La violación de Bybit: cómo los hackers explotaron una vulnerabilidad de SafeWallet para robar $ 1.4 mil millones

TLDR

• El truco de $ 1.4 mil millones de Bybit se remonta a credenciales de SafeWallet comprometidas
• Las investigaciones forenses de Sygnia y Verichains encontraron el código de JavaScript malicioso inyectado en la infraestructura de AWS de SafeWallet
• El grupo Lázaro de Corea del Norte fue identificado como el autor del ataque
• El ataque ocurrió el 21 de febrero de 2025, dirigido a éter con escala líquida
• SafeWallet ha reconstruido y reconfigurado su infraestructura para eliminar el vector de ataque

El intercambio de criptomonedas Bybit perdió más de $ 1.4 mil millones en éter con escala líquida en una violación de seguridad el 21 de febrero de 2025, lo que lo convierte en el mayor hack de criptografía de la historia.

Según las investigaciones forenses, el ataque fue llevado a cabo por el Grupo Lázaro de Corea del Norte, quien explotó una vulnerabilidad en la infraestructura de Safewallet en lugar de los sistemas de Bybit.

Múltiples equipos forenses, incluidas las empresas de ciberseguridad Sygnia y VeraChains, realizaron investigaciones sobre el hack. Sus hallazgos revelaron que las credenciales de un desarrollador de SafeWallet estaban comprometidos, dando a los atacantes acceso no autorizado a la infraestructura de SafeWallet. Esto permitió a los piratas informáticos engañar a los firmantes de transacciones de Bybit para aprobar una transacción maliciosa.

Informe forense de Bybit Hack
Como se prometió, aquí están los informes preliminares del truco realizado por @sygnia_labs y @Verichains
Capturado de captura de pantalla la conclusión y aquí está el enlace al informe completo: https://t.co/3hcqkxln5u pic.twitter.com/tlzk2b3jiw

– Ben Zhou (@benbybit) 26 de febrero de 2025

La investigación identificó que el código de JavaScript malicioso se había inyectado en el cubo S3 de Safewallet Web Services (AWS) S3. Según el informe de Sygnia, este código se agregó el 19 de febrero de 2025, dos días antes de que ocurriera la transacción no autorizada real.

El código fue diseñado para activarse solo cuando las transacciones se originaron en direcciones de contrato específicas, incluido el contrato de Bybit.

El análisis de los archivos de caché del navegador Chrome de los sistemas de tres firmantes confirmó la presencia del recurso JavaScript comprometido en el momento de la transacción. Esto proporcionó evidencia clara de cómo se ejecutó el ataque a través de los sistemas de Safewallet sin comprometer la propia infraestructura de Bybit.

Los expertos forenses descubrieron que aproximadamente dos minutos después de que se ejecutó la transacción fraudulenta, se cargaron nuevas versiones de los archivos JavaScript afectados al cubo AWS S3 de SafeWallet, eliminando el código inyectado. Este cambio rápido sugiere un intento de los atacantes de ocultar evidencia de la modificación no autorizada.

Los archivos web capturaron dos instantáneas de los recursos de JavaScript de Safewallet el 19 de febrero de 2025. La primera instantánea mostró la versión original e inalterada, mientras que la segunda instantánea contenía el código malicioso, lo que respalda aún más la conclusión de que el ataque se originó desde la infraestructura AWS de Safewallet.

En respuesta al incidente, SafeWallet ha «reconfigurado, reconfigurado toda infraestructura y giró todas las credenciales, asegurando que el vector de ataque esté completamente eliminado», según su anuncio. El equipo de Safewallet confirmó que han agregado medidas de seguridad para evitar ataques similares en el futuro.

https://t.co/9zhpmcmgbb

– Safe.eth (@Safe) 26 de febrero de 2025

A pesar del robo masivo, Bybit rápidamente reponió los activos de cripto de los usuarios y mantuvo operaciones sin interrupciones importantes. Para cumplir con los retiros de los clientes, el intercambio tomó prestados 40,000 ETH de Bitget, que desde entonces se ha pagado. Bybit restauró sus reservas a través de una combinación de préstamos, compras de activos y grandes depósitos de titular.

El CEO de Bybit, Ben Zhou, confirmó que el intercambio está «de vuelta al 100%» de respaldo completo en los activos del cliente. “La revisión forense preliminar considera que nuestro sistema no estaba comprometido. Si bien este incidente subraya las amenazas en evolución en el espacio criptográfico, estamos tomando medidas proactivas para reforzar la seguridad ”, dijo Zhou.

El ataque eclipsó a los principales pechones criptográficos anteriores, incluido el ataque de la red Ronin 2022 y el 2021 Poly Network Heist. Según los datos de Cyvers, este único incidente representó más del 60% de todos los fondos criptográficos que fueron robados durante todo el año anterior.

El truco de Bybit ha afectado la confianza del mercado, lo que lleva a una caída en los precios más amplios de las criptomonedas. El incidente destaca los desafíos de seguridad en curso que enfrenta la industria de las criptomonedas, incluso cuando los intercambios funcionan para mejorar sus medidas de seguridad y capacidades de respuesta.