Hackerato l’Exchange “Bitmart”: Rubati 196 Milioni di Dollari

Si stima che il bottino rubato nell’attacco informatico ai danni dell’Exchange Centralizzato “Bitmart” nella notte tra il 4 e il 5 Dicembre ammonti a 196 Milioni di dollari. 

Sono stati prelevati costantemente dagli hacker interi saldi di vari token, anche per decine di milioni di dollari, verso un indirizzo etichettato su Etherscan come “Bitmart Hacker”, che la società di analisi della sicurezza “Peckshield” ha stimato ammontare nel complesso a 100 Milioni in token sulla blockchain Ethereum, e 96 Milioni in token sulla Binance Smart Chain. Le cifre maggiori riguardano Shiba, Saitama ed Elon, ma sono stati sottratti anche Matic, Gala, Sand, Mana ed altri Token, oltre che CRO (nella versione su Ethereum più vecchia di quella uscita nell'ultimo anno sulla nuova blockchain di Crypto), ad anche altri svariati token su BSC. 

E’ stato utilizzato dagli hacker l’aggregatore DEX “1inch” per scambiare i token su Ethereum, ed un indirizzo secondario per depositare ETH nel “mixer” "Tornado Cash", in modo da rendere più difficile rintracciare i flussi delle transazioni. 

Inizialmente Bitmart aveva bollato la notizia come fake news, affermando che i deflussi erano prelievi di routine, per poi confermare qualche ora dopo tramite un tweet del CEO che si trattava veramente di un hack che aveva coinvolto un wallet ETH e uno BSC, e che la cifra ammontava approssimativamente a 150 Milioni. In seguito il CEO ha anche dichiarato che comunque si tratta di una piccola parte del patrimonio dell’Exchange, e che questo evento non colpirà la società. 

Al momento però i prelievi sull’Exchange sono temporaneamente bloccati, e quindi gli utenti non possono trasferire le proprie Crypto. 

Approfitto di questo episodio per ribadire brevemente qualche concetto fondamentale, quanto sia importante capire bene le differenze tra un Exchange “Centralizzato” ed uno “Decentralizzato”, un Wallet “Custodial” e uno “Non Custodial”, un “Hot Wallet” e un “Cold Wallet”, cosa sia un "Seed", perché va fatto il backup e non condiviso, ecc..

Negli Exchange “Centralizzati” come Coinbase, Binance, Crypto.com.., e appunto Bitmart, l’utente ha un account sul sito, e ha a disposizione degli “Hot” Wallet, ovvero wallet Online, che però sono dell’Exchange, perché è questo, e non l’utente, a detenere le “chiavi private” di questi wallet. Si dice giustamente “not your keys not your coins” (se non hai le chiavi private non sono le tue Monete).

Infatti è chi ha le chiavi private del wallet ad avere accesso alle monete e a poterle spostare (brevemente possiamo dire che i Token sono nella blockchain, non nei wallet, e che questi sono più dei "portachiavi", con cui si possono autorizzare le operazioni).

Motivo per cui le chiavi private non vanno mai e poi mai condivise con nessuno, o equivalentemente la loro traduzione in “Seed”, cioè le 12 o 24 parole di backup da cui si può ricostruire il wallet in qualsiasi momento, su altri dispositivi, e che bisogna custodire con estrema cura e non condividere mai con nessuno, o fare in modo che possano rubarlo. Altrimenti potrebbero sottrarre tutto il contenuto del wallet senza che si possa far nulla.

I vantaggi degli Exchange Centralizzati sono che ci si può rivolgere all’Assistenza in caso di problemi e che si pagano basse commissioni per gli scambi tra Crypto su di essi, o tra utenti iscritti sullo stesso Exchange. Fare trading o scambi di token su di essi è senza dubbio più conveniente in termini di commissioni rispetto ad utilizzare gli Exchange “Decentralizzati”, dove si pagano commissioni spesso anche molto salate ad esempio su rete Ethereum, per fare gli “Swap”, perché non ci sono intermediari, ma vengono coinvolti degli smart-contract. Le operazioni in questo caso avvengono tra wallet “non custodial”, di cui solo noi abbiamo il “Seed”, e quindi siamo i soli ed unici proprietari, ma anche responsabili, in modo Decentralizzato e “trustless”. Con gli Exchange invece stiamo di fatto affidando i nostri Token a soggetti terzi, ad aziende, di cui dobbiamo fidarci.

