Il furto da circa 6,36 miliardi di dollari a Binance, il maggior exchange di criptovalute per volume di scambi giornalieri su scala globale, sarebbe da attribuire alla Nord Corea.
“L’attacco deve essere stato più sofisticato di quanto sembra, ma questa notizia fa emergere la debolezza strutturale di questo settore“, secondo Gabriele Faggioli, CEO di Partners4Innovation e Presidente Onorario di Clusit.
A confermarci che dietro al maxi furto a Binance non c’è un hacker con cappuccio, ma un gruppo ben più strutturato è Alessio Pennasilico, Information & Cyber Security Advisor presso P4I – Partners4Innovation, che ci illustra il dietro le quinte delle ricostruzioni tecniche del sistema utilizzato per sottrarre le criptovalute. Per quanto sappiamo finora.
“Il caso Binance evidenzia un aspetto cruciale della sicurezza delle infrastrutture digitali: compromettere un endpoint privilegiato può consentire di raggiungere sistemi molto più critici”, commenta Pierluigi Paganini, analista di cyber security e Ceo Cybhorus.
Intanto la società rassicura che “i fondi degli utenti sono assolutamente al sicuro”.
Indice degli argomenti
L’attribuzione dell’attacco ai nord coreani: cosa sappiamo
Secondo TRM Labs, che ha pubblicato l’analisi delle transazioni, l’attacco sarebbe opera di TraderTraitor, gruppo di hacker collegato alla Corea del Nord.
“Ma la pista nordcoreana è attribuita dagli analisti, intanto l’indagine è ancora in corso”, sottolinea Sandro Sana, Ethical Hacker e membro Comitato Scientifico Cyber 4.0, secondo il quale “sei miliardi e trecento milioni di dollari sottratti in venti minuti: il dato impressiona, ma non deve farci perdere di vista il punto“.
Anche Chainalysis ha espresso una valutazione analoga all’attribuzione di TRM Labs, secondo quanto riportato dall’Associated Press.
Secondo AP News, l‘attribuzione rimane una valutazione delle società di intelligence.
Binance non ha ancora identificato ufficialmente gli autori e sta collaborando con le autorità per accertarne l’identità, ma elementi raccolti sia dentro la blockchain che medianti fonti esterne indicherebbero come autore del furto il gruppo nord-coreano.
Attacco a Binance: il furto del secolo da 6,3 miliardi in 20 minuti
L’attacco, durato circa venti minuti, è il più significativo mai registrato nel settore delle criptovalute. Già ribattezzato il furto del secolo, sarebbe ad opera di TraderTraitor, cybercriminali nation-state legati a Pyongyang.
“L’entità dell’incidente supera nettamente quella della violazione subita da Bybit lo scorso anno, attribuita al gruppo Lazarus”, associato “al gruppo nordcoreano TraderTraitor, associato a Lazarus“, sottolinea Subhajeet Singha, Researcher di Acronis TRU.
L’attacco hacker era stato segnalato prima della conferma di Binance da osservatori che avevano notato che attaccanti erano penetrati nella piattaforma.
La società di cripto ritiene che l’attacco sia partito dal computer portatile compromesso di un ingegnere che lavora per l’exchange, attraverso il quale gli hacker sarebbero stati in grado di eseguire prelievi non autorizzati.
“Se la prima ipotesi è la compromissione del computer di un ingegnere, l’attacco sarebbe partito da una persona e da un accesso legittimo, per arrivare ai portafogli digitali”, mette in evidenza Sandro Sana: “La blockchain rende tracciabili i movimenti, ma non impedisce il furto: congelare parte degli asset dopo l’attacco è contenimento, non prevenzione“.
Oltre al possibile punto di compromissione il laptop di un ingegnere DevOps, “successivamente sono stati identificati ulteriori punti di accesso. La ricostruzione completa della dinamica dell’attacco è ancora in corso”, avverte Subhajeet Singha.
Un attacco, dalla dimensione geopolitica, alla catena della fiducia e dei controlli
L’azienda ha tuttavia smentito di aver trovato prove di possibili violazioni delle chiavi private.
Il punto però “non è necessariamente il furto delle chiavi private, ma il possibile abuso dell’infrastruttura di firma delle transazioni, che autorizza il trasferimento degli asset. Le ricostruzioni tecniche indicano una preparazione dell’operazione durata almeno 36 ore e l’utilizzo di autorizzazioni predisposte in anticipo“, mette in guardia Paganini.
