70 hack e truffe in 7 giorni: 18 milioni di dollari rubati secondo SEAL

Una settimana ordinaria. La Security Alliance (SEAL) ha registrato 70 incidenti di sicurezza nell'ecosistema crypto dal 13 al 20 ottobre. Il maggior danno è stato causato dai Ledger compromessi venduti da CryptoBilis: tre nuove vittime e 9,3 milioni di dollari scomparsi in sette giorni.

Il collettivo che gestisce la linea di emergenza SEAL 911 stima la settimana a oltre 18 milioni di dollari nelle sue otto principali categorie di perdite. Aggiungere un centinaio di ETH e alcuni BTC. In programma: frasi seed rubate, rapine fisiche e falsi colloqui di lavoro orchestrati da Pyongyang.
I punti chiave di questo articolo:

• La Security Alliance ha registrato 70 incidenti di sicurezza nel settore crypto in una settimana, con perdite superiori a 18 milioni di dollari.
• I Ledger compromessi venduti da CryptoBilis hanno causato perdite di 9,3 milioni di dollari, nonostante un'indagine in corso e avvertimenti di sicurezza.

Chi è SEAL e perché riportiamo il suo lavoro

La Security Alliance non è né un'agenzia di audit né una società di sicurezza che vende i suoi servizi. È un'organizzazione no-profit lanciata all'inizio del 2024 per iniziativa di samczsun, ricercatore di sicurezza passato da Paradigm, che riunisce diverse centinaia di volontari: ricercatori, sviluppatori, investigatori on-chain, giuristi. Il suo strumento più noto è SEAL 911, una linea di emergenza raggiungibile su Telegram, dove un hacker etico interviene in pochi minuti quando un protocollo viene svuotato o un individuo vede i propri fondi scomparire.

Il collettivo pubblica anche il Safe Harbor Agreement, un quadro giuridico che consente ai white hats di intervenire durante un attacco per mettere al sicuro i fondi, e mantiene aggiornati elenchi di domini di phishing e indirizzi fraudolenti. È da questo lavoro di formica, visibile giorno dopo giorno nel grafico sottostante, che emergono tutte le cifre di questo articolo. Osservazioni e incidenti raccolti giorno per giorno da SEAL dal 13 al 20 ottobre. Fonte: Security Alliance (SEAL)

Precisiamolo senza mezzi termini: Journal du Coin non ha alcun partenariato con SEAL, e nessuno ci ha chiesto di parlarne. Riportiamo il loro lavoro perché è di utilità pubblica, e questi bilanci settimanali sono, a nostra conoscenza, la fonte più affidabile su ciò che sta realmente accadendo in termini di sicurezza. In un ecosistema dove nessuno ti rimborsa, SEAL è diventato indispensabile. Se sei vittima di un furto o di un hack, o se sospetti che un dispositivo sia compromesso, il riflesso è semplice: securityalliance.org/sos o il bot Telegram @seal_911_bot, gratuitamente, a qualsiasi ora.

Ledger e CryptoBilis: l'impianto continua a svuotare i portafogli

Pensavi che la questione fosse risolta? Non lo è. Le tre segnalazioni ricevute da SEAL questa settimana pesano da sole 9,3 milioni di dollari, ovvero oltre 3 milioni per vittima in media. Per memoria, Ledger ha avviato la sua indagine il 9 ottobre, confermando il 10 la presenza di un impianto hardware non autorizzato nel dispositivo di un cliente, e poi collegando l'11 tutte le perdite segnalate ai dispositivi venduti da questo rivenditore malese.

L'aggiornamento tecnico pubblicato il 13 ottobre da Ledger Donjon descrive un meccanismo di una semplicità crudele. Il modulo alloggiato nel case legge lo schermo durante la configurazione (il momento in cui vengono visualizzate le 24 parole della frase di recupero). Successivamente, le trasmette tramite rete mobile grazie a una eSIM. Il Secure Element, il chip sicuro che firma le transazioni, rimane intatto. Il << Genuine Check >> di Ledger convalida quindi il dispositivo come autentico, senza poter rilevare l'impianto.

