Crypto․com non ha coperto l'hack del 2023, il CEO confuta le affermazioni di ZachXBT

Un adolescente e i suoi complici hanno preso il controllo dell'account dipendente di Crypto․com nel 2023, e l'investigatore blockchain ZachXBT ha accusato l'azienda di averlo nascosto. 

Rispondendo al post dello scambio di sabato, ZachXBT affermato ha affermato che la piattaforma era stata compromessa più volte, ma che avrebbe presumibilmente "coperto una violazione che ha interessato le informazioni personali degli utenti."

CEO di Crypto.com: Non abbiamo coperto una violazione pubblica

Il chief executive Kris Marszalek ha risposto alle accuse di ZachXBT lunedì, definendole "completamente infondate." In un post su X, ha scritto che l'azienda non ha omesso di divulgare una violazione della sicurezza e ha presentato un "Avviso di incidente di sicurezza dei dati" alle autorità di regolamentazione.

Voglio affrontare direttamente e chiaramente alcune disinformazioni diffuse da fonti poco informate…
Qualsiasi suggerimento che non abbiamo segnalato o divulgato un incidente di sicurezza è completamente infondato – come abbiamo riportato in una presentazione NMLS di Avviso di incidente di sicurezza dei dati e in un'ulteriore…

— Kris (@kris) September 22, 2025

Secondo Marszalek, l'incidente del 2023 ha coinvolto una campagna di phishing che ha preso di mira un dipendente ma è stata contenuta entro poche ore. 

"Nessun fondo dei clienti è stato accesso o era mai a rischio, e ha interessato un numero estremamente limitato di informazioni personali parziali (PII) dei nostri utenti. I nostri sistemi sono collaudati in battaglia e in continuo miglioramento – siamo orgogliosi della nostra cultura orientata alla sicurezza e di avere la maggior parte delle certificazioni di sicurezza di qualsiasi azienda nel nostro settore", ha affermato Marszalek.

Ma dopo la sua risposta, ZachXBT ha chiesto al CEO di condividere un URL dove gli incidenti sono stati divulgati pubblicamente, proprio come hanno fatto Coinbase e Gemini all'inizio di quest'anno per le loro violazioni.

"Poiché il CEO di Crypto.com Kris mi ha bloccato, non posso rispondere al suo post e risponderò solo qui… I saldi degli utenti, i nomi, le email e i numeri di telefono trapelati da altri incidenti sono un po' più di una semplice 'PII parziale'," ha risposto l'investigatore. 

A luglio, ZachXBT ha accusato l'azienda di insider trading, per aver bruciato 70 miliardi di token CRO nel 2021, per poi riemettere la stessa quantità nel 2023 attraverso un voto di governance in cui i validatori collegati allo scambio controllavano la maggior parte dell'esito.

"Ricordate, hanno anche stampato più token, dal nulla. Tutte le sfumature di bandiere rosse", ha commentato un utente sulle accuse. Crypto․com non ha risposto a queste affermazioni e sta ancora costruendo partnership, tra cui un'alleanza con Trump Media per creare un tesoro di asset digitali per CRO.

Hacker adolescente dietro la violazione di Crypto.com

Secondo le indagini di Bloomberg, i responsabili facevano parte del collettivo Scattered Spider, incluso un 18-enne della Florida di nome Noah Urban. 

Urban ha ammesso di aver partecipato a una delle reti di cybercriminalità più distruttive al mondo, che nel 2023 ha orchestrato un attacco a MGM Resorts International causando danni per 100 milioni di dollari, e un altro al rivenditore britannico Marks & Spencer per circa 400 milioni di dollari.

Con l'assistenza di un altro hacker noto solo come Jack, l'adolescente avrebbe utilizzato tecniche di ingegneria sociale per impersonare il personale e "parlare" per accedere all'account di un dipendente di Crypto.com, insieme ai sistemi di United Parcel Service, per raccogliere dati personali. 

UPS ha successivamente confermato di aver patchato la vulnerabilità ma ha rifiutato di fornire dettagli sulla questione. Per Crypto․com, un portavoce dell'azienda ha dichiarato che l'episodio ha interessato solo "un numero molto limitato di individui" e che nessun fondo dei clienti è stato compromesso.

Noah Urban è stato condannato al carcere

Il percorso di Noah Urban verso la cybercriminalità è iniziato a 15 anni nelle comunità di gioco di Minecraft, dove ha imparato le tecniche di SIM-swapping che richiedevano poca competenza tecnica. 

Secondo Bloomberg, Urban aveva una voce profonda insolita per la sua età; usava impersonare il personale delle telecomunicazioni e ingannare i dipendenti facendogli condividere i numeri di telefono.

"Ehi, mi chiamo Kevin e chiamo dalla gestione della sicurezza interna di T-Mobile", recitava uno dei copioni che l'allora adolescente stava usando per le sue tattiche di ingegneria sociale. 

Mentre ha rivelato nel pezzo investigativo, ha guadagnato 50 dollari per ogni chiamata riuscita, arrivando a incassare fino a 3.000 dollari in una singola settimana mentre i suoi amici di gioco ascoltavano il suo canale Discord.