Crypto.com conferma un hack da 34 milioni di dollari causato dall'exploit di bypass 2FA

L'exchange di criptovalute con sede a Singapore Crypto.com ha confermato che la sua autenticazione a due fattori (2FA) è stata sfruttata da persone non autorizzate per drenare $ 34 milioni (circa £ 25 milioni) dagli account degli utenti questa settimana.

L'exchange ha affermato che 483 dei suoi clienti sono stati coinvolti nell'hacking che ha visto gli aggressori aggirare i controlli 2FA ed effettuare prelievi non autorizzati di 4.836,26 token Ethereum, per un valore di circa $ 14 milioni o £ 10,3 milioni.

Nell'attacco sono stati rubati anche token Bitcoin per un valore di circa $ 17,3 milioni o £ 12,75 milioni e circa $ 66.200 (£ 48.786) in altre criptovalute. I prezzi sono corretti al momento della scrittura.

I dettagli sullo sfruttamento della 2FA non sono attualmente chiari, ma Crypto.com da allora è "migrato a un'infrastruttura 2FA completamente nuova" e ha revocato i token 2FA a tutti gli utenti globali affinché questo potesse essere applicato.

Crypto.com ha anche implementato un ulteriore livello di sicurezza che prevede un ritardo di 24 ore tra la registrazione degli indirizzi di prelievo nella whitelist e il primo prelievo a quell'indirizzo. Consentirà agli utenti di controllare questi indirizzi mentre vengono registrati tramite le notifiche inviate loro dall'exchange e "dare loro il tempo adeguato per reagire e rispondere", ha affermato lo scambio.

Oltre alla revisione della 2FA, Crypto.com ha anche collaborato con società di sicurezza di terze parti per esaminare la sicurezza del suo nuovo sistema e prevede anche di passare eventualmente a un modello di autenticazione a più fattori (MFA).

"Non abbiamo i dettagli su come si è evoluto l'hacking di Crypto.com, ma sembra che la politica di controllo della 2FA sia stata sfruttata in qualche modo, disattivandola per alcuni utenti", ha affermato Robert Byrne, field strategist di One Identity, parlando con Professionista IT .

"Ci sono vari modi in cui l'hacking può essere in grado di aggirare i servizi 2FA, ma la spiegazione più probabile qui è che hanno compromesso e sfruttato un account utente privilegiato:gli hacker utilizzano quindi quell'account per disattivare la politica 2FA per alcuni utenti e, dopo aver compromesso quelli conti in cui possono quindi accedere e rubare i fondi.

"Il servizio 2FA qui è probabilmente offerto da un servizio di terze parti, quindi l'infrastruttura del fornitore potrebbe essere stata uno degli obiettivi dell'attacco", ha aggiunto Byrne. "Ovviamente, è possibile che si sia verificato un errore amministrativo onesto nella configurazione della sicurezza che è stato rilevato dai ladri, che si sono poi precipitati a sfruttarlo prima che fosse riparato. Purtroppo, le configurazioni errate non sono rare a causa della pressione sul personale di sicurezza e sul mancanza di controlli di integrità e sorveglianza delle impostazioni di configurazione."

Lo scambio ha ora introdotto un Programma di protezione dell'account (APP) mondiale, che rimborserà gli utenti qualificati fino a $ 250.000 nei casi in cui attori non autorizzati prosciughino i loro account. Per essere idonei, gli utenti devono abilitare l'autenticazione a più fattori su tutti i tipi di transazione, impostare un codice anti-phishing, non utilizzare dispositivi jailbroken, presentare una denuncia alla polizia e completare un questionario per supportare un'indagine forense.

La storia più ampia

Gli utenti di Crypto.com hanno iniziato a segnalare per la prima volta prelievi non autorizzati dai loro account lunedì, secondo un Tweet dell'exchange che assicurava che "tutti i fondi sono al sicuro". Il sentimento è stato ripreso dal CEO dell'exchange in un tweet di follow-up pubblicato martedì in cui confermava che non sono stati persi fondi dei clienti, che il tempo di inattività dell'infrastruttura era di circa 14 ore e che l'infrastruttura si è "irrigidita" in seguito all'incidente.

Nel frattempo, la società di sicurezza blockchain e analisi dei dati PeckShield ha twittato che l'Exchange ha perso $ 15 milioni (£ 11 milioni) e il furto di Ethereum è stato "lavato" utilizzando Tornado Cash, un servizio di miscelazione e burattatura di criptovalute, l'equivalente del riciclaggio di denaro di criptovaluta.

Dopo la pubblicazione dell'aggiornamento ufficiale giovedì, i clienti interessati continuavano a segnalare di non essere stati rimborsati e altri hanno affermato di non essere ancora in grado di accedere al proprio account.

Cos'è Crypto.com?

L'exchange di criptovalute con sede a Singapore è stato fondato nel 2016, allora noto come "Monaco" prima di essere rinominato Crypto.com nel 2018. La società ha legami di sponsorizzazione con una serie di squadre sportive di alto profilo tra cui Paris St-Germain, i Philadelphia 76ers , il campionato italiano di calcio di Serie A, la Formula 1 e l'Ultimate Fighting Championship (UFC).

Ha anche acquistato i diritti di denominazione dell'arena Staples Center nel 2021, con sede a Los Angeles, per 700 milioni di dollari (516,3 milioni di sterline) con diritti della durata di 20 anni.

La società è una grande sostenitrice di Web3 ed è stata pronta a sfruttare la recente popolarità dei token non fungibili (NFT), aggiungendo alla sua offerta un mercato dedicato per l'asset.

L'azienda conta 10 milioni di utenti in 90 paesi e impiega 3.000 dipendenti per gestire l'attività.