Bybit: Unterzeichner validieren eine Übertragung ... die ihren Safe liefert

Eine Bargeldtransaktion muss Vermögenswerte zwischen zwei Portfolios von Bybit verschieben. Mehrere Leute müssen zustimmen. Am 21. Februar 2025 autorisieren ihre Unterschriften jedoch eine Operation, die dem Angreifer die Kontrolle über die Brieftasche gibt. Etwa 1,5 Milliarden US-Dollar an Vermögenswerten werden gestohlen.

Die technische Untersuchung markiert einen entscheidenden Schritt für Safe, den Anbieter der Signaturschnittstelle. Eine kompromittierte Entwicklerposition ermöglicht es, eine Ressource zu ändern, die den Benutzern zur Verfügung gestellt wird. Die Unterzeichner sehen eine erwartete Operation, während die Daten, die tatsächlich zur Signatur vorgelegt wurden, geändert wurden.

Der Bruchpunkt ist daher kein kryptographischer Schlüssel, der von einem übermächtigen Computer erraten wird. Es ist das Vertrauen zwischen dem Bildschirm, den Verantwortlichen für die Kontrolle und der Operation schließlich genehmigt. Mehrere Unterschriften können die gleiche Täuschung bestätigen, wenn sie von der gleichen Fehldarstellung abhängen.

Abflüsse von Vermögenswerten führen zu öffentlichen Vorfällen und Ermittlungen. Bybit mobilisiert Ermittler und organisiert seine Liquidität; Safe baut seine Umgebung wieder auf und erneuert den Zugang. Der von Bybit zitierte Zwischenbericht findet keine Kompromisse bei der eigenen Infrastruktur. Bei dieser Schlussfolgerung geht es um den untersuchten Umfang, nicht um einen vorstellbaren Fehler.

Das FBI schreibt den Diebstahl nordkoreanischen Akteuren zu, die unter dem Namen TraderTraitor verfolgt werden. Die Ermittler beobachten dann die Umwandlung und Verteilung von Vermögenswerten über mehrere Netzwerke hinweg. Eine Gruppenzuweisung gibt nicht automatisch den Namen jedes Operators an.

Der Fall zeigt eine spezifische Schwäche: Einen Safe zu besitzen und mehrere Vereinbarungen zu fordern, reicht nicht aus, wenn die Wachen dazu gebracht werden, etwas anderes zu unterschreiben, als sie glauben, dass sie es überprüfen. Der gestohlene Betrag, die Rücklageneinziehung und das tatsächlich eingezogene Geld bleiben unterschiedliche Maßnahmen.