Principais dez eventos de segurança no campo Web3 em 2024
Em 2024, a indústria Web3, enquanto inova e se desenvolve, também enfrenta desafios de segurança cada vez mais severos. De acordo com estatísticas, até o final do ano, as perdas totais no campo do Web3 devido a ataques de hackers, fraudes e o desaparecimento de projetos atingiram até 2,491 milhões de dólares.
Estes eventos de segurança não apenas expuseram falhas técnicas na gestão de chaves privadas, contratos inteligentes, entre outros, mas também destacaram os riscos potenciais de ataques de engenharia social e da gestão interna. Este artigo revisará os dez principais eventos de segurança no campo do Web3 em 2024, para ajudar a indústria a aprender lições e enfrentar melhor as ameaças de segurança futuras.
1. Uma importante troca japonesa sofreu um grande ataque
Montante da perda: 304 milhões de dólares
Método de ataque: vazamento de chave privada
No dia 31 de maio de 2024, uma conhecida exchange de criptomoedas japonesa sofreu um ataque histórico. Hackers utilizaram chaves privadas vazadas para transferir diretamente mais de 300 milhões de dólares em Bitcoin, e rapidamente dispersaram os fundos roubados em mais de 10 endereços diferentes. Este incidente expôs as sérias deficiências da exchange na gestão de chaves privadas e na proteção de segurança em múltiplas camadas. Embora a exchange tenha tentado rastrear os hackers através de monitoramento on-chain e congelamento de fundos, o Bitcoin roubado já foi transferido e lavado através de ferramentas de mistura, apresentando um grande desafio para o trabalho de rastreamento.
No final do ano, a polícia japonesa confirmou que o ataque foi realizado pelo grupo de hackers norte-coreano Lazarus Group.
2. PlayDapp sofreu um grande golpe
Valor da perda: 290 milhões de dólares
Método de ataque: vazamento de chave privada
No dia 9 de fevereiro de 2024, a PlayDapp sofreu um grande golpe, hackers roubaram chaves privadas e cunharam 2 bilhões de tokens PLA, com um valor inicial de 36,5 milhões de dólares. Como as negociações entre a equipe do projeto e os hackers falharam, os hackers posteriormente cunharam 15,9 bilhões de tokens PLA, com um valor de 253,9 milhões de dólares. Após parte dos tokens entrarem nas exchanges, a PlayDapp foi forçada a suspender o contrato PLA e migrar para um novo contrato de token. Este evento destaca as deficiências dos projetos de blockchain na proteção de chaves privadas e na gestão de emergências.
3. A maior bolsa de criptomoedas da Índia foi atacada
Valor da perda: 235 milhões de dólares
Método de ataque: ataque cibernético e phishing
No dia 18 de julho de 2024, a maior exchange de criptomoedas da Índia teve sua carteira multi-assinatura alvo de um ataque cibernético preciso. Os atacantes induziram os signatários da multi-assinatura a assinar uma transação de atualização de contrato através de engenharia social, e em seguida, utilizaram os privilégios do contrato atualizado para transferir todos os ativos da carteira. Este caso destaca os riscos potenciais das carteiras multi-assinatura em relação à configuração de permissões de gestão e à transparência operacional, e também gerou uma reflexão profunda na indústria sobre os mecanismos internos de controle de risco e segurança dos projetos.
4. Gala Games sofre perdas significativas
Montante da perda: 216 milhões de dólares
Método de ataque: vulnerabilidade de controle de acesso
No dia 20 de maio de 2024, um endereço privilegiado da Gala Games foi invadido por hackers, que chamaram a função mint do contrato do token para cunhar 5 bilhões de tokens GALA de uma só vez. Em seguida, os hackers trocaram os tokens emitidos em lotes por ETH, causando diretamente uma perda de 216 milhões de dólares. A equipe da Gala Games ativou urgentemente a função de blacklist para bloquear algumas contas dos hackers após o incidente e recuperou parte das perdas por meio de vias judiciais.
5. Carteira pessoal do co-fundador da Ripple foi invadida
Valor da perda: 112 milhões de dólares
Método de ataque: vazamento de chave privada
No dia 31 de janeiro de 2024, quatro carteiras pessoais do cofundador da Ripple, Chris Larsen, foram hackeadas, resultando no roubo de 112 milhões de dólares em XRP. Essas carteiras se tornaram alvos do ataque devido à falta de proteção de dupla autenticação com dispositivos de hardware. Após o incidente, uma grande troca conseguiu congelar 4,2 milhões de dólares em XRP e ajudou a rastrear os ativos roubados, mas a maior parte dos fundos já havia sido lavada através de trocas descentralizadas e serviços de mistura.
6. Munchables enfrenta um ataque de infiltração interna
Montante da perda: 62,5 milhões de dólares
Método de ataque: ataque de engenharia social
No dia 26 de março de 2024, a plataforma de jogos Web3 Munchables, baseada em Blast, sofreu um raro ataque de infiltração interna. Os atacantes eram hackers disfarçados de desenvolvedores de blockchain, que, após um longo período de infiltração, obtiveram o código-fonte e chaves sensíveis. Apesar de o ataque ter causado enormes perdas, sob pressão da comunidade e da equipe, os hackers acabaram devolvendo todos os fundos roubados. Este evento revelou a importância da segurança da cadeia de suprimentos, especialmente para projetos de blockchain que dependem de desenvolvimentos de terceiros.
