Báo cáo về tình hình bảo mật chuỗi khối Web3 toàn cầu quý 1 năm 2023 và chính sách quy định quan trọng về ngành mã hóa (Phần 1)
Tiêu đề gốc: "Tin tức lớn về Beosin | Tình hình bảo mật chuỗi khối Web3 toàn cầu quý 1 năm 2023 và các chính sách điều chỉnh quan trọng cho Báo cáo ngành mã hóa (Phần 1)"
Nguồn gốc: Beosin
1 Tổng quan tình hình an ninh Web3 quý 1 năm 2023
Trong quý 1 vào năm 2023, theo nền tảng giám sát, cảnh báo sớm và chặn rủi ro bảo mật Beosin EagleEye của công ty kiểm toán bảo mật blockchain Beosin đã theo dõi tổng cộng 61 cuộc tấn công lớn trong lĩnh vực Web3, với tổng thiệt hại khoảng 295 triệu USD, giảm khoảng 77% kể từ quý 4 năm 2022. . Tổng thiệt hại trong quý 1 năm 2023 thấp hơn bất kỳ quý nào trong năm 2022.
Ngoài các cuộc tấn công, 41 sự cố Rug Pull lớn cũng được theo dõi trong quý đầu tiên của năm 2023, liên quan đến số tiền khoảng 20,34 triệu USD.
Từ khi tham gia Xét về các loại dự án tấn công, DeFi là loại dự án có tần suất tấn công cao nhất và số tiền thua lỗ lớn nhất trong quý này. Tổng thiệt hại từ 42 sự cố an ninh lên tới 248 triệu USD, chiếm 84% tổng thiệt hại.
Từ góc độ các loại nền tảng chuỗi, 80,8% tổn thất đến từ Ethereum, đứng đầu trong số tất cả các nền tảng chuỗi.
Từ góc độ phương thức tấn công, phương thức tấn công gây tổn thất cao nhất trong quý này là cuộc tấn công flash loan. Thiệt hại trong 8 sự cố flash loan là xấp xỉ 198 triệu USD; tần suất các phương thức tấn công Con số cao nhất là khai thác lỗ hổng theo hợp đồng, với 27 cuộc tấn công chiếm 44% tổng số sự cố.
Nhìn vào dòng vốn, khoảng 200 triệu USD tài sản bị đánh cắp đã được thu hồi trong quý này. Khả năng phục hồi quỹ trong quý này tốt hơn bất kỳ quý nào khác trong năm 2022.
Đánh giá từ tình hình kiểm toán, chỉ có 41% dự án bị tấn công được kiểm toán.
2 Tổng quan về các sự kiện tấn công
Quý 1 năm 2023, nguy cơ bảo mật Beosin EagleEye giám sát, Nền tảng ngăn chặn và cảnh báo sớm đã giám sát tổng cộng 61 cuộc tấn công lớn trong lĩnh vực Web3, với tổng thiệt hại khoảng 295 triệu USD. Có một sự cố bảo mật trong đó số tiền thiệt hại vượt quá 100 triệu USD (vụ tấn công cho vay nhanh Euler Finance mất 197 triệu USD). Có 2 vụ thiệt hại từ 10 triệu USD đến 100 triệu USD và 17 vụ thiệt hại từ 1 triệu USD đến 10 triệu USD.
Nhìn chung, số lượng tổn thất do tấn công trong quý đầu tiên cho thấy xu hướng tăng dần qua từng tháng. Tháng 3 là tháng thường xuyên xảy ra các cuộc tấn công, với tổng thiệt hại lên tới 235 triệu USD, chiếm 79,7% tổng thiệt hại trong quý 1.
3 Các loại dự án bị tấn công
84% số tiền thiệt hại đến từ Các loại DeFi
Thị trường tiền điện tử đã chạm đáy sau thời kỳ suy thoái kéo dài nhiều tháng và nhiều sự kiện thiên nga đen giúp loại bỏ đòn bẩy. TVL của DeFi phục hồi khi giá tiền tệ biến động trong quý đầu tiên.
