In questi tempi in cui si parla tanto di riarmo, e di come finanziarlo, c’è almeno un Paese che da anni sta parzialmente alimentando il suo programma di missili balistici a botte di rapine informatiche: la Corea del Nord.

Il famigerato gruppo Lazarus, uno dei più noti attori malevoli internazionali da tempo associati al regime di Pyongyang da parte di governi e società di cybersicurezza, è tornato nel mirino di esperti di tracciamento di criptovalute e dell’FBI dopo l’attacco informatico del 21 febbraio che ha avuto come vittima finale Bybit, tra i più grandi exchange di criptovalute. Un attacco che si è concretizzato in un furto record di 1,5 miliardi di dollari in asset digitali. E che ha dato vita a una corsa contro il tempo per cercare di recuperare almeno una parte dei soldi, malgrado i depistaggi messi in atto dai cybercriminali.

La dinamica dell’attacco

In sintesi estrema e semplificata, la dinamica è la seguente: il 21 febbraio gli aggressori hanno compromesso il processo di approvazione dietro al trasferimento di fondi da un portafoglio all’altro (da un cold wallet a un hot wallet). Ci sono riusciti perché i gestori di Bybit hanno approvato una transazione che sembrava legittima, ma che in realtà era stata alterata in maniera subdola. Così facendo hanno sottratto 1,5 miliardi di dollari in ether nel più grande cyber furto mai avvenuto a una piattaforma di cambio. Un cold wallet è un portafoglio offline dove si depositano fondi, considerato più sicuro proprio perché disconnesso e usato per custodire buona parte degli asset. Tuttavia per funzionare un exchange deve periodicamente far passare dei soldi dal cold wallet a un hot wallet, che è invece un portafoglio connesso a internet. E proprio durante un trasferimento di routine da un cold a un hot wallet Ethereum, Bybit ha inconsapevolmente firmato (e quindi autorizzato) una transazione malevola, consentendo ai cybercriminali di spostare circa 401.000 ETH – valutati quasi 1,5 miliardi di dollari al momento dell’hack – verso indirizzi sotto il loro controllo.

Continua a leggere su Guerre di Rete, la newsletter