ATTACCHI · FRODE, SOCIAL ENGINEERING E FURTO DI ASSET DIGITALI
Cream Finance, ottobre 2021: il terzo furto dell'anno, 130 milioni
Il 27 ottobre 2021 un attaccante ha sfruttato un prestito lampo contro i mercati di prestito v1 su Ethereum di Cream Finance e ha portato via token per oltre 130 milioni di dollari. Era il terzo attacco alla piattaforma nel 2021, dopo quelli di febbraio e agosto.
- Vittima
- Cream Finance e i suoi utenti
- Settore
- Finanza decentralizzata
- Paese
- Più paesi
- Data
- 27 ottobre 2021
- Categoria
- Frode, social engineering e furto di asset digitali
- Causa
- Non nota
- Attore
- Non identificato. Non identificato
- Scenari di danno
- Frode finanziaria
Le cause in breve
- Prestito lampo. L'attacco è passato da un grande prestito senza garanzia, da restituire nello stesso blocco (The Block).
- Difetto nei contratti. Il prestito ha permesso di sfruttare una debolezza dei mercati di prestito v1 (Finance Magnates).
- Precedenti non risolti. La piattaforma aveva già subito due attacchi nello stesso anno (The Block).
L'impatto
- Token per oltre 130 milioni di dollari, soprattutto token di liquidità di Cream e altri ERC-20 (The Block).
- Precedenti: 37,5 milioni a febbraio e 18,8 milioni ad agosto 2021 (The Block).
- Mercati di prestito v1 su Ethereum sospesi; prezzo del token CREAM in calo del 27% circa (The Block).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine sul codice e consulenza legale rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRisponde con limitiLa correzione dei contratti è sviluppo del software più che ripristino di dati.
- Business interruption propriaRisponde con limitiI mercati sospesi riducono le commissioni, ma le fonti non quantificano la perdita.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneNon pertinenteNon c'è stata una richiesta di riscatto.
- Notifica e responsabilità privacyNon pertinenteNon sono stati sottratti dati personali.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiGli utenti possono chiedere i danni per i fondi persi, ma la natura decentralizzata rende incerta la responsabilità.
- Frode e social engineeringDi solito esclusaIl furto di criptovalute è di solito escluso dalla cyber e coperto solo da polizze specifiche.
Esclusioni e limiti da controllare
- Criptovalute. La maggior parte delle polizze cyber esclude la perdita di criptovalute.
- Difetti del software. Un errore nei propri contratti può essere considerato rischio d'impresa.
- Sinistri ripetuti. Tre attacchi in un anno renderebbero il rischio difficile da assicurare.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Una perdita molto alta, la terza dell'anno sulla stessa piattaforma.
Nessun segnale di cumulo.