Chỉ có một sự giao nhau xảy ra trong quý đầu tiên của năm 2023 Bảo mật của Chain Bridge sự cố, số tiền thiệt hại là 130.000 USD. Năm 2022, 12 sự cố an ninh cầu xuyên chuỗi đã gây ra tổng thiệt hại khoảng 1,89 tỷ USD, đứng đầu trong số tất cả các loại dự án. Sau các sự cố an ninh cầu xuyên chuỗi thường xuyên xảy ra vào năm 2022, tính bảo mật của các dự án cầu xuyên chuỗi đã được cải thiện đáng kể trong quý này.
4 Mức thiệt hại của mỗi nền tảng chuỗi
80,8% tổn thất đến từ Ethereum
Trong quý đầu tiên của năm 2023, tổng cộng 17 cuộc tấn công lớn đã xảy ra trên chuỗi Ethereum, trong đó có sự tổn thất khoảng 238 triệu đô la. Số tiền thua lỗ trên chuỗi Ethereum đứng đầu trong số tất cả các nền tảng chuỗi, chiếm khoảng 80,8%.
Chuỗi công cộng chịu tổn thất lớn thứ ba là Algorand, và tổn thất đến từ vụ trộm ví MyAlgo. Chuỗi Algorand không gặp sự cố bảo mật lớn nào vào năm 2022.
Điều đáng nói là số tiền thua lỗ trên chuỗi Solana đứng thứ ba trong số tất cả các chuỗi công khai vào năm 2022 và không có cuộc tấn công lớn nào được phát hiện trong quý này. .
5 Phân tích kỹ thuật tấn công
Phương thức tấn công gây tổn thất cao nhất trong quý này là cho vay nhanh, thiệt hại trong 8 vụ cho vay nhanh lên tới xấp xỉ 198 triệu USD, chiếm 67% tổng thiệt hại.
Trong quý đầu tiên của năm 2023, các dự án DeFi đã được triển khai Có 42 cuộc tấn công, 22 trong số đó là do khai thác lỗ hổng theo hợp đồng. Các bên tham gia dự án DeFi cần đặc biệt chú ý đến tính bảo mật của hợp đồng.
Chia theo loại lỗ hổng bảo mật, ba nguyên nhân hàng đầu gây ra nhiều thiệt hại nhất là thiết kế chức năng/logic kinh doanh không phù hợp, các vấn đề về quyền và đăng nhập lại. 17 lỗ hổng thiết kế chức năng/logic kinh doanh không phù hợp đã gây ra tổng thiệt hại 22,44 triệu USD.
Phân tích kỹ thuật tấn công trong 6 trường hợp điển hình
6.1 Sự cố an ninh tài chính Euler
Tóm tắt sự cố
Vào ngày 13 tháng 3, Euler Finance, một dự án cho vay trên chuỗi Ethereum, đã bị tấn công bởi một khoản vay nhanh, gây thiệt hại 197 triệu USD.
Vào ngày 16 tháng 3, Quỹ Euler đã trao phần thưởng trị giá 1 triệu đô la cho thông tin dẫn đến việc bắt giữ các tin tặc và trả lại số tiền bị đánh cắp.
Vào ngày 17 tháng 3, Michael Bentley, Giám đốc điều hành của Euler Labs đã tweet rằng Euler "luôn là một dự án có ý thức bảo mật". Từ tháng 5 năm 2021 đến tháng 9 năm 2022, Euler Finance đã trải qua 10 cuộc kiểm toán bởi 6 công ty bảo mật blockchain bao gồm Halborn, Solidified, ZK Labs, Certora, Sherlock và Omnisica.
Từ ngày 18 tháng 3 đến ngày 4 tháng 4, những kẻ tấn công bắt đầu trả lại tiền lần lượt. Trong khoảng thời gian này, kẻ tấn công đã xin lỗi thông qua tin nhắn trên dây chuyền, nói rằng mình đã “làm gián đoạn tiền bạc, công việc và cuộc sống của người khác” và cầu xin mọi người tha thứ.