Il cyber attacco ha costretto Binance a congelare oltre 2,5 miliardi di dollari, ma il furto è comunque il più ingente di sempre, secondo Cnbc.
“È un attacco alla catena della fiducia e dei controlli. Il sospetto coinvolgimento di TraderTraitor, gruppo nordcoreano, aggiunge una dimensione geopolitica a un rischio ormai strategico per il settore finanziario”, evidenzia Paganini.
Alessio Pennasilico: “Attacco più sofisticato di quanto sembri”
“Di sicuro serve un punto di entrata”, spiega Alessio Pennasilico: “Quel portatile può essereil modo in cui sono entrati in contatto con l’infrastruttura. Ma, come ha già dichiarato Binance nei suoi comunicati stampa, l’attacco è più complesso di così. Sono state sfruttate altre vulnerabilità. Ci sono perfino illazioni sull’uso dell’AI per trovare vulnerabilità non note. Il gruppo è altamente specializzato e ha già condotto attacchi di questo genere su altre piattaforme. Non è il ragazzino con la felpa”.
Inoltre “piattaforme delle dimensioni di Binance hanno un livello di complessità molto alto e strumenti statisticamente di elevato livello tecnologico. Se fossero state sfruttate zero day o altre tecniche avanzate, anche la capacità di detection non è la stessa che si usa negli attacchi tradizionali”.
Tendenzialmente “sono attacchi che i gruppi preparano per mesi, perché l’investimento ha un ritorno enorme. Ancora è tutto da capire“.
Un altro elemento, di cui tenere conto, è che “in un attacco contro conti correnti tradizionali vedrebbe scendere in capo l’istituto bancario, Swift, gli strumenti consolidati nel tempo. Nel mondo delle cripto, esistono strumenti, ma sono meno consolidati di strumenti con una lunga storia alle spalle”.
Sarà “un caso molto interessante dal punto di vista tecnico, quando Binance potrà rivelare più dettagli senza avvantaggiare gli autori del furto e senza inquinare le indagini eccetera”, avverte Pennasilico.
“Aspettiamo il report tecnico con tutti i dettagli per approfondire un attacco che ha permesso di essere efficace, sicuramente con una componente tecnica e che porterà a cambiamenti importanti come è successo in passato per i meccanismi di anti riciclaggio, frutto di incidenti importanti”, conclude Pennasilico.
Come gli attaccanti hanno ottenuto il controllo delle transazioni
La ricostruzione TRM ha scoperto che sulla rete Ethereum, gli attaccanti avrebbero utilizzato EIP-7702, un meccanismo che permette a un wallet di delegare determinate operazioni a uno smart contract attraverso un’autorizzazione firmata.
Secondo TRM, gli attaccanti avevano preparato 50 autorizzazioni firmate e sono riusciti a utilizzarne una per delegare il controllo del wallet a un contratto sotto la loro gestione.
Questo avrebbe permesso loro di svuotare il wallet e continuare a prelevare fondi anche quando arrivavano nuovi depositi.
L’attacco ha coinvolto dieci blockchain differenti. Per TRM, la produzione di firme valide su reti diverse suggerisce che gli attaccanti fossero riusciti a compromettere una componente dell’infrastruttura di autorizzazione delle transazioni di Binance.
La causa iniziale della compromissione non è stata ancora accertata definitivamente.
Il recupero dei fondi congelati
TRM Labs quantifica in circa 2,7 miliardi di dollari gli asset congelati attraverso l’intervento degli emittenti di stablecoin e di altri soggetti della blockchain.
Stima inoltre che gli attaccanti controllino ancora circa 2,4 miliardi di dollari in ETH e bitcoin, asset che gli emittenti di stablecoin non possono bloccare direttamente.
Le cifre riflettono la ricognizione TRM delle 00:30 UTC del 30 ottobre, invece Binance ha parlato di circa 3 miliardi di dollari congelati.
Perché l’incidente conta per l’Italia
L’incidente interessa gli utenti italiani di Binance e le aziende che custodiscono o gestiscono criptovalute.
La ricostruzione tecnica suggerisce soprattutto l’importanza di separare i sistemi che autorizzano le transazioni, limitare l’accesso alle infrastrutture di firma e verificare le deleghe conferite agli smart contract.
TRM raccomanda agli operatori di monitorare le deleghe EIP-7702 e predisporre procedure per revocare rapidamente quelle non autorizzate.
Per gli utenti rimangono prioritari il controllo dei canali ufficiali e la prevenzione delle truffe che sfruttano l’emergenza per chiedere trasferimenti o credenziali.
