ATTACCHI · FRODE, SOCIAL ENGINEERING E FURTO DI ASSET DIGITALI
Nomad, agosto 2022: il furto che tutti potevano copiare
Il 1° agosto 2022 un aggiornamento del contratto del ponte Nomad, fatto senza una verifica adeguata, ha reso valido per errore qualsiasi prelievo. Bastava copiare la transazione del primo attaccante cambiando l'indirizzo di destinazione: in circa un'ora oltre 300 indirizzi hanno portato via circa 190 milioni di dollari.
- Vittima
- Nomad e i suoi utenti
- Settore
- Criptovalute (ponte tra blockchain)
- Paese
- Più paesi
- Data
- 1 agosto 2022
- Categoria
- Frode, social engineering e furto di asset digitali
- Causa
- Errore di configurazione
- Attore
- Non identificato. Non identificato; oltre 300 indirizzi
- Scenari di danno
- Frode finanziaria
Le cause in breve
- Aggiornamento non verificato. Un aggiornamento del contratto senza una verifica adeguata ha introdotto la falla (The Block).
- Inizializzazione sbagliata. Secondo PeckShield l'indirizzo zero era segnato come radice fidata, e così ogni prelievo risultava valido (The Block).
- Nessuna competenza necessaria. Bastava modificare una transazione esistente su Etherscan (The Block).
L'impatto
- Circa 190 milioni di dollari sottratti; il primo attaccante ne ha presi quasi 95 (The Block).
- 41 indirizzi hanno preso 152 milioni, circa l'80% del totale (The Block).
- Almeno sei «hacker bianchi» hanno preso circa 8,2 milioni con l'intenzione di restituirli (The Block).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine sul codice e consulenza legale rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRisponde con limitiLa correzione del contratto è sviluppo del software più che ripristino di dati.
- Business interruption propriaRisponde con limitiIl ponte fermo riduce le commissioni, ma le fonti non quantificano la perdita.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneNon pertinenteNon risulta una richiesta di riscatto.
- Notifica e responsabilità privacyNon pertinenteNon risultano dati personali coinvolti.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiLe richieste degli utenti per i fondi persi sono possibili, ma le fonti non ne riportano.
- Frode e social engineeringDi solito esclusaLe criptovalute sottratte sono di norma escluse dalle polizze cyber standard.
Esclusioni e limiti da controllare
- Criptovalute. Le polizze cyber standard escludono di solito la perdita di valute digitali.
- Difetto del software. Un errore nel proprio aggiornamento può essere trattato come rischio d'impresa, non come incidente.
- Molti autori. Centinaia di prelevatori diversi rendono difficile perfino definire il sinistro.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Uno dei furti di criptovalute più caotici, aperto a chiunque per un errore di aggiornamento.
Nessun segnale di cumulo.