Bybit, plataforma de intercambio de criptomonedas, reveló que un atacante desconocido robó más de 1.460 millones de dólares en criptomonedas de una de sus billeteras frías de ETH.
Detalles del incidente
El incidente ocurrió cuando la billetera fría multifirma de ETH ejecutó una transferencia a la billetera caliente. Esta transacción fue manipulada mediante un ataque sofisticado que enmascaró la interfaz de firma, mostrando la dirección correcta mientras alteraba la lógica del contrato inteligente subyacente.
Como resultado, el atacante obtuvo el control de la billetera fría afectada y transferió sus tenencias a una dirección no identificada. Bybit indicó que su equipo de seguridad está investigando el incidente con ayuda de expertos forenses externos en blockchain.
Seguridad de las demás billeteras
Bybit afirmó que todas las demás billeteras frías son completamente seguras, los fondos de los clientes están seguros y las operaciones de intercambio no se vieron interrumpidas por el incidente.
El director ejecutivo de Bybit indicó que la plataforma es solvente, incluso si no se recupera esta pérdida por piratería. Todos los activos de los clientes están respaldados 1 a 1 y pueden cubrir la pérdida.
Distribución de los fondos robados
Según el investigador de fraudes criptográficos ZachXBT, el atacante ya repartió 10.000 ETH de los aproximadamente 401.346 ETH robados en el ataque entre 48 direcciones.
Durante varias horas, el atacante dividió los fondos robados en docenas de billeteras adicionales. Los fondos se enviaron inicialmente a una dirección que comenzaba con 0x47666, que recibió más de 400.000 ETH (unos 1.100 millones de dólares), 90.000 stETH, 15.000 cmETH y 8.000 cETH.
El atacante utilizó la función de barrido de ETH, un mecanismo de contrato inteligente diseñado para transferir todos los tokens disponibles de un contrato a otro, lo que probablemente explica por qué las cantidades transferidas son números redondos.
Distribución posterior
El atacante movió la mayoría de los fondos a tres direcciones de «distribución» separadas (0xB4a, 0x23Ob y 0x83Ef5), que luego dividieron los fondos en docenas de direcciones recién creadas. Estas direcciones comenzaron a intercambiar fondos mediante intercambios descentralizados, incluidos Uniswap, Paraswap y KyberSwap.
También intercambiaron tokens de staking líquidos, como stETH, por ETH, una medida que, según algunos investigadores de seguridad, podría evitar que sus cuentas fueran congeladas.
Reacciones oficiales
En una transmisión en vivo el viernes, el CEO de Bybit, Ben Zhou, confirmó que se habían robado 401.000 monedas ETH. Aseguró a los clientes que otras billeteras no se habían visto afectadas y dijo que el intercambio tenía suficiente liquidez para honrar los retiros.
Zhou especuló que la fuente del compromiso podría haber sido el proveedor de billeteras Safe, que Bybit usa para su billetera fría Ethereum. Afirmó que Bybit está trabajando con Safe para investigar el incidente.
Safe escribió en una publicación en las redes sociales: «No hemos encontrado evidencia de que la interfaz oficial de Safe haya sido comprometida. Sin embargo, por precaución, Safe Wallet está pausando temporalmente ciertas funcionalidades».
Contexto histórico
Con 1.460 millones de dólares en criptomonedas robadas en un solo ataque, este es ahora el mayor hackeo de criptomonedas de la historia, casi duplicando el récord anterior.
En marzo de 2022, Sky Mavis reveló que los atacantes robaron 620 millones de dólares en criptomonedas del puente de red Ronin de Axie Infinity. En abril de 2022, el FBI vinculó ese incidente a dos grupos de hackers norcoreanos, Lazarus y BlueNorOff (también conocido como APT38).
Un año antes, en agosto de 2021, un actor de amenazas robó 611 millones de dólares en activos de Binance Chain, Ethereum y Polygon del protocolo y red descentralizados de cadena cruzada Poly Network.
Estados Unidos, Corea del Sur y Japón dijeron en enero que grupos de piratas informáticos respaldados por el estado norcoreano robaron más de 659 millones de dólares en criptomonedas el año pasado. Sin embargo, un mes antes, la empresa de análisis de cadenas de bloques Chainalysis pintó un panorama más sombrío, diciendo que los piratas informáticos norcoreanos robaron 1.340 millones de dólares en criptomonedas en 47 ciberataques a lo largo de 2024.