Un attacco da 1,46 miliardi di dollari può cambiare per sempre il modo in cui un exchange pensa alla sicurezza. È quello che è successo a Bybit dopo la violazione del cold wallet Ethereum del febbraio 2025, e il nuovo report sicurezza Bybit 2026 mostra i risultati concreti di quella trasformazione: oltre 700 milioni di dollari in potenziali perdite intercettate tra gennaio e metà giugno, grazie a un’infrastruttura di controllo che ora combina monitoraggio blockchain continuo, intelligenza artificiale e revisione umana sulle decisioni più delicate.
Summary
Punti chiave
- Bybit ha intercettato oltre 700 milioni di dollari in potenziali perdite bloccando più di 30.000 richieste di prelievo sospette, proteggendo quasi 20.000 utenti nel primo semestre 2026.
- L’attacco del 21 febbraio 2025 aveva drenato circa 1,46 miliardi di dollari in Ethereum e staked Ether dal cold wallet dell’exchange, il furto crypto più grande mai registrato.
- Le autorità statunitensi attribuiscono l’attacco al Lazarus Group nordcoreano; Bybit ha avviato una causa legale contro Corea del Nord, Reconnaissance General Bureau e Lazarus Group davanti al tribunale federale di Washington.
- Il sistema di monitoraggio dell’exchange copre ora il 100% delle attività on-chain rilevanti, incluse tutte le wallet e i contratti collegati al business.
- L’intelligenza artificiale ha ridotto i tempi di individuazione delle vulnerabilità da settimane a ore, trovando dalle tre alle cinque volte più problemi critici rispetto alle revisioni manuali.
Bybit blocca oltre 700 milioni di dollari in potenziali perdite
Il documento, che coprelo periodo dal 1° gennaio al 15 giugno 2026, descrive un sistema costruito attorno a tre livelli di protezione: controlli sugli account utente, monitoraggio on-chain continuo e operazioni di sicurezza assistite dall’AI, con gli specialisti umani che restano responsabili delle decisioni più critiche. È proprio questa combinazione ad aver permesso di intercettare più di 30.000 richieste di prelievo sospette, proteggendo quasi 20.000 utenti da possibili danni economici.
Le revisioni iniziali del rischio hanno richiesto in media 4,7 minuti, con il 95% dei casi risolti entro 10 minuti. Un dato che racconta bene quanto la velocità sia diventata una priorità operativa per l’exchange, soprattutto dopo un precedente che ha ridefinito gli standard di sicurezza del settore.
Blacklist di indirizzi blockchain malevoli
Oltre alla protezione diretta degli utenti, i team di sicurezza hanno identificato circa 212 milioni di dollari in fondi potenzialmente collegati a frodi e hanno inserito in blacklist più di 10.000 indirizzi blockchain ritenuti malevoli. Secondo Bybit, l’analisi comportamentale abbinata al monitoraggio supportato dall’AI ha permesso di individuare pattern di transazione legati a nuove campagne fraudolente prima che potessero causare danni concreti.
Architettura di sicurezza potenziata dall’intelligenza artificiale
L’intelligenza artificiale non è più un accessorio nella strategia di difesa di Bybit, ma il motore che processa la maggior parte degli allarmi. Nel primo semestre l’exchange ha gestito con supporto AI più di 100.000 segnalazioni di sicurezza, un volume che sarebbe difficile sostenere con soli team umani.
Gli audit di sicurezza assistiti dall’AI hanno individuato vulnerabilità ad alta gravità con una frequenza da tre a cinque volte superiore rispetto alla revisione manuale, mentre il tempo tra una valutazione e il successivo test è passato da circa due settimane a poco più di due ore. La piattaforma automatizzata di red-team ha analizzato 1.489 asset pubblici, individuando oltre 100 vulnerabilità ad alta gravità, con un tempo medio tra scoperta e primo test di penetrazione sceso sotto le 24 ore.
David Zong, responsabile del controllo del rischio di gruppo e della sicurezza di Bybit, ha sintetizzato così la logica dietro questi numeri: “La corsa agli armamenti nella cybersecurity è entrata nell’era dei minuti”. Zong ha spiegato che proteggere i sistemi AI stessi, oltre a usarli come strumento di difesa, è diventata una priorità, ma ha ribadito che il giudizio umano resta centrale quando si tratta di decisioni critiche.
Il sistema di difesa a tre livelli
Il monitoraggio di Bybit copre oggi il 100% delle attività on-chain considerate rilevanti per il business dell’exchange, inclusi i contratti dei token quotati, i contratti dell’ecosistema e le wallet cold, warm e hot della piattaforma. Nel primo semestre il sistema ha identificato e gestito 10 incidenti di sicurezza legati a progetti token quotati su Bybit, senza che nessuno abbia causato perdite per l’exchange. In otto casi i team hanno completato risposte d’emergenza prima di altri grandi exchange, e in due occasioni l’incidente è stato individuato ancor prima che i progetti colpiti se ne rendessero conto.
Perché conta: questo tipo di sorveglianza estesa non protegge solo Bybit, ma funziona come rete di sicurezza per l’intero ecosistema di token quotati sulla piattaforma, riducendo il rischio sistemico che un singolo progetto compromesso possa propagarsi. È un cambio di paradigma rispetto a un settore dove, secondo dati citati nello stesso contesto, solo una minoranza dei progetti crypto adotta un monitoraggio di terze parti strutturato.
