Beosin: Đánh giá tình hình bảo mật chuỗi khối Web3 quý 1 năm 2024 và phân tích chống rửa tiền
Tác giả gốc: Nhóm nghiên cứu Beosin Mario, Tian Daxia Donny
Nguồn gốc: Beosin
1. Tổng quan về tình hình bảo mật blockchain Web3 trong Quý 1 năm 2024
Theo giám sát và cảnh báo sớm của Beosin Alert,Trong quý đầu tiên của năm 2024, tổng thiệt hại trong lĩnh vực Web3 do các cuộc tấn công của hacker, lừa đảo lừa đảo và Rug Pull của các bên dự án lên tới 778 triệu USD.Trong số đó, có 39 vụ tấn công lớn, với tổng thiệt hại khoảng 617 triệu USD; 43 vụ Rug Pull liên quan đến các bên tham gia dự án, với tổng thiệt hại khoảng 75,5 triệu USD; và các vụ lừa đảo lừa đảo, với tổng thiệt hại khoảng 86,24 USD. triệu.
Tổng thiệt hại trong quý đầu tiên của năm 2024 là khoảng 778 triệu USD, tăng khoảng 126% so với cùng kỳ năm ngoái và tăng khoảng 72% so với tháng trước. Trong số đó, số tiền thiệt hại do các cuộc tấn công của hacker cao hơn bất kỳ quý nào trong năm 2023.
Tổng thiệt hại trong tháng 2 lên tới 422 triệu USD, tháng lỗ cao nhất trong quý 1 năm 2024.
Đánh giá về các loại dự án đang bị tấn công,Lần đầu tiên, nền tảng chơi game trở thành loại dự án có mức thua lỗ cao nhất. Sáu cuộc tấn công nhằm vào nền tảng chơi game Web3 đã gây ra tổng thiệt hại 365 triệu USD, chiếm 59% tổng thiệt hại do các cuộc tấn công.
Đánh giá từ số lượng tổn thất trong mỗi chuỗi,Ethereum vẫn là chuỗi có số tổn thất cao nhất và bị tấn công nhiều nhất. 18 cuộc tấn công vào Ethereum đã gây thiệt hại 342 triệu USD, chiếm 55,4% tổng thiệt hại.
Xét về phương pháp tấn công,Tổng cộng có 13 vụ rò rỉ khóa riêng đã xảy ra trong quý này, gây thiệt hại 458 triệu USD, chiếm 74,3% tổng thiệt hại do tấn công, khiến đây là loại tấn công có tỷ lệ cao nhất.
Dưới góc độ dòng vốn,Phần lớn tài sản bị đánh cắp đã được phong tỏa và thu hồi trong quý. Khoảng 303 triệu USD (49,2%) số tiền bị đánh cắp đã bị phong tỏa và 79,45 triệu USD (12,9%) số tiền bị đánh cắp đã được thu hồi.
Xét tình hình kiểm toán,Trong số các dự án bị tấn công, tỷ lệ các bên tham gia dự án được kiểm toán đã tăng lên.
2. Tổng quan về các cuộc tấn công Q1 năm 2024
39 cuộc tấn công lớn gây thiệt hại tổng cộng 616,7 triệu USD
Trong quý đầu tiên của năm 2024, Beosin Alert đã phát hiện tổng cộng 39 cuộc tấn công lớn trong lĩnh vực Web3, với tổng thiệt hại là 616,7 triệu USD. Trong đó, có 2 sự cố an ninh với thiệt hại trên 100 triệu USD, 5 sự cố gây thiệt hại từ 10 triệu đến 100 triệu USD và 21 sự cố gây thiệt hại từ 1 triệu đến 10 triệu USD.
Các cuộc tấn công với tổn thất vượt quá 10 triệu đô la Mỹ (sắp xếp theo số tiền):
PlayDapp - 290 triệu USD
Phương thức tấn công: Nền tảng chuỗi rò rỉ khóa riêng: Ethereum
Vào ngày 9 tháng 2, nền tảng trò chơi blockchain PlayDapp đã bị tấn công và địa chỉ của hacker đã tạo ra 200 triệu mã thông báo pla trị giá 36,5 triệu đô la. Các cuộc đàm phán giữa PlayDapp và hacker đã thất bại và hacker đã đúc thêm 1,59 tỷ token PLA trị giá 253,9 triệu USD vào ngày 12 tháng 2 và gửi một phần số tiền đến sàn giao dịch Gate.io. Sau đó, nhóm dự án đã đình chỉ hợp đồng PLA và chuyển mã thông báo PLA sang mã thông báo PDA.