Phân tích lỗ hổng
Trong cuộc tấn công này, chức năng donateToReserves của hợp đồng Etoken đã không kiểm tra chính xác lượng nắm giữ thực tế của người dùng Số lượng token và trạng thái sức khỏe của sổ cái của người dùng sau khi quyên góp. Kẻ tấn công đã khai thác lỗ hổng này và quyên góp 100 triệu eDAI, trong khi thực tế kẻ tấn công chỉ stake 30 triệu DAI.
Vì tình trạng sức khỏe của sổ cái của người dùng đáp ứng các điều kiện thanh lý sau khi quyên góp nên hợp đồng vay được kích hoạt để thanh lý. Trong quá trình thanh lý, eDAI và dDAI sẽ được chuyển sang hợp đồng thanh lý. Tuy nhiên, do số nợ xấu rất lớn nên hợp đồng thanh lý sẽ áp dụng mức chiết khấu tối đa cho việc thanh lý. Sau khi thanh lý, hợp đồng thanh lý có 310,93M eDAI và 259,31M dDAI.
Tại thời điểm này, tình trạng sổ cái của người dùng đã được khôi phục và người dùng có thể rút tiền. Số tiền có thể rút là chênh lệch giữa eDAI và dDAI. Nhưng thực tế chỉ có 38,9 triệu DAI trong pool nên người dùng chỉ có thể rút số tiền này.
6.2 Sự cố bảo mật BonqDAO
Tóm tắt sự kiện
Vào ngày 1 tháng 2, giao thức mã hóa BonqDAO đã hứng chịu một cuộc tấn công thao túng giá, kẻ tấn công đã đúc 100 triệu token BEUR và sau đó BEUR được trao đổi đối với các token khác trên Uniswap và giá ALBT giảm xuống gần như bằng 0, điều này càng gây ra việc thanh lý kho bạc ALBT. Dựa trên giá token tại thời điểm xảy ra vụ hack, khoản lỗ lên tới 88 triệu USD, nhưng do thanh khoản cạn kiệt nên khoản lỗ thực tế trong vụ việc là khoảng 1,85 triệu USD.
Phân tích lỗ hổng
Tổng số kẻ tấn công đã thực hiện cuộc tấn công này Ở đó Có hai kiểu tấn công, một là kiểm soát giá để cho vay số lượng lớn token, hai là kiểm soát giá thanh lý tài sản của người khác để kiếm lời.
Oracle được nền tảng BonqDAO sử dụng sử dụng hàm 『getCurrentValue』 thay vì 『getDataBefore』. Tin tặc đã trở thành người báo cáo giá bằng cách đặt cược 10 mã thông báo TRB (chỉ trị giá khoảng 175 USD) và sửa đổi giá của mã thông báo WALBT trong oracle bằng cách gọi hàm submitValue. Sau khi đặt giá, kẻ tấn công gọi hàm createTrove của hợp đồng Bonq để tạo hợp đồng trove và thế chấp 0,1 token WALBT vào hợp đồng để thực hiện các hoạt động vay. Thông thường, số tiền vay phải nhỏ hơn mức giá 0,1 WALBT để đảm bảo lãi suất thế chấp được duy trì ở mức an toàn.Tuy nhiên, trong quá trình cho vay của hợp đồng này, phương pháp tính giá trị tài sản thế chấp được thực hiện thông qua Hợp đồng TellorFlex. Ở bước trước, kẻ tấn công đã nâng giá WALBT lên mức cao bất thường, khiến kẻ tấn công phải cho vay 100 triệu token BEUR trong khoản vay này. Kẻ tấn công đặt giá WALBT thấp bất thường trong giao dịch thứ hai, do đó thanh lý mã thông báo WALBT đã đặt cọc của người dùng khác với một khoản chi phí nhỏ.
