​Q4 Thiệt hại hơn 700 triệu đô la Mỹ do sự cố bảo mật mã hóa, các bên dự án và người dùng nên ngăn ngừa và kiểm soát rủi ro như thế nào?

Năm 2021 sắp kết thúc. Để điểm lại các sự cố bảo mật xảy ra trong lĩnh vực blockchain năm nay, liên quan nhiều nhất và có ảnh hưởng nhất là giao thức tương tác chuỗi chéo Poly Network đã bị hack vào tháng 8 và số tiền bị đánh cắp vượt quá 610 triệu đô la Mỹ , đây cũng là cuộc tấn công liên quan đến số lượng lớn nhất trong lịch sử của DeFi.

Các tháng có nhiều sự cố bảo mật và số tiền lớn hơn là tháng 5 (chủ yếu xảy ra trên BSC, thiệt hại hơn 300 triệu đô la Mỹ) và tháng 8 (ngoại trừ Poly Network bị hack, sàn giao dịch tiền mã hóa của Nhật Bản bị hack ví nóng Liquid). , lỗ 91,35 triệu USD) và tháng 10, 11, 12.

Quý 4 cũng trở thành quý có tỷ lệ sự cố bảo mật cao nhất trong năm nay. Theo thống kê chưa đầy đủ, trong quý IV đã xảy ra hơn 40 sự cố an ninh, thiệt hại hơn 700 triệu đô la Mỹ, liên quan đến nhiều lĩnh vực, loại hình khác nhau.tiêu đề phụ

Rà soát 9 sự cố bảo mật trong lĩnh vực mã hóa với tổn thất lớn

Vào ngày 5 tháng 12, người sáng lập kiêm Giám đốc điều hành BitMart Sheldon Xia đã tweet rằng hai lỗ hổng bảo mật quy mô lớn liên quan đến ví nóng đã được phát hiện và tin tặc đã lấy đi tài sản trị giá khoảng 150 triệu đô la Mỹ. Vào ngày 6, Sheldon Xia nói rằng vi phạm bảo mật này chủ yếu là do hành vi trộm cắp khóa cá nhân từ hai ví nóng. Các tài sản khác của BitMart đều an toàn và không bị xâm phạm. BitMart sẽ sử dụng tiền của chính mình để chi trả cho sự cố này và bồi thường cho những người dùng bị ảnh hưởng.

Vào ngày 27 tháng 10, Cream Finance, một giao thức cho vay DeFi, lại bị tấn công và mất hơn 130 triệu USD. Số tiền bị đánh cắp chủ yếu là mã thông báo Cream LP và các mã thông báo ERC-20 khác. PeckShield đã phát hiện ra một khoản vay chớp nhoáng lớn được sử dụng để thực hiện cuộc tấn công này.(Cream Finance đã bị hack 5 lần vào năm 2021, với tổng thiệt hại khoảng 200 triệu đô la Mỹ.)

Vào ngày 30 tháng 10, BXH giao thức giao dịch phi tập trung đã bị tấn công vào chuỗi BSC và hơn 130 triệu USD đã bị đánh cắp. Địa chỉ lợi nhuận ban đầu của hacker (BSC: 0x4...d79) chuyển 4000 ETH từ chuỗi BSC sang chuỗi ETH, sau đó chuyển đổi 300 BTCB thành renBTC trên toàn chuỗi tới địa chỉ (1Jw...Vow).

Vào ngày 3 tháng 12, tổ chức phi tập trung Badger DAO đã xác nhận rằng nó đã bị tấn công, gây thiệt hại 120,3 triệu USD, bao gồm khoảng 2.100 BTC và 151 ETH. BadgerDAO cho biết sự cố lừa đảo ngày 2 tháng 12 là do "một đoạn được tiêm ác ý" của Cloudflare, một nền tảng ứng dụng chạy trên mạng đám mây của Badger. Tin tặc đang sử dụng các khóa API bị xâm nhập được tạo mà các kỹ sư của Badger không hề hay biết hoặc không được ủy quyền để thường xuyên tiêm mã độc ảnh hưởng đến một số khách hàng của họ.

Vào ngày 26 tháng 11, Compound bị tấn công bởi một cỗ máy tiên tri và tài sản trị giá 90 triệu đô la đã bị thanh lý. Đợt thanh lý khổng lồ của Compound lần này là do sự biến động mạnh mẽ của giá DAI của Coinbase Pro, nguồn thông tin của cỗ máy tiên tri. Đây là một cuộc tấn công điển hình của cỗ máy tiên tri nhằm thao túng nguồn thông tin mà cỗ máy tiên tri dựa vào trong một thời gian ngắn khoảng thời gian để đạt được một giá chuỗi sai lệch.