Chris Larsen (đồng sáng lập Ripple) - 112 triệu USD
Phương thức tấn công: Rò rỉ khóa riêng Nền tảng chuỗi: XRP
Vào ngày 31 tháng 1, người đồng sáng lập Ripple, Chris Larsen, cho biết 4 ví của anh đã bị hack và tổng cộng khoảng 112 triệu USD đã bị đánh cắp. Nhóm Binance đã đóng băng thành công số XRP trị giá 4,2 triệu USD bị kẻ tấn công đánh cắp.
Munchables - 62,3 triệu USD
Phương thức tấn công: nền tảng chuỗi kỹ thuật xã hội: Vụ nổ
Vào ngày 26 tháng 3, Munchables, một nền tảng chơi game Web3 dựa trên Blast, đã bị tấn công, dẫn đến thiệt hại khoảng 62,5 triệu USD. Người ta nghi ngờ nhóm dự án bị tấn công vì đã thuê hacker Triều Tiên làm nhà phát triển. Tất cả số tiền bị đánh cắp sau đó đã được tin tặc trả lại.
FixFloat - 26,1 triệu USD
Phương thức tấn công: Chuỗi lỗ hổng cấu trúc bảo mật Nền tảng: Ethereum
Vào ngày 17 tháng 2, sàn giao dịch tiền điện tử FixFloat đã bị tấn công và mất khoảng 26,1 triệu USD. Các hacker đã chuyển phần lớn số tiền bị đánh cắp sang sàn giao dịch eXch. Vào ngày 20 tháng 2, FixFloat tuyên bố rằng cuộc tấn công không phải do nhân viên của chúng tôi gây ra, mà là một cuộc tấn công từ bên ngoài do lỗ hổng trong cấu trúc bảo mật của chúng tôi gây ra.
Hệ sinh thái Curio - 16 triệu USD
Phương thức tấn công: Lỗ hổng hợp đồng - Chuỗi lỗ hổng kiểm soát truy cập Nền tảng: Ethereum
Vào ngày 23 tháng 3, hệ sinh thái Curio cơ sở hạ tầng RWA đã bị tấn công, gây thiệt hại khoảng 16 triệu USD.
Somesing - 11,58 triệu USD
Phương thức tấn công: Nền tảng chuỗi rò rỉ khóa riêng: Klaytn
Vào ngày 27 tháng 1, dịch vụ âm nhạc xã hội Web3 của Hàn Quốc đã bị tấn công và mất 730 triệu token SSX, trị giá 11,58 triệu USD.
Jihoz.ron (Đồng sáng lập Ronin) - 10 triệu USD
Phương thức tấn công: Nền tảng chuỗi rò rỉ khóa riêng: Ronin
Vào ngày 23 tháng 2, hai địa chỉ của jihoz.ron, người đồng sáng lập Ronin, đã mất khoảng 10 triệu USD do khóa riêng của họ bị rò rỉ.
3. Các loại dự án bị tấn công
Lần đầu tiên, nền tảng chơi game trở thành loại dự án có số tiền thua lỗ cao nhất
Loại dự án có tổn thất cao nhất trong quý này là nền tảng trò chơi. Sáu cuộc tấn công nhằm vào nền tảng trò chơi Web3 đã gây ra tổng thiệt hại 365 triệu USD, chiếm 59% tổng số tổn thất do tấn công. Lần đầu tiên, nền tảng chơi game trở thành loại dự án bị tấn công với mức thiệt hại cao nhất.
Loại nạn nhân phổ biến thứ hai là ví cá nhân. Hai vụ trộm ví cá nhân gây thiệt hại 122,5 triệu USD. Cả hai trường hợp trộm ví cá nhân đều bị đánh cắp từ những người đồng sáng lập của các bên dự án nổi tiếng (Ripple Lianchuang và Ronin Lianchuang).
Trong số 39 vụ tấn công của hacker, có tổng cộng 17 sự cố xảy ra trong lĩnh vực DeFi, chiếm xấp xỉ 43,6%. 17 cuộc tấn công DeFi này dẫn đến tổng thiệt hại là 39,96 triệu USD, đứng thứ ba trong số tất cả các loại dự án.
Các loại dự án khác bị tấn công bao gồm: DEX, cơ sở hạ tầng, nền tảng thanh toán, nền tảng âm nhạc Web3, v.v.
4. Số tiền thua lỗ trên mỗi chuỗi
Ethereum là chuỗi có số tổn thất cao nhất và có nhiều cuộc tấn công nhất.