6.3 Sự cố an ninh tài chính Platypus
Tóm tắt sự cố
Ngày 17 tháng 2, Platypus Finance trên nền tảng Avalanche đã bị tấn công do cơ chế kiểm tra chức năng có vấn đề dẫn đến thiệt hại khoảng 8,5 triệu USD. Tuy nhiên, kẻ tấn công đã không thực hiện chức năng rút tiền trong hợp đồng, dẫn đến số tiền thu được từ cuộc tấn công được lưu trữ trong hợp đồng tấn công và không thể rút được.
Vào ngày 23 tháng 2, Platypus tuyên bố rằng họ đã liên hệ với Binance và xác nhận danh tính của hacker, đồng thời tuyên bố rằng họ sẽ hoàn trả ít nhất 63% số tiền cho người dùng.
Ngày 26/2, Cảnh sát Quốc gia Pháp đã bắt giữ và triệu tập hai nghi phạm trong vụ tấn công Thú mỏ vịt.
Phân tích lỗ hổng
Nguyên nhân của cuộc tấn công là MasterPlatypusV4 Có vấn đề với cơ chế kiểm tra chức năng rút tiền khẩn cấp trong hợp đồng. Nó chỉ kiểm tra xem số tiền vay của người dùng có vượt quá loanLimitUSP (giới hạn vay) của người dùng hay không, nhưng không kiểm tra xem người dùng đã trả nợ hay chưa. Kẻ tấn công lần đầu tiên cho vay 44 triệu USDC thông qua khoản vay nhanh theo hợp đồng AAVE và gửi số tiền đó vào hợp đồng Pool, sau đó đúc được 44 triệu LP-USDC. Kẻ tấn công sau đó gọi hàm đi vay để vay 41,79 triệu USP, rồi gọi ngay hàm EmergencyWithdraw.
7 Phân tích dòng vốn
Trong quý đầu tiên của năm 2023, khoảng 200.146.821 USD đã bị đánh cắp đã được thu hồi, chiếm 67,8% tổng số tài sản bị đánh cắp. Trong số đó, toàn bộ tài sản bị đánh cắp trị giá 197 triệu USD của Euler Finance đã bị tin tặc trả lại. Các ví dụ khác về việc phục hồi bao gồm: Vào ngày 13 tháng 2, hacker tấn công dForce đã trả lại tất cả 3,65 triệu đô la tiền bị đánh cắp; vào ngày 7 tháng 3, hacker mũ trắng đã tấn công Tender.fi đã trả lại số tiền bị đánh cắp và nhận được 62 tiền thưởng bằng ETH. Số tiền thu hồi được trong quý này tốt hơn bất kỳ quý nào trong năm 2022.
Đồng thời, nền tảng phân tích chống rửa tiền Beosin KYT cho thấy khoảng 60,02 triệu USD (20,3%) tài sản vẫn còn trong số dư địa chỉ của hacker. Ngoài ra còn có khoảng 9,32 triệu USD (3,1%) tài sản bị đánh cắp được chuyển đến Hầu hết các sự cố xảy ra trên sàn giao dịch là các cuộc tấn công liên quan đến số tiền nhỏ và một số ít là các sự cố lừa đảo phải mất vài ngày mới thu hút được sự chú ý của công chúng. Do ít được chú ý hoặc chú ý chậm trễ, tin tặc đã có cơ hội chuyển giao cơ hội tham gia sàn giao dịch.
8 Phân tích tình hình kiểm toán dự án
2023 Trong số các dự án đã bị tấn công trong quý đầu tiên, ngoại trừ 8 sự kiện không thể đo lường được bằng việc chúng có được kiểm toán hay không (chẳng hạn như các cuộc tấn công lừa đảo mà một số người dùng cá nhân phải chịu, v.v.), trong số các dự án bị tấn công còn lại, 28 dự án đã được kiểm toán và đã chưa được kiểm toán. 25 đã được kiểm toán.
Quý này có 27 cuộc tấn công do khai thác lỗ hổng theo hợp đồng, trong đó có 15 dự án đã được kiểm toán (thiệt hại khoảng 31,19 triệu US USD), 12 công ty không được kiểm toán (lỗ khoảng 7,86 triệu USD). Chất lượng kiểm toán toàn thị trường vẫn chưa lạc quan. Đề nghị các bên tham gia dự án phải so sánh kỹ hơn trước khi lựa chọn công ty kiểm toán. Chỉ nên chọn công ty kiểm toán chuyên nghiệp. dự án có thể an toàn và hiệu quả được bảo vệ.
