CertiK analizuje atak na Bybit. Jason Jiang wskazuje TEN problem

Temat największego w historii kryptowalut ataku hackerskiego wciąż pozostawia wiele znaków zapytania, a eksperci ds. cyberbezpieczeństwa analizują wszystkie warianty, próbując dojść do źródła głównej przyczyny. Jeden z dyrektorów firmy CertiK omówił ten temat w podcaście The Agenda. 

---

• W wyniku ataku na giełdę kryptowalut Bybit skradziono aktywa o wartości 1,5 miliarda dolarów.
• Jason Jiang z firmy CertiK uważa, że zawiódł system podpisywania transakcji przez wiele adresów.

Jakie wnioski płyną z ataku na giełdę Bybit?

W dniu 21 lutego br. doszło do ataku na topową giełdę kryptowalut Bybit, w wyniku którego skradziono ethery o wartości około 1,5 miliarda dolarów. 

Był to zarazem największy skok w historii tej branży, a stał na za nim działający na zlecenie reżimu Kimów z Korei Północnej kolektyw hackerski Lazarus Group.

Co ciekawe, po przeprowadzeniu tego ataku skradzione środki zostały zamienione na bitcoiny, przez co kraj ten znalazł się na piątym miejscu wśród największych państw posiadających tę kryptowalutę.

W jaki jednak sposób cyberprzestępcom udało się złamać zabezpieczenia tak ogromnej platformy?

Na to pytanie próbował odpowiedzieć Jason Jiang, dyrektor ds. biznesowych z firmy CertiK, która specjalizuje się w cyberbezpieczeństwie.

W rozmowie z prowadzącymi podcastu The Agenda – Jonathan DeYoung i Ray Salmond – wskazał na fakt, że hackerom udało się naruszyć portfele wszystkich trzech sygnatariuszy, którzy byli odpowiedzialni za zatwierdzanie transakcji multisig od zewnętrznego dostawcy, jakim jest producent SafeWallet.

Najpierw wgrano na ich urządzenia fałszywe oprogramowanie, które zmanipulowało ich tak,  aby podpisali złośliwą transakcję, którą uważali za poprawną.

Jiang nie tyle bronił usługi SafeWallet, ale pokusił się o stwierdzenie, że „możliwe, że gdy komputer programisty Safe został zhakowany, to właśnie z niego wyciekło więcej wrażliwych informacji„.

🚨Bybit Incident Technical Analysis

A phishing attack bypassed multi-sig safeguards, tricking signers into approving a malicious contract upgrade. Hackers exploited:
🔹 Device compromise (via social engineering)
🔹 Blind signing (UI spoofing on Safe{Wallet} + Ledger)

🛡Learn… pic.twitter.com/FwnTDbskcc

— CertiK (@CertiK) February 23, 2025

Czy jednak podobne sytuacje mogą mieć miejsce w przypadku dostawców zewnętrznych walletów, jak Ledger lub Trezor? Nie można tego wykluczyć, jednak kradzież kluczy prywatnych z cold walletów jest możliwa tylko wtedy, gdy ich właściciele nie zachowują odpowiednich środków ostrożności, np. zapisują frazy seed na urządzeniu podłączonym do sieci.

Wracając do hacku Bybit, to dyrektor CertiK poruszył bardzo ważną kwestię dotyczącą portfeli typu multisig.

Jednym z powodów, dla których tak się stało, było to, że sygnatariusze składali podpisy w ciemno, po prostu dlatego, że ich urządzenie nie pokazywało pełnego adresu. Upewnij się, że adres, na który wysyłasz, jest tym, do którego zamierzasz wysłać dokument, i sprawdź to dwa lub trzy razy, zwłaszcza w przypadku większych transakcji

– podkreśla Jiang oraz dodaje, że „będzie to jedna z rzeczy, które branża będzie próbowała teraz naprawić, aby podpisywanie było bardziej przejrzyste i łatwiejsze do rozpoznania„.