Il produttore raccomanda di non inizializzare mai un dispositivo acquistato presso questo rivenditore e di trasferire i propri fondi su un nuovo wallet con una nuova seed se ciò è già stato fatto. Il problema ora supera il Sud-est asiatico. Un cliente tedesco ha segnalato un dispositivo compromesso acquistato presso MediaMarkt, senza perdita di fondi a questo punto, e la catena ha ritirato i Ledger dai suoi scaffali in tutti i suoi paesi.

Seed phrases e wrench attacks, il fattore umano prima del codice

Con 25 casi su 70, la compromissione della seed phrase rimane di gran lunga la categoria più frequente del bilancio SEAL. La fattura della settimana raggiunge 3,86 milioni di dollari, 64,5 ETH e 0,3 BTC. Una seed phrase sono queste 12 o 24 parole che danno accesso a tutti i fondi di un wallet. Chiunque le ottenga diventa proprietario. Le prese di controllo dei conti aggiungono 1,6 milioni di dollari al conteggio. I 70 incidenti della settimana per categoria: la compromissione della seed phrase sovrasta tutto il resto. Fonte: Security Alliance (SEAL)

Le wrench attacks figurano anche nella classifica con due vittime rapinate di persona e 1,22 milioni di dollari rubati. SEAL precisa che queste aggressioni fisiche sono in aumento. Il termine si riferisce al furto di criptovaluta sotto minaccia, quando la chiave inglese sostituisce il malware. I lettori francesi conoscono l'argomento: la polizia giudiziaria contava già 41 rapimenti di criptovaluta in Francia a metà aprile 2026.

Per quanto riguarda i protocolli, SEAL conta nove rapporti. Sei compromissioni hanno costato 2 milioni di dollari e 37,44 ETH, di cui due exploit da 1 milione ciascuno. Una presa di controllo dell'infrastruttura ha fatto perdere 32.400 dollari e 5 BTC. E poi c'è questo caso di minaccia interna, quasi comico se non fosse così grave. Un collaboratore ha aggiunto il proprio indirizzo come firmatario di un multisig, quel wallet che richiede più convalide per muovere i fondi.

Fake Zoom e falsi reclutatori, la Corea del Nord colpisce ampiamente

I gruppi nordcoreani hanno fatto cinque vittime per 260.000 dollari. Tre di esse hanno perso 86.000 dollari nella trappola << Contagious Interview >> (un falso colloquio di lavoro in cui il candidato installa un malware credendo di superare un test tecnico). Una compromissione di wallet non ancora collegata a una campagna specifica rappresenta i restanti 174.000 dollari.

Più preoccupante per gli sviluppatori, il malware Polin Rider è stato individuato in 13 dei 928 depositi di un programma di bounty open source, riporta SEAL. Nessuna perdita segnalata a questo punto. Il gruppo UNC1069 ha inoltre registrato nuovi domini che imitano i servizi di videoconferenza. E un insieme di intrusioni ancora non attribuito, chiamato SINT-69, continua a produrre a catena falsi siti Zoom e Teams con nomi del tipo zoomwweb o teamlives.

Il modus operandi non cambia. Un contatto ti propone una chiamata, il link rimanda a una pagina che richiede un << aggiornamento >> del software di videochiamata, e questo aggiornamento svuota il tuo wallet. Controlla il nome di dominio prima di installare qualsiasi cosa. Nel corso della settimana, SEAL ha raccolto 2.393 domini di phishing, pubblicato 2.437 indicatori di compromissione e catalogato 155 wallet.

Ledger non ha ancora comunicato un bilancio ufficiale del numero di dispositivi compromessi né dell'importo totale rubato, che qualifica come << limitato >>. Gli investigatori on-chain, invece, seguono già 103 milioni di dollari di bottino attraverso Tornado Cash e Zcash, e i tre casi aggiunti questa settimana da SEAL aumentano ulteriormente il totale.