Báo cáo Beosin: Phân tích tình hình bảo mật chuỗi khối Web3 trong nửa đầu năm 2023
Nguồn chính thức:
Nguồn chính thức:Beosin
lời tựa
lời tựa
Với sự tăng tốc không ngừng của quá trình số hóa toàn cầu, công nghệ chuỗi khối, với tư cách là một phương thức giao dịch phi tập trung mới nổi, đang dần trở thành một trong những cơ sở hạ tầng cốt lõi của nền kinh tế kỹ thuật số. Tuy nhiên, với sự mở rộng liên tục của các kịch bản ứng dụng blockchain, những rủi ro bảo mật mà nó phải đối mặt đang dần gia tăng. Trong bối cảnh như vậy, hiểu rõ tình hình bảo mật của chuỗi khối Web3 và các chính sách quy định của ngành mã hóa đã trở thành một trong những biện pháp cần thiết để đảm bảo tính bảo mật và ổn định của các ứng dụng chuỗi khối.Báo cáo nghiên cứu này được đồng tác giả bởi liên minh an ninh sinh thái blockchain do công ty bảo mật blockchain Beosin và SUSS NiFT đồng khởi xướng. Báo cáo này tập trung vào tình hình an ninh blockchain toàn cầu trong nửa đầu năm 2023, các sự kiện điểm nóng Web3 và các chính sách quản lý quan trọng cho Mục đích phân tích và tóm tắt nhằm cung cấp cho người đọc những tài liệu tham khảo và nguồn cảm hứng có giá trị, đồng thời hỗ trợ sự phát triển an toàn và lành mạnh của công nghệ blockchain.
đâyđâyXem (dữ liệu tính đến ngày 25 tháng 6)
1. Tổng quan tình hình bảo mật Web3 quý 1 năm 2023
Trong nửa đầu năm 2023, tổng thiệt hại trong lĩnh vực Web3 do các cuộc tấn công của hacker, lừa đảo lừa đảo và phía dự án Rug Pull lên tới 655,61 triệu đô la Mỹ.Trong nửa đầu năm 2023, tổng thiệt hại trong lĩnh vực Web3 do các cuộc tấn công của hacker, lừa đảo lừa đảo và phía dự án Rug Pull lên tới 655,61 triệu đô la Mỹ.Trong số đó, có 108 vụ tấn công, với tổng thiệt hại khoảng 471,43 triệu USD; gian lận lừa đảo với tổng thiệt hại khoảng 108 triệu USD; và 110 vụ Rug Pull do bên dự án gây ra, với tổng thiệt hại khoảng 75,87 triệu USD. .
Tổng số lượng tổn thất do hack trong lĩnh vực Web3 đã giảm đáng kể so với năm ngoái. Trong nửa đầu năm 2022, tổng thiệt hại do tấn công là khoảng 1,91 tỷ đô la Mỹ, nửa cuối năm 2022 là khoảng 1,69 tỷ đô la Mỹ và trong nửa đầu năm 2023, giá trị giảm xuống còn 470 triệu đô la Mỹ.
Từ góc độ của loại dự án đang bị tấn công,DeFi vẫn là loại có tần suất tấn công cao nhất và số tiền thua lỗ lớn nhất. Tổng số tiền thiệt hại của 85 sự cố bảo mật DeFi lên tới 292 triệu đô la Mỹ, chiếm 62% tổng số tiền thiệt hại.
Từ quan điểm của các loại nền tảng chuỗi,75,6% khoản lỗ đến từ Ethereum, khoảng 356 triệu USD, đứng đầu trong số tất cả các nền tảng chuỗi.
Xét về phương pháp tấn công(Thống kê dựa trên nguyên nhân gốc rễ), phương thức tấn công thường xuyên nhất và tốn kém nhất là khai thác lỗ hổng hợp đồng. 60 sự cố về lỗ hổng bảo mật trong hợp đồng đã gây ra khoản lỗ 264 triệu USD, chiếm 56% tổng thiệt hại.
