ATTACCHI · FRODE, SOCIAL ENGINEERING E FURTO DI ASSET DIGITALI
Ronin, marzo 2022: cinque chiavi su nove e 620 milioni spariti
Il 23 marzo 2022 gli attaccanti hanno usato le chiavi di cinque dei nove validatori del ponte Ronin, la rete del gioco Axie Infinity, e hanno prelevato 173.600 Ether e 25,5 milioni di USDC, oltre 600 milioni di dollari. Sky Mavis, la società del gioco, se n'è accorta sei giorni dopo; l'FBI ha attribuito il furto al gruppo nordcoreano Lazarus.
- Vittima
- Sky Mavis e gli utenti di Ronin
- Settore
- Criptovalute (ponte di un videogioco)
- Paese
- Più paesi
- Data
- 23 marzo 2022
- Categoria
- Frode, social engineering e furto di asset digitali
- Causa
- Phishing · Errore di configurazione
- Attore
- Legato a uno Stato (confermato). Lazarus (Corea del Nord), secondo l'FBI
- Scenari di danno
- Frode finanziaria
Le cause in breve
- Phishing mirato. Un dipendente di Sky Mavis è stato colpito da phishing mirato, e da lì gli attaccanti sono arrivati ai nodi dei validatori (Ronin).
- Permesso mai revocato. Un'autorizzazione temporanea della Axie DAO a firmare per suo conto, chiusa a dicembre 2021, era rimasta attiva e ha dato la quinta chiave (Ronin).
- Poche chiavi concentrate. Sky Mavis da sola teneva quattro delle nove chiavi necessarie (Ronin).
- Nessun allarme. Mancava un sistema per segnalare grandi uscite dal ponte, e il furto è rimasto nascosto sei giorni (Ronin).
L'impatto
- 173.600 Ether e 25,5 milioni di USDC prelevati in due transazioni, circa 620 milioni di dollari secondo l'FBI (BleepingComputer).
- Indirizzo che ha ricevuto i fondi sanzionato dal Tesoro statunitense (BleepingComputer).
- Ponte chiuso, con riapertura prevista per metà o fine maggio (Ronin).
- Fondi degli utenti garantiti da un nuovo round di finanziamento, dal bilancio di Sky Mavis e da fondi personali dei fondatori (Ronin).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense con CrowdStrike e Polaris Infosec e consulenza legale rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRispondeLa ricostruzione dei validatori e dei controlli rientra nel ripristino.
- Business interruption propriaRisponde con limitiIl ponte chiuso ha fermato i movimenti verso il gioco, ma le fonti non quantificano la perdita.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneNon pertinenteNon risulta una richiesta di riscatto.
- Notifica e responsabilità privacyNon pertinenteNon risultano dati personali coinvolti.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiLe richieste degli utenti sono state evitate dal rimborso; resta il costo di garantire i fondi.
- Frode e social engineeringDi solito esclusaLe criptovalute sottratte sono di norma escluse dalle polizze cyber standard.
Esclusioni e limiti da controllare
- Criptovalute. Le polizze cyber standard escludono di solito la perdita di valute digitali.
- Attacco statale. Con un'attribuzione dell'FBI a un gruppo nordcoreano, le clausole sugli attacchi di Stati possono essere invocate.
- Permessi non revocati. Un accesso rimasto aperto per errore può pesare sulla valutazione delle misure di sicurezza dichiarate.
La copertura reale
Il rimborso degli utenti è stato garantito con un nuovo finanziamento, il bilancio della società e fondi personali dei fondatori, senza menzione di un'assicurazione (Ronin).
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Il più grande furto di criptovalute al momento dei fatti, attribuito a un gruppo statale.
Nessun segnale di cumulo.