A mezzogiorno del 13 maggio, nei miei portafogli crittografici MetaMask c'erano token per un valore di $ 45.000.

Un'ora dopo, era tutto sparito.

Seduto alla scrivania di casa mia a Lagos, in Nigeria, fissavo con sguardo assente lo schermo del mio computer, faticando a registrare l’impatto di ciò che era accaduto.

Su più schede aperte del browser sul mio computer, ho potuto vedere diverse transazioni crittografiche in uscita dal mio portafoglio verso indirizzi sconosciuti.

Ero confuso.

Ho guardato i timestamp visualizzati su molte transazioni e sapevo che non avrei potuto avviarle.

Questo perché ero impegnato a lavorare su un altro computer per tre ore.

Il mio shock lasciò presto il posto allo sgomento quando mi resi conto che in qualche modo ero stato hackerato. Ma come?

Dolore e senso di colpa

Sono un reporter di criptovaluta da sette anni e in questo periodo ho coperto molti casi di proprietari di token che hanno perso i loro fondi a causa degli hacker.

Ora, a me era appena successa la stessa cosa.

Provavo fitte di dolore e senso di colpa ricordando che la maggior parte dei fondi non apparteneva a me ma alla mia famiglia.

Hanno iniziato ad accumulare questi token crittografici - Ether, la stablecoin USDT di Tether, e Jasmy, un altcoin - nel 2020, dopo che i blocchi del Covid-19 hanno scatenato la volatilità economica.

In qualità di esperto residente in famiglia, spettava a me prendermi cura dei loro beni, tenerli al sicuro. Ero il loro custode delle criptovalute e il mio record era immacolato.

Finora.

Per quanto doloroso sia stato il furto, non è stato niente in confronto all'angoscia che ho provato mentre informavo la mia famiglia di quello che era successo.

Il dolore che ho visto inciso sui loro volti mi ha ricordato la scomparsa del mio defunto padre nel 2017. La mia vicenda getta la trasparenza delle blockchain pubbliche sotto una luce diversa.

In pochi passaggi al computer, posso vedere le mie criptovalute rubate nel portafoglio di qualcun altro, eppure non riesco a recuperare i miei beni. È un macabro ricordo del mio calvario.

La realtà è che un destino simile è toccato a molti utenti di criptovalute, dai professionisti ai principianti.

“È facile perdere le tue criptovalute se commetti un errore. Nel mio caso, tutto è iniziato con un gioco.’

L'anno scorso il miliardario Mark Cuban ha perso 870.000 dollari a causa di un hacker dopo aver affermato di aver scaricato un portafoglio MetaMask "con della merda dentro".

Secondo Chainalysis, la società forense blockchain, nel 2023 gli investitori in criptovalute hanno perso 1,7 miliardi di dollari a causa dei ladri.

È facile perdere le tue criptovalute se commetti un errore come scaricare software contaminato che espone i dettagli del tuo portafoglio.

A volte, puoi perdere i tuoi fondi se un hacker attento avvelena l'indirizzo del tuo portafoglio creando un portafoglio falso che corrisponde molto fedelmente a quello della vittima.

Nel mio caso tutto è iniziato con un gioco.

Registratore di tasti

Avevo promesso di aiutare un mio parente più giovane a scaricare un gioco chiamato "Dave The Driver".

Divenne impaziente e cercò di farlo da solo. Il problema era che utilizzava il computer con il portafoglio del browser che conteneva le risorse crittografiche della mia famiglia.

Ha scaricato una versione del gioco contenente malware e ha immediatamente infettato il mio laptop.

Probabilmente il malware ha installato un keylogger, un programma che registra le sequenze di tasti, e ha esposto i dettagli del mio portafoglio MetaMask, consentendo all'hacker di sottrarre la crittografia.

Molti portafogli online, incluso MetaMask, non utilizzano misure di sicurezza comprovate per prevenire i furti, come avvisi di frode e autenticazione a due fattori.

Se si trattasse di un conto presso la mia banca, avrei ricevuto un avviso di frode non appena fosse stata avviata la prima transazione.

La banca avrebbe sospeso la transazione e mi avrebbe concesso tempo sufficiente per confermare se avevo effettivamente avviato il trasferimento di fondi.

Praticamente non esistono funzionalità preventive di questo tipo per i portafogli crittografici.

Fondi puntati al sicuro

In effetti, l'unico avvertimento che ho ricevuto da un exchange centralizzato in cui detenevo alcuni token. Apparentemente l'hacker stava tentando di accedere alle mie risorse e l'exchange gli ha chiesto un codice di autenticazione a due fattori.

Quel tentativo non ha avuto successo e sono riuscito a trattenere quei beni, ma era una piccola somma. Tuttavia, qui si verificava una situazione in cui l’autenticazione a due fattori, o 2FA, funzionava bene.

L'hacker ha anche provato a rubare fondi da altri portafogli che ho utilizzato che avevano messo in staking criptovalute, ma non hanno avuto successo.