Dưới góc độ dòng vốn,Khoảng 215 triệu USD tài sản bị đánh cắp đã được thu hồi, chiếm 45,5% tổng số tài sản bị đánh cắp. Khoảng 113 triệu USD tài sản bị đánh cắp khác đã được chuyển sang Tornado Cash và các máy trộn khác.
Dưới góc độ kiểm toán,Khoảng 49% dự án bị tấn công không được kiểm toán.
Trái ngược với xu hướng giảm các vụ hack so với năm 2022, đối với người dùng thông thường, các vụ lừa đảo lừa đảo và sự cố Rug Pull của bên dự án sẽ xảy ra thường xuyên hơn trong nửa đầu năm 2023. Theo thống kê chưa đầy đủ, tổng số tiền liên quan đến hai loại sự cố này lên tới ít nhất 184 triệu USD. Do công nghệ ngưỡng lừa đảo giảm dần (ví dụ: thông qua một số kênh để mua bộ công cụ độc hại từ các nhóm lừa đảo và chia sẻ lợi nhuận sau khi kiếm được), các vụ lừa đảo lừa đảo sẽ gia tăng đáng kể trong nửa đầu năm 2023, trở thành nguyên nhân chính gây ra các mối đe dọa. tính bảo mật của người dùng Web3.
tiêu đề phụ
108 cuộc tấn công tiêu tốn 471,43 triệu USD
Trong nửa đầu năm 2023, nền tảng giám sát, cảnh báo sớm và ngăn chặn rủi ro bảo mật Beosin EagleEye đã phát hiện tổng cộng 108 cuộc tấn công lớn trong lĩnh vực Web3, với tổng thiệt hại là 471,43 triệu đô la Mỹ. Trong đó, có 1 sự cố an ninh gây thiệt hại hơn 100 triệu USD, 7 sự cố gây thiệt hại từ 10 triệu đến 100 triệu USD và 23 sự cố gây thiệt hại từ 1 triệu đến 10 triệu USD.
Các cuộc tấn công với tổn thất vượt quá 10 triệu USD (sắp xếp theo số tiền):
● Tài chính Euler - 197 triệu USD
Vào ngày 13 tháng 3, giao thức DeFi Euler Finance đã bị tấn công và thiệt hại lên tới 197 triệu đô la Mỹ. Vào ngày 4 tháng 4, Euler Labs đã tweet rằng sau khi đàm phán thành công, những kẻ tấn công đã trả lại tất cả số tiền bị đánh cắp.
● Ví nguyên tử - 67 triệu USD
Vào ngày 3 tháng 6, một số người dùng Atomic Wallet đã đăng lên mạng xã hội rằng tài sản trong ví của họ đã bị đánh cắp và số liệu thống kê cho thấy số tiền bị đánh cắp đã lên tới ít nhất 67 triệu đô la Mỹ. Tin tặc đã làm sạch số tiền bị đánh cắp thông qua nền tảng trộn tiền tệ Sinbad và nguyên nhân của vụ tấn công vẫn đang được điều tra.
● Tấn công MEV - 25 triệu USD
Vào ngày 3 tháng 4, nhiều robot MEV đã bị tấn công bằng bánh sandwich độc hại, gây thiệt hại tổng cộng khoảng 25 triệu USD.
● Bitrue - 24 triệu USD
Vào ngày 14 tháng 4, ví nóng của sàn giao dịch mã hóa Bitrue đã bị tấn công và thiệt hại lên tới 24 triệu đô la Mỹ.
● FPG - 20 triệu USD
Vào ngày 11 tháng 6, công ty môi giới tiền điện tử Float Point Group (FPG) đã bị tấn công mạng, mất khoảng 20 triệu đô la tiền điện tử.
● GDAC - 13 triệu USD
Vào ngày 9 tháng 4, sàn giao dịch tiền điện tử GDAC của Hàn Quốc đã bị hack và mất gần 13 triệu USD.
● Tài chính của Yearn - 11,5 triệu USD
Vào ngày 13 tháng 4, hợp đồng yusdt của Yearn Finance đã bị hack và tin tặc đã kiếm được hơn 10 triệu USD lợi nhuận.
