ATTACCHI · FRODE, SOCIAL ENGINEERING E FURTO DI ASSET DIGITALI
Bybit, febbraio 2025: 1,5 miliardi rubati con un'interfaccia di firma manipolata
Il 21 febbraio 2025 Bybit ha perso circa 1,5 miliardi di dollari in ether durante un trasferimento dal portafoglio freddo. I firmatari hanno approvato una transazione mostrata da codice modificato sui server del fornitore Safe{Wallet}, e l'FBI ha attribuito il furto alla Corea del Nord.
- Vittima
- Bybit
- Settore
- Exchange di criptovalute
- Paese
- Internazionale
- Data
- 21 febbraio 2025
- Categoria
- Frode, social engineering e furto di asset digitali
- Causa
- Aggiornamento o libreria compromessi · Accesso tramite fornitore o terza parte
- Attore
- Legato a uno Stato (confermato). TraderTraitor o Lazarus, attribuito dall'FBI alla Corea del Nord il 26 febbraio 2025
- Scenari di danno
- Frode finanziaria
Le cause in breve
- Accesso al fornitore. Secondo Safe, l'attacco è partito da una macchina compromessa di un suo sviluppatore (BleepingComputer).
- Manipolazione. Il codice JavaScript dell'interfaccia di firma, servito dal bucket AWS S3 di Safe, era stato modificato circa due giorni prima e si attivava solo sulla transazione di Bybit.
- Controllo mancato. La verifica della transazione su un dispositivo indipendente dall'interfaccia web: la multifirma non protegge da uno schermo falsato.
L'impatto
- Oltre 400.000 ETH e stETH, per più di 1,5 miliardi di dollari, trasferiti a un indirizzo sconosciuto (BleepingComputer).
- Ammanco coperto entro il 24 febbraio 2025 con prestiti, depositi e acquisti (The Block).
- L'FBI ha pubblicato 51 indirizzi Ethereum da bloccare (BleepingComputer).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine e assistenza legale rispondono, ma in un evento da 1,5 miliardi sono una parte marginale.
- Ripristino di dati e sistemiNon pertinenteNessun sistema di Bybit è stato cifrato o distrutto.
- Business interruption propriaNon pertinenteL'exchange ha continuato a operare.
- Business interruption dipendente (fornitore)Non pertinenteIl fornitore non si è fermato: ha servito codice alterato.
- EstorsioneNon pertinenteNessuna richiesta di riscatto.
- Notifica e responsabilità privacyNon pertinenteLe fonti non riportano un furto di dati personali.
- Responsabilità verso terzi e sanzioni, dove assicurabiliNon pertinenteLe fonti non riportano richieste di terzi: Bybit ha coperto l'ammanco.
- Frode e social engineeringDi solito esclusaLe polizze cyber escludono di norma la perdita di fondi e asset digitali; risponde, se esiste, una polizza crime o di custodia con estensione per le criptovalute.
Esclusioni e limiti da controllare
- Attore statale. L'FBI ha attribuito il furto alla Corea del Nord; un furto a fini economici a un exchange privato difficilmente rientra nelle esclusioni per atti di Stato, ma la formulazione varia.
- Criptovalute. Molte polizze crime le escludono o le coprono solo con estensioni dedicate.
La copertura reale
Non è pubblico se Bybit avesse una copertura per questo tipo di perdita.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Un'interfaccia di firma manipolata presso un fornitore ha fatto approvare a più firmatari un trasferimento da 1,5 miliardi di dollari.
Segnale di cumulo per il portafoglio.
Cumulo su pochi fornitori: gli operatori di asset digitali condividono pochi fornitori di portafogli multifirma e di custodia, e gli stessi gruppi avevano colpito Phemex, BingX e Poloniex.