Hoe Noord-Korea's TraderTraitor $1,4 miljard stal bij Bybit en SafeWallet

SafeWallet werkt samen met cybersecuritybedrijf Mandiant om een diepgaand forensisch onderzoek uit te voeren naar de aanval op 21 februari 2025, ook wel bekend als de Bybit hack. Dit onderzoek heeft inmiddels een belangrijke mijlpaal bereikt en brengt nieuwe inzichten naar voren over de geavanceerde methode die is gebruikt.

Uit de eerste bevindingen blijkt dat een door de staat gesteunde groep verantwoordelijk is voor de aanval. Hoewel er al honderden uren aan analyse zijn besteed, is er nog tijd nodig om alle details van de aanval volledig te reconstrueren.

SafeWallet is verkrijgbaar bij Bitvavo en Bybit.

Safe{Wallet} published a post that the hacker attack on Bybit worth more than $1.4 billion was launched by the North Korean-linked group TraderTraitor (UNC4899). The attackers bypassed multi-factor authentication by hacking into the developer's notebook and hijacking the AWS…

— Wu Blockchain (@WuBlockchain) · March 6, 2025

Aanval toegeschreven aan Noord-Korea

Volgens de FBI is de aanval uitgevoerd door TraderTraitor, een groep die in verband wordt gebracht met Noord-Korea. De hackers wisten toegang te krijgen tot de laptop van een ontwikkelaar bij SafeWallet en gebruikten gestolen AWS sessietokens om multi-factor authenticatie (MFA) te omzeilen. Hierdoor kregen ze schrijfrechten op de SafeWallet servers.

Het onderzoek is nog in volle gang om de volledige reikwijdte van de aanval te begrijpen. Ondertussen heeft het team van SafeWallet al verschillende beveiligingsmaatregelen doorgevoerd om herhaling te voorkomen. De slimme contracten van Safe blijven onaangetast door deze aanval.

https://t.co/IthUlY8y3d

— Safe.eth (@safe) · March 6, 2025

Verbeterde beveiligingsmaatregelen

SafeWallet heeft grootschalige aanpassingen doorgevoerd om de beveiliging te versterken:

• Volledige infrastructuur reset: Alle inloggegevens zijn opnieuw ingesteld, clusters zijn gereset en ontwikkelomgevingen opnieuw opgezet.
• Beperkte externe toegang: Tijdelijke blokkade van externe toegang tot transactiediensten om verdere risico’s te minimaliseren.
• Versterkte detectie van kwaadaardige transacties: Samenwerking met Blockaid om verdachte transacties sneller te detecteren.
• Uitgebreide monitoring: Verbeterde logging en real-time dreigingsdetectie.
• Reset van openstaande transacties: Alle in afwachting zijnde transacties zijn gewist om mogelijke menselijke fouten te voorkomen.
• Tijdelijke uitschakeling van hardware wallet ondersteuning: Vanwege beveiligingsrisico’s en externe afhankelijkheden.
• UI verbeteringen: Nieuwe verificatietool “Safe Utils” helpt gebruikers om transacties onafhankelijk te controleren.

SafeWallet werkt nauw samen met Mandiant om verder te investeren in de beveiliging. De exacte technische details blijven grotendeels geheim om het risico op toekomstige aanvallen te verkleinen.

Oproep aan de community

Deze aanval onderstreept de noodzaak van sterkere beveiligingsmaatregelen in de Web3 sector. Verifiëren wat een transactie daadwerkelijk uitvoert, blijft een grote uitdaging en vereist een collectieve inspanning. SafeWallet moedigt de community aan om waakzaam te blijven en heeft een uitgebreide gids gepubliceerd over hoe gebruikers transacties veilig kunnen verifiëren voordat ze deze ondertekenen.