Mitä tapahtui Bybit-hakkeroinnissa ja mitä tiedämme nyt
Miksi luottaa Cryptonewsiin
Mainosilmoitus
Uskomme täydelliseen läpinäkyvyyteen. Osa sisällöstämme sisältää affiliate-linkkejä, ja voimme ansaita komissiota näiden kumppanuuksien kautta.
Viime viikolla tapahtunut yli miljardin dollarin Bybit-hakkerointi oli synkkä päivä kryptovaluutta-alalle – ja se havainnollistaa kahta asiaa.
Ensinnäkin, jopa pörssit, joilla on vankat turvatoimet, voivat olla alttiita kehittyneille hyökkäyksille. Toiseksi, Pohjois-Korean hakkerit kehittyvät jatkuvasti, ja heidän varkauksistaan tulee vuosi vuodelta suurempia ja yleisempiä.
Tämä oli kryptohistorian suurin hakkerointi – 1,4 miljardia dollaria katosi silmänräpäyksessä, ylittäen reilusti lähes kolme vuotta sitten Ronin-verkosta varastetut 625 miljoonaa dollaria.
Tässä artikkelissa Cryptonews käy läpi kaiken, mitä hyökkäyksestä tiedetään tähän mennessä – mukaan lukien mitä tapahtui, kuka oli vastuussa ja millaisia vaikutuksia tapauksella on alalle.
Bybit hakkeroitiin sosiaalisen manipuloinnin kautta
Pian sen jälkeen, kun huhut hakkeroinnista alkoivat levitä, Bybit julkaisi X:ssä lausunnon vahvistaakseen, että “luvattua toimintaa” oli havaittu yhdessä sen ETH-kylmälompakoista.
Tuolloin oli käynnissä rutiininomainen siirto lämpimään lompakkoon, ja tapahtuma oli läpäissyt useita tarkistuksia etukäteen.
Bybitin toimitusjohtaja Ben Zhou oli viimeinen henkilö, joka hyväksyi siirron. Hän suoritti sarjan turvatarkastuksia ja oli tyytyväinen siihen, että kaikki näytti olevan kunnossa. Vaikka siirron oikea kohde oli näytetty oikein, kulissien takana tapahtunut manipulointi tarkoitti, että varat päätyivätkin hakkerien lompakkoon.
Chainalysisin mukaan alkuperäinen tietomurto tapahtui sosiaalisen manipuloinnin kautta. He kertoivat:
“Hakkerit saivat pääsyn Bybitin käyttöliittymään suorittamalla tietojenkalasteluhyökkäyksiä kylmälompakoiden allekirjoittajia vastaan. He saivat nämä allekirjoittamaan haitallisia tapahtumia, jotka korvasivat Safe-moniallekirjoituslompakon toteutussopimuksen haitallisella versiolla.”
X:n Spaces-keskustelussa Zhou paljasti, että hän sai puhelun talousjohtajaltaan 30 minuuttia siirron jälkeen.
“Tunsin heti, että jokin oli pielessä, koska mies tärisi … hän ei melkein pystynyt puhumaan. ‘Ben, meillä on ongelma … meidät on saatettu hakkeroida.’”
Toimitusjohtaja kertoi aluksi luulleensa, että 30 000 ETH — noin 82 miljoonan dollarin arvosta — oli vaarantunut. Pian hänelle kuitenkin kerrottiin, että tässä kylmälompakossa oli ollut yhteensä 401 000 ETH. Kaikki oli kadonnut.
“Tunsin musertavaa hengästymistä, en saanut henkeä. En sanonut mitään viiteen sekuntiin. Kymmenen sekunnin kuluttua pakotin itseni ryhdistäytymään.”
Zhou kertoi ottaneensa välittömästi käyttöön turvaprotokollat, joita oli harjoiteltu kuukausittain. Hän käytti myös hälytyspainiketta, jolla hän saattoi herättää koko yrityksen henkilöstön ja ylimmän johdon. Tässä vaiheessa hänen tärkein prioriteettinsa ei ollut 1,4 miljardin dollarin takaisin saaminen, vaan Bybitin maineen suojaaminen.
Nopeasti järjestettiin suoratoistolähetys, jossa Zhou vastasi Bybitin asiakkaiden kysymyksiin. Hän halusi kuitenkin korostaa kahta asiaa: kaikki muut kylmälompakot olivat turvassa, ja pörssi pystyi kattamaan tappion, koska asiakasvarat on taattu yhden suhde yhteen.
Bybit urakoi valtavat nostomäärät hakkeroinnin jälkeen
Ennen suoran lähetyksen alkamista Zhou kirjoitti viestin henkilöstölle:
“Rakkaat Bybit-ystävät, ymmärrän, että tämä on vaikea aika. Arvostan sitä, että kaikki pysytte yhtenäisinä. Edessämme on haastavat 24–48 tuntia, mutta olen varma, että selviämme tästä. Pysykää ammatillisina ja rauhallisina asiakkaita ja ulkoisia kumppaneita kohtaan. Pyrimme kaikin keinoin pitämään nostot mahdollisina. Samalla haluan sanoa, että tästä valtavasta tappiosta huolimatta kaikki asiakasvarat ovat turvassa. Nyt on aika vastata asiakkaiden kysymyksiin viipymättä, olla heidän tukenaan ja käyttää avoimuutta ja viestintää hälventääksemme heidän epäilynsä.”
