Ostium perde 23,7 milioni mentre Anubis e Clop colpiscono grandi aziende

🛡️ Executive Summary

• Ostium perde 23,75 milioni di dollari dopo la compromissione dell’infrastruttura off-chain che alimentava il protocollo con i prezzi degli asset.
• Anubis rivendica l’attacco a Fairlife, mentre Chick-fil-A conferma accessi abusivi ottenuti attraverso credenziali sottratte da servizi esterni.
• Estée Lauder collega un data breach ai sistemi Oracle E-Business Suite, con dati finanziari, sanitari e lavorativi potenzialmente esposti.

Quattro incidenti mostrano come il rischio informatico possa colpire livelli molto diversi della stessa economia digitale. La piattaforma decentralizzata Ostium ha perso 23,75 milioni di dollari senza che l’attaccante compromettesse direttamente gli smart contract destinati ai trader. Anubis ha rivendicato il ransomware che ha interrotto la produzione statunitense di Fairlife, controllata da Coca-Cola. Chick-fil-A ha comunicato un data breach provocato dal credential stuffing, mentre Estée Lauder ha ricostruito un’intrusione nei sistemi Oracle E-Business Suite utilizzati dalle risorse umane. I casi coinvolgono oracoli, infrastrutture aziendali, password riutilizzate e applicazioni enterprise esposte.

Ostium viene colpita attraverso l’infrastruttura off-chain

L’attaccante di Ostium non ha violato direttamente il contratto che conserva il collaterale dei trader, ma ha compromesso l’infrastruttura esterna incaricata di fornire al protocollo i prezzi degli asset. I report falsi sono stati presentati come aggiornamenti legittimi e utilizzati per aprire e chiudere rapidamente posizioni di grandi dimensioni, producendo profitti artificiali sottratti al vault dei liquidity provider. L’incidente dimostra che un’applicazione decentralizzata può mantenere integro il proprio codice on-chain ed essere comunque compromessa attraverso componenti centralizzati, chiavi operative, processi di firma o sistemi di pubblicazione dei dati.

Ostium, costruita su Arbitrum e utilizzata per negoziare esposizioni verso asset tradizionali e crypto con regolamento in USDC, ha sospeso le contrattazioni entro un’ora dalla prima transazione malevola. Il collaterale degli utenti ordinari è rimasto in un contratto separato e le posizioni aperte non sono state liquidate, ma restano congelate fino alla riapertura della piattaforma. Il caso amplia il rischio già emerso negli attacchi DeFi basati sulla manipolazione di oracoli e liquidità e conferma che l’audit del solo smart contract non copre l’intera superficie operativa.

I fondi rubati vengono convertiti e inviati a Tornado Cash

Dopo il prelievo dal vault, l’attaccante ha convertito gli USDC rubati in circa 12.080 ETH e ne ha depositati 10.540 nel mixer Tornado Cash. Il passaggio non rende automaticamente irrintracciabili i fondi, ma separa i flussi in numerose operazioni e complica l’associazione tra gli indirizzi di origine e quelli di destinazione. Ostium ha notificato l’incidente alle autorità e sta seguendo i movimenti on-chain, mentre la piattaforma dovrà stabilire come compensare i fornitori di liquidità colpiti e con quale prezzo riaprire le posizioni sospese.

La vicenda mette in evidenza una distinzione essenziale: la trasparenza della blockchain consente di osservare gli spostamenti, ma non impedisce che un’infrastruttura di pricing compromessa produca operazioni formalmente valide. Per ridurre il rischio, i protocolli devono separare le chiavi, imporre quorum per gli aggiornamenti dei prezzi, confrontare feed indipendenti e introdurre circuit breaker capaci di fermare il trading quando una variazione supera soglie incompatibili con il mercato. La protezione deve quindi comprendere oracoli, backend, account cloud, pipeline di distribuzione e procedure umane, non soltanto il codice eseguito dalla rete.

Anubis rivendica il ransomware contro Fairlife

Il gruppo Anubis ha aggiunto Fairlife al proprio sito di divulgazione e sostiene di avere sottratto circa un terabyte di dati aziendali, oltre ad avere cifrato l’infrastruttura Nutanix della società. Coca-Cola aveva già comunicato che l’attacco aveva costretto Fairlife a sospendere la produzione negli stabilimenti statunitensi, senza conseguenze dichiarate sulla sicurezza o sulla qualità degli alimenti e senza interruzioni nelle attività canadesi. Le affermazioni relative alla quantità di dati rubati e alla completa cifratura dei sistemi non sono state verificate in modo indipendente, mentre Coca-Cola non ha fornito ulteriori commenti.

