L’ora più buia di WazirX: uno sguardo dettagliato all’hack da $230M e le sue conseguenze

Gli utenti indiani di criptovalute stanno attraversando un periodo difficile poiché l’exchange centralizzato (CEX) WazirX fatica a trovare un piano di recupero per i suoi clienti.

WazirX è uno dei principali exchange di criptovalute in India, con una base utenti di oltre 16 milioni. Il 18 luglio, è stato hackerato per $230 milioni. 

La violazione della sicurezza ha colpito uno dei wallet multi-firma di WazirX. può essere eseguita Nel caso di WazirX, il wallet aveva cinque firmatari per proteggere gli asset degli utenti. 

L’attaccante ha sottratto $100 milioni in Shiba Inu (SHIB), $52 milioni in Ether, $11 milioni in MATIC e $6 milioni in PEPE. Secondo il rapporto di giugno 2024, questi fondi rappresentavano più del 45 % delle riserve totali dell’exchange, pari a $500 milioni. 

Secondo il tracker blockchain Lookonchain, l’aggressore ha convertito la maggior parte dei fondi rubati in Ethereum (ETH). Gli hacker generalmente usano servizi di mixing come Tornado Cash per convertire i token perché possono oscurare l’attività transazionale. 

L’aggressore ora detiene più di 59.097 ETH, per un valore di circa $200 milioni, in vari token. Ha venduto i token rubati utilizzando il popolare DEX Uniswap.

Come risultato dell’attacco, i token quotati sull’exchange sono stati scambiati a sconti marcati rispetto ai prezzi locali e globali a causa della mancanza di liquidità. L’exchange ha quindi interrotto tutti i trading e i prelievi di crypto e fiat sulla piattaforma. Sono quasi due settimane dall’hack di WazirX e le attività rimangono sospese.

Con tutto congelato sull’exchange, BTC/USDT scambia a 64.052 su WazirX rispetto a 66.687 su CoinDCX. Nel frattempo, USDT/INR scambia a 88.64 su CoinDCX mentre è 68.40 su WazirX. Il token nativo dell’exchange, WZX, nel frattempo, è sceso del 36.24 % da quando l’exchange è stato attaccato.

Per quanto riguarda quanto accaduto, l’exchange ha attribuito la responsabilità a una “discrepanza” tra le informazioni visualizzate sull’interfaccia digitale di Liminal Custody e il contenuto reale della transazione firmata. L’exchange ha dichiarato in un post:

“Riteniamo che il payload sia stato sostituito per trasferire il controllo del wallet a un aggressore.”

Nel frattempo, Liminal Custody ha incolpato WazirX per l’attacco, affermando che la sua infrastruttura non è stata violata.

“Sfortunatamente tre delle macchine delle vittime sono state trovate a iniettare payload dannosi nella transazione, indicando un attacco sofisticato, ben pianificato e mirato su un singolo wallet Multi-Sig di Gnosis Smart Contract.”

– Liminal su X

Tuttavia, non tutti sono soddisfatti delle spiegazioni e del gioco delle colpe. Secondo Pankaj Tanwar, un popolare YouTuber crypto su X:

“Questo errore danneggerà #Crypto in India oltre ogni immaginazione.”

WazirX criticata per la sua “Strategia di perdita socializzata”

Considerata la proporzione dei fondi rubati rispetto alle riserve totali, c’è poca aspettativa di recuperare qualcosa, il che, combinato con il fatto che l’aggressore è stato collegato alla Corea del Nord, ha drasticamente ridotto ogni speranza di recupero. 

Mentre l’exchange ha messo a disposizione una ricompensa di $23 milioni per una soluzione che ha ricevuto oltre 130 proposte, ha iniziato a esplorare la distribuzione dei fondi intatti. 

Per questo, WazirX sta valutando di restituire il 55 % delle criptovalute detenute, bloccando il resto in token equivalenti a USDT, indipendentemente dal fatto che i token degli utenti siano stati rubati o meno. Questo significa che anche gli utenti che non hanno subito perdite nell’hack avrebbero accesso solo al 55 % dei loro asset, mentre il resto verrebbe convertito in stablecoin e bloccato.

L’exchange ora affronta ulteriori scrutinio e pressioni non solo da parte dei suoi clienti ma anche dell’intera industria a causa di questo “Programma di gestione dei prelievi: sondaggio di opinione”.