Giống như năm 2023, Ethereum vẫn là chuỗi công khai có số tiền thua lỗ cao nhất. 18 cuộc tấn công vào Ethereum đã gây thiệt hại 342 triệu USD, chiếm 55,4% tổng thiệt hại.
Chuỗi công khai có số tiền lỗ lớn thứ hai là XRP, xuất phát từ ví bị đánh cắp của người đồng sáng lập Ripple, Chris Larsen.
Chuỗi công khai có số tiền thua lỗ lớn thứ ba là Blast. Ba cuộc tấn công vào chuỗi Blast đã gây ra tổng thiệt hại 67,5 triệu USD.Chuỗi vụ nổ đứng đầu trong số các chuỗi công cộng mới nổi lớn về số lượng tổn thất.
Chỉ có 4 sự cố bảo mật lớn xảy ra trong Chuỗi BNB trong quý này, với thiệt hại xấp xỉ 8,01 triệu USD, cả số lượng tổn thất và số sự cố được xếp hạng đều giảm đáng kể so với năm 2023.
5. Phân tích kỹ thuật tấn công
74,3% tổn thất đến từ rò rỉ khóa riêng
Tổng cộng có 13 vụ rò rỉ khóa riêng đã xảy ra trong quý này, gây thiệt hại 458 triệu USD, chiếm 74,3% tổng thiệt hại do tấn công. Giống như năm 2023, những tổn thất do rò rỉ khóa riêng vẫn đứng đầu trong số tất cả các loại tấn công. Các vụ rò rỉ khóa riêng gây thiệt hại lớn bao gồm: PlayDapp (290 triệu USD), đồng sáng lập Ripple Chris Larsen (112 triệu USD), Somesing (11,58 triệu USD) và đồng sáng lập Ronin Jihoz.ron (10 triệu USD).
Trong số 39 vụ tấn công, có 21 vụ đến từ việc khai thác lỗ hổng theo hợp đồng, với tổng thiệt hại lên tới 65,56 triệu USD, đứng thứ hai.
Phương thức tấn công có số tổn thất cao thứ ba là các cuộc tấn công kỹ thuật xã hội, với ba cuộc tấn công kỹ thuật xã hội gây thiệt hại khoảng 65 triệu USD.
Chia theo các lỗ hổng, ba lỗ hổng hàng đầu gây thiệt hại là: lỗi thuật toán (22,78 triệu USD), lỗ hổng kiểm soát truy cập (16,32 triệu USD) và lỗ hổng logic kinh doanh (11,28 triệu USD). Các lỗ hổng có tần suất xuất hiện cao nhất là các lỗ hổng logic nghiệp vụ và 7 trong số 21 cuộc tấn công vào lỗ hổng hợp đồng là các lỗ hổng logic nghiệp vụ.
6. Phân tích, rà soát các vụ việc chống rửa tiền điển hình
Atom Asset (AAX) né tránh phân tích chống rửa tiền (AML)
Gần đây, Atom Asset (AAX), một sàn giao dịch ở Hồng Kông không còn tồn tại, đã bắt đầu chuyển tiền từ ví của mình sang các sàn giao dịch phi tập trung và nền tảng tập trung khác nhau, được cho là nhằm trốn tránh các biện pháp kiểm soát chống rửa tiền (AML). Trước khi bị phát hiện, các giao dịch được biết đến gần đây nhất liên quan đến ví sàn giao dịch AAX xảy ra vào tháng 10 năm 2023 và tháng 11 năm 2022. Trước khi sụp đổ, AAX là một trong những sàn giao dịch tiền điện tử lớn nhất ở Hồng Kông, với hơn 2 triệu người dùng.
Theo phân tích của nhóm Beosin, người ta thấy rằng kể từ ngày 29 tháng 1 năm 2024, sàn giao dịch AAX bắt đầu chuyển 25.100 ETH ra khỏi ví sàn giao dịch của mình, số tiền chuyển được chia thành ba giao dịch, một giao dịch là 500 ETH, một giao dịch là 600 ETH. mỗi giao dịch và 24.000 ETH mỗi giao dịch. Việc chuyển nhượng có giá trị hơn 74 triệu USD dựa trên giá hiện tại.
Toàn cảnh sự cố sàn giao dịch AAX
Vào ngày 13 tháng 11 năm 2022, chỉ hai ngày sau khi sàn giao dịch tiền điện tử FTX nộp đơn xin phá sản, AAX cũng đã ngừng rút tiền và xóa tất cả các kênh xã hội do rủi ro đối tác. Ban đầu, AAX cho rằng việc đóng băng là do các biện pháp bảo mật chống lại một cuộc tấn công độc hại bị cáo buộc.
