Обзор десяти крупнейших инцидентов безопасности в области Web3 за 2024 год

В 2024 году блокчейн-отрасль, одновременно инновационная и развивающаяся, также сталкивается с все более серьезными задачами безопасности. По статистике, к концу года общие убытки в области Web3 из-за различных инцидентов безопасности достигли 24,91 миллиарда долларов США. Эти события не только выявили уязвимости на техническом уровне, но и подчеркнули недостатки в управлении и управлении рисками. В данной статье будет рассмотрено десять самых значительных инцидентов безопасности в области Web3 в 2024 году, с целью предоставить отрасли примеры и предупреждения.

1. На японской бирже произошла серьезная атака

Сумма убытков: 304 миллиона долларов США Способ атаки: утечка приватного ключа

31 мая одна из известных японских криптовалютных бирж подверглась исторической атаке. Злоумышленники использовали утекший приватный ключ для прямого перевода большого количества биткойнов и быстро распределили украденные средства на несколько адресов. Этот инцидент выявил серьезные недостатки биржи в управлении приватными ключами и многоуровневыми мерами безопасности. Несмотря на то, что биржа приняла меры, такие как мониторинг в цепочке и заморозка средств, работа по отслеживанию столкнулась с огромными трудностями из-за использования хакерами инструментов для смешивания.

В конце года полиция Японии подтвердила, что это событие было осуществлено международной хакерской организацией.

2. PlayDapp понес серьезные убытки

Сумма потерь: 290 миллионов долларов США Способ атаки: утечка закрытого ключа

9 февраля проект PlayDapp столкнулся с серьезным инцидентом безопасности. Хакеры, похитив приватные ключи, создали большое количество токенов PLA, первоначальная стоимость которых составила 36,5 миллиона долларов. Поскольку переговоры между командой проекта и хакерами не увенчались успехом, хакеры создали еще больше токенов, общая стоимость которых достигла 253,9 миллиона долларов. После того как часть этих токенов попала на биржи, PlayDapp был вынужден приостановить оригинальный контракт и перейти на новый токен-контракт. Этот инцидент подчеркивает недостатки блокчейн-проектов в защите приватных ключей и экстренном реагировании.

3. Крупнейшая криптовалютная биржа Индии подверглась атаке

Сумма убытков: 235 миллионов долларов США Способы атаки: сетевые атаки и фишинг

18 июля крупнейшая криптовалютная биржа Индии подверглась целенаправленному атаке на свой мультиподписной кошелек. Злоумышленники с помощью социоинженерии заставили подписантов мультиподписного кошелька подписать сделку по обновлению контракта, а затем использовали права, полученные в результате обновления контракта, для перевода активов из кошелька. Этот инцидент выявил потенциальные риски мультиподписных кошельков в отношении настройки прав и прозрачности операций, что вызвало глубокие размышления в отрасли о внутренних механизмах контроля рисков проектов.

4. Gala Games подверглись атаке на уязвимость контракта

Сумма убытков: 216 миллионов долларов США Способ атаки: Уязвимость контроля доступа

20 мая адрес привилегий Gala Games был взломан хакерами. Злоумышленники, вызвав функцию mint в контракте токена, единовременно выпустили 5 миллиардов токенов GALA. Впоследствии эти токены были обменены на ETH партиями, что привело к потерям в 216 миллионов долларов. Команда Gala Games после инцидента срочно активировала функцию черного списка, чтобы заблокировать некоторые счета хакеров, и через судебные меры вернула часть убытков.

5. Личный кошелек основателя известной криптовалюты был украден

Сумма убытков: 112 миллионов долларов США Способ атаки: утечка приватного ключа

31 января хакеры атаковали четыре личных кошелька одного из сооснователей известного криптовалютного проекта, что привело к краже 112 миллионов долларов в криптовалюте. Эти кошельки, вероятно, стали мишенью атаки из-за отсутствия двойной защиты с использованием аппаратных средств. После инцидента одна крупная биржа успешно заморозила часть украденных активов, но большая часть средств уже была отмыта через децентрализованные биржи и сервисы смешивания.

