L’hack di Bybit spiegato: cosa è successo, chi è il responsabile e cosa accadrà ora
Crediamo nella completa trasparenza con i nostri lettori. Alcuni dei nostri contenuti includono link di affiliazione e potremmo guadagnare una commissione attraverso queste partnership. Tuttavia, questa potenziale compensazione non influenza mai le nostre analisi, opinioni o pareri. I nostri contenuti editoriali vengono creati indipendentemente dalle nostre partnership di marketing e le nostre valutazioni si basano esclusivamente sui nostri criteri di valutazione stabiliti. Per saperne di più clicca qui.
Perché puoi fidarti di noi
Disclaimer
Siamo fautori di un rapporto basato sulla più totale trasparenza con i nostri lettori. Ed è per questo che teniamo a sottolineare che alcuni dei nostri contenuti potrebbero includere link di affiliazione, da cui poter guadagnare una commissione attraverso queste partnership.
L’hack di Bybit di venerdì è stato un duro colpo per il settore crypto e ha messo in evidenza due aspetti fondamentali.
Primo, anche gli exchange con solidi protocolli di sicurezza possono essere vulnerabili ad attacchi sofisticati.
Secondo, le tattiche in continua evoluzione dei hacker nordcoreani rappresentano una minaccia sempre più seria. I furti diventano ogni anno più frequenti e di maggiore entità.
Si tratta del più grande hack nella storia delle crypto, che ha fatto sparire in un istante 1,4 miliardi di dollari. In confronto, i 625 milioni di dollari sottratti al Ronin Network quasi tre anni fa sembrano bazzecole.
In questo articolo noi di Cryptonews riassumiamo tutto ciò che si sa finora sull’attacco: cosa è successo, chi è il responsabile e quali saranno le conseguenze per l’industria.
L’attacco
Poco dopo l’emergere delle prime indiscrezioni sull’hack, Bybit ha rilasciato una dichiarazione su X, confermando di aver rilevato un’attività non autorizzata in uno dei suoi cold wallet su Ethereum (ETH).
In quel momento, era in corso un normale trasferimento verso un warm wallet, e la transazione aveva superato diversi controlli preliminari.
Il CEO di Bybit, Ben Zhou, è stato l’ultima persona ad approvare il trasferimento, e dopo aver effettuato una serie di verifiche di sicurezza, ha ritenuto che tutto fosse in ordine. Ma, sebbene la destinazione corretta fosse visualizzata nel sistema, una manipolazione avvenuta dietro le quinte ha fatto sì che i fondi venissero dirottati sul wallet dei hacker.
Secondo Chainalysis, l’attacco è avvenuto attraverso ingegneria sociale, cioè riuscendo a estorcere informazioni vitali all’insaputa della vittima. L’azienda ha spiegato:
“Gli hacker hanno ottenuto l’accesso all’interfaccia utente di Bybit eseguendo attacchi di phishing contro i firmatari dei cold wallet, inducendoli a firmare transazioni malevole che hanno sostituito il contratto multi-firma del wallet Safe con uno dannoso.”
In una conversazione su X Spaces, Zhou ha raccontato di aver ricevuto una telefonata dal suo Chief Financial Officer circa 30 minuti dopo la transazione.
“Ho capito subito che c’era qualcosa di strano, perché il mio collega tremava… quasi non riusciva a parlare. ‘Ben, c’è un problema… potremmo essere stati hackerati.’”
Il CEO ha inizialmente pensato che fossero stati sottratti 30.000 ETH (circa 82 milioni di dollari), ma poi ha scoperto che il cold wallet conteneva 401.000 ETH e che era stato del tutto svuotato.
“Ho avuto una sensazione di soffocamento, non riuscivo a respirare. Per circa cinque secondi non ho detto nulla. Poi, dieci secondi dopo, mi sono detto che dovevo reagire.”
Zhou ha immediatamente attivato i protocolli di sicurezza, testati mensilmente, e ha utilizzato un sistema di allerta per richiamare tutto il team e il management. In quel momento, la sua priorità non era recuperare il 1,4 miliardi di dollari rubati, ma proteggere la reputazione di Bybit.
Per rassicurare i clienti, è stata subito organizzata una diretta streaming, nella quale Zhou ha voluto sottolineare due punti fondamentali: tutti gli altri cold wallet erano al sicuro e Bybit era in grado di coprire la perdita, poiché gli asset dei clienti sono garantiti con un rapporto 1:1.
Messaggio del CEO ai dipendenti
Prima della diretta, Zhou ha inviato un messaggio interno al personale:
“Cari Bybuddies, so che è un momento difficile. Apprezzo il fatto che siate tutti uniti. Le prossime 24-48 ore saranno complicate, ma sono certo che ne usciremo. Restiamo professionali e calmi con i nostri clienti e partner esterni. Faremo del nostro meglio per mantenere attivi i prelievi. Anche con questa perdita, gli asset dei clienti sono coperti al 100%. È il momento di rispondere alle domande dei clienti in modo tempestivo, essere presenti per loro e usare trasparenza e comunicazione per dissipare ogni dubbio.”
Zhou aveva previsto con precisione cosa sarebbe successo e, alla fine, sembra che Bybit sia riuscita a mantenere la promessa fatta ai suoi utenti.
L’exchange ha rivelato di aver elaborato l’impressionante numero di 350.000 richieste di prelievo nelle prime 10 ore successive all’hack e che, entro sabato, erano stati completati con successo 580.000 prelievi. Una volta smaltita la coda, la società ha dichiarato che tutti i suoi sistemi erano tornati a funzionare normalmente.