Vào ngày 15 tháng 11 năm 2022, sàn giao dịch AAX đã đưa ra một tuyên bố cho biết nền tảng của họ cần được bảo trì và ngoài việc tạm dừng rút tiền, các công cụ phái sinh sẽ tự động được thanh lý. Kể từ đó, AAX đã ngừng hoạt động trên nền tảng và cập nhật trên mạng xã hội.
Điều kỳ lạ là: sau 426 ngày im lặng, ví trao đổi AAX bắt đầu hoạt động và một lượng lớn tiền bắt đầu được chuyển sang các địa chỉ khác, cố gắng tránh sự nhận dạng và giám sát của các công cụ AML!
link: https://etherscan.io/address/0x56c1319b31a5316a327bd889d58c8633b204536c
Phân tích tiền trên chuỗi sự kiện trao đổi AAX
Nền tảng phân tích chống rửa tiền Beosin KYT đã tiến hành nghiên cứu chuyên sâu về các hoạt động trực tuyến gần đây trên ví sàn giao dịch AAX và phát hiện ra một loạt hoạt động rủi ro. Đầu tiên, tất cả 25.100 ETH đã được chuyển, các nhà khai thác đã thực hiện nhiều cách khác nhau để chuyển đổi một phần ETH thành USDT, sau đó chuyển tiền sang các chuỗi khối khác nhau thông qua các cầu nối chuỗi chéo để làm sạch tiền.
Nền tảng chống rửa tiền Beosin KYT
Hầu hết số tiền đã được chuyển sang chuỗi khối Tron, được chuyển qua một số địa chỉ và sau đó được giải quyết ở một số địa chỉ mà không bao giờ được chuyển. Hành vi này thể hiện nỗ lực rõ ràng nhằm trốn tránh AML và che giấu nguồn gốc và đích đến thực sự của số tiền.
Nền tảng chống rửa tiền Beosin KYT
Cảnh sát Hồng Kông đã hành động nhanh chóng chống lại vụ lừa đảo, bắt giữ hai người có liên quan đến AAX và hiện đang làm việc để vạch ra lộ trình chuyển tiền và thu hồi tài sản của những người dùng bị ảnh hưởng.
AAX Exchange sử dụng các phương tiện kỹ thuật như trao đổi phi tập trung, trao đổi tiền điện tử và cầu nối chuỗi chéo để cố gắng che khuất đường đi và nguồn của dòng vốn. Điều này tạo ra những thách thức đáng kể cho các cơ quan quản lý và nền tảng phân tích AML.
7. Phân tích dòng tiền của tài sản bị đánh cắp
Phần lớn tài sản trộm cắp đã bị phong tỏa và thu hồi
Theo phân tích của nền tảng chống rửa tiền Beosin KYT, trong số số tiền bị đánh cắp trong quý đầu tiên năm 2024, khoảng 303 triệu USD (49,2%) số tiền bị đánh cắp đã bị đóng băng và 79,45 triệu USD (12,9%) số tiền bị đánh cắp. vốn đã được thu hồi. Tỷ lệ này cao hơn đáng kể so với năm 2023.
Khoảng 105,5 triệu USD số tiền bị đánh cắp đã được chuyển sang nhiều sàn giao dịch khác nhau, chiếm khoảng 17,1%. So với năm 2023, tỷ lệ tin tặc chuyển số tiền bị đánh cắp sang các sàn giao dịch đã tăng đáng kể trong năm nay. Điều này đặt ra các yêu cầu cao hơn đối với việc tuân thủ và chống rửa tiền của các sàn giao dịch.
Tổng cộng 30,12 triệu USD (4,9%) đã được chuyển sang các máy trộn: 29,9 triệu USD đã được chuyển sang Tornado Cash; 216.000 USD đã được chuyển sang các máy trộn khác. So với năm ngoái, số tiền bị đánh cắp được rửa thông qua việc trộn tiền trong quý đầu tiên của năm 2024 đã giảm đáng kể.
8. Phân tích tình hình kiểm toán dự án
Tỷ lệ các bên tham gia dự án được kiểm toán đã tăng lên
Trong số 39 sự cố tấn công, 12 sự cố của các bên dự án chưa được kiểm tra và 24 sự cố của các bên dự án đã được kiểm toán. Tỷ lệ các bên dự án được kiểm toán cao hơn một chút so với năm 2023, điều này cho thấy các bên dự án trong toàn bộ ngành Web3 đã tăng cường chú trọng đến bảo mật.
