jakiro
Autor dieses Kapitels: Beosin Research Team Eaton
1. Eine Zusammenfassung des Sicherheitstrends von Web3 Blockchain in der ersten Hälfte von 2024
Nach Beosin -Alarmüberwachung und Frühwarnung,,Q3 2024 Die Gesamtverluste, die von Hackern, Phishing -Betrug und Project Party Teppich Pull verursacht wurden730 Millionen Dollar.Unter ihnen gab es 23 große Angriffe mit einem Totalverlust von rund 430 Millionen US -Dollar.
Die durch Phishing in Q3 2024 verursachten Verluste nahmen signifikant zu, und der Angriff nahm im ersten Halbjahr des Jahres im Vergleich zum Abzug von Teppichen weiter ab.
Nach den Arten von angegriffenen Projekten zu urteilen, ist die Art des Projekts mit den höchsten Verlusten CEX.
Nach dem Verlustbetrag jeder Kette ist Ethereum immer noch die Kette mit dem höchsten Verlustbetrag und den meisten Angriffen.Die 21 Angriffe und Phishing -Vorfälle auf Ethereum verursachten Verluste in Höhe von 348 Millionen US -Dollar und machten etwa 47,6% der Gesamtverluste aus.
Nach den Angriffsmethoden zu urteilen, gab es im dritten Quartal 5 private wichtige Leckagen, was zu Verlusten von 305 Millionen US -Dollar führte und etwa 41,7% des gesamten Angriffsverlusts ausmachte, was der höchste Anteil des Angriffstyps ist.
Nach dem Fluss von Geldern wurden nur etwa 16,9 Millionen US -Dollar der gestohlenen Mittel eingefroren oder zurückerobert.Die überwiegende Mehrheit (ca. 78,9%) der gestohlenen Fonds wird immer noch im Angriff aufbewahrt
On-Chain-Adresse der Person.
Nach der Prüfungssituation zu urteilen, dass unter den angegriffenen Projekten der Anteil der geprüften Projekte zugenommen hat.
2. Arten von angegriffenen Gegenständen
CEX ist die Art des Elements mit dem höchsten Verlust
Im zweiten Quartal 2024 war der Projekttyp mit den höchsten Verlusten CEX, und drei Angriffe gegen CEX verursachten insgesamt rund 297 Mio. USD an Verlusten, was 40,6% aller Angriffsverluste ausmachte.Obwohl die Anzahl der CEX -Sicherheitsvorfälle nicht viele ist, ist der Geldbetrag jedes Mal gestohlen, und die aktuelle Sicherheitslage des Austauschökosystems ist nicht optimistisch.
Der Opfertyp, der dem zweiten Platz im Verlust folgt, ist die Benutzerbrieftasche.Acht Phishing- und Social Engineering -Angriffe auf Benutzerbrieftaschen verursachten für normale Benutzer Verluste in Höhe von etwa 295 Millionen US -Dollar, was etwa 40,3%entspricht.Im Vergleich zur ersten Hälfte von 2024 haben sich die durch Quartal geführten Angriffe und Verluste gegen gewöhnliche Benutzer erheblich zugenommen.
Unter den 23 Hacking -Vorfällen traten im Defi -Feld insgesamt 12 Vorfälle auf und machten etwa 52,1%zur Art des Projekts mit den meisten Angriffen. Ranking unter allen Projekten.
Andere Arten von Projekten, die angegriffen werden, sind: Infrastruktur, Token usw.Unter ihnen belegte die Menge an Verlusten, die durch Angriffe auf öffentliche Ketten und breitübergreifende Brücken verursacht wurden, 85 Millionen US-Dollar, was unter allen Projekttypen den dritten Platz belegte.
3. Verlustbetrag jeder Kette
Ethereum ist die Kette mit dem höchsten Verlust und den meisten AngriffenÄhnlich wie in der ersten Hälfte von 2024 ist Ethereum im dritten Quartal immer noch die öffentliche Kette mit dem höchsten Verlust.21 Angriffe und Phishing -Vorfälle auf Ethereum verursachten Verluste in Höhe von 348 Millionen US -Dollar und machten 47,6% der Gesamtverluste aus.
Die öffentliche Kette mit dem zweitgrößten Verlustbetrag beträgt BTC mit einem Gesamtverlust von 238 Mio. USD, was etwa 32,5% des Totalverlusts ausmacht.Die Menge an BTC Lost ergibt sich aus einem Social Engineering -Angriff auf eine riesige Waladresse.
Die drittrangige öffentliche Kette für den Verlust ist Luna (65 Millionen US-Dollar), und der Angreifer nutzte eine Wiedereintrittsanfälligkeit im IBC-Hooks Timeout Callback, um Luna anzugreifen.
