Un investitore crypto ha perso, secondo quanto riferito, 783 Bitcoin, per un valore superiore ai 91 milioni di dollari, in una delle più grandi truffe di social engineering della storia recente. L'incidente del 19 agosto, scoperto dall'investigatore blockchain ZachXBT, sottolinea le persistenti vulnerabilità umane nella sicurezza crypto, anche tra gli utenti esperti.
Mentre la maggior parte delle notizie crypto si concentra su exploit di smart contract e falle negli exchange, quest'ultimo attacco è un esempio lampante di come i truffatori aggirino sistemi complessi manipolando la fiducia.
In questo caso, l'attaccante si sarebbe spacciato per il supporto clienti sia di un exchange crypto sia di un fornitore di portafogli hardware, convincendo la vittima a fornire informazioni sensibili sotto la pretesa di assistenza tecnica.
La portata dell'attacco - uno dei più grandi furti di criptovalute tramite social engineering fino ad oggi - serve come un chiaro promemoria che l'anello più debole della catena della sicurezza è spesso il comportamento umano, non il codice.
Furto da 91 milioni di dollari: quello che sappiamo finora
L'incidente è venuto alla luce quando l'analista blockchain pseudonimo ZachXBT ha segnalato il movimento improvviso di una grande quantità di BTC. Secondo i dati on-chain e il tweet di ZachXBT del 21 agosto, i 783 BTC rubati sono stati trasferiti poco dopo la violazione, con molti fondi canalizzati nel Wasabi Wallet, un servizio di mixing Bitcoin noto per le sue caratteristiche di miglioramento della privacy.
“Una vittima ha recentemente perso 783 BTC (~91 milioni di dollari) in una truffa di social engineering. I fondi si stanno muovendo questa settimana tramite Wasabi,” ha scritto ZachXBT su X (precedentemente Twitter).
Sebbene l'identità della vittima non sia stata divulgata, la dimensione del furto suggerisce che il bersaglio fosse probabilmente un soggetto ad alto patrimonio netto o un investitore istituzionale. L'approccio dell'attaccante - impersonare sia un rappresentante di exchange sia un tecnico di portafogli hardware - appare accuratamente progettato per sfruttare la fiducia e la confusione.
Si riporta che la truffa ha coinvolto tattiche di impersonificazione e phishing a più livelli, in cui l'attaccante ha iniziato il contatto e ha gradualmente convinto la vittima a divulgare credenziali critiche, potenzialmente incluse chiavi private o frasi seed.
Che cos'è la social engineering - E perché è così pericolosa?
Gli attacchi di social engineering non si basano sull'hacking di sistemi, ma sulla manipolazione delle persone affinché concedano accesso a sé stesse. Nel mondo crypto, questo assume spesso la forma di:
- Falso supporto tecnico che contatta gli utenti per aiutare con “problemi di account”
- Impersonatori su Discord, Telegram, o email che fingono di essere membri del team o fornitori di portafogli
- Link o download malevoli inviati da entità apparentemente affidabili
- Deepfake o vishing per imitare il personale reale
A differenza degli hack di forza bruta o degli exploit di smart contract, la social engineering non richiede una violazione tecnica, rendendola estremamente difficile da rilevare fino a quando non è troppo tardi.
E con le transazioni crypto irreversibili, una volta trasferiti i fondi, è quasi impossibile recuperarli - soprattutto quando sono riciclati attraverso strumenti di privacy come Wasabi o mixer come ChipMixer e Tornado Cash.
La storia si ripete: echi dell'hack di Genesis del 2024
Il furto di 91 milioni di dollari di questa settimana arriva quasi esattamente un anno dopo una truffa altrettanto massiccia, in cui un attaccante ha rubato 243 milioni di dollari dai creditori di Genesis utilizzando metodi di social engineering. In quel caso, gli attaccanti si spacciarono per amministratori affidabili e convinsero gli utenti a firmare transazioni malevoli o a cedere frasi seed.
La tempistica ha sollevato interrogativi tra alcuni analisti di sicurezza, che suggeriscono che le truffe su larga scala possano essere strategicamente sincronizzate per coincidere con date chiave - anniversari di attacchi passati, eventi di mercato importanti, o aggiornamenti di protocollo - quando distrazioni e sovraccarico cognitivo possono ridurre la vigilanza.
