Wat gebeurde er precies?

Bybit beheert miljarden aan assets voor haar klanten via verschillende wallets, waaronder cold wallets (offline) en hot wallets (online). CEO Ben Zhou legde uit: “Zodra de hot wallet onder een bepaald niveau zakt, wordt deze opgetopped vanuit de cold wallet.”

Op die bewuste dag werd zo’n routine-transactie uitgevoerd. De CEO zelf was een van de goedkeurders binnen het SafeWallet-systeem (van safe.global), een multi-sig oplossing waarbij meerdere mensen een transactie moeten ondertekenen.

De perfecte misdaad in twee stappen

1. Slimme manipulatie buiten de blockchain

De aanval begon niet op de blockchain, maar in de webinterface. Via een besmette ontwikkelaarsmachine hadden aanvallers kwaadaardige JavaScript-code in de SafeWallet-applicatie geïnjecteerd die:

• Herkende wanneer een Bybit-medewerker actief was
• De transactie heimelijk aanpaste, zodat controle over de cold wallet werd overgedragen
• Het originele transactieoverzicht herstelde, waardoor alles normaal leek

De signers zagen precies wat ze verwachtten, terwijl onder de motorkap iets compleet anders gebeurde.

2. Technische aanval op de blockchain

Toen alle drie de signers hadden getekend, werd de transactie uitgevoerd. Maar in plaats van geld naar de hot wallet te sturen, werd de logica van het smart contract aangepast via een ‘delegatecall’. Hiermee namen de hackers controle over en konden ze alle fondsen wegsluizen. Meer over de inhoud van deze taken kun je hier vinden.

Lessen voor iedereen

Wat deze hack zo verontrustend maakt, is dat Bybit op papier uitstekende beveiliging had:

• Een multi-signature wallet
• Meerdere goedkeurders, inclusief de CEO
• Gebruik van hardware wallets voor offline opslag

Toch ging het mis doordat de signers blind vertrouwden op hun proces en op wat ze zagen in de webinterface. Zoals de CEO opmerkte: “De technische details van een Ethereum-transactie zijn moeilijk te controleren; de code is vaak lang, onduidelijk en technisch.”

Dit laat zien dat zelfs met de beste beveiligingsmaatregelen, menselijke factoren vaak de zwakste schakel vormen. Een les die voor iedereen in de crypto-industrie geldt: blijf waakzaam, want dit kan ook jou overkomen.