Dopo aver sospeso temporaneamente depositi e prelievi, Binance ha annunciato l’intenzione di ripristinare i servizi entro 48 ore.
La società ha già garantito che si farà carico di tutte le perdite di asset digitali e che i fondi degli utenti sono da considerarsi al sicuro.
Ma “se Binance promette di coprire le perdite; la domanda resta: quali controlli hanno permesso a un singolo punto di compromissione di esporre una cifra simile?”, si domanda Sandro Sana.
Come mitigare i rischi
In questi casi, per proteggersi da simili attacchi sarebbe sufficiente limitare i privilegi di accesso.
“Se un solo dispositivo è in grado di autorizzare trasferimenti di criptovalute per importi così ingenti, agli hacker è bastato individuare i sistemi e le persone giuste per portare a termine l’attacco“, mette in guardia Jake Moore. In realt, come abbiamo visto, l’attacco è ben più sofisticato e complesso e bisogna aspettare la fine delle indagini per sapere cosa è accaduto davvero.
Le domande da porsi sono se le piattaforme di scambio di criptovalute stanno facendo quanto serve per blindare gli asset dei propri clienti e “se le misure di sicurezza e la regolamentazione del settore stanno evolvendo” in modo tale da tenere il passo con minacce sempre più sofisticate (in questo caso forse neanche troppo).
“Nel momento in cui gli asset – che rappresentano denaro -, così gestiti su piattaforme tecnologiche, sono esposti ad attacchi, c’è la probabilità che l’attacco riesca. La regolamentazione è troppo scarsa, ed è da valutare anche la tutela dei consumatori per incidenti di questo tipo”, aggiunge Gabriele Faggioli.
“Però è preoccupante la dispersione di una somma così alta. Cifre che possono alimentare il circuito criminale”,, conclude Faggioli.
“La dimensione dell’azienda non è una misura della sua sicurezza, a volte è solo la dimensione del bersaglio”, conclude Sandro Sana.
I propri asset digitali dovrebbero stare su più piattaforme
Per Binance sarà difficile anche il recupero delle cifre rubate.
“Sebbene le transazioni sulla blockchain siano tracciabili, recuperare le criptovalute rubate è un’operazione decisamente più complessa, soprattutto quando gli aggressori trasferiscono rapidamente i fondi attraverso numerosi wallet e diverse blockchain, ricorrendo a tecniche di elusione semplici e ben note”, secondo Jake Moore.
Infine, secondo il Global Cybersecurity Advisor di ESET, “per chi sceglie di investire in criptovalute, resta comunque consigliabile distribuire i propri asset digitali su più piattaforme affidabili e utilizzare anche wallet fisici sicuri (come dispositivi USB dedicati), così da ridurre il rischio di perdere tutto il proprio patrimonio in seguito a un singolo attacco”.
Infatti “questo episodio ricorda anche che mantenere ingenti quantità di fondi su qualsiasi exchange centralizzato comporta dei rischi. La custodia autonoma delle criptovalute attraverso un hardware wallet può ridurre l’esposizione alle violazioni degli exchange, ma richiede un’attenta protezione del dispositivo e della relativa frase di recupero”, conclude Subhajeet Singha.
I consigli per gli utenti
Gli utenti dovrebbero imparare ad implementare alcune precauzioni per proteggersi da ulteriori attacchi.
“Se i dati degli account o le informazioni di autenticazione fossero accessibili, potrebbero essere utilizzati per campagne di phishing e social engineering più mirate. Anche in assenza di un furto di dati dei clienti, i truffatori possono sfruttare la notizia per diffondere false offerte di risarcimento o richieste urgenti di verifica degli account”, avverte Subhajeet Singha.
Le principali raccomandazioni consistono nel modificare e rafforzare le password deboli, mai riutilizzarle su più servizi, proteggere l’account email collegato e attivare sistemi di autenticazione resistenti al phishing, come le passkey o le chiavi di sicurezza hardware.
“Chi utilizza API key dovrebbe verificarne le autorizzazioni, revocare quelle non più utilizzate e sostituire quelle che potrebbero essere state esposte. È inoltre importante verificare le comunicazioni attraverso l’app o il sito ufficiale di Binance, prestando particolare attenzione ai messaggi che richiedono un’azione immediata. Non bisogna mai condividere codici di autenticazione o frasi di recupero del wallet”, sottolinea Subhajeet Singha.
Partecipa alla community