Sebbene l'industria crypto abbia fatto significativi progressi nello stoccaggio a freddo, portafogli multisig, dispositivi hardware e accessi biometrici, nessuno di questi strumenti può proteggere completamente contro il fattore umano. Secondo i dati di Chainalysis e CertiK, la social engineering ha rappresentato oltre il 25% delle perdite crypto significative nel 2024, seconda solo ai bug nei smart contract.
E le vittime non sono solo neofiti. “Stiamo vedendo investitori sofisticati cadere in queste truffe,” ha detto l'esperto di cybersecurity Chris Blec. “Gli impersonatori sono spesso pazienti, informati e abili nella manipolazione psicologica. Non stanno indovinando password - stanno guadagnando fiducia.”
Segnali d'allarme e lezioni per gli investitori
Questo ultimo incidente è un caso di studio agghiacciante sulla necessità di vigilanza, scetticismo e protocolli di verifica. Gli esperti raccomandano le seguenti buone pratiche:
- Non condividere mai frasi seed o chiavi private - nessun servizio legittimo le chiederà.
- Verificare i contatti di supporto in modo indipendente - usa siti ufficiali, non link inviati via DM o email.
- Abilitare liste bianche di transazione e richieste del portafoglio hardware per tutte le transazioni in uscita.
- Usare configurazioni multisig dove una sola parte non può muovere fondi.
- Educare membri del team e familiari - specialmente quelli coinvolti nella gestione di portafogli condivisi o istituzionali.
I fornitori di portafogli, gli exchange e le piattaforme DeFi hanno anche una responsabilità. Molti ora implementano avvertimenti di impersonificazione del supporto, avvisi di truffa in tempo reale e campagne di educazione degli utenti per prevenire questi incidenti. Tuttavia, come dimostra questo caso, c'è ancora molto lavoro da fare.
Perché gli strumenti di privacy complicano i tentativi di recupero
Una delle sfide più grandi nel recupero di crypto rubate è l'oscuramento tramite portafogli di privacy e mixer. In questo caso, gran parte dei BTC rubati sono stati inviati al Wasabi Wallet, una piattaforma che utilizza CoinJoin - un protocollo di mixing che mescola le transazioni di più utenti per rompere la tracciabilità.
Sebbene gli strumenti di privacy abbiano scopi legittimi, come la protezione dei fondi attivisti e la tutela dell'identità dell'utente dalla sorveglianza, possono anche essere utilizzati per riciclare fondi illeciti e complicare la forensica blockchain.
Di conseguenza, le forze dell'ordine affrontano gravi limitazioni nel tracciare o congelare crypto rubate, a meno che l'attaccante non commetta un errore o tenti di incassare tramite un exchange regolamentato.
Il monitoraggio continuo di ZachXBT può aiutare a rintracciare i movimenti a valle, ma senza identità reali o coinvolgimento del KYC di exchange, le possibilità di recupero restano scarse.
Risposta dell'industria: Educazione, UX e rilevamento delle truffe basato su IA
Alla luce dell'attacco, gli esperti di sicurezza chiedono di nuovo il miglioramento dell'onboarding degli utenti, comprese simulazioni di phishing, tutorial interattivi e sistemi di rilevamento frodi basati su IA che segnalano comportamenti sospetti prima che i fondi siano compromessi.
Aziende come Ledger, Trezor, Coinbase e MetaMask hanno iniziato a integrare avvisi di truffa in tempo reale, integrazioni di blacklist di phishing e verifiche di supporto all'interno del portafoglio. Tuttavia, la maggior parte di questi sistemi restano opzionali - e non ancora infallibili.
Alcuni propongono di costruire strati di identità decentralizzata e reputazioni di portafoglio nei futuri protocolli, consentendo agli utenti di verificare agenti di supporto ufficiali o di stabilire punteggi di fiducia per indirizzi di portafoglio. Ma questi sono ancora nelle prime fasi di sviluppo.
Considerazioni finali
La perdita di 783 BTC in un attacco di social engineering è uno dei promemoria più grandi e più sobering che la sicurezza crypto non sia solo tecnica - è profondamente umana. Man mano che l'adozione del Web3 cresce, la sofisticazione delle truffe evolve in parallelo.
Mentre gli audit del codice, le configurazioni multisig, e gli strati di privacy sono importanti, la difesa più critica resta l'educazione e lo scetticismo. In un sistema finanziario permissionless e irreversibile, un errore di giudizio può cancellare una vita di risparmi.
Finché l'industria non trova modi migliori per proteggere gli utenti da se stessi, la social engineering resterà la minaccia più persistente per la crypto.