La notizia in sintesi
- Una finta selezione crypto ha causato perdite per 11,8 milioni di dollari.
- Il malware ha sottratto un token e aggirato l’autenticazione multifattore.
- L’accesso a Bitbucket ha aperto la strada ai server e ai trasferimenti.
- Le autorità di Singapore chiedono controlli più severi su credenziali e repository.
(Riassunto generato con AI)
Falso colloquio crypto, perdita da 11,8 milioni
Una società tecnologica di Singapore ha subito perdite per 11,8 milioni di dollari dopo che un dipendente è stato coinvolto in una falsa offerta di lavoro collegata al settore crypto. Il caso, reso noto il 14 agosto dalla Singapore Police Force e dalla Cyber Security Agency of Singapore, è partito da un contatto su LinkedIn di un sedicente recruiter.
La vittima ha poi ricevuto email da un dominio contraffatto, molto simile a quello dell’azienda che il falso selezionatore sosteneva di rappresentare, e ha partecipato a vari colloqui via Google Meet, con interlocutore a videocamera disattivata. Il passaggio decisivo è stato un test tecnico su un sito falso, svolto con un dispositivo aziendale: l’attività ha scaricato malware senza che l’utente rilevasse la compromissione.
Secondo le autorità, l’episodio mostra perché i processi di recruiting siano diventati un vettore efficace di social engineering: sfruttano strumenti ordinari del lavoro digitale per ottenere fiducia e accesso iniziale.
Dall’account Bitbucket ai trasferimenti non autorizzati
Il software malevolo ha sottratto il token di sessione del dipendente. Gli aggressori lo hanno usato per aggirare l’autenticazione multifattore e accedere al profilo Bitbucket, collegato al repository di codice dell’azienda. Da lì avrebbero modificato le istruzioni automatizzate di deployment e raggiunto da remoto i server interni.
Le credenziali raccolte durante l’intrusione hanno quindi consentito di superare limiti sulle transazioni e controlli di approvazione per i trasferimenti in criptovalute. Non è stata indicata un’attribuzione a gruppi specifici, inclusa la Corea del Nord; le autorità si sono limitate a descrivere la catena tecnica dell’attacco.
Il precedente conferma una criticità strutturale: un account di sviluppo con privilegi sui repository può diventare il ponte tra un endpoint compromesso e sistemi produttivi o finanziari. Campagne precedenti hanno impiegato modalità analoghe: la minaccia TrapDoor puntava a token, chiavi SSH e credenziali cloud, mentre Elastic Security Labs ha documentato l’uso di plugin malevoli Obsidian contro professionisti crypto e finanziari.
Anche l’investigatore on-chain Taylor Monahan aveva segnalato falsi colloqui rivolti a professionisti Web3, nei quali le vittime venivano indotte a eseguire comandi per risolvere presunti problemi tecnici. Il punto comune non è una falla della blockchain, ma l’abuso dell’identità digitale e delle autorizzazioni aziendali.
La priorità è isolare l’accesso compromesso
Per aziende e dipendenti, la prima difesa indicata dalle autorità è verificare autonomamente recruiter, società, domini web e richieste ricevute durante una selezione. File, software, siti e codice non familiari non dovrebbero essere eseguiti su dispositivi aziendali prima di controlli indipendenti.
In caso di sospetta intrusione, la procedura raccomandata è immediata: isolare dispositivi e sistemi coinvolti, revocare le sessioni attive, reimpostare le credenziali e analizzare i log di accesso. Occorre inoltre verificare modifiche a repository, server, account e flussi di approvazione.
La conseguenza operativa è chiara: proteggere chiavi API, credenziali interne, pipeline di deployment e accessi ai repository deve essere parte dei controlli sulle transazioni crypto, non un’attività separata.
FAQ
Quanto hanno perso i sistemi colpiti?
Sì, le perdite derivanti dalle transazioni crypto non autorizzate sono state quantificate in 11,8 milioni di dollari statunitensi.
Come è iniziata la truffa?
Sì, tutto è iniziato con un falso recruiter su LinkedIn, seguito da email con dominio contraffatto e colloqui via Google Meet.
Come è stata aggirata l’autenticazione multifattore?
Sì, il malware ha sottratto un token di sessione, usato dagli aggressori per accedere all’account Bitbucket senza superare normalmente l’MFA.
Cosa devono fare le aziende dopo una compromissione?
Sì, devono isolare subito i sistemi interessati, revocare sessioni, reimpostare credenziali, controllare i log e verificare cambiamenti nei repository e nei flussi approvativi.
Su quali fonti si basa questa analisi?
Sì, il contenuto nasce da analisi approfondita e verifica incrociata della nostra Redazione su più fonti: The Cryptonomist e crypto.news.