Gemäß der Anzahl der Sicherheitsvorfälle sind die beiden oberen beiden Ethereum (21 -mal) und BNB -Kette (4 -mal).Die Anzahl der Sicherheitsvorfälle in jedem Kettenökosystem ist im Vergleich zum ersten Jahreshälfte zurückgegangen.
4. Analyse von Angriffsmethoden
Etwa 41,7% des Verlust
Im dritten Quartal 2024 gab es 5 private wichtige Leckagefälle, was zu Verlusten von 305 Millionen US -Dollar führte und etwa 41,7% der gesamten Angriffsverluste ausmachte.Wie in der ersten Jahreshälfte sind die Verluste, die durch den Vorfall mit privatem Schlüssel verursacht werden, immer noch die erste unter allen Arten von Angriffen.Zu den privaten wichtigen Leckagen, die schwerwiegende Verluste verursachten, gehören: Wazirx (230 Millionen US -Dollar), Bingx (45 Millionen US -Dollar) und Indodax (22 Millionen US -Dollar).
Die zweitrangige Angriffsmethode ist ein Social Engineering-Angriff, wobei ein Angriff für soziale Technik einen Verlust von 238 Millionen US-Dollar verursacht.
Unter den 23 Angriffen wurden 18 von ihnen aus Vertragsanfälligkeiten ausgenutzt, was etwa 78%ausmachte.Der Totalverlust der Vertragsausbeutung belief sich auf 128 Millionen US -Dollar und belegte den dritten Platz.
Nach der Segmentierung der Verwundbarkeit sind die drei wichtigsten Schwachstellen, die Verluste verursacht haben,: Wiedereintrittsanfälligkeiten (93,46 Millionen US -Dollar), Geschäftsschulden für Geschäftslogik (etwa 2,09 Mio. USD) und Überprüfungsschwachstellen (10,01 Mio. USD).Die häufigste Sicherheitsanfälligkeit ist eine Anfälligkeit für Geschäftslogik, und 7 der 18 Vertragsanfälligkeitsangriffe waren Geschäftslogik -Schwachstellen.
5. Überprüfung der typischen Anti-Geldwäsche-Ereignisse
5.1 Beosin -Trace -Tracks und Analyse von Li.fi -Ereignissen
Laut Beosin Alert Surveillance wurde am 16. Juli festgestellt, dass das Cross-Chain-Protokoll li.fi angegriffen wurde.
Im Li.FI -Projektvertrag gibt es eine Deposittogaszipererc20 -Funktion, mit der das angegebene Token in Plattformmünzen umwandelt und in den Gaszip -Vertrag abgelegt wird. Diese Funktion, die angerufen werden muss.
Zusätzlich zur Vertragsfälligkeit im Anruf hat dieser Vorfall einen weiteren bemerkenswerten Punkt, nämlich das Konfigurationsproblem des Facettenvertrags im Diamond -Modus.Eine weitere Analyse ergab, dass der GasZipfacet-Vertrag 5 Tage vor dem Angriff eingesetzt und durch den mehr als zehn Stunden vor dem Angriff im li.fi-Hauptvertrag des Projekts des Projekts registriert wurde.
Daher können wir durch diesen Vorfall feststellen, dass die Sicherheit neuer Funktionsverträge auf die aufgerüstbaren Modi wie Diamond genau beachtet werden muss.
Beosin Trace verfolgte die gestohlenen Fonds und stellte fest, dass die Verluste 6,3359 Mio. USD, 3,1919 Mio. USD, USD 169.500 DAI, etwa 10 Millionen USD enthielten.
Beosin Trace: Der Fluss von gestohlenen Fonds
5.2 Analyse des gestohlenen Ereignisses in Höhe von 235 Millionen US -Dollar für den indischen Exchange Wazirx
Am 18. Juli wurde festgestellt, dass der indische Austausch -Wazirx die Signaturdaten der Mehrfachunterzeichnungs -Brieftaschenadministratorin des logischen Vertrags der Brieftasche erhielt, laut Beosin Alert Surveillance -Warnung, dass der Angreifer die Signaturdaten des Austauschs erhielt. Vermögenswerte mit mehr als 230 Millionen US -Dollar einbeziehen.
Beosin Trace verfolgt die gestohlenen Fonds und das optimierte Diagramm der gestohlenen Fonds.
Beosin Trace: Das Flussdiagramm von gestohlenen Fonds
Andererseits übergab der Hacker 801 Milliarden Schibien an die Adresse 0x35Fe … 745CA, einen Wert von bis zu 14,02 Millionen US -Dollar, und verkaufte sie in Chargen.