● Ví MyAlgo - 11,2 triệu USD
Vào tháng 2, ví MyAlgo đã phải hứng chịu một cuộc tấn công trung gian, dẫn đến thiệt hại 11,2 triệu USD.
tiêu đề phụ
85 sự cố bảo mật DeFi gây thiệt hại 292 triệu USD
Trong nửa đầu năm 2023, có tổng cộng 85 sự cố bảo mật xảy ra trong các dự án loại DeFi, chiếm 78,7% tổng số sự cố. Tổng thiệt hại của DeFi lên tới 292 triệu đô la Mỹ, chiếm 62% tổng thiệt hại. DeFi là loại dự án có tần suất tấn công cao nhất và số tiền thua lỗ lớn nhất.
Trong số 85 sự cố bảo mật DeFi, có 51 sự cố bảo mật bắt nguồn từ việc khai thác lỗ hổng hợp đồng, với thiệt hại 249 triệu đô la Mỹ, chiếm 85% tổng số tiền thiệt hại của DeFi.
Vụ tấn công ví gây thiệt hại khoảng 78,2 triệu đô la Mỹ, chiếm số tiền lớn thứ hai trong số tất cả các loại dự án. Trong số đó, vụ tấn công Ví Atomic thiệt hại ít nhất 67 triệu đô la Mỹ và vụ tấn công ví MyAlgo thiệt hại 11,2 triệu đô la Mỹ.
Loại dự án đứng thứ ba là sàn giao dịch, với mức lỗ khoảng 50,14 triệu USD. Các sự cố tấn công sàn giao dịch cũng đứng thứ ba về tổn thất trong dữ liệu hàng năm năm 2022 và năm nay tiếp tục xu hướng tấn công thường xuyên.
Dự án cầu xuyên chuỗi đứng đầu về số tiền thua lỗ (1,89 tỷ USD) vào năm 2022 và khoản lỗ trong nửa đầu năm 2023 giảm mạnh xuống còn 1,38 triệu USD.
tiêu đề phụ
75,6% số tiền thua lỗ đến từ Ethereum
Trong nửa đầu năm 2023, tổng cộng 27 cuộc tấn công lớn đã xảy ra trên chuỗi Ethereum, gây thiệt hại khoảng 356 triệu USD. Số tiền thua lỗ trên chuỗi Ethereum đứng đầu trong số tất cả các nền tảng chuỗi, chiếm khoảng 75,6%.
Các sự kiện tấn công nhiều nhất được phát hiện trên Chuỗi BNB, đạt 58 sự kiện và tổng số sự kiện tấn công chiếm 53,7% tổng số sự kiện. Trong số 58 cuộc tấn công vào Chuỗi BNB, 40 dự án bị tấn công chưa được kiểm toán.
Tổng cộng có 7 vụ tấn công xảy ra trên chuỗi Arbitrum gây thiệt hại khoảng 16,71 triệu USD, so với năm 2022 số lượng và số lượng tổn thất do sự cố bảo mật đều tăng lên (Arbitrum chỉ có 2 sự cố bảo mật lớn trong năm 2022).
Vào năm 2022, số tiền thua lỗ trên chuỗi Solana đứng thứ ba trong số tất cả các chuỗi công cộng và không có cuộc tấn công lớn nào được phát hiện trong nửa đầu năm 2023.
tiêu đề phụ
Những lỗ hổng hợp đồng được khai thác thường xuyên nhất và số tiền thua lỗ là lớn nhất
* Lưu ý: Khi có nhiều phương thức tấn công cùng tồn tại thì nguyên nhân gốc rễ sẽ được ưu tiên áp dụng để phân loại. Các cuộc tấn công không đầy đủ thông tin hoặc lý do không được bên dự án công bố được phân loại là không rõ ràng
Trong nửa đầu năm 2023, phương thức tấn công có nguyên nhân tấn công thường xuyên nhất và gây thiệt hại nhiều nhất là khai thác lỗ hổng hợp đồng. 60 sự cố về lỗ hổng bảo mật trong hợp đồng đã gây ra khoản lỗ 264 triệu USD, chiếm 56% tổng thiệt hại.
