MetaMask esce dai validator, Bitget perde 387,5 milioni: il rischio è la supply chain crypto

🛡️ Executive Summary

• MetaMask conferma un incidente su parte della propria infrastruttura e avvia l’uscita precauzionale di validator dalle operazioni di staking non-custodial, senza indicare un rischio immediato per i wallet.
• Bitget attribuisce il furto di 387,5 milioni di dollari alla compromissione di un prodotto di sicurezza di terze parti che ha consentito di ottenere credenziali interne e falsificare comandi di prelievo.
• I due casi mostrano uno stesso punto debole: chiavi e blockchain possono restare integre mentre vengono compromessi validator, sistemi backend, credenziali e componenti esterni che governano l’operatività.

Due incidenti diversi mostrano lo stesso problema strutturale della finanza crypto: la self-custody e la sicurezza crittografica non proteggono automaticamente l’infrastruttura che circonda wallet, exchange e validator. MetaMask ha confermato il 30 settembre un incidente che interessa parte dei propri sistemi e, pur dichiarando di non avere individuato minacce immediate ai wallet, ha iniziato a ritirare precauzionalmente alcuni validator dalle attività di staking non-custodial. Bitget ha invece concluso che l’attacco del 24 settembre, costato 387,5 milioni di dollari, è passato attraverso una vulnerabilità presente in un prodotto di sicurezza di terze parti. Nel primo caso non risultano fondi sottratti; nel secondo le chiavi private non sarebbero state compromesse. In entrambi, il problema si trova un livello sopra la blockchain.

MetaMask ritira i validator ma non segnala compromissioni dei wallet

La comunicazione di MetaMask è volutamente prudente. Nell’aggiornamento ufficiale del 30 settembre la società afferma di stare gestendo un incidente di sicurezza che interessa parte della propria infrastruttura, con attività di remediation condotte insieme a partner esterni e consulenti di sicurezza. MetaMask precisa di non avere identificato, allo stato attuale, una minaccia immediata per i propri wallet e separa esplicitamente il problema dall’accesso ai fondi degli utenti. La misura più significativa riguarda invece il servizio di staking: l’azienda sta facendo uscire proattivamente i validator interessati dalle proprie operazioni non-custodial, coordinandosi con clienti e partner. La distinzione tecnica è centrale perché MetaMask sottolinea di non possedere le withdrawal key degli ETH messi in staking per conto dei clienti. Significa che un problema sull’infrastruttura che opera i validator non equivale automaticamente alla possibilità di trasferire gli asset sottostanti. Il dossier arriva poche settimane dopo la separazione societaria tra MetaMask e Consensys e la trasformazione del wallet in piattaforma finanziaria autonoma, mentre l’ecosistema crypto continua a mostrare quanto servizi apparentemente “non custodial” dipendano comunque da software, cloud e processi operativi centralizzati. È una fragilità già visibile quando Trust Wallet aveva subito la compromissione della propria estensione Chrome: la chiave privata può restare teoricamente sotto il controllo dell’utente, ma ciò che genera, presenta o autorizza una transazione continua ad avere una superficie d’attacco.

Leggi anche: Trust Wallet violata e Unleash Protocol drenato: doppio incidente che espone le fragilità dell’ecosistema crypto

Bitget perde 387,5 milioni senza che vengano rubate le chiavi private

Il caso Bitget mostra la stessa separazione in maniera molto più costosa. Nell’hub ufficiale dedicato all’incidente del 24 settembre l’exchange ha corretto la stima iniziale da 351,6 a 387,5 milioni di dollari coinvolti tra hot e warm wallet, precisando che i cold wallet non sono stati interessati. L’indagine interna ha ricostruito una catena in cui l’attaccante avrebbe sfruttato una vulnerabilità presente in un prodotto di sicurezza di terze parti, ottenuto credenziali di accesso alla rete interna e utilizzato quelle credenziali per generare comandi di prelievo fraudolenti verso il wallet system. I comandi sono stati trattati come operazioni legittime e hanno superato i controlli di rischio. Bitget sostiene che le private key non siano state compromesse: non è quindi il classico scenario nel quale l’attaccante ruba direttamente una chiave di firma, ma un attacco contro il sistema che decide quando e perché una firma debba essere autorizzata. La società ha successivamente pubblicato un aggiornamento con le verifiche indipendenti di Mandiant e SlowMist, affermando che entrambe le indagini convergono sulla compromissione di prodotti di sicurezza third-party come punto iniziale della catena. È un meccanismo che ricorda da vicino il caso Bybit, nel quale Lazarus aveva aggirato la sicurezza dell’exchange passando attraverso Safe{Wallet}: non serve necessariamente violare direttamente il caveau quando è possibile manipolare il sistema che gli dice quali operazioni approvare.

Continua con:
BitKeep, il portafoglio di criptovalute della Bitget
Vibe coding e pacchetti npm infetti: quando malware IA e supply chain ti svuotano i wallet

La blockchain resta integra mentre cede tutto ciò che le sta intorno

MetaMask e Bitget non raccontano quindi un fallimento della crittografia delle blockchain. Raccontano qualcosa di più problematico per un settore che continua a vendere la decentralizzazione come sinonimo automatico di sicurezza: la transazione on-chain è soltanto l’ultimo passaggio di una catena composta da infrastrutture cloud, sistemi di autenticazione, prodotti di sicurezza, backend di approvazione, validator e operatori esterni. Nel caso MetaMask il ritiro dei validator è una precauzione e non esiste, sulla base della disclosure disponibile, evidenza pubblica di un furto o di una compromissione dei wallet. Nel caso Bitget, invece, l’attaccante è riuscito a trasformare credenziali apparentemente legittime in istruzioni capaci di attraversare il processo di autorizzazione e produrre prelievi reali. È la stessa asimmetria vista nella supply chain di pacchetti e componenti software utilizzati per rubare wallet e credenziali e negli attacchi Shai-Hulud contro centinaia di percorsi contenenti segreti cloud, AI e CI/CD. Più la finanza crypto diventa istituzionale, più eredita lo stesso problema della sicurezza enterprise: non conta soltanto chi possiede la chiave finale, ma chi controlla tutti i sistemi che possono convincere quella chiave a firmare.