Zhou osasi ennakoida, mitä oli tulossa – ja lopulta näyttää siltä, että Bybit onnistui pitämään lupauksensa. Pörssi ilmoitti myöhemmin käsitelleensä huimat 350 000 nostopyyntöä ensimmäisen kymmenen tunnin aikana hakkeroinnin jälkeen… ja lauantaihin mennessä onnistuneita nostoja oli tehty 580 000. Kun ruuhka saatiin purettua, yritys ilmoitti, että kaikki sen järjestelmät toimivat jälleen normaalisti.
Tämän “kaikki jatkuu normaalisti” -vaikutelman ylläpitäminen oli kriittistä, sillä monet kaupankäyntialustat ovat aiemmin äkillisesti jäädyttäneet nostot – ja esimerkiksi FTX:n tapauksessa tämä oli merkki alkavasta pitkästä ja sotkuisesta konkurssista.
DeFiLlaman datan mukaan Bybitillä oli ennen hakkerointia lähes 17 miljardia dollaria varoja, mutta sunnuntaihin mennessä tämä oli pudonnut 10,8 miljardiin dollariin, kun asiakkaat kiirehtivät nostamaan rahojaan. Tiistaihin mennessä summa oli kuitenkin hieman palautunut, nousten 11,5 miljardiin dollariin.
Keitä olivat Bybit-hakkerit?
Samaan aikaan, kun Bybit pyrki rauhoittamaan asiakkaita ja markkinoita, lohkoketjuetsivät ryhtyivät selvittämään, kuka oli hyökkäyksen takana.
Vain muutamassa tunnissa $1,4 miljardin hakkeroinnin jälkeen tutkija ZachXBT oli löytänyt kiistattomia todisteita siitä, että hyökkäyksen taustalla oli Lazarus Group.
Kyseessä on kollektiivi, jolla on tiiviit yhteydet Pohjois-Korean hallitukseen. Yhdysvaltain viranomaisten mukaan varastetut kryptovarat päätyvät rahanpesun ja käteiskonversioiden kautta rahoittamaan eristyksissä olevan valtion ballististen ohjusten ja joukkotuhoaseiden kehitysohjelmia.
Lazarus Group on ollut vastuussa monista viime vuosien suurimmista kryptohakkeroinneista, kuten:
- $234 miljoonan varkaus WazirX-pörssistä aiemmin tänä vuonna
- $100 miljoonaa varastettuna Atomic Walletista ja Horizonista
- $625 miljoonaa häikäisevä ryöstö Ronin-verkosta
Vaikka kryptotransaktiot ovat tietyssä määrin jäljitettävissä, sekoituspalvelut ja hajautetut pörssit auttavat kyberrikollisia hämärtämään varojen alkuperää, jolloin ne voivat kadota ilman selvää jälkeä. Viitaten Lazarus-ryhmän toimintatapoihin Ronin-hyökkäyksen jälkeen, Chainalysisin tutkintajohtaja Erin Plante kertoi:
“He siirtävät varoja todella nopeasti ja käyttävät monenlaisia hämärtyskeinoja, jotta he voivat rahastaa ne mahdollisimman nopeasti. He toivovat, että tutkinnat ovat muutaman vaiheen jäljessä, koska he pitävät varat jäädytettävissä tiloissa – kuten vakaavaluutoissa tai keskitetyn pörssin tileillä – vain 5–10 minuuttia. He yrittävät päästä tarpeeksi edelle tutkijoita ja pestä varoja sen verran, että jäljityspalvelut eivät enää tunnista alkuperää.”
Arkham Intelligence on seurannut, minne 401 000 ETH verran varastettuja varoja on siirretty, ja kartoittanut eri lompakoita, joihin ne on hajautettu. He raportoivat:
“Bybit-hakkeri tekee 2–3 siirtoa minuutissa ja pysähtyy 45 minuutin välein 15 minuutin tauolle. Hän siirtää ETH:ta yhdestä osoitteesta kerrallaan ennen kuin siirtyy seuraavaan.”
Tähän mennessä vaikuttaa siltä, että Lazarus Group on vaihtanut varastettua Etheriä pääasiassa Bitcoiniin sekä DAI-vakaavaluuttaan. Siirrot tapahtuvat hajautettujen pörssien, lohkojenvälisten siltojen ja sellaisten välittömien vaihtopalveluiden kautta, jotka eivät edellytä tuntemistietoja (KYC).
Mutta 1,4 $ miljardia on valtava summa, eikä hakkeriryhmä ole aikeissa siirtää kaikkea heti. Chainalysis varoittaa, että Lazarus saattaa antaa osan kryptovaroista “levätä” ennen pesutoimia.