Mantenere un’immagine di normalità era la priorità, considerando che molte piattaforme di trading in passato hanno improvvisamente bloccato i prelievi, e nel caso di FTX, questa mossa aveva portato a una lunga e disordinata bancarotta.
I dati di DeFiLlama mostrano che Bybit possedeva circa 17 miliardi di dollari in asset totali prima dell’hack, ma questa cifra è crollata a 10,8 miliardi di dollari entro domenica, mentre i clienti ritiravano i fondi dai loro conti. Martedì, il valore è leggermente risalito, raggiungendo 11,5 miliardi di dollari.
Gli hacker
Mentre Bybit cercava di rassicurare clienti e mercati, gli investigatori on-chain erano già al lavoro per scoprire i responsabili dell’attacco.
Nel giro di poche ore dal furto da 1,4 miliardi di dollari, ZachXBT ha trovato prove definitive che collegavano il Lazarus Group all’exploit.
Si tratta di un collettivo con stretti legami con il governo della Corea del Nord. Secondo le autorità statunitensi, le crypto rubate vengono riciclate, convertite in denaro e utilizzate per finanziare i programmi del paese finalizzati alla costruzione di missili balistici e armi di distruzione di massa.
Le tracce del Lazarus Group sono state individuate in alcuni dei più grandi hack della storia delle crypto, tra cui:
- Il furto di 234 milioni di dollari da WazirX all’inizio dell’anno
- 100 milioni di dollari rubati da Atomic Wallet e Horizon
- 625 milioni di dollari sottratti alla Ronin Network, uno degli attacchi più devastanti di sempre
Sebbene le transazioni in crypto siano tracciabili fino a un certo punto, strumenti come i mixer e gli exchange decentralizzati permettono ai criminali informatici di offuscare l’origine dei fondi, facendo sembrare che siano scomparsi senza lasciare traccia.
Analizzando le strategie del Lazarus Group dopo l’hack al Ronin Network, Erin Plante, direttrice senior delle indagini di Chainalysis, ha spiegato:
“Spostano i fondi molto rapidamente e li fanno passare attraverso diverse tecniche di offuscamento per arrivare al punto di incassarli velocemente. Contano sul vantaggio rispetto all’inizio effettivo delle indagini, perché tengono i fondi bloccati come stablecoin o su un exchange centralizzato, solo per cinque o dieci minuti. Sperano di essere più veloci degli investigatori, compiendo diverse operazioni di riciclaggio che rendono difficile il tracciamento.”
Il percorso degli ETH rubati
Arkham Intelligence sta seguendo le tracce dei 401.000 ETH rubati a Bybit, e ha individuato una rete di wallet attraverso i quali le crypto sono state smistate finora. Ha spiegato:
“L’hacker di Bybit sta effettuando 2-3 transazioni al minuto e si ferma ogni 45 minuti per una pausa di 15 minuti. Sposta gli ETH da un solo indirizzo alla volta, prima di passare al successivo.”
Finora, sembra che il Lazarus Group stia convertendo gli ETH rubati principalmente in Bitcoin, oltre che nella stablecoin DAI. Per trasferire i fondi tra blockchain diverse, il gruppo si sta affidando a exchange decentralizzati, bridge cross-chain e servizi di scambio istantaneo che non richiedono controlli Know Your Customer (KYC).
Ovviamente, 1,4 miliardi di dollari sono una somma enorme, e Chainalysis ritiene che gli hacker potrebbero lasciare parte di queste crypto inattive per un certo periodo, in attesa che l’attenzione sull’hack si attenui.
“Ritardando il processo di riciclaggio, cercano di superare il periodo di massima attenzione che segue le violazioni di sicurezza di questa portata.”
La minaccia
Chainalysis monitora da tempo le attività del Lazarus Group, mentre i loro attacchi contro gli exchange crypto stanno chiaramente aumentando.
Nel 2024, la Corea del Nord è stata responsabile di circa due terzi dei fondi rubati nel settore crypto. Questo però dato non racconta tutta la storia.
Nel 2023, il Lazarus Group ha sottratto circa 660 milioni di dollari in 20 attacchi. La cifra è salita a 1,34 miliardi di dollari in 47 hack l’anno scorso. Nei primi due mesi del 2025, questa organizzazione ha già battuto ogni record e lo ha fatto con un solo attacco.
L’attenzione ora è rivolta alla possibilità di prevenire futuri attacchi di questa portata e alla sicurezza degli exchange crypto per confermarli come luogo affidabile in cui custodire i propri asset.
Il CEO di Ledger, Pascal Gauthier, ha affermato che le piattaforme di trading devono ripensare completamente le loro misure di sicurezza e adottare nuovi approcci, come il “Clear Signing”. Su X, ha scritto:
“La sicurezza non è statica, gli attaccanti diventano sempre più intelligenti, e il nostro settore deve restare un passo avanti applicando i più alti standard di sicurezza aziendale per prevenire il prossimo attacco, ancora più sofisticato.”
Il Clear Signing prevede che i dettagli di una transazione vengano presentati in un formato leggibile dall’uomo, e Gauthier sostiene che l’exploit di Bybit non sarebbe avvenuto se questa misura di sicurezza fosse stata implementata.
Ledger ha inoltre sottolineato che questo nuovo hack evidenzia l’importanza della self-custody e che gli utenti dovrebbero affidarsi a hardware wallet invece di lasciare i propri fondi sugli exchange.
Altri articoli in evidenza
in numbers