6. Analyse des Mittelflusss gestohlener Vermögenswerte
Laut Analyse der Beosin KYT-Anti-Geldwadering-Plattform wurden im dritten Quartal 2024 nur 16,9 Millionen US-Dollar der gestohlenen Fonds eingefroren oder geborgen.Dieser Anteil ist im Vergleich zur ersten Jahreshälfte signifikant gesunken.
Etwa 577 Millionen US -Dollar (ca. 78,9%) der gestohlenen Fonds bleiben an der Adresse des Hackers.Da die globalen Aufsichtsbehörden ihre Bemühungen gegen Geldwäsche erhöhen, wird es für Hacker schwieriger, gestohlenes Geld aufzuräumen, so
Etwa 102 Mio. US -Dollar an gestohlenen Fonds wurden an verschiedene Börsen übertragen, was etwa 13,9%entspricht, was höher ist als in der ersten Hälfte von 2024.
Insgesamt 34,713 Mio. USD (5,4%) wurden an den Währungsmischer übertragen.Im Vergleich zum ersten Jahreshälfte wurden die gestohlenen Fonds, die durch den Münzmischer im zweiten Quartal 2024 gereinigt wurden, erneut signifikant reduziert.
7. Analyse der Projektprüfungssituation
Der Anteil der geprüften Projektparteien hat zugenommen
Im zweiten Quartal 2024 wurden unter den 23 Angriffen die Projektparteien in 4 Vorfällen nicht geprüft und die Projektparteien in 16 Vorfällen geprüft.Der Anteil der geprüften Projektparteien ist höher als in der ersten Jahreshälfte, was zeigt, dass die Gesamtprojektparteien der Web3 -Branche ihre Bedeutung für die Sicherheit erhöht haben.
Unter den 4 ungeprüften Projekten machten Vertrags Schwachstellen 3 (75%) aus.Unter den 16 geprüften Projekten machten die Vertrags Schwachstellen 11 (68,75%) aus.Der Gesamtanteil der beiden ist ungefähr gleich.Im Vergleich zum ersten Jahr des Jahres ging die Qualität der Sicherheitsaudit im Jahr 2024 zurück.
8. Zusammenfassung des Sicherheitstrends von Web3 Blockchain in der ersten Hälfte von 2024
Im Vergleich zum gleichen Zeitraum im Jahr 2023 fielen die Totalverluste, die durch Hacker -Angriffe, Phishing -Betrug und Project Party Teppich gezogen wurden, im dritten Quartal 2024 leicht und erreichte 730 Millionen US -Dollar (die Zahl betrug 889 Millionen US -Dollar im ersten Quartal 2023).Faktoren wie der Rückgang des Währungspreises im dritten Quartal im Jahr 2024 haben einen gewissen Einfluss auf die Reduzierung des Gesamtbetrags, aber insgesamt ist die Situation im Web3 -Sicherheitsfeld immer noch nicht optimistisch.
Wie in der ersten Jahreshälfte ist die Art des Angriffs, der im dritten Quartal von 2024 den größten Schaden zugefügt hat, immer noch private Schlüsselleckage.Etwa 41,7% des Verlustes stammen aus privaten wichtigen Leckagen.Aus der Sicht der Projekttypen werden private wichtige Leckagevorfälle auf alle Bereiche von Web3 verteilt: Spielplattformen, Token -Verträge, persönliche Geldbörsen, Infrastruktur, Börsen usw.Alle Web3-Projektpartys/einzelnen Benutzer müssen wachsam sein, private Schlüssel offline speichern, mehrere Signaturen verwenden, Dienste von Drittanbietern sorgfältig nutzen und regelmäßige Sicherheitsschulungen für privilegierte Mitarbeiter anbieten.
Im dritten Quartal wurden nur 5,4% der gestohlenen Vermögenswerte auf verschiedene Münzmischer übertragen, und weitere 78,9% der Vermögenswerte wurden an der Adresse des Hackers noch beibehalten, was die zunehmende Schwierigkeit der Hacker bei der Reinigung von gestohlenem Geld weiter veranschaulicht.
Im dritten Quartal wurden 13,9% der gestohlenen Fonds weiterhin auf verschiedene Börsen übertragen, wodurch der Austausch das Hacking -Verhalten rechtzeitig identifiziert und aktiv mit Strafverfolgungsbehörden und Projektparteien zusammenfasst, um Fonds einzufrieren und Zertifizierungsanpassungen durchzuführen.Derzeit hat die Zusammenarbeit zwischen den Austausch- und Strafverfolgungsbehörden, Projektparteien und Sicherheitsteams relativ offensichtliche Ergebnisse erzielt.
Unter den 23 Angriffen im dritten Quartal wurden 18 von ihnen immer noch durch Vertragsanfälligkeiten ausgenutzt.
