Banditi della blockchain rubano oltre 50 milioni di dollari indovinando le password troppo facili

È un caso classico: c’è sempre l’utente che usa una password assurdamente semplice pensando “nessuno immaginerà mai che ho una password così semplice”. E c’è sempre quello che invece lo immagina e lo frega.

Wired racconta una versione estrema di questo comportamento: gente che ha protetto il proprio wallet di criptovalute usando come “password” (più propriamente, come chiave privata) il numero 1. E che puntualmente si è fatta derubare, per un totale di oltre 50 milioni di dollari.

La blockchain delle criptovalute è pubblica e quindi si presta ad analisi come quella svolta dal ricercatore di sicurezza Adrian Bednarek alcuni mesi fa. Bednarek ha cercato wallet che avevano chiavi private assolutamente banali, come appunto “1” al posto della sequenza di 78 cifre che di solito protegge i wallet Ethereum, e con sua sorpresa ne ha trovati oltre 700. Tutti vuotati.

Estendendo la propria analisi alle transazioni (che sono anch’esse pubbliche), ha scoperto non solo che parecchi utenti avevano protetto (per così dire) i propri soldi virtuali con chiavi private assolutamente banali, ma che esistono dei veri e propri “banditi della blockchain”, ossia ladri specializzati nell’approfittare delle chiavi private troppo facili scelte dagli utenti.

C’è, per esempio, un account Ethereum che con questa tecnica ha raccattato 45.000 ether, per un valore di circa 50 milioni di dollari all’epoca del furto (oggi varrebbero “solo” circa 7 milioni di dollari).

Bednarek ha scoperto che questi ladri usano un sistema automatico: ha infatti provato a versare l’equivalente di un dollaro in vari wallet protetti da chiavi private debolissime e già saccheggiati in passato, e ha visto che in pochi secondi il denaro è stato rubato. A volte il ricercatore ha visto che più di un ladro si è avventato sul wallet-esca: ha vinto quello che è arrivato qualche millisecondo prima degli altri.

Va detto che in alcuni casi la colpa non è degli utenti ma del software di gestione dei wallet, che a volte contiene errori di programmazione che gli fanno generare chiavi private insicure. Ma spesso è l’utente a voler usare delle chiavi facili da ricordare, per esempio tre o quattro parole in sequenza.

Normalmente una sequenza del genere è una protezione sufficiente, per esempio per un account social o di mail, ma se un wallet contiene tanti soldi i ladri investiranno molto tempo e molta potenza di calcolo per scardinarlo. Per le criptovalute conviene quindi usare chiavi private davvero complesse e software affidabile. Utente avvisato, meno depredato.