jakiro
Autor de este capítulo: Equipo de investigación de Beosin Eaton
1. Un resumen de la tendencia de seguridad de Web3 blockchain en la primera mitad de 2024
Según el monitoreo de alerta de Beosin y la advertencia temprana,P3 2024 Las pérdidas totales causadas por los piratas informáticos, las estafas de phishing y la tira de la alfombra del partido del proyecto han alcanzado$ 730 millones.Entre ellos, hubo 23 ataques principales, con una pérdida total de aproximadamente US $ 430 millones;
Las pérdidas causadas por el phishing en el tercer trimestre de 2024 aumentaron significativamente, y el ataque continuó disminuyendo en la primera mitad del año en comparación con la extracción de alfombras.
A juzgar por los tipos de proyectos atacados, el tipo de proyecto con las pérdidas más altas es CEX.
A juzgar por el monto de la pérdida de cada cadena, Ethereum sigue siendo la cadena con la mayor cantidad de pérdida y la mayor cantidad de ataques.Los 21 ataques y incidentes de phish en Ethereum causaron $ 348 millones en pérdidas, lo que representa aproximadamente el 47.6% de las pérdidas totales.
A juzgar por los métodos de ataque, hubo 5 incidentes de fuga clave privados en el tercer trimestre, lo que causó pérdidas de US $ 305 millones, lo que representa aproximadamente el 41.7% de la pérdida total de ataque, que es la mayor proporción del tipo de ataque.
A juzgar por el flujo de fondos, solo alrededor de $ 16.9 millones de los fondos robados se congelaron o recuperaron.La gran mayoría (alrededor del 78.9%) de los fondos robados todavía se almacenan en el ataque
Dirección en cadena de la persona.
A juzgar por la situación de auditoría, entre los proyectos atacados, la proporción de proyectos auditados ha aumentado.
2. Tipos de elementos atacados
CEX es el tipo de artículo con la mayor pérdida
En el tercer trimestre de 2024, el tipo de proyecto con las pérdidas más altas fue CEX, y tres ataques contra CEX causaron un total de aproximadamente US $ 297 millones en pérdidas, lo que representa el 40.6% de todas las pérdidas de ataque.Aunque el número de incidentes de seguridad CEX no es muchos, la cantidad de dinero se roba cada vez es enorme, destacar la situación actual de seguridad del ecosistema de intercambio no es optimista.
El tipo de víctima que sigue el segundo lugar en la pérdida es la billetera del usuario.Ocho ataques de phishing e ingeniería social en las billeteras del usuario causaron aproximadamente US $ 295 millones en pérdidas a los usuarios comunes, lo que representa aproximadamente el 40.3%.En comparación con la primera mitad de 2024, los ataques y pérdidas causadas por el Q3 contra los usuarios comunes han aumentado significativamente.
Entre los 23 incidentes de piratería, se produjeron un total de 12 incidentes en el campo Defi, lo que representa aproximadamente el 52.1%, lo que lo convierte en el tipo de proyecto con la mayor cantidad de ataques. clasificación entre todos los proyectos.
Otros tipos de proyectos que son atacados incluyen: infraestructura, fichas, etc.Entre ellos, la cantidad de pérdidas causadas por ataques en cadenas públicas y puentes de cadena cruzada alcanzó los US $ 85 millones, clasificando el tercero entre todos los tipos de proyectos.
3. Cantidad de pérdida de cada cadena
Ethereum es la cadena con la mayor pérdida y la mayor cantidad de ataquesSimilar a la primera mitad de 2024, en el tercer trimestre, Ethereum sigue siendo la cadena pública con la mayor pérdida.21 ataques y incidentes de phish en Ethereum causaron $ 348 millones en pérdidas, lo que representa el 47.6% de las pérdidas totales.
La cadena pública con el segundo monto de pérdida más grande es BTC, con una pérdida total de US $ 238 millones, lo que representa aproximadamente el 32.5% de la pérdida total.La cantidad de BTC perdido proviene de un ataque de ingeniería social en una dirección de ballena gigante.