Khoảng 100 triệu USD trong các sự cố bảo mật, phương thức tấn công vẫn chưa rõ ràng, bao gồm ví Atomic Wallet bị đánh cắp với giá trị 67 triệu USD và công ty môi giới tiền điện tử FPG bị tấn công với giá trị 20 triệu USD. Những sự cố như vậy liên quan đến một số tiền lớn và ảnh hưởng đến nhiều người dùng. Chúng tôi khuyến nghị các bên dự án như vậy nên tích cực hợp tác với các công ty bảo mật bên thứ ba trong khi điều tra nguyên nhân sự cố, công bố kết quả điều tra kịp thời, thực hiện các biện pháp sửa chữa cần thiết và chịu trách nhiệm về bảo mật tài sản của người dùng.
Ngoài ra còn có 7 sự cố rò rỉ khóa riêng gây thiệt hại khoảng 27,67 triệu USD. Vào năm 2022, lỗi rò rỉ khóa riêng cũng sẽ đứng thứ ba trong số tất cả các kiểu tấn công. Rò rỉ khóa riêng đã đe dọa an ninh của các bên tham gia dự án. Đánh giá từ một số tiết lộ sự cố, điều đặc biệt quan trọng là tăng cường đạo đức nghề nghiệp và quản lý nhận thức về an toàn của các thành viên cốt lõi.
Chia nhỏ theo loại lỗ hổng bảo mật, ba lỗ hổng hàng đầu gây ra nhiều tổn thất nhất là lỗi logic kinh doanh, vấn đề về quyền và truy cập lại. 36 lỗ hổng logic nghiệp vụ đã gây ra tổng thiệt hại khoảng 239 triệu đô la Mỹ, chiếm 90% tổng số thiệt hại do các cuộc tấn công vào lỗ hổng hợp đồng. Loại lỗ hổng này là vấn đề mà các nhà phát triển dễ bỏ qua nhất và thiệt hại do cuộc tấn công gây ra thường tương đối lớn, trong 9 sự cố, số tiền thiệt hại lên tới hơn 1 triệu đô la Mỹ. Đề nghị bên dự án tìm một công ty kiểm toán chuyên nghiệp có kinh nghiệm để kiểm toán.
6. Phân tích các phương thức tấn công trong các trường hợp điển hình
6.1 Sự cố bảo mật Euler Finance
Vào ngày 13 tháng 3, Euler Finance, một dự án cho vay trên chuỗi Ethereum, đã bị tấn công bởi một khoản vay nhanh và khoản lỗ lên tới 197 triệu đô la Mỹ.
Vào ngày 16 tháng 3, Quỹ Euler đã trao phần thưởng trị giá 1 triệu đô la cho thông tin dẫn đến việc bắt giữ các tin tặc và trả lại số tiền bị đánh cắp.
Vào ngày 17 tháng 3, Giám đốc điều hành của Euler Labs, Michael Bentley đã tweet rằng Euler “luôn là một dự án có ý thức bảo mật”. Từ tháng 5 năm 2021 đến tháng 9 năm 2022, Euler Finance đã chấp nhận 10 cuộc kiểm toán của 6 công ty bảo mật blockchain bao gồm Halborn, Solidified, ZK Labs, Certora, Sherlock và Omnisica.
Từ ngày 18 tháng 3 đến ngày 4 tháng 4, những kẻ tấn công bắt đầu trả lại tiền. Trong khoảng thời gian này, kẻ tấn công đã xin lỗi thông qua thông tin trên dây chuyền, cho biết đã “làm phiền tiền của người khác, công việc của người khác và tính mạng của người khác” và mong mọi người tha thứ.
Vào ngày 4 tháng 4, Euler Labs đã tweet rằng sau khi đàm phán thành công, những kẻ tấn công đã trả lại tất cả số tiền bị đánh cắp.
Phân tích lỗ hổng:Xem lại chi tiết vụ trộm 200 triệu USD của Euler Finance, vụ việc này mang lại cho chúng ta sự giác ngộ gì?
