Robo millonario a Bybit (USD 1.500 millones): ciberdelincuentes dejan atrás los códigos y ahora manipulan a los humanos

 

Check Point Research, la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), identificó un aumento significativo en los ataques dirigidos a plataformas de criptomonedas, lo que refleja un cambio notable en las tácticas empleadas por los ciberdelincuentes.

Hace dos días, se logró vulnerar una billetera Ethereum de línea, lo que permitió la sustracción de USD$1.500 millones de la plataforma de intercambio Bybit.

Este ataque marca una evolución en los métodos de la ciberdelincuencia dentro del ecosistema cripto.

En lugar de explotar vulnerabilidades en el código, los atacantes ahora se concentran en manipular debilidades humanas a través de ingeniería social y alteración de interfaces de usuario (UI), lo que plantea un nuevo desafío en la seguridad de criptomonedas.

Un análisis de Check Point Research indica que el ataque a Bybit no es un incidente aislado, sino parte de una tendencia creciente en la que los atacantes utilizan la función execTransaction del protocolo Safe para realizar ataques sofisticados.

En julio de 2024, el sistema de inteligencia de amenazas de Check Point ya había identificado este patrón, y el ataque a Bybit confirma que estas tácticas se están extendiendo dentro de la industria.

 

Tácticas empleadas en el ataque a Bybit.

Los ciberdelincuentes emplearon métodos innovadores para engañar a los firmantes de una cartera fría multisig, obteniendo así la aprobación para transacciones fraudulentas.

 

Las principales tácticas utilizadas fueron:

– Ingeniería social: Identificación de empleados de Bybit con capacidad para firmar transacciones.

– Manipulación de UI: Uso de interfaces falsas para ocultar transacciones maliciosas.

– Explotación lógica: Uso de indicaciones engañosas para eludir las medidas de seguridad.

 

Lecciones clave.

– Las carteras frías ya no son infalibles: incluso los monederos Ethereum fuera de línea pueden ser vulnerables mediante la manipulación de la UI.

– Las firmas múltiples (multisig) pueden ser explotadas: Los atacantes utilizaron la función execTransaction del protocolo Safe, un vector de ataque identificado por Check Point Research en julio de 2024.

– La industria necesita una seguridad más robusta: Es esencial implementar monitoreo en tiempo real de transacciones y análisis de comportamiento para detectar fraudes antes de que los fondos sean sustraídos.

 

Recomendaciones para empresas.

Check Point Research recomienda adoptar estrategias de seguridad avanzadas para mitigar los riesgos de estos ataques:

 

– Medidas de seguridad integrales: Las empresas con activos criptográficos significativos deben integrar soluciones de seguridad tradicionales, como prevención de amenazas en endpoints y seguridad de correo electrónico, para evitar que el malware afecte sistemas sensibles y se propague por toda la organización.

– Prevención en tiempo real: La industria cripto debe evolucionar hacia un modelo de seguridad en tiempo real. Así como las redes corporativas y la nube utilizan firewalls para inspeccionar cada paquete, Web3 necesita inspeccionar cada transacción para garantizar la seguridad, previniendo actividades maliciosas antes de que ocurran.

– Implementar seguridad de Zero Trust:

 Tratar cada dispositivo de los firmantes como potencialmente comprometido.

 Utilizar dispositivos de firma dedicados y aislados de la red (air-gapped) para la aprobación de transacciones multisig.

 Exigir que los firmantes verifiquen los detalles de la transacción a través de un segundo canal independiente.

 

Acerca del incidente, Oded Vanunu, jefe de investigación de vulnerabilidades en productos en Check Point Research, comenta:

“El ataque a Bybit no es una sorpresa; el pasado julio identificamos exactamente la misma técnica de manipulación que los atacantes utilizaron en este robo récord. Lo más alarmante es que incluso las carteras frías, que alguna vez se consideraban la opción más segura, ahora son vulnerables. Este ataque demuestra que un enfoque de prevención, asegurando cada paso de una transacción, es la única forma efectiva de detener a los ciberdelincuentes antes de que lleven a cabo ataques de alto impacto en el futuro”.