Vào ngày 12 tháng 12, báo cáo kiểm toán bảo mật nội bộ của AscendEX cho thấy một số mã thông báo ERC-20, BSC và Polygon đã được chuyển ra khỏi ví nóng của sàn giao dịch một cách bất thường và ví lạnh của AscendEX không bị ảnh hưởng bởi sự cố này. Công ty bảo mật PeckShield Inc. đã tweet rằng ước tính tổng thiệt hại của AscendEX là 77,7 triệu đô la (60 triệu đô la trên Ethereum, 9,2 triệu đô la trên BSC và 8,5 triệu đô la trên Polygon).

Vào ngày 30 tháng 11, thỏa thuận tạo lập thị trường tự động MonoX đã xác nhận rằng nó đã bị tấn công bởi một khoản vay chớp nhoáng.Kẻ tấn công đã cạn kiệt các nhóm thanh khoản trên Polygon và Ethereum, đồng thời kiếm được khoảng 31 triệu đô la Mỹ.

Vào ngày 11 tháng 11, nhóm USDM đã sử dụng Convex để khởi động một cuộc tấn công quản trị vào Curve, dẫn đến khoản lỗ hơn 30 triệu USD.

Vào ngày 15 tháng 10, giao thức thu nhập thụ động Indexed Finance đã bị tấn công và các nhóm quỹ bị ảnh hưởng bao gồm DEFI5 và CC10. Quan chức này tuyên bố trên Discord rằng thiệt hại do cuộc tấn công này gây ra là khoảng 16 triệu đô la Mỹ.

Tóm tắt kinh nghiệm sau khi nối lại sự kiện

Đánh giá từ dấu vết của các dự án bị tấn công, hầu hết trong số chúng là các giao thức DeFi như sàn giao dịch tập trung và DEX.Lý do chính là lỗ hổng ví, tấn công flash loan và sự cố lừa đảo.

Với tư cách là một bên dự án, ngoài việc tăng cường ngân sách và đầu tư vào an ninh (bao gồm các khía cạnh kỹ thuật và cơ chế tài chính), đồng thời chấp nhận kiểm toán của nhiều bên, thiết lập các kế hoạch kiểm soát rủi ro hoặc khắc phục thảm họa (chẳng hạn như thành lập nhóm quỹ bảo hiểm, mũ trắng kế hoạch khen thưởng, v.v.) Có thể đóng vai trò “tín nhiệm”.

Với tư cách là người dùng, trước hết, tốt nhất bạn nên có hiểu biết chung về mức trung bình của một số thông số thị trường cơ bản (chẳng hạn như lợi suất), đồng thời cảnh giác hơn và xem xét các dự án quá hấp dẫn. Nếu bạn không có khả năng viết mã, nên đọc báo cáo kiểm tra dự án tương ứng do công ty bảo mật hàng đầu phát hành, báo cáo này thường nhắc nhở các điểm rủi ro tiềm ẩn cụ thể và kiểm tra chéo tính xác thực và kịp thời của báo cáo giữa bên dự án và cơ quan kiểm toán của nó, cũng chia sẻ một công cụ nhỏ ở đây:Cơ sở dữ liệu kiểm tra dự án DeFi từ DeFiYield, bạn có thể tìm kiếm và truy vấn báo cáo kiểm toán theo tên dự án, tên đơn vị tiền tệ, địa chỉ hoặc tổ chức kiểm toán.

Một điều nữa là duy trì một số nhận thức phòng ngừa cũng phổ biến trong thời đại Internet và cảnh giác với trang web giả mạo lừa đảo, lừa đảo viễn thông và nguy cơ bỏ trốn. Hãy chú ý nhiều hơn đến tiến độ mới nhất của các dự án bạn tham gia và kiểm tra các kênh thông báo chính thức (trang web chính thức, Twitter, v.v.) hoặc cộng đồng (Discord, TG, v.v.) mỗi ngày. , đình chỉ dịch vụ, cảnh báo lỗ hổng hoặc tiết lộ tai nạn, bạn cũng có thể Nhận thông báo và hành động ngay lập tức.

đề nghị đọc

đề nghị đọc

Chainlink - "Các nhà phát triển dự án phải đọc: Mười giải pháp hàng đầu cho vấn đề bảo mật DeFi"

Liên Nam Thành Đô -"Phân tích Khi DeFi bị biến thành "máy rút tiền" cho tin tặc, chúng tôi làm cách nào để đảm bảo tính bảo mật của nó? "

Odaily - "Cùng công ty bảo vệ đứng đầu đối thoại, vì sao người bị thương luôn xuyên qua cầu xích?" "

Odaily - "Mặt tối của DeFi - HackFi"