6.2 Sự cố bảo mật BonqDAO
Vào ngày 1 tháng 2, giao thức mã hóa BonqDAO đã bị tấn công bởi hành vi thao túng giá. Kẻ tấn công đã đúc 100 triệu mã thông báo BEUR, sau đó đổi BEUR lấy các mã thông báo khác trên Uniswap. Giá của ALBT giảm xuống gần như bằng 0, điều này càng khiến ALBT bị thanh lý kho bạc . Theo giá token tại thời điểm hacker tấn công, khoản lỗ lên tới 88 triệu đô la Mỹ, nhưng do thanh khoản cạn kiệt nên tổn thất thực tế của sự kiện là khoảng 1,85 triệu đô la Mỹ.
Phân tích lỗ hổng:Vụ hack lớn nhất đầu năm thiệt hại 88 triệu USD, phân tích vụ tấn công giao thức mã hóa BonqDAO
6.3 Sự cố bảo mật tài chính thú mỏ vịt
Vào ngày 17/2, Platypus Finance trên nền tảng Avalanche đã bị tấn công do cơ chế kiểm tra chức năng có vấn đề dẫn đến thiệt hại khoảng 8,5 triệu USD. Tuy nhiên, kẻ tấn công đã không thực hiện chức năng rút tiền trong hợp đồng, dẫn đến số tiền thu được từ cuộc tấn công được lưu trữ trong hợp đồng tấn công và không thể rút được.
Vào ngày 23 tháng 2, Platypus cho biết họ đã liên hệ với Binance và xác nhận danh tính của hacker, đồng thời cho biết họ sẽ hoàn trả ít nhất 63% số tiền cho người dùng.
Ngày 26/2, Cảnh sát Quốc gia Pháp đã bắt giữ và triệu tập hai nghi phạm trong vụ tấn công Thú mỏ vịt.
Phân tích lỗ hổng:Làm thế nào để ngăn chặn các cuộc tấn công flash loan? Phân tích cuộc tấn công trị giá 8,5 triệu USD vào dự án Platypus trên chuỗi Avalanche
6.4 Sự cố bảo mật tài chính Yearn
Vào ngày 13 tháng 4 năm 2023, hợp đồng yusdt của Yearn Finance đã bị tấn công bởi một hacker flash loan và hacker này đã kiếm được hơn 10 triệu đô la Mỹ. yUSDT bị nghi ngờ đã bị định cấu hình sai khi được triển khai hơn 1000 ngày trước, sử dụng nhầm triển khai Fulcrum iUSDC thay vì Fulcrum iUSDT.
Vào ngày 26 tháng 5, những kẻ tấn công Yearn đã chuyển 4134 ETH sang Tornado Cash.
Phân tích lỗ hổng:Hơn 10 triệu USD bị đánh cắp, Yearn Finance như thế nào lại lọt vào tầm ngắm của hacker?
7. Phân tích, rà soát các vụ việc chống rửa tiền điển hình
Theo giám sát rủi ro bảo mật Beosin EagleEye, cảnh báo sớm và giám sát nền tảng chặn của công ty kiểm toán bảo mật blockchain Beosin,Ví Atomic đã bị tấn công vào đầu tháng 6 năm nay. Theo thống kê của nhóm Beosin, dựa trên thông tin được báo cáo bởi các nạn nhân đã biết trên chuỗi, thiệt hại do cuộc tấn công này gây ra ít nhất là khoảng 67 triệu đô la Mỹ.
chúng tôi sẽĐi sâu vào chi tiết về hoạt động rửa tiền trong vụ trộm bị tấn công này và sử dụngBeosin KYTNền tảng phân tích và tuân thủ chống rửa tiền tài sản ảo theo dõi và phân tích hành vi rửa tiền của tin tặc.
Tóm tắt sự kiện
Theo phân tích của nhóm Beosin, vụ trộm cho đến nay đã liên quan đến tổng cộng 21 chuỗi bao gồm BTC, ETH và TRX. Số tiền bị đánh cắp chủ yếu tập trung vào chuỗi Ethereum. TRONG:
chuỗi ethereum
Số tiền bị đánh cắp được phát hiện là tiền ảo trị giá 16.262 ETH, khoảng 30 triệu USD.
