentdi sicurezza dei dati" alle autorità di regolamentazione.

Voglio affrontare in modo diretto e chiaro alcune informazioni errate che si stanno diffondendo da fonti non informate...
Qualsiasi insinuazione secondo cui non avremmo segnalato o divulgato un incidente di sicurezzadentdentdent dentdentdentdent dentdent in ulteriori...

– Kris (@kris) 22 settembre 2025

Secondo Marszalek, l'dent del 2023 riguardava una campagna di phishing che aveva preso di mira un dipendente, ma che è stata contenuta nel giro di poche ore. 

"Nessun fondo dei clienti è mai stato utilizzato o messo a rischio, e ciò ha avuto un impatto su un numero estremamente limitato di dati personali parziali dei nostri utenti. I nostri sistemi sono testati sul campo e in continuo miglioramento: siamo orgogliosi della nostra cultura che mette la sicurezza al primo posto e del fatto di avere il maggior numero di certificazioni di sicurezza di qualsiasi azienda del nostro settore", ha affermato Marszalek.

Ma dopo la sua risposta, ZachXBT ha chiesto al CEO di condividere l'URL del luogo in cui gli incidentidentstati resi pubblici, proprio come hanno fatto Coinbase e Gemini all'inizio di quest'anno per le loro violazioni.

"Dato che il CEO di Crypto.com Kris mi ha bloccato, non posso rispondere al suo post e risponderò qui... I saldi degli utenti, i nomi, le email e i numeri di telefono trapelati da altridentsono qualcosa di più di semplici 'informazioni personali parziali'", ha risposto l'investigatore. 

A luglio, ZachXBT ha accusato la società di insider trading, per aver bruciato 70 miliardi di token CRO nel 2021, per poi riemettere la stessa quantità nel 2023 tramite un voto di governance in cui i validatori collegati all'exchange hanno controllato la maggior parte del risultato.

"Ricordate, hanno anche stampato altri token, dal nulla. Tutti segnali d'allarme", ha commentato un utente in merito alle accuse. Crypto.com non ha risposto a queste affermazioni e sta ancora stringendo partnership, tra cui un'alleanza con Trump Media per creare un tesoro di asset digitali per CRO.

Hacker adolescente dietro la violazione di Crypto.com

Secondo le indagini di Bloomberg, gli autori del reato facevano parte del collettivo Scattered Spider, tra cui un diciottenne della Florida di nome Noah Urban. 

Urban ha ammesso di aver preso parte a una delle reti di criminalità informatica più distruttive al mondo, che nel 2023 ha orchestrato un attacco alla MGM Resorts International che ha causato danni per 100 milioni di dollari e un altro al rivenditore britannico Marks & Spencer per circa 400 milioni di dollari.

Con l'aiuto di un altro hacker noto solo come Jack, l'adolescente avrebbe utilizzato tecniche di ingegneria sociale per impersonare un dipendente e "convincersi" ad accedere all'account di un dipendente di Crypto.com, insieme ai sistemi di United Parcel Service, per raccogliere dati personali. 

UPS ha successivamente confermato di aver risolto la vulnerabilità, ma ha rifiutato di fornire dettagli in merito. Per Crypto․com, un portavoce dell'azienda ha affermato che l'episodio ha interessato solo "un numero molto limitato di individui" e che non sono stati compromessi fondi dei clienti.

Noah Urban è stato condannato al carcere

Il percorso di Noah Urban nel mondo della criminalità informatica è iniziato all'età di 15 anni nelle community di gioco di Minecraft, dove ha imparato tecniche di scambio di SIM che richiedevano poche competenze tecniche. 

Secondo Bloomberg, Urban aveva una voce profonda, insolita per la sua età; era solito impersonare il personale delle telecomunicazioni e indurre i dipendenti a condividere i loro numeri di telefono.

"Ciao, mi chiamo Kevin e chiamo dalla direzione della sicurezza interna di T-Mobile", si leggeva in uno degli script che l'allora adolescente utilizzava per le sue tattiche di ingegneria sociale. 

Come rivelato nell'articolo investigativo, guadagnava 50 dollari per ogni chiamata andata a buon fine, arrivando addirittura a guadagnare 3.000 dollari in una sola settimana, mentre i suoi amici giocatori ascoltavano il suo canale Discord.