Il sondaggio è stato condotto il 27 luglio, durante il quale l exchange ha introdotto una “strategia di perdita socializzata per distribuire l’impatto equamente tra tutti gli utenti.” Questa strategia consente agli utenti un accesso istantaneo alla maggior parte dei loro asset mentre “mantiene la possibilità di un ulteriore recupero per coloro che scelgono di attendere.“

Nel contesto di questo sondaggio, ai clienti è stato chiesto di votare su due opzioni diverse. In una opzione, gli utenti ottengono l’accesso alla maggior parte dei loro fondi per il trading, ma possono anche prelevarli. Tuttavia, hanno priorità secondaria rispetto a eventuali fondi recuperati. Al contrario, l’altra opzione non consente prelievi, ma gli ottengono priorità primaria per i proventi del recupero.

Questa proposta ha portato WazirX a ricevere critiche dai suoi utenti, con uno che ha detto: “perdita socializzata, profitti privatizzati.” Un altro ha chiesto perché gli utenti con token non rubati dovessero essere penalizzati.

Gli exchange crypto concorrenti hanno anche espresso le loro opinioni sul recente passo di WazirX, con il co-fondatore di CoinDCX, Sumit Gupta, che ha affermato che questa decisione “non è incentrata sulla community”. Il modo in cui WazirX sta gestendo la situazione “non andrà bene per loro,” ha detto Gupta, aggiungendo che è anche “danneggia gli altri partecipanti dell’ecosistema.”

Arjun Vijay, co-fondatore di Giottus, ha detto che il sondaggio di WazirX “non è nel migliore interesse dell’ecosistema” perché è “progettato per costringere i clienti” a scegliere l’opzione per ottenere priorità nei proventi del recupero.

Il co-fondatore di Unocoin, Dr. Sathvik Vishwanath, ha anche condiviso la sua delusione sul modo in cui la questione è gestita, affermando che sta “solo peggiorando la situazione” quando l’evento ha già messo l’industria crypto “in difficoltà”.

WazirX si è difeso, affermando che il sondaggio non era “legalmente vincolante” ma piuttosto un passo nell’impegno dell’exchange a capire cosa vogliono i clienti. L’exchange continuerà a raccogliere idee e feedback dagli utenti.

Parlando del motivo del suo piano di condividere le perdite, il vicepresidente di WazirX, Rajagopal Menon, ha condiviso che hanno studiato altri grandi exchange che hanno dovuto affrontare situazioni simili. I due grandi hack che sono stati esaminati sono stati Mt. Gox e Bitfinex. 

Una volta considerato che gestiva la maggior parte delle transazioni Bitcoin, Mt. Gox è stato hackerato nel 2014 in cui 850.000 BTC sono stati persi. In seguito, Mt. Gox è fallito, e solo dopo un decennio, a luglio 2024, gli utenti hanno iniziato a ricevere una piccola parte delle loro partecipazioni originali. 

Poi c’è stato Bitfinex, che ha perso 119.756 BTC in un hack del 2016. L’exchange ha gestito la situazione distribuendo la perdita a tutti gli utenti, riducendo i saldi del 36 % e fornendo ai suoi clienti token BFX che rappresentavano le loro perdite.

Altre opzioni e persino i fondi dell’ED bloccati su WazirX

Oltre alla “strategia di perdita socializzata”, l’exchange ha esplorato altre opzioni, incluso chiedere aiuto a Binance. WazirX si è rivolto al suo ex partner per aiutare a salvare i suoi clienti, secondo un rapporto del media locale Moneycontrol, che ha citato una fonte non identificata. 

Le fonti del settore hanno anche detto che Binance controlla un surplus dei ricavi dell’exchange così come circa $80 mln del suo token WRX. La fonte è stata riportata dicendo:

“Il loro contenzioso legale è ancora in corso. Ci sono componenti del business di WazirX che sono ancora sotto il controllo di Binance, inclusi i ricavi — il surplus di essi. Anche il suo token WRX è sotto il loro controllo. Quindi hanno contattato Binance e i colloqui sono in corso ma nelle fasi iniziali.“

Nel suo rapporto proof-of-reserves di gennaio 2023, WazirX ha dichiarato che il 90 % degli asset degli utenti è detenuto in wallet Binance. Alcuni mesi dopo, in un post sul blog, WazirX ha affermato che il suo token nativo è controllato da Binance, poiché quest’ultima ha condotto l’IEO di WRX durante la quale sono stati venduti 108.401 token BNB per un valore di $2 mln, i cui proventi “sono stati raccolti e trattenuti da Binance”.

