Gli investigatori e le aziende del settore delle criptovalute stanno correndo contro il tempo per rintracciare miliardi di dollari in denaro digitale rubato a seguito di quello che sembra essere il più grande colpo di mano nella storia delle criptovalute. Giovedì 29 ottobre, a partire dalle circa 16:00 ET, gli hacker hanno iniziato a drenare circa 6,3 miliardi di dollari in criptovalute dai portafogli appartenenti alla piattaforma di scambio Binance. Il furto ha interessato più blockchain ed è stato eseguito con una velocità notevole, prosciugando i fondi in un periodo di circa 20 minuti secondo l'analisi di TRM Labs.
In risposta alla violazione, Binance ha immediatamente sospeso tutti i depositi e i prelievi per facilitare la propria indagine. L'azienda ha dichiarato di stare lavorando per identificare i responsabili e ha coordinato le proprie azioni con altre aziende crypto per congelare circa la metà dei fondi rubati. Questa azione ha efficacemente bloccato ulteriori movimenti o tentativi di prelievo in contanti per una parte significativa degli asset, sebbene gran parte della criptovaluta rimanente possa essere impossibile da recuperare.
Tre importanti società di tracciamento crypto hanno collegato l'attacco a hacker nordcoreani, indicando specificamente il noto gruppo conosciuto come TraderTraitor. Tom Robinson, capo scienziato e co-fondatore di Elliptic, ha notato che se la Corea del Nord è effettivamente responsabile, questo singolo furto raddoppierebbe quasi l'importo totale rubato dal regime in criptovalute fino ad oggi. Sebbé né Binance né le autorità di polizia abbiano ufficialmente nominato un sospetto, i ricercatori evidenziano significative sovrapposizioni con attacchi precedenti attribuiti a TraderTraitor.
TRM Labs ha dettagliato la metodologia dell'attaccante, rivelando che la preparazione è iniziata almeno 36 ore prima del furto. Il gruppo ha testato il proprio codice su due portafogli all'inizio del 29 ottobre e ha provato la versione finale su un terzo portafoglio più tardi quella stessa giornata, prima di instradare i fondi di prova nuovamente a se stessi. Quattro ore dopo questa prova, lo stesso codice è stato installato su un hot wallet di Binance, ovvero account connessi a Internet utilizzati dalle piattaforme per gestire i prelievi dei clienti. L'attacco ha prosciugato questi hot wallet su almeno dieci blockchain, tra cui Ethereum, Bitcoin, Tron e Solana.
TraderTraitor è diventato noto per aver preso di mira le aziende di criptovalute e finanza decentralizzata con attacchi sofisticati e ad alto profilo. Lo scorso anno, l'FBI ha attribuito a questo gruppo un attacco informatico da 1,5 miliardi di dollari contro la piattaforma di scambio Bybit. Rafe Pilling, direttore senior dell'intelligence sulle minacce presso Sophos, ha descritto il gruppo come degli artisti nell'infiltrarsi nelle organizzazioni di finanza distribuita, notando la loro storia nello sviluppo di applicazioni false per ottenere l'accesso.
Chainalysis e TRM Labs hanno basato la loro attribuzione sia sull'analisi delle attività on-chain che off-chain. Gli investigatori di Chainalysis hanno osservato in tempo reale che i fondi rubati da Binance si stavano mescolando con i fondi derivanti da un exploit su Bitget del mese scorso, già attribuito ad attori nordcoreani. Robinson di Elliptic ha aggiunto che l'attaccante ha finanziato il proprio portafoglio tramite Tornado Cash e ha provato l'attacco in anticipo, specchiando le tattiche utilizzate nell'incidente Bybit.
Binance inizialmente ha suggerito che l'incidente di sicurezza coinvolgesse un laptop compromesso di un ingegnere, ma successivamente ha scoperto ulteriori punti di violazione in un attacco complesso. L'azienda si è impegnata a coprire tutte le perdite derivanti dall'hack mentre collabora con le forze dell'ordine. Tuttavia, gli sforzi di recupero affrontano ostacoli significativi; sebbene circa 2,8 miliardi di dollari, ovvero il 44 percento dell'importo totale rubato, siano stati congelati – consistendo principalmente in stablecoin – i rimanenti 3,3 miliardi sono prevalentemente Bitcoin, Ether e XRP.
Robinson ha spiegato che questi asset specifici non possono essere congelati direttamente e possono essere fermati solo quando raggiungono una piattaforma di scambio o un altro servizio. Sebbene alcuni fondi possano essere intercettati nei prossimi mesi, gli esperti non si aspettano che la quota congelata aumenti significativamente ulteriormente. I ricercatori di Chainalysis hanno notato modelli di riciclaggio di denaro senza precedenti, con migliaia di transazioni elaborate rapidamente utilizzando l'automazione per oscurare la traccia dei fondi rubati.
Fonti: WIRED.