Come perdere 200 milioni di dollari in criptovalute

Nota: nella
versione podcast di questo articolo, lo spezzone audio introduttivo è tratto da
Breaking bad.

Il mondo delle criptovalute attira molta attenzione con le
sue apparenti promesse di guadagni facili, ma anche le perdite sono almeno
altrettanto facili. Non c’è solo il problema del controvalore, che varia con
andamenti da montagne russe; c’è anche quello dell’affidabilità degli
intermediari. Non perché siano disonesti, ma semplicemente perché il loro lavoro
si basa interamente sul software e basta un piccolo errore in quel software per
causare disastri costosissimi, senza che i clienti abbiano diritto a
risarcimenti garantiti dalla legge.

La società di sicurezza informatica Sophos
racconta
il caso recentissimo di Nomad, un
servizio di cosiddetto bridging, ossia di scambio fra criptovalute. Se
per esempio avete dei bitcoin e li volete convertire in Ethereum o viceversa,
potete usare un servizio di bridging.

Nomad in questo momento è completamente bloccato e si stima che abbia perso
circa 200 milioni di dollari, o meglio l’equivalente di questo valore in
criptovalute. E ha perso questi soldi in una maniera decisamente imbarazzante,
nota nel settore come replay attack.

Immaginate di andare da un cambiavalute con cento euro e chiedere di
convertirli in, che so, rupie indonesiane. L’addetto ritira i vostri cento
euro, ma non ha subito a disposizione la valuta che avete chiesto e quindi vi
rilascia uno scontrino numerato. Quando le rupie arrivano, voi presentate lo
scontrino e l’addetto vi consegna le rupie, ritirando lo scontrino.

Ora immaginate di presentare all’addetto una fotocopia dello scontrino
chiedendo di nuovo le rupie e che l’addetto, particolarmente smemorato, non si
ricordi di voi e di avervele già date e non controlli il numero dello
scontrino per vedere se è già stato usato. L’addetto vi dà di nuovo le rupie
senza che gli abbiate dato dei soldi equivalenti. E se gli presentate un’altra
fotocopia del medesimo scontrino, vi dà altri soldi, e così via all’infinito.
O perlomeno finché il cambiavalute esaurisce tutto il denaro che ha in cassa.

Questo è, grosso modo, quello che è successo a Nomad: un aggiornamento del suo
software aveva inavvertitamente disattivato la verifica delle transazioni
completate, per cui era sufficiente presentarsi al sito con i dati di una
transazione già avvenuta e ripeterla per prelevare criptovalute
senza averne versate. Non solo: era anche possibile modificare le
coordinate del beneficiario mettendoci le proprie.

Non servivano conoscenze sofisticate: era sufficiente trovare una transazione
completata correttamente, copiarla, e incollarla cambiando il beneficiario.

La semplicità del raggiro ha scatenato una frenesia di transazioni fasulle che
in breve tempo ha prosciugato appunto circa 200 milioni di dollari dalle casse
virtuali di Nomad. 200 milioni di dollari che erano stati versati da utenti
che si erano fidati del servizio e che adesso hanno pochissime speranze di
riavere i propri risparmi.

Nomad ha
annunciato
di aver comunicato l’accaduto alle forze dell’ordine e di aver incaricato
degli esperti per identificare gli utenti che hanno approfittato dell’errore
nel software e per recuperare il maltolto. Ha anche messo a disposizione un
wallet, ossia un conto, sul quale possono essere restituiti i soldi che
sono stati ottenuti indebitamente o, come dice nel suo annuncio, sono stati
presi per “custodirli al sicuro”.

Nomad Bridge Funds Recovery Process

Dear white hat hackers and
ethical researcher friends who have been safeguarding ETH/ERC-20 tokens,

Please
send the funds to the following wallet address on Ethereum:
0x94A84433101A10aEda762968f6995c574D1bF154
pic.twitter.com/UF623JSZ8u

— Nomad (⤭⛓🏛) (@nomadxyz_)
August 3, 2022

Ma incidenti spettacolari come questo sottolineano il fatto, spesso
trascurato, che moltissimi servizi legati alle criptovalute operano senza
nessuna delle garanzie e tutele legali degli istituti finanziari convenzionali
e quindi se uno di questi servizi viene depredato da criminali informatici che
sfruttano una falla le speranze di riavere il maltolto sono minime. Prima di
affidare i vostri soldi a uno di questi servizi, conviene assolutamente
verificare quali sono le garanzie offerte dalla legge nel paese in cui
operano.

Ma non è finita: Sophos, infatti, mette in guardia contro gli sciacalli delle
criptovalute, ossia truffatori che fingono di essere vittime di uno di questi
incidenti e raccontano la loro disavventura nei commenti ad articoli dedicati
alle valute digitali. Dicono di aver recuperato tutto grazie ai servizi di una
certa persona o azienda, ma in realtà si tratta di pubblicità ingannevoli per
servizi fraudolenti che fingono di offrire il recupero di criptovalute.
Soprattutto se vi chiedono altri soldi per recuperare quelli che avete perso
online, ignorateli: rischiate di perdere altro denaro.