Tutto ciò è avvenuto dopo che il co-fondatore di WazirX, Nischal Shetty, ha avuto una discussione pubblica su X con il CEO di Binance, Changpeng Zhao, su chi controlla WazirX. Curiosamente, nel novembre 2019, il più grande exchange al mondo, Binance, aveva dichiarato di aver acquistato WazirX, ma le cose sono cambiate quando, nell’estate del 2022, le autorità indiane hanno perquisito l’ufficio di WazirX a Mumbai sospettando che fosse coinvolto in riciclaggio di denaro.

In risposta, l’Enforcement Directorate (ED) dell’India ha congelato i fondi di WazirX, e il Ministero delle Finanze del paese ha annunciato un’indagine sull’exchange ai sensi del Foreign Exchange Management Act (FEMA).

Ora, i rapporti suggeriscono che anche l’ED possedeva quasi $1,1 milioni di asset crypto sequestrati su WazirX. Questi fondi che sono stati sequestrati in un caso di corruzione contro un’app di gioco chiamata E-Nuggets sono stati trasferiti nell’exchange pochi mesi prima dell’hack.

Il sito di notizie indiano The Print ha riportato che dopo l’indagine su E-Nuggets, l’ED ha chiesto a tutti gli exchange crypto locali, inclusi WazirX e CoinDCX, di aiutare a individuare gli account sorgente. Ciò ha portato alla scoperta del Virtual Payment Address (VPA) usato per acquistare crypto. Di conseguenza, l’ED ha congelato tutti i fondi in 70 account crypto mantenuti con ZebPay, WazirX e Binance con sede a Dubai.

Quindi, dopo aver preso possesso delle crypto, le autorità hanno aperto un account crypto per l’ED e hanno trasferito tutte le crypto con WazirX a causa del fatto che l’exchange è locale e ha la più alta base utenti e liquidità. Ma ora WazirX è stato hackerato e ha perso il 45 % dei suoi fondi. Sarebbe interessante vedere se le autorità si faranno avanti e offriranno finalmente qualche indicazione e aiuto al settore.

Non è che gli hack siano rari nello spazio crypto. L’anno scorso, gli aggressori hanno rubato $1,7 miliardi da piattaforme crypto, secondo un rapporto sul crimine crypto di Chainalysis rapporto. Sebbene l’importo rubato in tali attacchi sia più che dimezzato dal 2022, il numero di questi attacchi è cresciuto da 219 nel 2022 a 231 nel 2023.

Con l’aumento dei prezzi delle crypto quest’anno, gli hacker sono tornati in azione, con $1,48 miliardi rubati quest’anno da 24 giugno 2024, rispetto a $657 milioni lo stesso periodo dell’anno scorso, secondoTRM Labs. Tuttavia, i primi cinque exploit hanno rappresentato fino al 70 % dell’importo totale rubato. The report stated:

“Le compromissioni di chiavi private e frasi seed rimangono un vettore di attacco principale nel 2024 insieme a exploit di smart contract e attacchi flash loan.”

Quindi, mentre gli hack crypto continuano, il governo indiano non è riuscito a fornire linee guida chiare e stabilite affinché questi exchange non operino con opacità.

L’industria crypto instabile e non regolamentata dell’India 

Dopo il grave incidente, diversi exchange hanno collaborato con WazirX per aiutarlo a rintracciare i fondi rubati e recuperare gli asset dei clienti. Per analizzare più a fondo l’attacco informatico, l’azienda ha anche collaborato con esperti forensi e agenzie di applicazione della legge per identificare e catturare i responsabili.

L’exchange ha inoltre segnalato l’incidente all’Indian Computer Emergency Response Team (CERT-In), un’agenzia responsabile degli incidenti di sicurezza informatica. Nel passo successivo, è stato presentato un First Information Report (FIR), redatto dalla polizia per avviare un’indagine ufficiale. 

