Safe Wallet lança atualização sobre o hack de US$ 1,5 bilhão na Bybit, lista novas melhorias de segurança

A Safe, a plataforma de carteira multi-assinatura no centro do hack de US$ 1,5 bilhão na Bybit em 21 de fevereiro, compartilhou uma atualização das descobertas de sua investigação sobre o hack em colaboração com a empresa de cibersegurança Mandiant. Ela também detalhou as lições aprendidas com o hack e as ações necessárias para fortalecer a segurança em toda a comunidade de criptomoedas.

O Federal Bureau of Investigation dos EUA atribuiu a responsabilidade pelo hack ao grupo de ameaça persistente avançada norte-coreano TraderTraitor, que ele identificou em 2022 como o mesmo grupo referido como Lazarus Group e outros nomes. A Mandiant, que se refere ao grupo como UNC4899, confirmou a atribuição, disse a Safe em seu artigo do X de 6 de março. Os hackers são apoiados pelo governo norte-coreano.

O hack foi bem orquestrado

Os atacantes comprometeram o laptop de um desenvolvedor da Safe que "tinha acesso mais elevado para realizar suas funções". Eles também sequestraram tokens de sessão da AWS para contornar a autenticação multifator. 

A investigação ainda está tentando entender as ações dos atacantes após comprometer o computador. Esta tarefa é complicada pelo fato de os atacantes terem excluído seu malware quando terminaram e limpado o histórico do Bash. O Bash é uma interface de linha de comando usada por programadores em sistemas operacionais semelhantes ao UNIX.

O computador do desenvolvedor foi comprometido em 4 de fevereiro, a Safe estabeleceu-se e os atacantes acessaram o ambiente AWS da Safe no dia seguinte. Havia código JavaScript malicioso inserido no site da Safe até 19 de fevereiro. Em 21 de fevereiro às 14:13 UTC, ocorreu a exploração da Bybit. O código malicioso foi removido um minuto depois, e a transação do roubo da Bybit ocorreu um minuto depois.

O computador foi comprometido através de um projeto Docker. O Docker é usado no desenvolvimento de aplicativos. Os hackers já haviam usado projetos Docker para inserir malware. O ataque especificamente alvejou a próxima transação de uma carteira fria ETH multisig da Bybit.

O CEO da Bybit, Ben Zhou, aprovou pessoalmente a transação fatídica, que deveria mover parte de seu ETH do armazenamento frio para uma carteira quente após receber um link falsificado da Safe.

A Bybit explicou no dia do hack: "Esta transação foi manipulada através de um ataque sofisticado que mascarou a interface de assinatura, exibindo o endereço correto enquanto alterava a lógica subjacente do contrato inteligente."

Os atacantes contornaram pelo menos cinco camadas de segurança da Safe em seu hack. A Safe listou várias redefinições e melhorias que instituiu para eliminar as ameaças identificadas e aumentar a segurança. As carteiras de contrato inteligente da Safe e seu código-fonte não foram afetadas pelo hack.

O hack era evitável

As organizações Web3 "precisam de melhorias significativas na UX [experiência do usuário] que simplifiquem o gerenciamento seguro de transações", concluiu a Safe. "O ato de assinar a transação em si é atualmente a última linha de defesa, e só pode ser eficaz se o usuário puder entender o que está assinando."

A Safe, cujo nome é frequentemente estilizado como Safe{Wallet}, é uma carteira de contrato inteligente que armazena assinaturas e realiza verificações para garantir que todas as aprovações necessárias sejam atendidas antes que uma transação seja submetida a uma blockchain.

Embora a Safe tenha sido comprometida no hack, os especialistas culparam a Bybit por sua segurança precária. A Bybit usou a versão gratuita dos serviços da Safe, que foi descrita como mais adequada para "hobbyistas de criptomoedas", enquanto software mais sofisticado estava disponível.

A Bybit havia notado meses antes que o software não era compatível com outros serviços de segurança. Isso impediu que Zhou visse os detalhes completos da transferência.

Os hackers haviam lavado todo o ETH roubado, totalizando 499.000 ETH, até 4 de março.