Il 2025 è l’anno delle criptovalute, ma verrà ricordato anche per l’hack di Bybit, quello che è diventato a tutti gli effetti il più grande furto di crypto della storia. Nel pomeriggio di venerdì 21 febbraio, un gruppo di hacker nordcoreani, ritenuti vicini al movimento Lazarus che con le sue azioni finanzierebbe il programma nucleare del presidente Kim Jong-un, ha sottratto 1,46 miliardi di dollari in Ethereum dall’exchange, il secondo al mondo per volume di scambi. Con questa mossa, i pirati informatici (e i loro mandanti) sono diventati i più grossi possessori di ETH, secondi soltanto a Vitalik Buterin, il cofondatore della criptovaluta con Gavin Wood, Jeffrey Wilcke e gli altri sviluppatori.
Bybit hackerato: è il furto del secolo
È stato l’investigatore blockchain ZachXBT a svelare le modalità dell’attacco alla piattaforma di scambio con sede a Dubai guidata dall’amministratore delegato e cofondatore Ben Zhou. Il furto non è avvenuto con la sottrazione delle chiavi, il “buco” della blockchain o la violazione della crittografia del wallet, ma durante il trasferimento da un portafoglio “freddo” multi-firma (un cosiddetto cold wallet: il dispositivo di custodia fisico delle crypto che opera offline ed è raramente connesso, quindi è considerato estremamente sicuro) a un hot wallet, il portafoglio “caldo” che è sempre connesso e custodisce gli asset. Gli assalitori hanno agito individuando la vulnerabilità nel corso del processo di firma.
Gli hacker hanno manipolato l’interfaccia usata per l’approvazione della transazione: firmando un documento falsificato dai cracker, i firmatari (ossia il personale di Bybit) hanno inconsapevolmente autorizzato una transazione malevola. A quel punto i fondi sono stati trasferiti a un indirizzo di cui è impossibile sapere il proprietario. Il bottino è stato di 401.347 ETH, 90.376 stETH, 15.000 cmETH e 8.000 mETH. Gli assalitori hanno poi fatto perdere le loro tracce e quelle della refurtiva distribuendola subito su più wallet. ZachXBT e la piattaforma di analisi Arkham Intelligence sono riusciti a tracciare le criptovalute sottratte a Bybit, individuando nel gruppo Lazarus l’autore del furto.
Chi è il gruppo Lazarus
Conosciuto anche come Team Whois, 414 Liaison Office e Guardiani della Pace, Lazarus è un gruppo di hacker nordcoreani che il Dipartimento di Giustizia degli Stati Uniti ritiene affiliato al governo di Pyongyang. Attivi dal 2009 con l’operazione di cyber-spionaggio Troy per colpire il governo sudcoreano a Seul, i pirati opererebbero sotto la supervisione di Kim Jong-un con attacchi informatici, assalti alle infrastrutture critiche e campagne di ransomware per aggirare le sanzioni internazionali e finanziare il programma nucleare del Paese. La loro offensiva più famosa (almeno fino a oggi) è quella del 2017 con il worm WannaCry, che ha infettato i sistemi di numerose aziende e organizzazioni in tutto il mondo, da FedEx a Deutsche Bahn.
Lazarus non è nuovo alle rapine digitali alle piattaforme exchange di criptovalute. Tra il 2017 e il 2018 ha assaltato Bithumb per 37 milioni di dollari e violato i software di Recorded Future e Nicehash per scippare Bitcoin e Monero. Nel 2022 ha sottratto 173.600 ETH e 25,5 milioni di USDC per un valore di 625 milioni a Ronin Network, la blockchain alla base di Axie Infinity, il videogioco play-to-earn con il maggior volume di NFT scambiati. Nello stesso anno, ha attaccato Binance rubando diverse crypto per 586 milioni ed è riuscito a razziare Horizon Bridge per 100 milioni. Nel 2023 è toccato ad Atomic Wallet e ai giapponesi di CoinCheck.
Prima dell’aggressione a Bybit, il gruppo nordcoreano ha sconvolto l’India con l’incursione del 18 luglio 2024 contro WazirX, exchange hackerato per 234,9 milioni di dollari in asset con la stessa sofisticata operazione di sottrazione durante lo spostamento da cold a hot wallet. I servizi statunitensi reputano che Lazarus abbia due unità operative sul campo: BlueNorOff (nota anche come APT38 e Stardust Chollima) per i trasferimenti illegali di denaro attraverso la falsificazione degli ordini di SWIFT; AndAriel per gli assalti specifici alla Corea del Sud.
Le reazioni del mondo crypto
Immediatamente dopo il furto a Bybit, Ben Zhou è intervenuto sui social per tranquillizzare gli utenti, spiegando che tutti i fondi sono al sicuro, le 350mila richieste di riscatto sono state soddisfatte, Bybit è pienamente solvibile con asset garantiti 1:1 (ovvero l’exchange detiene riserve equivalenti ai fondi depositati dai clienti) e risarcirà gli investitori per tutte le somme che non riuscirà a recuperare. L’intera comunità crypto ha fatto squadra dinanzi all’emergenza: rispondendo all’appello di Zhou per rimborsare i clienti ed evitare un liquidity crunch, il mondo onchain ha autorizzato un prestito ponte e bloccato i portafogli degli hacker.
Come spiegato dall’amministratrice delegata Gracy Chen, Bitget ha trasferito 40.000 ETH a Bybit per un valore di 105 milioni di dollari per supportare i partner concorrenti nella gestione di questo momento critico. La liquidità arriva dalle riserve dell’exchange, uno dei più importanti a livello globale. Binance ha invece attivato delle iniziative private e non un prestito diretto. Dal canto suo, Bybit ha garantito la copertura degli ammanchi senza che gli utenti perdano i loro depositi e tramite Arkham ha offerto una ricompensa pari al 10% dei soldi recuperati per chi riuscirà ad aiutare la piattaforma a tornare in possesso dei fondi rubati.
La replica di Ben Zhou e il prezzo di Ethereum
L’amministratore delegato di Bybit ha dichiarato di aver fornito alle autorità tutti i dati relativi all’hack (la piattaforma si è affidata all’agenzia di cybersecurity Hacken) e di aver segnalato gli indirizzi incriminati agli exchange centralizzati per rendere inutilizzabili le somme sottratte. “Bybit copre completamente tutti gli asset dei clienti affidati alla nostra piattaforma – ha affermato Zhou in una nota –, mantenendo un rapporto dinamico di oltre 1:1. Siamo fortunati ad avere amici fidati in un settore spietato: i nostri colleghi e persino i concorrenti ci sono stati accanto nei momenti difficili e i nostri clienti meritano lo stesso livello di impegno”.
Quanto a Ethereum, ha subito una flessione di prezzo del 4% nelle ore successive al furto. Una dinamica comprensibile che genera panico, sfiducia e vendite di massa, visto quanto accaduto. Tuttavia, nei giorni successivi all’attacco hacker a Bybit, il prezzo di ETH ha registrato un aumento significativo. Questo comportamento insolito si dovrebbe a una precisa mossa strategica dell’exchange, che avrebbe cominciato ad acquistare ETH per coprire le perdite subite, alimentando in questo modo una maggiore domanda sul mercato e spingendo così il suo valore. In molti, infine, hanno paventato l’opportunità di un rollback della blockchain per aiutare Bybit a recuperare i fondi rubati, ma un ripristino della catena è un’idea considerata irrealizzabile dalla maggior parte degli operatori crypto.
