L'FBI recupera il pagamento Bitcoin coloniale

Nel maggio del 2021, il più grande oleodotto degli Stati Uniti, il Colonial Pipeline, ha interrotto le operazioni a causa di un attacco ransomware . All'epoca, il Colonial Pipeline trasportava il 45% del carburante utilizzato sulla costa orientale degli Stati Uniti, estendendosi dal Texas alla Bay Area di New York. L'attacco è stato condotto da un gruppo di hacker con sede in Russia noto come "Darkside" . Il gruppo ha esportato oltre 100 GB di dati dal Colonial Pipeline in sole due ore. Successivamente, Darkside ha richiesto un riscatto in bitcoin per restituire i dati del Colonial Pipeline non crittografati e non resi pubblici su Internet.

Hanno pagato?

Gli esperti di sicurezza informatica di tutto il mondo esortano le vittime di ransomware a non pagare il riscatto. Il Dipartimento del Tesoro degli Stati Uniti ha vietato i pagamenti di riscatto nel 2020. Tuttavia, Colonial Pipeline ha deciso di pagare 4.4 milioni di dollari in bitcoin. Settimane dopo, l'FBI sarebbe riuscita a recuperare 63.7 dei 75 bitcoin pagati a Darkside, sconvolgendo la comunità della sicurezza informatica. I bitcoin e i relativi pagamenti dovrebbero essere irrintracciabili.

Come ha fatto l'FBI a recuperare i Bitcoin?

Secondo un rapporto del Dipartimento di Giustizia , l'FBI è riuscita a impossessarsi della chiave privata del/dei portafoglio/i Bitcoin in cui è stato versato il riscatto pagato da Colonial, ottenendo così accesso ai rispettivi conti di trading di criptovalute. L'FBI ha quindi semplicemente trasferito i fondi presenti nei conti a se stessa, indipendentemente dal fatto che sapesse o meno chi fossero i proprietari di quei portafogli. Spesso gli hacker utilizzano più di un conto/portafoglio quando accettano pagamenti in Bitcoin, in modo da aumentare il proprio anonimato.

Come è successo

Il destinatario della transazione criminale ha commesso un errore e ha esposto le chiavi private del suo portafoglio Bitcoin all'FBI. Le chiavi private Bitcoin di solito non solo vengono mantenute private, ma anche conservate in forma crittografata, dove è necessaria l'autenticazione a due fattori per sbloccare la chiave privata prima di poter iniziare a sbloccare i fondi protetti da quella chiave privata nel portafoglio Bitcoin. 

Ecco i modi più probabili in cui l'FBI potrebbe aver recuperato le chiavi del portafoglio privato Bitcoin:

• Installa uno strumento spyware sul tuo computer per cercare file e registrare i tasti premuti. Con un po' di fortuna, uno spyware impiantato potrebbe non solo essere in grado di esfiltrare la tua chiave privata, ma anche di scoprire la password necessaria per sbloccarla. I portafogli di criptovalute offline e le chiavi private di questo tipo sono noti nel settore come "portafogli "freddi" (cold wallet)" perché non sono pensati per essere accessibili online.
• Collabora con uno scambio di criptovalute per accedere ai dati ivi archiviati. Alcuni appassionati di criptovalute conservano almeno una parte dei loro fondi in quello che è noto come "portafogli "caldi" (hot wallet)”, il che significa che si affidano a una terza parte che gestisce un sito di scambio di criptovalute, fornendo loro la propria chiave privata, in modo da poter acquistare e vendere rapidamente criptovalute online. Gli exchange legittimi possono collaborare con le forze dell'ordine se richiesto da un mandato, e se l'exchange ha il tuo portafoglio e la tua chiave privata, può consegnarli. (Inoltre, l'exchange potrebbe essere hackerato o, se l'exchange stesso è corrotto, scappare con la tua criptovaluta.)
• Vinci il jackpot sovvertendo un insider. Una o più persone all'interno del gruppo del ransomware DarkSide avrebbero avuto accesso ai fondi illeciti, quindi l'FBI avrebbe potuto acquisire le informazioni di cui aveva bisogno. Anche gli aggressori interni possono essere informatori dell'FBI! Allo stesso modo, se rivelassi ad altre persone le password delle tue criptovalute, potrebbero tradirti o semplicemente rubarti i fondi, proprio come potrebbero effettuare prelievi fantasma dal tuo conto bancario se comunicassi loro il PIN della tua carta bancomat.

Cosa fare?

È un sollievo che l'FBI abbia recuperato una grossa parte dei fondi in questo caso, anche se ci sono alcune cose che dovresti fare alla luce di questo evento:

• Non mettere tutte le tue criptovalute in portafogli "caldi" (hot wallet). Quando affidi i tuoi risparmi o il pagamento del tuo stipendio a una banca, lo fai con anni di controlli e protezioni normative a tua disposizione. Nel mondo non regolamentato delle criptovalute, sei in gran parte solo se qualcosa va storto. Non tenere più di quanto puoi permetterti di perdere in un portafoglio caldo.
• Non tenere sempre tutti i tuoi dati online. Ironicamente, forse, una difesa importante contro il ransomware è innanzitutto mantenere un backup offline, idealmente anche esterno. Mantenere offline le proprie criptovalute, così come qualsiasi dato veramente privato o critico, è una precauzione altrettanto utile.
• Non aspettarti di riuscire a mantenere un segreto come la password di un Bitcoin o il PIN di un bancomat se lo riveli ad altre persone. Come si dice abbia detto Benjamin Franklin: "Tre persone possono mantenere un segreto, anche se due di loro sono morte". Ricorda: In caso di dubbio, non darlo fuori.
• Non aspettarti di riavere indietro i tuoi soldi come è successo a Colonial. Bisogna considerare il recupero di criptovalute come una rara eccezione, non come una regola comune. Come spiegato in precedenza, in genere sono necessari un caso di alto profilo, una solida intelligence operativa e un pizzico di fortuna per ottenere un risultato come questo.

Oltre a queste azioni specifiche per le criptovalute, la tua azienda deve adottare misure proattive per ridurre innanzitutto le probabilità di essere colpita da ransomware. CyberHoot raccomanda le seguenti best practice per evitare, prepararsi e prevenire i danni derivanti da questi attacchi:

• Adottare autenticazione a due fattori su tutti i servizi critici accessibili tramite Internet
• Adotta un gestore di password per una migliore igiene delle password personali/di lavoro
• Richiedi password di 14+ caratteri nel tuo Politiche di governance
• Segui a Metodo di backup 3-2-1 per tutti i dati critici e sensibili
• Formare i dipendenti per individuare ed evitare email basate phishing attacchi
• Controllare che i dipendenti può individuare ed evitare le email di phishing testandole
• Documentare e testare Piani di Business Continuity Disaster Recovery (BCDR)
• Eseguire un valutazione del rischio ogni due o tre anni

Inizia a costruire il tuo solido piano di sicurezza informatica multilivello con CyberHoot.

Per saperne di più sul Ransomware, guarda il nostro ultimo video formativo:

Fonte: 

NakedSecurity – Sophos

Letture aggiuntive: 

L'attacco ransomware JBS dimostra l'importanza dei backup

L'oleodotto coloniale è stato hackerato

L'attacco informatico al gasdotto spinge il Texas a richiedere una formazione sulla consapevolezza