Bitcoin come il FarWest: rapine alle banche, assalti alla diligenza e furti in casa

Blockchain, portafogli virtuali, exchange immateriali, tecnologie d’avanguardia applicate alla finanza, eppure… siamo praticamente nella stessa situazione in cui versava l’Arizona nel XIX secolo: una frontiera senza regole in cui i soprusi veniva puniti molto di rado e i banditi terrorizzavano le piccole cittadine.

Stiamo parlando dell’attuale situazione di sicurezza nel settore delle monete virtuali, con particolare riferimento ai Bitcoin ed Ethereum.

Iniziamo dalle rapine in banca. I cyber criminali sono costantemente all’attacco degli exchange, i siti che fungono da cassaforte comune in cui tenere le nostre monete virtuali. Negli ultimi anni gli attacchi riusciti, di cui si ha notizia, sono stati tantissimi.

Il più consistente finora è quello che ha colpito il “The DAO”, un sistema che permette di stipulare contratti di vendita di valute virtuali in maniera decentralizzata (senza un organismo centrale che ne certifichi e controlli l’operato). Quando il fu lanciato, raccolse 150 milioni di dollari in meno di una settimana. Quasi un mese dopo, però, qualcuno trovò una falla nelle procedure di sicurezza e ne approfittò per rubare 74 milioni di dollari, il 40% di quanto raccolto. Da allora, si assiste in Rete a un festival di assalti che riescono a portar via milioni di dollari per ogni colpo. Il sito Chainalysys stima che finora siano caduti nelle mani dei criminali circa il 10% delle criptovalute create.

Passiamo poi agli assalti alla diligenza, cioè un assalto da parte di banditi a un bersaglio occasionale. L’occasione è rappresentata dalle ICO, cioè le Initial Coin Offering, il momento in cui un exchange si presenta al pubblico e inizia a raccogliere denaro.

Come accaduto nel caso di CoinDash, i pirati si appostano sui canali di comunicazione che verranno usati dagli utenti per raggiungere il sito e dirottano i fondi su portafogli propri. Quando questo accade, la diligenza (i nostri soldi) parte dalla città di origine (il nostro portafogli) ma non arriva mai a quella di destinazione (l’exchange) perché in mezzo un pirata li dirotta verso lidi non rintracciabili e noi perdiamo tutti i soldi.

Gli attacchi che abbiamo visto finora sono sicuramente i più convenienti per i criminali, dal momento che fruttano grandi quantità di denaro con ogni singolo attacco, ma sono anche molto complessi da portare a termine. Per questo non mancano gli attacchi più “tradizionali” portati a segno contro i semplici utenti finali.

In questo caso, la parte del leone la gioca, ancora una volta, il phishing. I criminali inviano dei messaggi di email ben confezionati che possono indurre chi ha un portafogli online ad andare su finti siti web creati appositamente per assomigliare a quelli degli exchange e rubare le credenziali di accesso.
Chainalysis stima che ben 16,900 utenti siano caduti vittima di questo tipo di truffa, garantendo ai criminali ben 115 milioni di dollari di entrate nei passati due anni. Per la cronaca, mentre nel 2016 la media di dollari rubati per vittima si assestava a circa 6700, nel 2017 il valore è cresciuto fino a 8000.

E finiamo questa carrellata con le rapine in casa, ovvero quando i criminali arrivano fin sui nostri dispositivi. Zeus, un malware bancario molto usato dai criminali, ha incluso un paio di mesi fa un modulo speciale che va a caccia di credenziali per accedere a Coinbase, un exchange molto famoso, così come altri malware si preoccupano di scandagliare il nostro disco fisso alla ricerca di cryptovalute.
Sebbene meno diffuso degli altri metodi, Chainalysis stima circa 2100 vittime negli ultimi due anni per poco meno di 7,5 milioni di dollari di bottino, anche questo è un altro valido motivo per tenere un antivirus attivo su tutti i nostri dispositivi.

Ma quindi cosa dobbiamo aspettarci a livello di sicurezza se compriamo della cryptovaluta? “Bisogna stare molto attenti” – ci dice David Grout di FireEye – “quando si commercial in criptovalute. Chi ne gestisce gli exchange, anche se sta migliorando velocemente, non sembra ancora avere tutte le competenze tecniche necessarie per tenere gli utenti ragionevolmente al sicuro. Il problema maggiore, è che non esiste una legislazione dedicata alla protezione degli utenti in caso di furti.”

In effetti, la pratica più comune adottata dagli exchange quando subiscono un furto di monete virtuali è quella di distribuire il danno su tutti gli utenti, mitigandone gli effetti per la piattaforma, ma creando un ammanco anche a chi non ne era stato coinvolto direttamente. Se invece il furto avviene all’utente stesso, tramite phishing o malware, allora non c’è alcuna tutela e tutto il danno resta a carico dell’utente. (fonte)