L’hack da 1,46 miliardi del 2025 e l’attribuzione al Lazarus Group
Tutta questa architettura nasce da una ferita ancora aperta. Il 21 febbraio 2025 un attacco ha compromesso il processo di trasferimento fondi dal cold wallet Ethereum di Bybit, drenando oltre 400.000 ETH e staked Ether per un valore stimato di circa 1,46 miliardi di dollari. È diventato il furto crypto più grande mai registrato per valore, e le autorità statunitensi lo hanno successivamente attribuito ad attori legati alla Corea del Nord.
L’exchange è riuscito comunque a coprire la perdita e a continuare a processare i prelievi dei clienti, un dettaglio che ha limitato l’impatto reputazionale immediato ma non ha cancellato la portata dell’evento.
Il contesto delle operazioni di furto nordcoreane
Gli investigatori hanno collegato l’operazione al Lazarus Group. Stime pubblicate a maggio indicano che gli attori nordcoreani hanno sottratto circa 2,02 miliardi di dollari in crypto nel corso del 2025, con il furto subito da Bybit che rappresenta la quota maggiore di quel totale. Chainalysis ha stimato che questa attività ha portato il totale cumulativo dei furti crypto legati alla Corea del Nord a circa 6,75 miliardi di dollari.
La minaccia non si è fermata al 2025. Due attacchi collegati a Lazarus contro Drift Protocol e KelpDAO nell’aprile successivo hanno drenato complessivamente 577 milioni di dollari, di cui 285 milioni da Drift e 292 milioni da KelpDAO, sfruttando ingegneria sociale e dispositivi compromessi più che exploit classici sui contratti intelligenti.
Recupero dei fondi e azione legale negli Stati Uniti
Parallelamente ai controlli tecnici, Bybit continua a lavorare con forze dell’ordine, società di intelligence blockchain e altri attori del settore per tracciare e recuperare gli asset sottratti nell’attacco del 2025. Il passo più recente è una causa civile presentata davanti alla US District Court for the District of Columbia contro la Corea del Nord, il suo Reconnaissance General Bureau e il Lazarus Group.
Il caso riguarda direttamente la violazione del 21 febbraio e chiede il recupero degli asset collegati al furto. Un giudice federale ha inoltre emesso un’ingiunzione preliminare che impedisce a determinati imputati non identificati di trasferire o cedere gli asset coperti dall’ordinanza mentre il procedimento è in corso. Bybit ha precisato che il procedimento civile è separato dalle indagini penali statunitensi sulle attività di hacking nordcoreane, dopo che l’FBI aveva già attribuito l’attacco ad attori nordcoreani chiedendo a exchange, validatori e società blockchain di bloccare le transazioni collegate agli indirizzi usati nell’operazione di lavaggio dei fondi.
Le difficoltà nel tracciare i fondi rubati
Rincorrere gli asset rubati è diventato progressivamente più complicato. A marzo 2025 Bybit indicava che l’88,87% dei fondi restava tracciabile, mentre il 7,59% era sparito dai radar e il 3,54% risultava congelato. Ad aprile, il CEO Ben Zhou ha dichiarato che il 27,6% dei fondi rubati non era più tracciabile dopo che gli attaccanti li avevano convertiti in Bitcoin e dispersi attraverso migliaia di wallet, servizi cross-chain e mixer crypto.
Perché conta: questo dato mostra i limiti pratici degli strumenti di tracciamento anche quando un exchange ha risorse e collaborazioni internazionali dalla sua parte. È il motivo per cui Bybit ha attivato anche un programma di bounty e ottenuto congelamenti volontari da parte di altri attori del settore, mentre copriva lo squilibrio patrimoniale attraverso acquisti di Ether, prestiti e depositi da controparti, senza mai interrompere i prelievi dei clienti. Nel procedimento civile statunitense, Bybit ha dichiarato l’intenzione di chiedere ulteriori forme di tutela mentre il caso prosegue; la corte non ha ancora emesso un giudizio definitivo sulle richieste dell’exchange contro Corea del Nord, Reconnaissance General Bureau e Lazarus Group.
FAQ
Quante potenziali perdite ha evitato Bybit nella prima metà del 2026?
Bybit ha intercettato oltre 700 milioni di dollari in potenziali perdite bloccando più di 30.000 richieste di prelievo sospette, proteggendo quasi 20.000 utenti.
Qual è stata la portata e la causa dell’attacco a Bybit del 2025?
La violazione del 2025 ha drenato circa 1,46 miliardi di dollari in Ethereum e staked Ether dal cold wallet di Bybit ed è stata attribuita dalle autorità statunitensi agli hacker del Lazarus Group nordcoreano.
Quali misure di sicurezza usa attualmente Bybit per proteggere gli utenti?
Bybit utilizza un sistema di difesa a tre livelli che comprende controlli sugli account utente, monitoraggio on-chain continuo su tutte le attività rilevanti e operazioni di sicurezza supportate dall’intelligenza artificiale.
Quali passi legali ha compiuto Bybit dopo l’attacco del 2025?
Bybit ha presentato una causa davanti al tribunale federale statunitense contro la Corea del Nord, il suo Reconnaissance General Bureau e il Lazarus Group, chiedendo il recupero degli asset rubati.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
