Báo cáo ngành Web3.0 quý 2 của CertiK: Giải thích chi tiết về hậu trường của khoản lỗ 310 triệu USD

特邀专栏作者

2023-07-06 12:29

Bài viết này có khoảng 2560 từ, đọc toàn bộ bài viết mất khoảng 4 phút

Trong quý 2, 212 sự cố an ninh đã gây thiệt hại tổng cộng 310 triệu USD. Tổn thất từ các cuộc tấn công cho vay nhanh và thao túng máy oracle đã giảm đáng kể, nhưng tổn thất từ các vụ lừa đảo rút vốn đã tăng hơn gấp đôi so với quý 1. Ngoài ra, hành động mới nhất của SEC và ứng dụng của BlackRock

hình ảnh

Tóm tắt

hình ảnh
danh hiệu cấp một
Tóm tắt
Những kẻ độc hại như tin tặc đã khai thác 310 triệu USD giá trị từ ngành Web 3.0 vào quý 2 năm 2023.
Con số này gần với khoản lỗ 320 triệu USD trong quý đầu tiên và giảm 58% so với khoản lỗ 745 triệu USD trong quý 2 năm 2022.
Tổng cộng, CertiK đã phát hiện 212 sự cố bảo mật, tương đương với chi phí trung bình là 1,48 triệu USD cho mỗi sự cố trong quý hai. Con số đó giảm nhẹ so với mức thiệt hại trung bình cho mỗi sự cố là 1,56 triệu USD trong quý đầu tiên.
54 cuộc tấn công flash loan và sự cố thao túng oracle đã thu về cho kẻ tấn công 23,75 triệu USD. Con số này giảm mạnh so với 52 lần thao túng nhà tiên tri trong Q1 với tổng thiệt hại là 222 triệu USD. Tất nhiên, do khoản lỗ khổng lồ của Euler Finance trong quý trước, riêng lỗ hổng này đã chiếm tới 85% tổng số tiền trong quý trước.

danh hiệu cấp một

Giới thiệu

Hiển thị dữ liệu một phần

danh hiệu cấp một

Giới thiệu

Nhìn vào quý 2, số vụ thao túng oracle đã giảm đáng kể, trong khi tổng thiệt hại do các vụ exit lừa đảo tăng lên, cho thấy các chiến thuật mà những kẻ độc hại sử dụng đã thay đổi.Báo cáoKiểm tra

Báo cáo

Nhận thêm thông tin chi tiết và dữ liệu.danh hiệu cấp mộtRobot MEV bị khai thác độc hại

đầu tháng 4,

Robot MEV

Tuy nhiên, lỗ hổng trong MEV-boost-relay cho phép các trình xác thực độc hại gộp lại các giao dịch, chặn một số chiến lược tầng lửng của bot MEV, đặc biệt là các giao dịch ngược. Do lỗ hổng trên, người xác nhận đã nhìn thấy thông tin giao dịch chi tiết. Với những chi tiết giao dịch này trong tay, những người xác thực độc hại có thể xây dựng các khối của riêng mình và chèn các giao dịch trước của họ trước giao dịch bot MEV ban đầu.Báo cáoĐể biết thêm về các cuộc tấn công bằng bot MEV và bánh sandwich, hãy xem

Báo cáo

Đạt được.

danh hiệu cấp một

Vào đầu tháng 6 năm nay, hơn 5.000 người dùng Atomic Wallet đã gặp phải sự cố bảo mật lớn nhất trong quý, gây thiệt hại hơn 100 triệu USD. Ban đầu, Atomic Wallet tuyên bố rằng chưa đến 1% người dùng hoạt động hàng tháng là nạn nhân của vụ việc, nhưng sau đó đã thay đổi thành dưới 0,1%. Một cuộc tấn công có quy mô lớn và tổn thất lớn nhấn mạnh mức độ nghiêm trọng của lỗi bảo mật trong các ứng dụng ví. Những kẻ tấn công nhắm vào khóa riêng của người dùng, giành toàn quyền kiểm soát tài sản của họ. Sau khi lấy được chìa khóa, chúng có thể chuyển tài sản đến địa chỉ ví của chính chúng, làm trống tài khoản của nạn nhân.Báo cáoĐể biết thêm phân tích về Ví nguyên tử và hậu trường, vui lòng kiểm tra

Báo cáo

Đạt được.

danh hiệu cấp một

Lỗ hổng mới trong Hamster Wheel của Sui

Trước đây, nhóm CertiK đã phát hiện ra một loạt lỗ hổng từ chối dịch vụ trong chuỗi khối Sui. Trong số các lỗ hổng này, nổi bật nhất là một lỗ hổng mới có mức độ ảnh hưởng cao. Lỗ hổng này có thể khiến các nút mạng Sui không thể xử lý các giao dịch mới và hậu quả tương đương với việc toàn bộ mạng bị tắt hoàn toàn. CertiK đã được Sui trao giải thưởng trị giá 500.000 USD cho lỗi phát hiện ra lỗ hổng bảo mật nghiêm trọng này. CoinDesk, một phương tiện truyền thông có uy tín trong ngành ở Hoa Kỳ, đã đưa tin về vụ việc và sau đó các phương tiện truyền thông lớn cũng đưa ra tin tức liên quan sau báo cáo của họ.

Sau khi phát hiện ra lỗi, CertiK đã báo cáo cho Sui thông qua chương trình thưởng lỗi của Sui. Sui cũng phản ứng hiệu quả ngay từ đầu, xác nhận mức độ nghiêm trọng của lỗ hổng và tích cực thực hiện các biện pháp tương ứng để khắc phục sự cố trước khi ra mắt mainnet.Báo cáoVui lòng kiểm tra chi tiết

Báo cáo

Nhận nội dung văn bản và video.

danh hiệu cấp một

Lỗ hổng cấp máy chủ dựa trên ví MPC

Tính toán nhiều bên (MPC) là một phương pháp mã hóa cho phép nhiều người tham gia thực hiện tính toán trên một chức năng của đầu vào của họ trong khi vẫn bảo toàn quyền riêng tư của những đầu vào đó. Mục tiêu của nó là đảm bảo rằng những thông tin đầu vào này không được chia sẻ với bất kỳ bên thứ ba nào. Công nghệ này có nhiều ứng dụng đa dạng, bao gồm khai thác dữ liệu bảo đảm quyền riêng tư, đấu giá an toàn, dịch vụ tài chính, học máy an toàn của nhiều bên cũng như chia sẻ bí mật và mật khẩu an toàn.

Nhóm Skyfall đã kịp thời báo cáo lỗ hổng này cho ZenGo theo nguyên tắc tiết lộ có trách nhiệm. Sau khi nhận ra mức độ nghiêm trọng của sự cố, nhóm bảo mật của ZenGo đã nhanh chóng hành động để khắc phục. Để ngăn chặn khả năng bị tấn công, lỗ hổng đã được khắc phục ở cấp độ API của máy chủ nên không cần cập nhật mã máy khách. ZenGo đã công khai thừa nhận những phát hiện này sau khi sửa lỗi hoàn tất và cảm ơn CertiK vì vai trò quan trọng của nó trong việc tăng cường tính bảo mật và độ tin cậy của ví dựa trên MPC.Báo cáoVui lòng kiểm tra chi tiết