La rivendicazione completa il quadro iniziale dell’attacco ransomware che ha fermato la produzione Fairlife e colloca l’incidente all’interno di una doppia estorsione basata su interruzione operativa e minaccia di pubblicazione. Anubis opera come ransomware-as-a-service dalla fine del 2024 e ha aggiunto al proprio arsenale anche una funzione wiper, capace di distruggere i file e ridurre le possibilità di recupero indipendentemente dal pagamento.

Chick-fil-A subisce un nuovo credential stuffing

Tra il 17 e il 19 giugno 2026, strumenti automatizzati hanno utilizzato coppie di email e password provenienti da fonti esterne per accedere agli account Chick-fil-A One attraverso il sito e l’app mobile. Gli aggressori potrebbero avere visualizzato nomi, indirizzi email, numeri di iscrizione, identificativi mobile pay, codici QR, saldo dei crediti e ultime quattro cifre delle carte. Negli account più completi erano presenti anche date di nascita, indirizzi, numeri telefonici e altre informazioni personali. Chick-fil-A non ha comunicato il totale globale degli utenti coinvolti, ma la notifica depositata in Texas indica 2.182 residenti dello Stato. L’azienda ha disconnesso gli account interessati, rimosso i metodi di pagamento, ripristinato i saldi e assegnato nuovi premi. Non è il primo episodio: tra il 2022 e il 2023 un’operazione analoga aveva interessato oltre 71.000 clienti. Il credential stuffing non richiede una vulnerabilità nella piattaforma colpita, ma sfrutta il riutilizzo delle stesse password, dinamica centrale anche nel data breach di 23andMe e nelle successive controversie sulle responsabilità. Le aziende devono affiancare all’autenticazione multifattore controlli sui bot, rilevamento delle credenziali compromesse e limiti adattivi sui tentativi di accesso.

Estée Lauder ricostruisce l’intrusione Oracle dopo dieci mesi

Estée Lauder ha notificato ai dipendenti un data breach avvenuto il 9 agosto 2025, ma attribuito con certezza soltanto il 19 giugno 2026 a un accesso abusivo nel sistema Oracle E-Business Suite impiegato per la gestione delle risorse umane. I dati esposti comprendono nomi, indirizzi postali ed email, date di nascita, numeri di previdenza sociale, passaporti, conti bancari, informazioni sanitarie, buste paga e valutazioni delle prestazioni. La società non ha indicato esplicitamente la vulnerabilità, ma la data coincide con la campagna di sfruttamento di CVE-2025-61882, falla pre-auth nel componente BI Publisher Integration che consentiva l’esecuzione remota di codice sulle versioni EBS dalla 12.2.3 alla 12.2.14. Google e Mandiant avevano collegato la campagna a Clop, mentre Oracle aveva pubblicato le correzioni soltanto il 4 ottobre 2025. L’incidente si inserisce nella campagna Clop contro Oracle E-Business Suite e mostra il costo della scoperta tardiva: l’azienda deve ricostruire accessi avvenuti mesi prima e notificare informazioni già potenzialmente utilizzabili per frodi finanziarie, furti d’identità e social engineering mirato.

Quattro incidenti espongono superfici di fiducia differenti

Ostium si affidava a un’infrastruttura esterna per trasformare prezzi di mercato in dati utilizzabili dagli smart contract; Fairlife dipendeva dalla continuità dei sistemi di produzione e virtualizzazione; Chick-fil-A ha subito l’effetto delle password compromesse altrove; Estée Lauder utilizzava un’applicazione HR contenente alcune delle informazioni personali più sensibili dell’organizzazione. Nessuno dei quattro casi può essere gestito con una singola misura difensiva. I protocolli crypto devono autenticare e verificare i feed off-chain, gli ambienti industriali devono segmentare produzione e rete corporate, i servizi consumer devono contrastare gli accessi automatizzati e le piattaforme enterprise esposte devono essere aggiornate con priorità assoluta. La differenza tra un incidente contenuto e una compromissione estesa dipende soprattutto dalla capacità di riconoscere rapidamente l’anomalia, isolare il componente coinvolto e conservare evidenze sufficienti per ricostruire ciò che l’attaccante ha realmente raggiunto.