La tercera cadena pública clasificada por la pérdida es Luna ($ 65 millones), y el atacante explotó una vulnerabilidad de reingreso en la devolución de llamada de tiempo de espera de IBC-Hooks para atacar a Luna.
Según el número de incidentes de seguridad, los dos principales son Ethereum (21 veces) y la cadena BNB (4 veces).El número de incidentes de seguridad en cada ecosistema de cadena ha disminuido en comparación con la primera mitad del año.
4. Análisis de métodos de ataque
Alrededor del 41.7% de la pérdida proviene de incidentes de fuga clave privados
En el tercer trimestre de 2024, hubo 5 incidentes de fuga clave privados, causando pérdidas de US $ 305 millones, lo que representa aproximadamente el 41.7% de las pérdidas totales de ataque.Al igual que en la primera mitad del año, las pérdidas causadas por el incidente de fuga clave privada siguen siendo las primeras entre todos los tipos de ataques.Los incidentes de fuga de clave privada que causaron pérdidas importantes incluyen: Wazirx (US $ 230 millones), Bingx (US $ 45 millones) e IndoDax (US $ 22 millones).
El segundo método de ataque de clasificación es un ataque de ingeniería social, con un ataque de ingeniería social que causa una pérdida de US $ 238 millones.
Entre los 23 ataques, 18 de ellos fueron explotados de las vulnerabilidades contractuales, lo que representa alrededor del 78%.La pérdida total de explotación del contrato alcanzó los US $ 128 millones, clasificando el tercero.
Según la segmentación de vulnerabilidad, las tres vulnerabilidades principales que causaron pérdidas son: vulnerabilidades de reingreso (US $ 93.46 millones), vulnerabilidades de lógica comercial (alrededor de US $ 2.09 millones) y vulnerabilidades de verificación (US $ 10.01 millones).La vulnerabilidad más común es una vulnerabilidad de la lógica empresarial, y 7 de los 18 ataques de vulnerabilidad al contrato fueron vulnerabilidades de lógica comercial.
5. Revisión de eventos típicos contra el lavado de dinero
5.1 Beosin Trace Tracks and Analysis of Li.Fi Events
El 16 de julio, según la vigilancia de la alerta de Beosin, se descubrió que el protocolo de cadena cruzada LI.FI fue atacado.
Hay una función DepositTogAsziperc20 en el contrato del proyecto LI.FI, que puede convertir el token especificado en monedas de plataforma y depositarlo en el contrato de Gaszip. Esta función para llamar.
Además de la vulnerabilidad del contrato en la llamada, este incidente tiene otro punto notable, a saber, el problema de configuración del contrato facetario en modo de diamante.Un análisis posterior encontró que el contrato de Gaszipfacet se desplegó 5 días antes del ataque y registrado por el administrador de múltiples firmaciones del proyecto en el contrato principal de LI.FI más de diez horas antes del ataque.
Por lo tanto, a través de este incidente, podemos encontrar que la seguridad de los nuevos contratos funcionales debe recibir mucha atención a los modos actualizables como Diamond.
Beosin Trace rastreó los fondos robados y descubrió que las pérdidas incluyeron USDT 6.3359 millones, USD 3.1919 millones, USD 169,500 DAI, aproximadamente USD 10 millones.
Beosin Trace: el flujo de fondos robados
5.2 Análisis del evento robado de US $ 235 millones en Indian Exchange Wazirx
El 18 de julio, según la advertencia de vigilancia de alerta de Beosin, se descubrió que el intercambio indio Wazirx fue atacado. Para robar activos.
Beosin Trace rastrea los fondos robados, y el gráfico optimizado de los fondos robados.
Beosin Trace: el diagrama de flujo de los fondos robados
Por otro lado, el hacker transfirió 801 mil millones de Shibs a la dirección 0x35fe … 745CA, con un valor de hasta US $ 14.02 millones, y los vendió en lotes.
6. Análisis del flujo de fondos de activos robados
Según el análisis de la plataforma anti-lavado de dinero Beosin KYT, solo US $ 16.9 millones de los fondos robados se congelaron o se recuperaron en el tercer trimestre de 2024.Esta proporción ha disminuido significativamente en comparación con la primera mitad del año.