"A meno che l'hacker non se ne dimentichi, sarei in gara con il ladro per mettere al sicuro i beni investiti in un nuovo portafoglio."

Questo perché blockchain come Cosmos in genere richiedono agli utenti di attendere dai 14 ai 21 giorni per ritirare gli asset in staking dopo che sono stati sbloccati.

L'hacker ha avviato il processo di unstaking, ma non è riuscito a trasferire i token sul proprio portafoglio. Da allora ho riorganizzato quei token crittografici, ma questo difficilmente risolve il problema.

(Lo staking è un processo che consente ai tuoi token di essere utilizzati per convalidare le transazioni su una rete blockchain.)

A meno che l’hacker non si dimentichi dei miei beni, sarò in una gara con il ladro per proteggere quei beni picchettati in un nuovo portafoglio quando saranno disponibili per il ritiro, ma questo è un problema per un altro giorno.

Per quanto riguarda le conseguenze immediate, sono grato che la mia famiglia non abbia incolpato me o il mio giovane parente per aver esposto i loro beni.

Riflettendo sulle storie che avevo scritto su casi simili, mi sono reso conto di non aver pensato molto alle famiglie delle persone che avevano perso fondi criptati a causa degli hacker.

Il mio obiettivo era spiegare come sono avvenuti gli attacchi hacker, dove sono finiti i fondi e i possibili sforzi di recupero.

Posso vedere le risorse

Ciò che è stato particolarmente frustrante è stato il fatto che posso ancora vedere i miei beni rubati tre settimane dopo il crimine.

La maggior parte delle criptovalute rubate si trova nei due indirizzi appartenenti all'hacker. Possono essere visti qui e qui.

In ogni caso, ho contattato una società di sicurezza blockchain per cercare di impedire all'hacker di scambiare la criptovaluta rubata con contanti tramite uno scambio centralizzato.

Mi hanno detto che provare a bloccare gli indirizzi del portafoglio dell’hacker gli sarebbe costato 2.000 dollari.

Il recupero delle criptovalute rubate è solitamente un processo lungo che coinvolge l'azione delle forze dell'ordine e la cooperazione degli scambi di criptovalute.

I miei familiari hanno deciso che era meglio assorbire la perdita.

Non erano entusiasti della prospettiva di spendere più soldi per inseguire l’hacker quando le possibilità di recupero erano scarse o nulle.

Sono necessarie migliori tutele

Ho avuto il tempo di riflettere su quello che è successo e ci sono lezioni da imparare dalla mia esperienza.

Innanzitutto, tieni i computer che contengono preziosi portafogli crittografici lontano dalla portata dei bambini!

Passando a una nota più seria, i portafogli crittografici necessitano di migliori garanzie.

Se l’obiettivo è l’adozione su larga scala delle criptovalute, allora l’archiviazione sicura di queste risorse digitali deve diventare più semplice, soprattutto per coloro che preferiscono l’autocustodia.

L'autocustodia comporta l'aspettativa che l'utente sia responsabile della custodia dei propri beni al sicuro.

Ma gli utenti hanno bisogno di più aiuto, magari sotto forma di avvisi in tempo reale e autenticazione a due fattori.

Esistono soluzioni di contratto intelligente come il portafoglio multi-firma di Safe in cui è necessario più di un firmatario per completare una transazione.

Mentre i portafogli multi-sig aiutano a migliorare la sicurezza, i singoli firmatari devono proteggere le proprie chiavi – ancora una volta, con l’autocustodia, spetta all’utente garantire la sicurezza del portafoglio.

Multi-firma in soccorso?

Supponendo che avessi impostato un accordo multi-firma con i portafogli compromessi, l’hacker sarebbe stato comunque in grado di rubare i fondi. Avrebbero utilizzato ogni indirizzo compromesso per firmare le transazioni necessarie per spostare i fondi.

Quel processo sarebbe stato più lento, ma se la sarebbero cavata con i soldi della mia famiglia.

Tuttavia, è una cattiva pratica impostare un multi-sig controllato da un’unica entità.

Idealmente, ogni firmatario sarebbe stato un membro diverso della famiglia i cui portafogli fossero su dispositivi separati.

Ed è quello che abbiamo fatto.

Alcuni potrebbero sottolineare l’errore di conservare i fondi in un portafoglio online incline agli attacchi hacker. Oppure supponiamo che i token avrebbero dovuto essere sistemati in modo sicuro in un portafoglio offline, come il tipo offerto dai produttori di portafogli hardware.

Questo era il piano, anche se ero stato lento nel muovermi.

E ora mi hanno dato una lezione da 45.000 dollari per la mia letargia.

Osato Avan-Nomayo è il nostro corrispondente DeFi con sede in Nigeria. Si occupa di DeFi e tecnologia. Per condividere suggerimenti o informazioni sulle storie, contattalo all'indirizzo osato@dlnews.com.