WazirX ha anche inviato il rapporto dell’incidente all’Financial Integrity Unit (FIU)-India, con cui è registrato e che dipende dal Ministero delle Finanze. Tuttavia, la violazione di sicurezza di WazirX non rientra nella competenza della FIU poiché la FIU monitora le transazioni ai sensi del Prevention of Money Laundering Act (PMLA) del paese. Secondo Joanna Cheng, Associate General Counsel di Fireblocks:

“Al momento non esiste una normativa specifica per le crypto in India, e l’industria trarrebbe beneficio da chiare aspettative regolamentari su temi come standard di sicurezza, gestione del rischio e protezione dei consumatori. L’intervento normativo in questo ambito significherebbe anche che gli exchange che servono un gran numero di clienti retail siano ritenuti responsabili delle loro azioni (o inazioni).“

L’industria delle criptovalute in India rimane non regolamentata. L’unico passo importante compiuto in questo periodo è stato una sentenza della Corte Suprema nel 2020 che ha annullato il divieto della Reserve Bank of India del 2018, consentendo alle banche di facilitare le transazioni crypto da parte di utenti ed exchange. 

Oltre a ciò, lo sviluppo normativo del paese per le crypto è rimasto immobile. Finora, non è stata approvata alcuna legislazione per regolamentare il settore, e le crypto rimangono principalmente al di fuori della competenza delle autorità. 

L’unico controllo normativo presente proviene dalla FIU del governo indiano, incaricata di supervisionare il trading di asset digitali virtuali. Secondo un rapporto di maggio di quest’anno, 47 entità regolamentate nel paese sono coinvolte nel trading o nella gestione di asset crypto in India. Questo è avvenuto dopo che il governo ha vietato alle piattaforme crypto offshore di operare in India a causa del mancato rispetto delle linee guida anti-riciclaggio (AML). 

Mentre non esiste protezione normativa per gli utenti crypto indiani, il governo ha imposto tasse fino al 30 % sui profitti derivanti dalla vendita di crypto, senza consentire la compensazione delle perdite. Inoltre, una tassa dell’1 % viene detratta alla fonte per ogni transazione. 

Queste politiche hanno influito negativamente sull’industria, con gli utenti crypto che lamentano la mancanza di supporto governativo che soffoca il settore mentre prende una grossa fetta dei loro profitti in tasse dal 2022.

L’industria crypto dell’India soffre da tempo di una mancanza di chiarezza normativa, il che ha portato a un aumento di attori malintenzionati. Mentre WazirX è stato vittima di un attacco informatico, gli utenti hanno anche lamentato exchange come BitBNS per truffare le persone.

L’entità registrata alla FIU-India, che si pubblicizza come conforme agli standard globali FATF per i VASP, ha subito anche un hack da $7,5 milioni nel 2022. Da allora, BitBNS ha agito in modo scorretto, consentendo agli utenti di depositare fondi ma non di prelevarli. Gli utenti ipotizzano che il suo CEO, Gaurav Dahake, abbia già lasciato il paese. All’inizio di quest’anno, in un intervista con The Economic Times, Dahake ha previsto che BTC supererà i $100K. Le vittime stanno attualmente esplorando una causa collettiva contro l’exchange.

Ma non è tutto. Gli exchange crypto in India, incluso CoinDCX, non consentono agli utenti di custodire autonomamente le crypto, il che è completamente contrario all’etica delle crypto. Gli exchange crypto indiani non permettono trasferimenti di crypto verso exchange o wallet esterni se gli utenti effettuano depositi fiat. Questo aggrava ulteriormente il problema perché gli utenti non possono custodire autonomamente anche se lo desiderano, il che significa che non possono proteggersi da eventi come l’hack di WazirX.

Le cose potrebbero finalmente cambiare, però, con il paese più popoloso al mondo presumibilmente che sta pianificando di pubblicare un documento di discussione che delinei la sua posizione politica sulle crypto prima di settembre. Tuttavia, il governo ha tentato di regolare le crypto molte volte, ma finora non sono stati presi passi concreti, a differenza delle linee guida chiare introdotte dai regolatori di tutto il mondo. Anche gli Stati Uniti hanno approvato il loro primo ETF spot Bitcoin, che ha attirato milioni di dollari in flussi totali.

Quindi, finché il governo indiano non deciderà di dare all’industria crypto l’attenzione e la chiarezza normativa di cui ha bisogno, gli utenti crypto locali e il settore continueranno a soffrire.

Clicca qui per un elenco dei cinque migliori exchange crypto.