Il Sole 24 Ore, 18 maggio 2021
Il cyber-riscatto viaggia su blockchain
I cybercriminali affezionati agli attacchi ransomware sfruttano l’impenetrabilità delle criptovalute per chiedere riscatti milionari e svanire nel nulla. È il caso del gruppo DarkSide, che nelle ultime settimane ha colpito prima l’oleodotto statunitense Colonial Pipeline e poi la divisione di Toshiba che produce fotocopiatrici e sistemi di pagamento POS. In entrambi i casi è stato chiesto un riscatto in Bitcoin, così da far perdere ogni traccia e rendere vana ogni indagine. Ma se non fosse proprio così? A insinuare il dubbio ci ha pensato Elliptic, azienda inglese specializzata in analisi blockchain, che ha affermato di aver individuato il wallet Bitcoin utilizzato da quelli di DarkSide per ricevere il riscatto da Colonia Pipeline.
Le cronache raccontano che l’azienda americana in un primo momento aveva respinto le richieste degli hacker. Mentre successivamente avrebbe acconsentito di pagare il riscatto (5 milioni di dollari in bitcoin) per poter riattivare gli impianti messi ko dall’attacco informatico e ripristinare la produzione.
Ora quelli di Elliptic, a quanto pare, sono riusciti a individuare il portafoglio digitale sul quale sono avvenute le transazioni. Secondo la società con sede a Londra, il wallet in questione ha ricevuto il pagamento di 75 Bitcoin, (effettuato da Colonial Pipeline), è attivo dall’inizio di marzo e ha ricevuto 57 pagamenti da 21 diversi portafogli (per un totale di 17,5 milioni di dollari), tra cui alcuni riscatti corrispondenti noti per essere stati pagati a DarkSide in altri casi di attacco ransomware. Tra questi, 78,29 Bitcoin inviati l’11 maggio da Brenntag, azienda chimica che evidentemente è caduta vittima del gruppo.
Elliptic sostiene anche di essere in grado di ottenere informazioni su come DarkSide abbia riciclato i pagamenti, consentendo – potenzialmente – alle autorità di localizzare le persone dietro al gruppo cybercriminale. Inoltre, l’aver individuato il wallet del gruppo, potrebbe consentire alle varie piattaforme di exchange un monitoraggio sulle operazioni e un eventuale blocco delle operazioni. Di certo, il lavoro di Elliptic potrebbe essere (e forse lo è già) di grande aiuto per gli inquirenti. La caccia ai DarkSide, del resto, è internazionale. E intercettarne i canali su cui veicolano i riscatti dei provenienti dai loro attacchi ransomware potrebbe essere un primo grande passo.