Insomma gli Exchange Centralizzati sono più comodi per chi fa molte operazioni perché sono più veloci e hanno minori commissioni rispetto a quelle del mondo "DeFi" Decentralizzato, dove il prezzo per i grandi vantaggi della “Decentralizzazione” e della piena custodia si pagano in termini di commissioni e intasamento della rete, che vanno a soggetti come i “miners” o i “Liquidity Provider”, ovvero coloro che permettono di sostenere l'infrastruttura. 

Sugli Exchange bisogna attivare tutti gli accorgimenti per aumentare la sicurezza, scegliere password sicure e cambiarle spesso, attivare l'autenticazione a due fattori, cosicché anche se scoprissero la nostra password avremmo un ulteriore layer di protezione, meglio le autenticazioni su altri dispositivi rispetto al codice di sicurezza via sms, che potrebbe essere intercettato (Google Authenticator, Authy...), attiare i codici anti-phishing per esser certi che le mail degli Exchange siano quelle ufficiali e non tentativi di phishing, non immettere mai password o altri dati di sicurezza in pagine dubbie (gli Exchange non ci chiederanno mai di immettere la nostra password in qualche form non richiesto, comunicarle ad operatori ecc..).

E’ meglio sparpagliare i propri fondi su più Exchange per limitare il “rischio emittente”, tenendo la maggior parte dei token che si vogliono utilizzare negli scambi o in sistemi di staking ecc.. in quelli più affermati ed affidabili, che hanno implementato protezioni molto valide e magari sono anche coperti da Assicurazioni. Volendo fare qualche nome Exchange come Coinbase, Binance e Crypto.com sono sicuramente molto affidabili e sanno custodire bene i token degli utenti (in molti casi anche meglio degli utenti stessi probabilmente). 

Tra i wallet “non Custodial” ci sono sia quelli “Software”, che si installano sia sullo Smartphone che sul pc, o come estensioni del browser (ad esempio Metamask), che possiamo usare per conservare i nostri Token senza affidarli a terzi, detenedndo noi il Seed, e con cui possiamo interagire con gli smart contract nelle applicazioni di Finanza Decentralizzata (DeFi) o con gli AMM (Automated Market Maker), come tra i più famosi Uniswap o Pancake Swap, spesso integrati anche come dApp al loro interno (basta cercarli nel browser).

Altrimenti per una sicurezza massima esistono anche gli “Hardware” Wallet, che sono “Cold” Wallet, cioè Offline, scollegati da internet, per una maggiore sicurezza. Questi infatti possono essere collegati al web, tramite Usb sul pc o altri modi, solo quando serve fare le operazioni. Uno dei più famosi è ad esempio il Ledger.  

E’ da tener presente che ci sono insidie anche nella DeFi, ad esempio bisogna stare molto attenti agli smart contract che si utilizzano e si importano, a che tipo di Token si ricevono ad esempio negli Airdrop a cui si partecipa, che non ci siano problemi tecnici nello smart contract stesso, poiché sono programmi e potrebbero sempre esserci bug, che ci sia sufficiente liquidità per fare le operazioni con i token che interessano, o che siano scambiabili in qualsiasi momento, ecc.. Oltre che come detto nel saper custodire nel modo corretto i backup dei Seed e non condividere queste informazioni con nessuno, altrimenti non ci si può rivolgere a qualcuno in caso di furti, anche perché solitamente chi commette truffe in questo ambito poi è difficilmente rintracciabile. 

A seconda dell’uso pratico che si fa delle proprie Crypto, e del livello di sicurezza e custodia che si vuole, ciascuno può preferire un approccio piuttosto che un altro; utilizzare Exchange Centralizzati o DEX, Software o Hardware Wallet ecc... A parere mio un mix di tutte queste soluzioni potrebbe essere il miglior compromesso, così da sfruttare i vantaggi di ognuno ma anche privilegiare la modalità a sé più congeniale, e al contempo differenziare il rischio.

📱 I MIEI CANALI:

► YouTube: https://www.youtube.com/c/AlessandroProsperini

► Telegram Aggiornamenti: https://t.me/AlessandroProsperini_Official

► Telegram Offerte e Codici Sconto: https://t.me/AP_Migliori_Offerte_e_Codici

► Cam.Tv Personale: https://www.cam.tv/alessandroprosperini

► Canale Cam.Tv "Guadagna Online": https://www.cam.tv/guadagnaolinedavvero 

► Pagina Facebook: https://www.facebook.com/AlessandroProsperiniFounder

► (Trascurato) Instagram: https://www.instagram.com/alessandro.proz.prosperini/