Il 21 febbraio 2025, con una sola firma, 1,5 miliardi di dollari sono spariti dal secondo exchange cripto più grande del mondo: il furto più grande nella storia del denaro. Ecco come ci è riuscita la Corea del Nord, e perché alla fine nessun cliente ha perso un centesimo.
Il trasferimento di routine
È un giovedì pomeriggio come tanti. In Bybit c'è in agenda un'operazione ordinaria: spostare ether da un cold wallet — offline, il caveau — a un wallet caldo. Devono firmare più dirigenti; è un multisig, esattamente l'assetto che tutti considerano sicuro.
I firmatari guardano lo schermo. Vedono l'indirizzo giusto, l'importo giusto. Firmano. E mentre credono di approvare un normale trasferimento, in realtà stanno firmando qualcosa di completamente diverso: una modifica alla logica dello smart contract che governa il caveau.
All the signers saw the “musked” UI which showed the correct address.Ben Zhou, CEO di Bybit
In pochi minuti il caveau si svuota in 39 indirizzi sconosciuti.
Che cosa è sparito
Il bottino fa girare la testa: 401.347 ETH, più stETH, cmETH e mETH — in totale circa 499.000 ether, per un valore di circa 1,46 miliardi di dollari. Nessun bug in un oscuro protocollo DeFi. Il caveau più grande e meglio protetto di un exchange di primo livello, svuotato in una sola transazione. Il dogma secondo cui “cold storage = sicuro” muore in un pomeriggio.
La firma falsa
Come? Gli aggressori non avevano bucato Bybit, ma la catena di fornitura. Settimane prima, intorno al 4 febbraio, avevano compromesso il portatile di uno sviluppatore di Safe{Wallet}, il software multisig usato da Bybit. Il 19 febbraio hanno iniettato JavaScript malevolo nell'infrastruttura di Safe — codice che si attivava soltanto in presenza dell'indirizzo del contratto di Bybit e falsificava l'interfaccia, così che i firmatari vedessero la cosa giusta e ne firmassero un'altra. Due minuti dopo il colpo, il codice era già stato rimosso.
È la forma più insidiosa di “blind signing”: il tuo hardware dice sì, i tuoi occhi dicono sì, e intanto stai firmando la cessione del tuo stesso caveau.
Le prime dodici ore
E poi succede una cosa che distingue questa storia da FTX e Mt. Gox. Il CEO di Bybit, Ben Zhou, non sparisce. Entro un'ora e mezza twitta che il caveau è stato violato. Nel giro di poche ore va in diretta streaming per spiegare cos'è successo.
Bybit is solvent even if this hack loss is not recovered.Ben Zhou, 21 febbraio 2025 provato
Quello che segue è una corsa agli sportelli e, insieme, il suo contrario. Arrivano oltre 350.000 richieste di prelievo; Bybit ne evade il 99,994% entro dieci ore. I concorrenti corrono in aiuto: Bitget versa 40.000 ether — senza interessi, senza garanzie. Galaxy Digital, FalconX e Wintermute coprono il resto. In circa 72 ore il buco da 1,23 miliardi di dollari è tappato e un audit conferma che ogni cliente è di nuovo coperto al 100%. Il prestito a Bitget viene restituito tre giorni dopo.
La pista verso la Corea del Nord
Mentre Bybit spegne l'incendio, comincia la caccia. L'investigatore on-chain ZachXBT ricostruisce il collegamento in circa cinque ore: gli indirizzi si sovrappongono a quelli di hack precedenti ai danni di Phemex e BingX — l'impronta digitale di Lazarus, il gruppo di hacker della Corea del Nord. Cinque giorni dopo l'FBI lo mette nero su bianco.
North Korea was responsible for the theft of approximately $1.5 billion.FBI, avviso pubblico, 26 febbraio 2025 provato
Dove è finito il denaro
Qui la storia di successo si interrompe. Gli hacker hanno riciclato l'intero bottino in circa dieci giorni, convertendolo in gran parte in bitcoin tramite il protocollo THORChain e spargendolo su quasi 7.000 wallet. Verso metà 2025 circa il 62% — 868 milioni di dollari — era “dark”: introvabile. Solo una frazione è stata congelata. La Germania ha messo offline il mixer eXch e sequestrato 34 milioni di euro; la FinCEN statunitense ha tagliato fuori una rete di riciclaggio. Ma la parte più grossa è sparita — direzione regime di Pyongyang.
Che cosa significa
L'hack di Bybit è due storie in una. È l'avvertimento che “cold wallet” non basta se le persone e il software attorno al caveau si possono violare — il fronte si è spostato dalla cassaforte alla firma. Ed è un raro esempio di gestione della crisi: grazie a trasparenza, solvibilità e all'aiuto del settore, alla fine nessun cliente ha perso nulla, nonostante la rapina più grande di sempre.
Ed è esattamente questo il punto per chi deve scegliere dove custodire le proprie cripto. Un hack non è una questione di se, ma di quando. La vera domanda è: l'exchange ha le riserve, la trasparenza e la volontà di tenerti a galla quando le cose vanno storte? Bybit le aveva. Non tutti gli exchange l'hanno dimostrato.
Fonti
Attribuzione dell'FBI (IC3 PSA); cronologia dell'incidente Bybit con tutti i post su X (Bybit Learn); causa forense Safe{Wallet} (Bleeping Computer); riserve ripristinate entro 72 ore (CNBC); prestito Bitget restituito (Cointelegraph); 62% dark (The Defiant).