CrowdStrike e le autorità statunitensi smantellano la botnet russa utilizzata per rubare criptovalute.

Traders Union
Tutte le notizie
Criptovalute
Smantellamento della botnet russa

Tutte le notizie

Primo piano

Scelte della redazione

Azioni

Criptovalute

Economia

Valute

Materie prime

Imprese e patrimoni

Voci di mercato

Hlib Chabaniuk

02.09.2026

CrowdStrike e le autorità statunitensi smantellano la botnet russa utilizzata per rubare criptovalute. — Botnet russa che rubava criptovalute smantellata dopo 8 anni.

CrowdStrike, in collaborazione con le forze dell’ordine statunitensi, ha interrotto la botnet Sality, collegata alla Russia, utilizzata per rubare criptovalute negli ultimi otto anni. Il malware monitorava gli indirizzi dei wallet Bitcoin ed Ethereum copiati e li sostituiva silenziosamente con indirizzi controllati dagli aggressori.

Questo articolo è stato tradotto dall'originale. Leggi la versione originale del nostro corrispondente qui.

Secondo un comunicato stampa, Sality esiste dal 2003, ma i suoi operatori hanno successivamente aggiunto una componente progettata per intercettare i trasferimenti di criptovalute. CrowdStrike ha chiamato questa parte del malware EggJagger.

L’attacco ha sfruttato la pratica comune tra gli utenti crypto di copiare lunghi indirizzi di wallet invece di inserirli manualmente. Una volta infettato il computer, il malware monitorava costantemente gli appunti alla ricerca di stringhe simili ad indirizzi di wallet crypto.

Il malware rubava criptovalute tramite gli appunti

Quando un utente copiava un indirizzo per inviare Bitcoin o Ethereum, EggJagger lo sostituiva con un indirizzo controllato dall’attaccante. Se la vittima non verificava l’indirizzo dopo averlo incollato e confermava la transazione, la criptovaluta veniva inviata all’attaccante senza possibilità di annullare il trasferimento.

Secondo CrowdStrike, gli operatori dello schema hanno ricevuto almeno 12,1 milioni di rubli, pari a circa 150.000 dollari al momento dei trasferimenti, in otto anni. Gran parte delle criptovalute rubate è rimasta intatta e il suo valore è salito a circa 1,35 milioni di dollari all’inizio del 2025 con la crescita del mercato crypto.

L’importo è relativamente modesto per un’operazione informatica durata diversi anni, ma lo schema non richiedeva un attacco sofisticato a una blockchain o a un wallet crypto. Era sufficiente un computer infetto e la mancata verifica dell’indirizzo del destinatario da parte dell’utente per sottrarre i fondi.

Si consiglia agli utenti di controllare almeno i primi e gli ultimi caratteri di un indirizzo wallet dopo averlo incollato, prima di confermare ogni transazione. Questo può rivelare una sostituzione dell’indirizzo prima che venga approvato un trasferimento di criptovaluta irreversibile.

Oltre 15.000 computer infetti isolati

Sality non poteva essere smantellata semplicemente spegnendo un server centrale di comando e controllo.

La botnet utilizzava un’architettura peer-to-peer, con i computer infetti che comunicavano direttamente e verificavano circa ogni 40 minuti se i peer conosciuti fossero ancora disponibili.

Sality inoltre non prevedeva un’autenticazione aggiuntiva per i nodi che si collegavano alla rete. CrowdStrike ha sfruttato questa debolezza sostituendo gli indirizzi dei peer autentici della botnet con indirizzi controllati dai propri server, isolando oltre 15.000 dispositivi infetti dalla rete.

L’operazione è stata condotta durante una dimostrazione alla conferenza Day Zero di CrowdStrike a Las Vegas, con la partecipazione delle forze dell’ordine federali. Il Dipartimento di Giustizia degli Stati Uniti ha dichiarato che gli operatori di Sality erano collegati alla Russia.

L’incidente si inserisce in una serie di attacchi importanti alle infrastrutture delle criptovalute. In precedenza, la blockchain Cronos, strettamente associata a Crypto.com, è stata completamente bloccata a seguito di un exploit su Tectonic, il più grande protocollo di lending del suo ecosistema, con perdite preliminari stimate intorno ai 75 milioni di dollari.

Cronos è operativa dal 2021 e viene utilizzata per offrire transazioni a costi inferiori su prodotti Crypto.com, mentre CRO rimane uno degli asset chiave dell’ecosistema. L’attacco a Tectonic ha evidenziato un’ulteriore fonte di rischio per i detentori di asset digitali: le vulnerabilità all’interno dell’infrastruttura dei protocolli DeFi stessi.

In precedenza, abbiamo riportato che wallet collegati al Lazarus Group nordcoreano hanno trasferito circa 30 milioni di dollari in asset digitali tramite Hyperliquid. I trasferimenti sono stati identificati dagli analisti della piattaforma di intelligence blockchain Arkham.

Questo materiale può contenere opinioni di terze parti, nessuno dei dati e delle informazioni su questa pagina web costituisce consulenza sugli investimenti secondo il nostro Disclaimer. Sebbene aderiamo a una rigorosa Integrità Editoriale, questo post può contenere riferimenti a prodotti dei nostri partner.

Ti è piaciuto l'articolo?