Il Dipartimento di Giustizia degli Stati Uniti, l’FBI e la società di cybersicurezza CrowdStrike hanno smantellato Sality, una delle botnet più longeve della storia informatica, attiva dal 2003 e responsabile, negli ultimi otto anni, del furto di Bitcoin ed Ethereum tramite il dirottamento degli appunti (clipboard) di oltre 15.000 computer infetti in tutto il mondo.
L’operazione, annunciata da CrowdStrike il 1° settembre 2026, ha coinvolto le forze dell’ordine di Bulgaria, Ungheria e Romania, con il supporto di Europol ed Eurojust. Secondo l’azienda il bottino confermato ammonta ad almeno 150.000 dollari, una cifra modesta rispetto alla scala e alla durata dell’infrastruttura criminale smantellata.
Come funzionava il furto: il clipjacker EggJagger
Per gli ultimi otto anni, il payload principale distribuito da Sality è stato EggJagger, un malware della categoria “clipper” (o clipjacker). Il suo funzionamento è semplice quanto insidioso: monitora costantemente gli appunti del sistema operativo in attesa che la vittima copi un indirizzo di wallet Bitcoin o Ethereum, per esempio prima di incollarlo in un’app di exchange o in un wallet software.
Nel momento esatto dell’incollaggio, EggJagger sostituisce l’indirizzo copiato con uno controllato dagli attaccanti, senza generare alcun avviso visibile.
Se la vittima non verifica manualmente le prime e le ultime cifre dell’indirizzo prima di confermare la transazione, i fondi vengono dirottati in modo irreversibile: una caratteristica strutturale di Bitcoin, che rende ogni pagamento confermato impossibile da annullare, e che il malware sfrutta a proprio vantaggio.
Secondo Decrypt, la tecnica ha colpito indistintamente utenti Bitcoin ed Ethereum, senza discriminare in base all’importo trasferito.
L’operazione internazionale: chi ha smantellato Sality
A differenza della maggior parte delle botnet, che dipendono da un server di comando e controllo (C2) centralizzato facilmente individuabile e disattivabile, Sality utilizza un’architettura peer-to-peer (P2P) priva di un punto singolo di guasto: le macchine infette comunicano direttamente tra loro, appoggiandosi a una lista di “super-peer” (nodi pubblicamente raggiungibili che fungono da ripetitori) per propagare istruzioni e nuovi payload.
CrowdStrike ha aggirato questa resilienza manipolando proprio le liste dei super-peer, isolando progressivamente le macchine infette dal loro operatore attraverso un’operazione di sinkholing distribuito. Il risultato, secondo quanto riportato da CoinDesk, è stato definito il take-down di botnet più complesso mai realizzato dall’azienda.
All’operazione, coordinata dal Dipartimento di Giustizia (DOJ) e dall’FBI, hanno partecipato anche la Defense Criminal Investigative Service (DCIS) del Pentagono e la Shadowserver Foundation, un’organizzazione no-profit specializzata nel monitoraggio delle minacce informatiche. Il supporto internazionale è arrivato da Europol, Eurojust e dalle forze dell’ordine di Bulgaria, Ungheria e Romania, Paesi in cui erano concentrati alcuni nodi chiave dell’infrastruttura.
Il bottino: quanto Bitcoin ed Ethereum sono stati sottratti
Le cifre pubblicate da CrowdStrike restituiscono la dimensione economica, relativamente contenuta, di un’operazione criminale durata quasi un quarto di secolo:
| Dato | Valore |
|---|---|
| Botnet Sality attiva dal | 2003 (23 anni) |
| Payload clipper EggJagger attivo da | 8 anni |
| Macchine infette nel mondo | oltre 15.000 |
| Furto confermato in criptovaluta | almeno ₽12,1 milioni (circa 150.000 dollari) |
| Picco fondi non spesi (gennaio 2025) | ₽147 milioni (circa 1,35 milioni di dollari) |
| Agenzie coinvolte | DOJ, FBI, DCIS, Shadowserver Foundation, Europol, Eurojust |
| Paesi coinvolti nell’operazione | Stati Uniti, Bulgaria, Ungheria, Romania |
Il divario tra il furto confermato (150.000 dollari) e il picco dei fondi non spesi rilevato a gennaio 2025 (1,35 milioni di dollari) suggerisce che gli operatori abbiano accumulato criptovaluta rubata per periodi prolungati prima di liquidarla, una pratica comune tra i gestori di malware finanziario che punta a ridurre la tracciabilità on-chain dei fondi.