9 Phân tích kéo thảm
Quý đầu tiên của năm 2023, Web3 A tổng cộng có 41 sự cố kéo thảm lớn đã được theo dõi tại hiện trường, trị giá khoảng 20,34 triệu USD.
Xét về số lượng, 6 (14,6%) sự cố Rug Pull trị giá hơn 1 triệu USD và tổng cộng 12 sự cố xảy ra trong phạm vi Hoa Kỳ. 100.000 USD đến 1 triệu USD (29,2%) và có 23 sự cố (56%) dưới 100.000 USD.
1) Phí GAS chuỗi BNB thấp hơn và khoảng thời gian chặn là ngắn hơn. 2) Chuỗi BNB có nhiều người dùng tích cực hơn. Các dự án lừa đảo sẽ ưu tiên các chuỗi công khai có nhiều người dùng tích cực. 3) Người dùng BNB Chain sử dụng Binance để gửi và rút tiền thuận tiện và nhanh chóng hơn. Nhìn chung, tổng số tổn thất do tấn công trong quý đầu tiên của năm 2023 thấp hơn bất kỳ quý nào của năm 2022 và khả năng thu hồi vốn cũng tốt hơn so với tất cả các quý của năm 2022. Sau năm 2022 tràn lan tin tặc, tính bảo mật tổng thể của lĩnh vực Web3 đã được cải thiện rất nhiều trong quý này. DeFi là loại dự án có tần suất tấn công cao nhất và số tiền thua lỗ lớn nhất trong quý này. Tổng cộng có 42 sự cố bảo mật đã xảy ra trong lĩnh vực DeFi, 22 trong số đó là do khai thác lỗ hổng hợp đồng (11 sự cố trong số 22 dự án đã được kiểm toán và các dự án chưa được kiểm toán). Nếu bạn tìm một công ty bảo mật chuyên nghiệp để tiến hành kiểm tra thì hầu hết các lỗ hổng đều có thể được phát hiện và sửa chữa trong giai đoạn kiểm tra. Bảo mật người dùng cũng là trọng tâm đáng được quan tâm trong quý này. Khi Blur dẫn đầu thị trường NFT nóng trở lại trong quý này, các vụ lừa đảo NFT cũng gia tăng đáng kể. Kiểm tra cẩn thận xem mỗi liên kết có phải là trang web chính thức hay không, kiểm tra nội dung chữ ký, kiểm tra hoàn toàn tính chính xác của địa chỉ chuyển, tải xuống ứng dụng từ cửa hàng ứng dụng chính thức và cài đặt plug-in chống lừa đảo - bạn phải luôn cảnh giác trong mọi hoạt động. bước chân. Các sự kiện kéo thảm tiếp tục diễn ra thường xuyên trong quý này, với 56% dự án đang thực hiện với chi phí dưới 100.000 USD. Loại dự án này thường thiếu thông tin trên trang web chính thức, Twitter, Telegram, Github, v.v. Không có lộ trình hoặc sách trắng, thông tin về thành viên nhóm rất đáng ngờ và thời gian khởi động dự án cho đến thời gian chạy cuối cùng không quá ba tháng. Người dùng nên tiến hành kiểm tra lý lịch các dự án để tránh tổn thất tài chính. Trong bài viết tiếp theo, chúng tôi sẽ chia sẻ với các bạn phần thứ hai của báo cáo tóm tắt các chính sách pháp lý đối với ngành mã hóa. Các bạn hãy tiếp tục chú ý đến tài khoản chính thức của Beosin. 
Liên kết gốc
Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:
Nhóm Telegram đăng ký: https://t.me/theblockbeats
Nhóm Telegram thảo luận: https://t.me/BlockBeats_App
Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia
Bài viết liên quan