Alrededor de $ 577 millones (aproximadamente 78.9%) de los fondos robados permanecen en la dirección del hacker.A medida que los reguladores globales aumentan sus esfuerzos contra el lavado de dinero, se vuelve más difícil para los piratas informáticos limpiar el dinero robado, por lo que un número considerable de piratas informáticos elige retener temporalmente los fondos robados en la dirección en la cadena.
Se han transferido alrededor de US $ 102 millones de fondos robados a varios intercambios, lo que representa aproximadamente el 13,9%, que es más alto que en la primera mitad de 2024.
Se transfirieron un total de US $ 34.713 millones (5.4%) al mezclador de divisas.En comparación con la primera mitad del año, los fondos robados que se limpiaron a través del mezclador de monedas en el tercer trimestre de 2024 se han reducido significativamente nuevamente.
7. Análisis de la situación de auditoría del proyecto
La proporción de fiestas de proyectos auditados ha aumentado
En el tercer trimestre de 2024, entre los 23 ataques, las partes del proyecto en 4 incidentes no fueron auditadas, y las partes del proyecto en 16 incidentes fueron auditadas.La proporción de partidos de proyectos auditados es más alta que en la primera mitad del año, lo que muestra que las partes generales de los proyectos de la industria Web3 han aumentado su importancia para la seguridad.
Entre los 4 proyectos no auditados, las vulnerabilidades contractuales representaron 3 (75%).Entre los 16 proyectos auditados, las vulnerabilidades contractuales representaron 11 (68.75%).La proporción general de los dos es aproximadamente la misma.En comparación con la primera mitad del año, la calidad general de la auditoría de seguridad disminuyó en 2024.
8. Resumen de la tendencia de seguridad de Web3 blockchain en la primera mitad de 2024
En comparación con el mismo período en 2023, las pérdidas totales causadas por los ataques de los piratas informáticos, las estafas de phishing y el tirón de la alfombra del partido del proyecto cayeron ligeramente en el tercer trimestre de 2024, alcanzando US $ 730 millones (la cifra fue de US $ 889 millones en el tercer trimestre de 2023).Factores como la disminución del precio de la moneda en el tercer trimestre en 2024 tienen un cierto impacto en la reducción de la cantidad total, pero en general, la situación en el campo de seguridad de Web3 aún no es optimista.
Al igual que la primera mitad del año, el tipo de ataque que causó el mayor daño en el tercer trimestre de 2024 sigue siendo una fuga de clave privada.Alrededor del 41.7% de la pérdida proviene de incidentes de fuga clave privados.Desde la perspectiva de los tipos de proyectos, los incidentes de fuga clave privados se extienden en todas las áreas de Web3: plataformas de juego, contratos de token, billeteras personales, infraestructura, intercambios, etc.Todas las fiestas de proyectos de Web3/usuarios individuales deben estar atentos, almacenar las claves privadas fuera de línea, usar múltiples firmas, usar servicios de terceros cuidadosamente y proporcionar capacitación de seguridad regular para empleados privilegiados.
En el tercer trimestre, solo el 5.4% de los activos robados se transfirieron a varios mezcladores de monedas, y otro 78.9% de los activos aún se conservaron en la dirección del pirata informático, lo que ilustra aún más la creciente dificultad de los piratas informáticos en la limpieza de dinero robado.
En el tercer trimestre, el 13.9% de los fondos robados todavía se transfirieron a varios intercambios, lo que requería que el intercambio identifique el comportamiento de piratería de manera oportuna y coopere activamente con las agencias de aplicación de la ley y las partes de los proyectos para congelar los fondos y realizar ajustes de certificación.En la actualidad, la cooperación entre el intercambio y las agencias de aplicación de la ley, los partidos de proyectos y los equipos de seguridad han logrado resultados relativamente obvios.
Entre los 23 ataques en el Q3, 18 de ellos todavía fueron explotados por las vulnerabilidades de contrato.