Il contesto geopolitico: Bitcoin, la Russia e il crimine informatico
Sality si inserisce in un pattern più ampio di infrastrutture di cybercrimine con origine russa che hanno preso di mira Bitcoin negli ultimi anni, sebbene non vi siano evidenze pubbliche di un legame diretto con lo Stato russo, a differenza di casi come quelli attribuiti al Lazarus Group nordcoreano, sponsorizzato dallo Stato e specializzato nel riciclaggio di Bitcoin rubati.
Nel corso della sua storia ventennale, Sality ha distribuito famiglie di malware eterogenee, dal furto di credenziali allo spam, dai servizi proxy fino agli attacchi DDoS: l’aggiunta di un clipper Bitcoin/Ethereum riflette semplicemente l’adattamento di un’infrastruttura criminale preesistente a un mercato illecito più redditizio.
L’episodio rafforza inoltre l’argomento a favore di standard di sicurezza più rigorosi lato utente, un tema affrontato anche da BitcoinLive24 in occasione del bug Coldcard che ha spinto l’industria verso nuovi standard di custodia multisig.
Sul fronte regolatorio, l’attenzione crescente delle autorità USA verso la sicurezza degli asset digitali si riflette anche nella riforma sulla custodia Bitcoin che la SEC ha inviato alla Casa Bianca proprio in questi giorni, segno che la protezione dei fondi degli utenti sta guadagnando priorità sia tecnica sia politica.
Come proteggersi da un clipper come EggJagger
La difesa più efficace contro i malware clipper resta comportamentale: verificare sempre, carattere per carattere, le prime e le ultime cifre di un indirizzo Bitcoin prima di confermare una transazione, anche quando l’indirizzo proviene da un copia-incolla apparentemente affidabile. I wallet hardware con display integrato, che mostrano l’indirizzo di destinazione su uno schermo separato dal computer potenzialmente compromesso, riducono ulteriormente il rischio rispetto ai wallet software puri.
Mantenere aggiornato l’antivirus e diffidare da software piratato o da eseguibili scaricati da fonti non verificate resta comunque la prima linea di difesa, dato che Sality si diffondeva storicamente anche tramite unità USB e cartelle di rete condivise, senza bisogno che la vittima visitasse siti compromessi.
Domande Frequenti
Cos’è la botnet Sality?
Sality è una rete di computer infetti (botnet) attiva dal 2003, tra le più longeve mai documentate nella storia della cybersicurezza, che ha distribuito nel tempo malware per il furto di credenziali, spam, servizi proxy e, negli ultimi otto anni, il furto di criptovalute.
Come rubava Bitcoin il malware EggJagger?
EggJagger monitorava gli appunti del computer infetto e, quando rilevava un indirizzo di wallet Bitcoin o Ethereum copiato dall’utente, lo sostituiva con un indirizzo controllato dagli attaccanti prima che la vittima lo incollasse per completare il pagamento.
Quanto Bitcoin ha rubato la botnet Sality?
Secondo CrowdStrike il furto confermato ammonta ad almeno 150.000 dollari (12,1 milioni di rubli) in criptovaluta nell’arco di otto anni, con un picco di fondi non spesi pari a circa 1,35 milioni di dollari registrato a gennaio 2025.
Chi ha smantellato la botnet Sality?
L’operazione è stata condotta da CrowdStrike insieme al Dipartimento di Giustizia degli Stati Uniti, all’FBI e alla Defense Criminal Investigative Service, con il supporto di Europol, Eurojust e delle forze dell’ordine di Bulgaria, Ungheria e Romania.
La botnet Sality può ancora infettare nuovi computer?
L’operazione di sinkholing ha isolato oltre 15.000 macchine dal loro operatore, interrompendo la capacità della rete di ricevere nuovi payload; restano tuttavia possibili infezioni residue su sistemi non ancora bonificati, motivo per cui le autorità raccomandano scansioni antivirus aggiornate.
Lo smantellamento di Sality dimostra che anche le infrastrutture criminali più longeve e tecnicamente resilienti restano vulnerabili quando cybersicurezza privata e cooperazione internazionale tra forze dell’ordine lavorano in coordinamento. Per gli utenti Bitcoin, il caso resta soprattutto un promemoria pratico: la sicurezza della singola transazione dipende ancora, in ultima istanza, dalla verifica manuale dell’indirizzo di destinazione.
Scarica l’app BitcoinLive24 per restare aggiornato in tempo reale su sicurezza, regolamentazione e adozione di Bitcoin.