6. Munchables столкнулись с внутренним проникновением

Сумма убытков: 62,5 миллиона долларов США Способ атаки: Социальная инженерия

26 марта веб3 игровая платформа Munchables на основе Blast столкнулась с редким внутренним проникающим нападением. Злоумышленники маскировались под разработчиков блокчейна и, долгое время оставаясь в тени, получили доступ к исходному коду и конфиденциальным ключам. Несмотря на огромные потери, под давлением сообщества и команды хакеры в конечном итоге вернули все украденные средства. Этот инцидент подчеркивает важность безопасности цепочки поставок, особенно для блокчейн-проектов, зависимых от сторонних разработчиков.

7. На одной из турецких бирж произошла утечка частных ключей

Сумма убытков: 55 миллионов долларов США Способ атаки: утечка приватного ключа

22 июня одна из крупнейших криптовалютных бирж в Турции подверглась атаке с утечкой приватных ключей, в результате которой были потеряны активы на сумму более 55 миллионов долларов. Благодаря помощи других бирж было успешно заморожено 5,3 миллиона долларов украденных средств, однако большая часть активов до сих пор не возвращена. Этот инцидент усилил обеспокоенность рынка по поводу управления приватными ключами централизованными биржами.

8. Многофункциональный кошелек Radiant Capital был атакован

Сумма убытков: 53 миллиона долларов США Способ атаки: утечка приватного ключа

17 октября хакеры атаковали мультиподписной кошелек Radiant Capital. Из-за использования модели подписи с низким порогом 3/11, хакеры, получив доступ к приватным ключам 3 подписантов, инициировали оффлайн-подпись, что привело к передаче прав собственности на контракт кошелька на злонамеренный адрес, в результате чего было украдено 53 миллиона долларов. Эта атака вызвала в индустрии размышления о дизайне мультиподписных кошельков и механизмах управления.

Важно отметить, что Radiant Capital потерял 4,5 миллиона долларов из-за уязвимости в контракте до этой атаки, и более 1900 ETH были украдены. Это показывает, что проектам Web3 необходимо повысить уровень внимания к безопасности.

9. Hedgey Finance подвергся многосетевым атакам

Сумма потерь: 44,7 миллиона долларов США Способ атаки: Уязвимость контракта

19 апреля Hedgey Finance подвергся атаке на несколько смарт-контрактов. Хакеры использовали уязвимость в контракте ClaimCampaigns, успешно извлекая токены на двух сетях: Ethereum и Arbitrum, с общими убытками в 44,7 миллиона долларов. Этот инцидент подчеркивает важность аудита кода, особенно строгой проверки логики утверждения токенов.

10. Горячий кошелек одной криптовалютной биржи был взломан

Сумма убытков: 44,7 миллиона долларов США Способ атаки: утечка закрытого ключа

19 сентября на известной бирже была взломана горячая кошелек, что затронуло несколько публичных цепочек, включая Ethereum, BNB Chain и Tron. Несмотря на то, что биржа быстро активировала механизмы перевода активов и заморозки выводов, хакеры успешно вывели активы на сумму 44,7 миллиона долларов. Эта атака отражает высокие риски управления горячими кошельками централизованных бирж и дополнительно побуждает отрасль искать более безопасные решения для хранения активов.

Заключение

Частые инциденты безопасности в 2024 году вновь напоминают нам о том, что развитие блокчейн-индустрии невозможно без обеспечения безопасности. От управления приватными ключами до уязвимостей смарт-контрактов, от внутреннего контроля рисков до усовершенствования внешних методов атак — каждое событие принесло глубокие уроки. С учетом все более сложных угроз безопасности, всем сторонам в отрасли необходимо продолжать инвестировать в технологии, управление и контроль рисков. В будущем мы надеемся, что через сотрудничество и инновации в отрасли мы сможем совместно построить более безопасную и надежную экосистему блокчейна.