Come perdere 200 milioni di dollari in criptovalute

Nota: nella versione podcast di questo articolo, lo spezzone audio introduttivo è tratto da Breaking bad.

Il mondo delle criptovalute attira molta attenzione con le sue apparenti promesse di guadagni facili, ma anche le perdite sono almeno altrettanto facili. Non c’è solo il problema del controvalore, che varia con andamenti da montagne russe; c’è anche quello dell’affidabilità degli intermediari. Non perché siano disonesti, ma semplicemente perché il loro lavoro si basa interamente sul software e basta un piccolo errore in quel software per causare disastri costosissimi, senza che i clienti abbiano diritto a risarcimenti garantiti dalla legge.

La società di sicurezza informatica Sophos racconta il caso recentissimo di Nomad, un servizio di cosiddetto bridging, ossia di scambio fra criptovalute. Se per esempio avete dei bitcoin e li volete convertire in Ethereum o viceversa, potete usare un servizio di bridging.

Nomad in questo momento è completamente bloccato e si stima che abbia perso circa 200 milioni di dollari, o meglio l’equivalente di questo valore in criptovalute. E ha perso questi soldi in una maniera decisamente imbarazzante, nota nel settore come replay attack.

Immaginate di andare da un cambiavalute con cento euro e chiedere di convertirli in, che so, rupie indonesiane. L’addetto ritira i vostri cento euro, ma non ha subito a disposizione la valuta che avete chiesto e quindi vi rilascia uno scontrino numerato. Quando le rupie arrivano, voi presentate lo scontrino e l’addetto vi consegna le rupie, ritirando lo scontrino.

Ora immaginate di presentare all’addetto una fotocopia dello scontrino chiedendo di nuovo le rupie e che l’addetto, particolarmente smemorato, non si ricordi di voi e di avervele già date e non controlli il numero dello scontrino per vedere se è già stato usato. L’addetto vi dà di nuovo le rupie senza che gli abbiate dato dei soldi equivalenti. E se gli presentate un’altra fotocopia del medesimo scontrino, vi dà altri soldi, e così via all’infinito. O perlomeno finché il cambiavalute esaurisce tutto il denaro che ha in cassa.

Questo è, grosso modo, quello che è successo a Nomad: un aggiornamento del suo software aveva inavvertitamente disattivato la verifica delle transazioni completate, per cui era sufficiente presentarsi al sito con i dati di una transazione già avvenuta e ripeterla per prelevare criptovalute senza averne versate. Non solo: era anche possibile modificare le coordinate del beneficiario mettendoci le proprie.

Non servivano conoscenze sofisticate: era sufficiente trovare una transazione completata correttamente, copiarla, e incollarla cambiando il beneficiario.

La semplicità del raggiro ha scatenato una frenesia di transazioni fasulle che in breve tempo ha prosciugato appunto circa 200 milioni di dollari dalle casse virtuali di Nomad. 200 milioni di dollari che erano stati versati da utenti che si erano fidati del servizio e che adesso hanno pochissime speranze di riavere i propri risparmi.

Nomad ha annunciato di aver comunicato l’accaduto alle forze dell’ordine e di aver incaricato degli esperti per identificare gli utenti che hanno approfittato dell’errore nel software e per recuperare il maltolto. Ha anche messo a disposizione un wallet, ossia un conto, sul quale possono essere restituiti i soldi che sono stati ottenuti indebitamente o, come dice nel suo annuncio, sono stati presi per “custodirli al sicuro”.

Nomad Bridge Funds Recovery Process

Dear white hat hackers and ethical researcher friends who have been safeguarding ETH/ERC-20 tokens,

Please send the funds to the following wallet address on Ethereum: 0x94A84433101A10aEda762968f6995c574D1bF154 pic.twitter.com/UF623JSZ8u

— Nomad (⤭⛓🏛) (@nomadxyz_) August 3, 2022

Ma incidenti spettacolari come questo sottolineano il fatto, spesso trascurato, che moltissimi servizi legati alle criptovalute operano senza nessuna delle garanzie e tutele legali degli istituti finanziari convenzionali e quindi se uno di questi servizi viene depredato da criminali informatici che sfruttano una falla le speranze di riavere il maltolto sono minime. Prima di affidare i vostri soldi a uno di questi servizi, conviene assolutamente verificare quali sono le garanzie offerte dalla legge nel paese in cui operano.

Ma non è finita: Sophos, infatti, mette in guardia contro gli sciacalli delle criptovalute, ossia truffatori che fingono di essere vittime di uno di questi incidenti e raccontano la loro disavventura nei commenti ad articoli dedicati alle valute digitali. Dicono di aver recuperato tutto grazie ai servizi di una certa persona o azienda, ma in realtà si tratta di pubblicità ingannevoli per servizi fraudolenti che fingono di offrire il recupero di criptovalute. Soprattutto se vi chiedono altri soldi per recuperare quelli che avete perso online, ignorateli: rischiate di perdere altro denaro.