“Viivästyttämällä rahanpesua he yrittävät välttää heti hyökkäyksen jälkeen syntyvän tehostetun tarkkailun.”
Turvallisuusasiantuntijoita on rekrytoitu palkkio-ohjelman avulla
Bybit on käynnistänyt palkkio-ohjelman, jonka tavoitteena on kannustaa turvallisuusasiantuntijoita auttamaan varastetun krypton palauttamisessa. Ohjelman mukaan asiantuntijat saavat 10 % kaikista takaisin saaduista varoista – eli tarjolla voi olla jopa 140 miljoonaa dollaria.
Toistaiseksi edistyminen on kuitenkin ollut rajallista. Sunnuntaihin mennessä vain 85 miljoonaa dollaria Lazarus Groupin viemistä varoista oli jäädytetty tai saatu takaisin – eli vain noin 5 % koko menetetystä summasta.
Maanantaina Bybit ilmoitti, että se oli onnistunut täysin paikkaamaan asiakkaiden ETH-vajeen 72 tunnin sisällä. Yritys kertoi, että strategiset kumppanuudet tahojen kuten Galaxy Digital, FalconX ja Wintermute kanssa sekä Bitgetin, MEXC:n ja DWF Labsin tuki auttoivat Bybitiä täyttämään varantonsa ennätysajassa.
Tämän vahvisti Hackenin tekemä tarkastus, jonka mukaan pörssi – joka on maailman toiseksi suurin kaupankäyntivolyymeilla mitattuna – omaa riittävät varannot kattaakseen kaikkien käyttäjiensä varat 1:1-suhteessa.
Bybit otti käyttöön Proof of Reserves -järjestelmän vastauksena FTX:n hakkerointiin. Tällöin yhtiö totesi, että ”kaiken julkinen näkyvyys estää pörssejä tekemästä salaisia taloudellisia transaktioita”.
Kun Zhoulta kysyttiin X:ssä, uskoiko hän, että varastetut varat voitaisiin saada takaisin ja onko viranomaisten mukaan ottamisesta mitään hyötyä, hän vastasi:
“Teemme parhaamme … oletan, että hakkerit tarvitsevat todella pitkän ajan pestäkseen tämän rahan. Toivomme, että aiheuttamalla heille tarpeeksi ongelmia, he saattaisivat harkita sen palauttamista jossain vaiheessa … Singaporen poliisi otti asian vakavasti ja on jo siirtänyt sen Interpolin käsittelyyn.”
Tähän mennessä Lazarus Groupin katuminen ja varojen palauttaminen vaikuttaa äärimmäisen epätodennäköiseltä.
Pohjois-Korea vastasi suurimmasta osasta viime vuoden kryptohyökkäyksiä
Chainalysis on seurannut Lazarus Groupin toimintaa pitkään, ja on selvää, että heidän hyökkäyksensä kryptopörssejä vastaan ovat kasvaneet räjähdysmäisesti.
Pohjois-Korea vastasi noin kahdesta kolmasosasta kaikista kryptovarkauksista vuonna 2024 – mutta tämä ei kerro koko totuutta.
- Vuonna 2023 Lazarus varasti noin 660 miljoonaa dollaria 20 eri hyökkäyksessä.
- Vuonna 2024 määrä tuplaantui: ryhmä teki 47 iskua ja vei yhteensä 1,34 miljardia dollaria.
- Nyt, vain kahden kuukauden aikana vuonna 2025, Lazarus on jo rikkonut ennätyksiä – ja se tapahtui yhdellä ainoalla hyökkäyksellä.
Nyt huomio kohdistuu siihen, voidaanko tällaisia hyökkäyksiä estää tulevaisuudessa – ja ovatko kryptopörssit turvallinen paikka sijoittajien varoille.
Ledgerin toimitusjohtaja Pascal Gauthier on korostanut, että kaupankäyntialustojen on mietittävä turvakäytäntöjään kokonaan uusiksi ja siirryttävä modernimpiin menetelmiin, kuten “Clear Signing” -teknologiaan. X:ssä hän kirjoitti:
“Turvallisuus ei ole staattista – hyökkääjät kehittyvät jatkuvasti, ja alamme on pysyttävä edellä ottamalla käyttöön korkeimmat mahdolliset yritysturvallisuusstandardit seuraavan, entistä kehittyneemmän hyökkäyksen estämiseksi.”
Clear Signing tarkoittaa, että transaktion tiedot näytetään käyttäjälle ymmärrettävässä muodossa, ja Gauthierin mukaan Bybitin hakkerointi ei olisi tapahtunut, jos tämä turvakerros olisi ollut käytössä.
Ledger on myös painottanut, että tämä viimeisin hakkerointi alleviivaa itsehallinnollisten lompakoiden tarvetta. Yhtiön mukaan sijoittajien tulisi luottaa laitelompakoihin sen sijaan, että he säilyttäisivät varojaan pörsseissä.
Lue myös nämä
in numbers