Chuỗi TRON
Số tiền bị đánh cắp được biết đến của TRON Chain là tiền ảo trị giá 251.335.387,3208 TRX, khoảng 17 triệu đô la Mỹ.
chuỗi BTC
Chuỗi BTC được biết là đã đánh cắp số tiền tương đương 420,882 BTC tiền ảo, tương đương 12,6 triệu USD.
chuỗi BSC
Chuỗi BSC được biết là đã đánh cắp số tiền tương đương tiền ảo trị giá 40,206266 BNB.
phần còn lại của chuỗi
XRP: 1.676.015 XRP, khoảng 840.000 USD
LTC: 2839.873689 LTC, khoảng 220.000 USD
Ethereum
Ethereum
Trong hoạt động của tin tặc nhằm đánh cắp tiền, có hai cách chính để Ethereum bị tấn công:
1. Sử dụng Avalanche để rửa tiền xuyên chuỗi sau khi chuyển hướng hợp đồng
Theo phân tích của nhóm Beosin, trước tiên hacker sẽ đổi số tiền có giá trị trong ví thành loại tiền chính của chuỗi công khai, sau đó thu thập chúng thông qua hai hợp đồng.
Địa chỉ hợp đồng sẽ đóng gói ETH vào WETH thông qua hai lớp chuyển, sau đó chuyển WETH sang hợp đồng dùng để phân tách ETH và chuyển đến địa chỉ ví của Avalanche cho Cross Bridge thông qua 5 lớp chuyển cao nhất cho các hoạt động xuyên chuỗi. -chain không sử dụng hợp đồng và thuộc loại giao dịch sổ sách kế toán nội bộ của Avalanche.
Sơ đồ liên kết Ethereum như sau:
Đọc toàn văn:Vụ trộm ví trị giá ít nhất 60 triệu đô la Mỹ, Beosin KYT sẽ đưa bạn vượt qua thói quen rửa tiền của tin tặc
tiêu đề phụ
45,5% tài sản bị đánh cắp được thu hồi
Trong nửa đầu năm 2023,Beosin KYTTheo Nền tảng phân tích và tuân thủ chống rửa tiền tài sản ảo, khoảng 215 triệu USD tài sản bị đánh cắp đã được thu hồi, chiếm 45,5% tổng số tài sản bị đánh cắp. Vào năm 2022, chỉ có 8% tài sản bị đánh cắp sẽ được phục hồi. Cơ hội thu hồi vốn vào năm 2023 được cải thiện rất nhiều. Ngoài việc đàm phán khắc phục với tin tặc, số vụ khôi phục dựa vào nỗ lực chung của các công ty bảo mật, cơ quan thực thi pháp luật và lực lượng cộng đồng cũng ngày càng gia tăng. Ngoài ra, việc cải thiện hệ thống quản lý toàn cầu và tăng cường thực thi pháp luật cũng đóng vai trò cảnh báo chống lại nạn hack.
Khoảng 113 triệu USD tài sản bị đánh cắp đã được chuyển sang máy trộn. Trong số đó, khoảng 45,38 triệu USD đã được chuyển sang Tornado Cash và khoảng 68,14 triệu USD đã được chuyển sang các nền tảng trộn tiền tệ khác. Kể từ khi Tornado Cash bị OFAC của Hoa Kỳ xử phạt vào tháng 8 năm 2022, tổng lượng tiền bị tin tặc trộn lẫn bằng Tornado Cash đã giảm đáng kể, trong khi việc sử dụng các nền tảng trộn tiền khác lại tăng lên đáng kể, chẳng hạn như FixFloat, Sinbad, v.v.
9. Phân tích Kiểm toán Dự án
Tỷ lệ dự án được kiểm toán và chưa kiểm toán gần như nhau, trong số 108 dự án bị tấn công, có 51 dự án đã được kiểm toán và 53 dự án chưa được kiểm toán, tỷ lệ gần như nhau. Tỷ lệ này cũng gần phù hợp với tình hình năm 2022.
Trong số 51 dự án được kiểm toán, có 31 dự án (60%) bị tấn công do khai thác lỗ hổng hợp đồng. Tỷ lệ này cao hơn mức 45% của năm ngoái và chất lượng của toàn bộ thị trường kiểm toán vẫn chưa lạc quan. Đề nghị bên dự án phải tìm công ty bảo vệ chuyên nghiệp để kiểm toán.
