El fin de semana se supo que unos hackers atacaron la bolsa de criptomonedas Bybit y consiguieron robar unos 400.000 Ethereum (ETH y stETH), valorados en casi 1.500 millones de dólares, en lo que se considera el mayor robo de criptomonedas de la historia.
Los fondos fueron sustraídos de un monedero offline perteneciente a Bybit. La empresa explicó que el ataque se produjo durante la transferencia de ETH de uno de sus monederos fríos a un monedero caliente.
A través de una manipulación de la interfaz de usuario, los hackers hicieron que pareciera que los fondos se estaban transfiriendo a la dirección correcta, pero alteraron la lógica del contrato inteligente subyacente y pudieron tomar el control de la cartera fría y transferir activos a una dirección que controlaban.
La empresa de seguridad Check Point cree que el atacante identificó a los firmantes multisig responsables de aprobar las transacciones y pirateó sus dispositivos mediante el uso de malware, phishing o un ataque a la cadena de suministro.
Según la última actualización de Bybit, que ha estado trabajando en la recuperación de los fondos robados, se han recuperado casi 43 millones de dólares después de que varios servicios de criptomonedas empezaran a congelar los fondos robados.
La empresa ha puesto en marcha un "programa de recompensas por recuperación" que recompensará a quienes ayuden a recuperar los fondos robados con hasta el 10% de la cantidad recuperada. Ha asegurado a los clientes que sus activos están respaldados y que la empresa es solvente incluso si no consigue recuperar los fondos.
Múltiples empresas y expertos vincularon el ataque a Corea del Norte, concretamente al grupo de amenazas conocido como Lazarus, conocido por importantes robos de criptodivisas.
Un investigador centrado en ataques y estafas de criptomonedas, conocido como ZachXBT, fue uno de los primeros en vincular el hackeo de Bybit a Corea del Norte, basándose en el uso de direcciones previamente atribuidas al actor de amenazas patrocinado por el Estado.
La plataforma de inteligencia Blockchain TRM Labs determinó "con alta confianza" que el hackeo fue llevado a cabo por Corea del Norte "basándose en los solapamientos sustanciales observados entre las direcciones controladas por los hackers de Bybit y las vinculadas a robos anteriores de Corea del Norte".
La empresa de análisis de blockchain Elliptic también vinculó el ataque a Lazarus de Corea del Norte, basándose en "varios factores", incluida la forma en que los hackers han intentado blanquear los activos robados.
Según Elliptic, los atacantes en las dos horas siguientes al robo, transfirieron los fondos robados a 50 carteras diferentes, que se están vaciando sistemáticamente. Los fondos se blanquean a través de intercambios centralizados y descentralizados, así como de puentes entre cadenas.
"El Ether robado se está convirtiendo constantemente en bitcoin, utilizando eXch [que se niega a congelar los fondos] y otros servicios. Si se siguen los patrones de blanqueo anteriores, cabe esperar que a continuación se utilicen mezcladores para ocultar aún más el rastro de las transacciones. Sin embargo, esto puede resultar difícil debido al gran volumen de activos robados", afirma Elliptic.
A finales de 2024, el FBI culpó oficialmente a piratas informáticos norcoreanos de un robo de 308 millones de dólares dirigido a Bitcoin.DMM.com.
Otro robo masivo de criptomonedas que el gobierno estadounidense atribuyó oficialmente al grupo norcoreano Lazarus tuvo como objetivo Ronin y supuso el robo de criptomonedas por valor de 600 millones de dólares.
Estados Unidos, Japón y Corea del Sur afirmaron recientemente que hackers norcoreanos robaron aproximadamente 660 millones de dólares en criptodivisas en 2024.
Fuente: securityweek