Safe Wallet rilascia un aggiornamento sull'hack da 1,5 miliardi di dollari di Bybit, elenca i nuovi miglioramenti alla sicurezza
Derek H Andersen
3 min di lettura
- L'attacco è stato mirato e non ha compromesso i smart contract di Safe.
- Gli hacker hanno cancellato le tracce delle loro attività al termine dell'operazione.
- Bybit utilizzava la versione gratuita del software Safe.
Safe, la piattaforma di portafoglio multi-firma al centro dell'hack da 1,5 miliardi di dollari di Bybit del 21 febbraio, ha condiviso un aggiornamento sui risultati della sua indagine sull'hack in collaborazione con l'azienda di cybersecurity Mandiant. Ha anche dettagliato le lezioni apprese dall'hack e le azioni necessarie per rafforzare la sicurezza in tutta la comunità crypto.
Il Federal Bureau of Investigation degli Stati Uniti ha attribuito la responsabilità dell'hack al gruppo di minacce persistenti avanzate nordcoreano TraderTraitor, che è stato identificato nel 2022 come lo stesso gruppo noto anche come Lazarus Group e con altri appellativi. Mandiant, che si riferisce al gruppo come UNC4899, ha confermato l'attribuzione, ha dichiarato Safe nel suo articolo del 6 marzo su X. Gli hacker sono sostenuti dal governo nordcoreano.
L'hack era ben orchestrato
Gli attaccanti hanno compromesso il laptop di uno sviluppatore di Safe che "aveva un accesso più elevato per svolgere i propri compiti". Hanno anche dirottato i token di sessione AWS per bypassare l'autenticazione multifattore.
L'indagine sta ancora cercando di comprendere le azioni degli attaccanti dopo aver compromesso il computer. Questo compito è complicato dal fatto che gli attaccanti hanno cancellato il loro malware una volta terminato e hanno cancellato la cronologia di Bash. Bash è un'interfaccia a riga di comando utilizzata dai programmatori nei sistemi operativi di tipo UNIX.
Il computer dello sviluppatore è stato compromesso il 4 febbraio, Safe ha stabilito, e gli attaccanti hanno accesso all'ambiente AWS di Safe il giorno successivo. C'era codice JavaScript malevolo inserito sul sito web di Safe entro il 19 febbraio. Il 21 febbraio alle 14:13 UTC si è verificato l'exploit di Bybit. Il codice malevolo è stato rimosso un minuto dopo e la transazione del furto di Bybit è avvenuta un minuto dopo.
Il computer è stato compromesso attraverso un progetto Docker. Docker è utilizzato nella progettazione di applicazioni. Gli hacker avevano già utilizzato progetti Docker per inserire malware. L'attacco ha specificamente preso di mira la prossima transazione di un portafoglio freddo ETH multisig di Bybit.
Il CEO di Bybit Ben Zhou aveva approvato personalmente la fatidica transazione, che doveva spostare parte dei suoi ETH dallo storage freddo a un portafoglio caldo dopo aver ricevuto un link falsificato da Safe.
Bybit ha spiegato il giorno dell'hack: "Questa transazione è stata manipolata attraverso un attacco sofisticato che ha mascherato l'interfaccia di firma, mostrando l'indirizzo corretto mentre alterava la logica del contratto intelligente sottostante."
Gli attaccanti hanno bypassato almeno cinque livelli di sicurezza di Safe nel loro attacco. Safe ha elencato diversi reset e miglioramenti che ha istituito per eliminare le minacce identificate e aumentare la sicurezza. I portafogli smart contract di Safe e il suo codice sorgente non sono stati interessati dall'hack.
L'hack era prevenibile
Le organizzazioni Web3 "hanno bisogno di significativi miglioramenti dell'UX [esperienza utente] che semplifichino la gestione sicura delle transazioni", ha concluso Safe. "L'atto di firmare la transazione stessa è attualmente l'ultima linea di difesa e può essere efficace solo se l'utente può comprendere ciò che sta firmando."
Safe, il cui nome è spesso stilizzato Safe{Wallet}, è un portafoglio smart contract che memorizza le firme ed esegue controlli per garantire che tutte le approvazioni richieste siano soddisfatte prima che una transazione venga inviata a una blockchain.
Anche se Safe è stato compromesso nell'hack, gli esperti hanno criticato Bybit per la sua sicurezza carente. Bybit ha utilizzato la versione gratuita dei servizi di Safe, descritta come più adatta per "appassionati di criptovalute", mentre era disponibile un software più sofisticato.
Bybit aveva notato mesi prima che il software non era compatibile con altri servizi di sicurezza. Questo impediva a Zhou di vedere i dettagli completi del trasferimento.
Gli hacker avevano riciclato tutti i 499.000 ETH rubati entro il 4 marzo.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