10. Phân tích kéo thảm
110 sự cố kéo thảm đã lấy đi 75,87 triệu USD
Trong nửa đầu năm 2023, tổng cộng 110 sự cố Rug Pull lớn đã được theo dõi trong lĩnh vực Web3, liên quan đến số tiền khoảng 75,87 triệu USD.
Về giá trị, 14 trường hợp (12,7%) sự kiện Rug Pull có giá trị trên 1 triệu USD, 41 trường hợp (37,3%) có giá trị từ 100.000 đến 1 triệu USD và 55 trường hợp (50%) có giá trị dưới 100.000 USD).
Dự án Rug Pull lớn nhất là dự án Fintoch, trị giá tài sản khoảng 31,6 triệu USD.
Từ góc độ nền tảng chuỗi, đã xảy ra 80 sự cố Rug Pull trên Chuỗi BNB, liên quan đến số tiền 53,37 triệu đô la Mỹ, cao hơn nhiều so với các chuỗi công khai khác.
Tóm Tắt Tình Hình An Ninh Nửa Đầu Năm 2023
Nhìn chung, tổng số lượng tổn thất do hack trong lĩnh vực Web3 đã giảm đáng kể so với năm 2022. Trong nửa đầu năm 2022, tổng thiệt hại do tấn công là khoảng 1,91 tỷ đô la Mỹ, nửa cuối năm 2022 là khoảng 1,69 tỷ đô la Mỹ, và trong nửa đầu năm 2023, giá trị giảm xuống còn 470 triệu đô la Mỹ, và khoảng 215 triệu USD tài sản bị đánh cắp đã được thu hồi. Các cuộc tấn công hack đã cho thấy sự chậm lại rõ rệt, chủ yếu là do:Sự cải thiện dần dần của hệ thống quản lý toàn cầu, tăng cường thực thi pháp luật, nâng cao nhận thức về an toàn của các bên tham gia dự án, xử phạt máy trộn tiền Tornado Cash, cải tiến công nghệ và quy trình chống rửa tiền AML, v.v. Ngoài ra, cũng có trường hợp dựa vào lực lượng cộng đồng để xác định danh tính của hacker thông qua trí thông minh ngoài chuỗi và buộc hacker phải quay trở lại.
Ngay cả khi các cuộc tấn công hack đã chậm lại đáng kể thì vấn đề bảo mật hợp đồng vẫn không thể bỏ qua.Trong nửa đầu năm 2023, phương thức tấn công thường xuyên và tốn kém nhất là khai thác các lỗ hổng hợp đồng.60 sự cố lỗ hổng hợp đồng đã gây thiệt hại 264 triệu đô la Mỹ và phần lớn các lỗ hổng bị khai thác là các vấn đề logic kinh doanh. Một số lỗ hổng logic kinh doanh phức tạp hơn đòi hỏi các công ty kiểm toán chuyên nghiệp có kinh nghiệm phải phát hiện ra.Nhóm kiểm toán Beosin sẽ tiến hành phân tích chuyên sâu về mọi sự cố hack (Twitter @BeosinAlert), để đảm bảo rằng kinh nghiệm và kỹ thuật tóm tắt trong đó được áp dụng vào quy trình kiểm tra dự án nhằm đối phó với các cuộc tấn công hack có thể xảy ra.
Trái ngược với xu hướng tấn công hack ngày càng giảm, các vụ lừa đảo nhắm vào người dùng thông thường lại diễn ra thường xuyên hơn. Nửa đầu năm, xuất hiện hàng loạt băng đảng hút ví, đại diện là Venom Drainer, chúng phát triển các bộ công cụ độc hại rồi bán, sau khi lừa đảo thành công, người mua sẽ chia sẻ với chúng. Những trò lừa đảo lừa đảo như vậy tiếp cận nhiều đối tượng người dùng, riêng băng đảng Venom Drainer đã thu hút ít nhất 15.000 nạn nhân.Báo cáo đầy đủ