Trong số 12 dự án chưa được kiểm toán, sự cố lỗ hổng hợp đồng chiếm 8 trường hợp (66,7%). Để so sánh, sự cố lỗ hổng hợp đồng chiếm 13 (54,2%) trong số 24 dự án được kiểm toán. Điều này cho thấy việc kiểm toán có thể cải thiện tính bảo mật của dự án ở một mức độ nhất định.
9. Phân tích kéo thảm
43 Sự cố kéo thảm gây thiệt hại 75,5 triệu USD
Trong quý đầu tiên của năm 2024, tổng số 43 sự cố kéo thảm của các bên tham gia dự án đã được phát hiện, liên quan đến tổng số tiền là 75,5 triệu USD.
Năm sự kiện Rug pull hàng đầu với số tiền thua lỗ lớn nhất là: Bitforex (56,5 triệu USD), Hector Network (2,7 triệu USD), MangoFarm (2 triệu USD), OrdiZK (1,4 triệu USD), RiskOnBlast (1,3 triệu USD). Năm sự kiện Rug Pull này được phân phối thành bốn chuỗi: Ethereum, Fantom, Solana và Blast.
Tổng số tiền liên quan đến Rug Pull trên chuỗi Ethereum đạt 59,68 triệu đô la Mỹ, chiếm 79% tổng số thiệt hại. Số lượng sự kiện Rug Pull xảy ra nhiều nhất trên chuỗi BNB Chain, với tổng số 29 lần, chiếm 67,4% tổng số sự kiện.
10. Tóm tắt tình hình bảo mật blockchain Web3 trong Quý 1 năm 2024
So với quý trước, tổng thiệt hại do các cuộc tấn công của hacker, lừa đảo lừa đảo và Rug Pull của các bên dự án gây ra trong quý đầu tiên của năm 2024 đã tăng đáng kể, đạt 778 triệu USD. Việc tăng giá tiền tệ trong quý này có tác động nhất định đến sự gia tăng tổng số tiền, nhưng nhìn chung, tình hình trong lĩnh vực bảo mật Web3 vẫn không mấy khả quan.
Kiểu tấn công có hại nhất trong quý này là rò rỉ khóa riêng.Khoảng 74,3% tổn thất đến từ rò rỉ khóa riêng, một xu hướng phù hợp với dữ liệu năm 2023.Từ góc độ các loại dự án, rò rỉ khóa riêng xảy ra trong nhiều lĩnh vực khác nhau của Web3: nền tảng trò chơi, DeFi, ví cá nhân, cơ sở hạ tầng, NFT, nền tảng thanh toán, nền tảng cờ bạc, nền tảng lưu trữ dữ liệu, v.v.Tất cả các bên/người dùng cá nhân trong dự án Web3 cần phải cảnh giác hơn, lưu trữ khóa riêng ngoại tuyến, sử dụng nhiều chữ ký, thận trọng khi sử dụng dịch vụ của bên thứ ba và tiến hành đào tạo bảo mật thường xuyên cho nhân viên có đặc quyền.
Hầu hết tài sản đã bị phong tỏa và phục hồi trong quý này.Điều này đánh dấu sự cải thiện của hệ thống quản lý toàn cầu và tăng cường các nỗ lực chống rửa tiền. Trong quý này, tỷ lệ hacker chuyển số tiền bị đánh cắp sang các sàn giao dịch cũng tăng lên đáng kể, điều này đòi hỏi các sàn giao dịch phải kịp thời xác định hành vi hack và tích cực hợp tác với các cơ quan thực thi pháp luật và các bên tham gia dự án để phong tỏa quỹ và tiến hành xác minh.Hiện tại, sự hợp tác giữa sàn giao dịch và các cơ quan thực thi pháp luật, các bên dự án và đội bảo mật đã đạt được những kết quả đáng kể, người ta tin rằng sẽ có nhiều tiền bị đánh cắp hơn trong tương lai.
Trong số 39 vụ tấn công trong quý này,Vẫn còn 21 trường hợp khai thác lỗ hổng theo hợp đồng, đề nghị nhóm dự án tìm kiếm một công ty bảo mật chuyên nghiệp để kiểm tra trước khi đưa lên mạng.Là một công ty bảo mật blockchain hàng đầu thế giới, Beosin cam kết phát triển an toàn hệ sinh thái Web3. Công ty đã kiểm toán hơn 3.000 hợp đồng thông minh và mạng chính của chuỗi công cộng. Là một công ty bảo mật blockchain đáng tin cậy, Beosin có thể cung cấp cho các bên dự án những dịch vụ tuyệt vời. dịch vụ kiểm toán an ninh.
