ATTACCHI · FRODE, SOCIAL ENGINEERING E FURTO DI ASSET DIGITALI
Poly Network, agosto 2021: 610 milioni rubati e restituiti
Il 10 agosto 2021 un attaccante che si è fatto chiamare «Mr. White Hat» ha sfruttato un difetto del codice di Poly Network, piattaforma di finanza decentralizzata che collega più blockchain, e ha prelevato circa 610 milioni di dollari in criptovalute. Nelle due settimane seguenti ha restituito tutto, e Poly Network gli ha offerto una ricompensa di 500.000 dollari.
- Vittima
- Poly Network e i suoi utenti
- Settore
- Finanza decentralizzata
- Paese
- Più paesi
- Data
- 10 agosto 2021
- Categoria
- Frode, social engineering e furto di asset digitali
- Causa
- Non nota
- Attore
- Non identificato. Non identificato, che si è fatto chiamare «Mr. White Hat»
- Scenari di danno
- Frode finanziaria
Le cause in breve
- Difetto nel codice. Una vulnerabilità nei contratti di Poly Network ha permesso di trasferire i fondi (Engadget).
- Fondi tutti in un punto. Il ponte tra blockchain custodiva grandi somme degli utenti negli stessi contratti.
- Controllo mancato. Le fonti non dicono se il codice fosse stato verificato da terzi prima dell'attacco.
L'impatto
- Circa 610 milioni di dollari prelevati in Ethereum, Shiba Inu e altre criptovalute (Engadget).
- Restituzione iniziata meno di un giorno dopo; tutti i fondi recuperati secondo Poly Network (Engadget).
- Oltre 200 milioni restituiti tramite un conto che richiedeva le password di entrambe le parti (Engadget).
- Ricompensa di 500.000 dollari offerta all'attaccante (Engadget).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine sul codice e consulenza legale rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRisponde con limitiLa correzione dei contratti è sviluppo del software più che ripristino di dati.
- Business interruption propriaRisponde con limitiIl servizio è stato sospeso, ma le fonti non dicono per quanto né con quale perdita.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneNon pertinenteNon c'è stata una richiesta di riscatto; la ricompensa è stata offerta da Poly Network.
- Notifica e responsabilità privacyNon pertinenteNon sono stati sottratti dati personali.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiGli utenti avrebbero potuto chiedere i danni, ma i fondi sono tornati.
- Frode e social engineeringDi solito esclusaIl furto di criptovalute custodite è di solito escluso dalla cyber e coperto solo da polizze specifiche.
Esclusioni e limiti da controllare
- Criptovalute. La maggior parte delle polizze cyber esclude la perdita di criptovalute proprie o dei clienti.
- Difetti del software. Un errore di programmazione nei propri contratti può essere considerato rischio d'impresa.
- Ricompense. Il pagamento offerto all'attaccante non è un riscatto e non è coperto.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Il furto più grande fino ad allora nella finanza decentralizzata, chiuso senza perdite grazie alla restituzione.
Nessun segnale di cumulo.