Safe

Eventi documentati e chiusi. Restano in scheda: il passato di un operatore è un dato, non una condanna.

1. 21 feb 2025 Hack / furto di fondi Critico 1 Mld USD ✓ risolto

   L'infrastruttura di Safe{Wallet} è stata compromessa e usata per il furto più grande della storia delle criptovalute: 1,46 miliardi di dollari a Bybit. Il codice dei contratti non aveva falle — a cedere è stato il portatile di uno sviluppatore, poi l'AWS dell'azienda, poi il JavaScript che serviva l'interfaccia web

   Il 21 febbraio 2025 **1,46 miliardi di dollari** sono usciti da un cold wallet multifirma di Bybit. L'indagine forense condotta da **Mandiant** insieme al team di Safe, con riscontri indipendenti di **Sygnia** e **BlockSec**, ha ricostruito un percorso che parte molto prima e **dentro Safe**, non dentro Bybit. Il **4 febbraio** la postazione macOS di uno sviluppatore di Safe{Wallet} viene compromessa, verosimilmente con malware veicolato da ingegneria sociale. Il **5 febbraio** gli attaccanti usano i **token di sessione AWS** di quello sviluppatore — sessioni già attive, il che ha permesso di **aggirare l'autenticazione a più fattori** dopo alcuni tentativi falliti di registrare un proprio dispositivo MFA — ed entrano nell'infrastruttura AWS di Safe{Wallet}, dove restano fino al **17 febbraio**. Il **19 febbraio** modificano le **risorse JavaScript ospitate sul bucket S3** che serve l'interfaccia web di Safe{Wallet}, iniettando codice che manipola le transazioni. L'innesco era chirurgico: il codice si attivava **solo** su transazioni provenienti dall'indirizzo Safe di uno specifico cold wallet di Bybit. Il risultato lo ha descritto l'amministratore delegato di Bybit, Ben Zhou: l'interfaccia di Safe mostrava ai firmatari una transazione legittima, mentre ai loro dispositivi Ledger veniva inviato un payload diverso. Diciannove giorni di preparazione; l'**FBI** ha attribuito formalmente l'attacco ad attori statali nordcoreani del cluster **TraderTraitor** (noto anche come Jade Sleet, Slow Pisces, UNC4899). Quello che Safe ha dichiarato, e che è importante riportare per intero: la revisione forense **non ha rilevato vulnerabilità né negli smart contract di Safe né nel codice sorgente del frontend e dei servizi**. La falla era nell'infrastruttura aziendale, non nel protocollo. Safe ha poi **ricostruito e riconfigurato da zero tutta l'infrastruttura e ruotato tutte le credenziali**, ripristinando il servizio su Ethereum mainnet in più fasi. I fondi non sono mai stati recuperati: a coprire la perdita è stata Bybit, che ha reintegrato le riserve. Il nesso con questa scheda, detto chiaro: **i soldi rubati erano di Bybit, ma la falla sfruttata stava in casa Safe** — ed è il motivo per cui l'episodio compare sia qui sia sulla scheda dell'exchange.

   ↗ fonte

verificato il 2 ott 2026