7. A maior exchange de criptomoedas da Turquia é atacada
Valor da perda: 55 milhões de dólares
Método de ataque: vazamento de chave privada
No dia 22 de junho de 2024, a maior exchange de criptomoedas da Turquia foi alvo de um ataque de vazamento de chaves privadas, resultando em perdas superiores a 55 milhões de dólares em ativos criptográficos. Com a ajuda da equipe de uma determinada exchange, 5,3 milhões de dólares em fundos roubados foram congelados com sucesso, mas outros ativos ainda não foram recuperados. Este incidente aprofundou as preocupações do mercado sobre a gestão de chaves privadas em exchanges centralizadas.
8. A carteira multi-assinatura da Radiant Capital foi invadida
Montante da perda: 53 milhões de dólares
Método de ataque: vazamento da chave privada
No dia 17 de outubro de 2024, a carteira multi-assinatura da Radiant Capital foi invadida por hackers. Devido ao seu uso de um modo de verificação de assinatura 3/11 de baixo nível, os hackers conseguiram obter as chaves privadas de 3 signatários e realizar uma assinatura fora da cadeia, transferindo a propriedade do contrato da carteira para um endereço malicioso, resultando em um roubo de 53 milhões de dólares. Este ataque desencadeou uma reflexão da indústria sobre o design e os mecanismos de governança das carteiras multi-assinatura.
É importante notar que a Radiant Capital já havia perdido 4,5 milhões de dólares devido a uma vulnerabilidade em seus contratos antes deste ataque, com mais de 1900 ETH roubados. Isso indica que as equipes de projetos Web3 ainda precisam melhorar a sua atenção à segurança.
9. Hedgey Finance contratos atacados
Montante da perda: 44,7 milhões de dólares
Método de ataque: vulnerabilidades de contrato
No dia 19 de abril de 2024, a Hedgey Finance sofreu um ataque direcionado a vários contratos on-chain. Os hackers exploraram uma vulnerabilidade de aprovação no seu contrato ClaimCampaigns, conseguindo extrair tokens nas redes Ethereum e Arbitrum, com um total de perdas de 44,7 milhões de dólares. Este evento destaca a importância da auditoria de código, especialmente a verificação rigorosa da lógica de aprovação de tokens.
10. A carteira quente de uma exchange de criptomoedas foi invadida
Montante da perda: 44,7 milhões de dólares
Método de ataque: vazamento de chave privada
No dia 19 de setembro de 2024, a carteira quente de uma exchange de criptomoedas foi invadida por hackers, envolvendo várias blockchains, incluindo Ethereum, BNB Chain, Tron e outras. Embora a exchange tenha rapidamente ativado o mecanismo de transferência de ativos e congelamento de saques, os hackers conseguiram extrair ativos no valor de 44,7 milhões de dólares. Este ataque reflete o alto risco da gestão de carteiras quentes em exchanges centralizadas e impulsiona ainda mais a exploração de soluções de armazenamento de ativos mais seguras na indústria.
Os frequentes incidentes de segurança em 2024 nos lembram mais uma vez que o desenvolvimento da indústria de blockchain não pode prescindir de uma proteção segura. Desde o vazamento de chaves privadas até vulnerabilidades em contratos, desde falhas na gestão interna até a atualização de métodos de ataque externos, cada evento trouxe lições profundas. Para enfrentar as ameaças de ataque cada vez mais complexas, todas as partes da indústria precisam continuar a aumentar seus investimentos em pesquisa e desenvolvimento tecnológico, normas de gestão e controle de riscos. No futuro, esperamos que, através da colaboração da indústria e da inovação tecnológica, possamos juntos estabelecer um ecossistema de blockchain mais seguro, proporcionando maior proteção para usuários e investidores.
Ver original
This page may contain third-party content, which is provided for information purposes only (not representations/warranties) and should not be considered as an endorsement of its views by Gate, nor as financial or professional advice. See Disclaimer for details.
Revisão dos 10 principais incidentes de segurança no campo do Web3 em 2024, com perdas que chegam a 24,91 bilhões de dólares.
Principais dez eventos de segurança no campo Web3 em 2024
Em 2024, a indústria Web3, enquanto inova e se desenvolve, também enfrenta desafios de segurança cada vez mais severos. De acordo com estatísticas, até o final do ano, as perdas totais no campo do Web3 devido a ataques de hackers, fraudes e o desaparecimento de projetos atingiram até 2,491 milhões de dólares.
Estes eventos de segurança não apenas expuseram falhas técnicas na gestão de chaves privadas, contratos inteligentes, entre outros, mas também destacaram os riscos potenciais de ataques de engenharia social e da gestão interna. Este artigo revisará os dez principais eventos de segurança no campo do Web3 em 2024, para ajudar a indústria a aprender lições e enfrentar melhor as ameaças de segurança futuras.
1. Uma importante troca japonesa sofreu um grande ataque
Montante da perda: 304 milhões de dólares Método de ataque: vazamento de chave privada
No dia 31 de maio de 2024, uma conhecida exchange de criptomoedas japonesa sofreu um ataque histórico. Hackers utilizaram chaves privadas vazadas para transferir diretamente mais de 300 milhões de dólares em Bitcoin, e rapidamente dispersaram os fundos roubados em mais de 10 endereços diferentes. Este incidente expôs as sérias deficiências da exchange na gestão de chaves privadas e na proteção de segurança em múltiplas camadas. Embora a exchange tenha tentado rastrear os hackers através de monitoramento on-chain e congelamento de fundos, o Bitcoin roubado já foi transferido e lavado através de ferramentas de mistura, apresentando um grande desafio para o trabalho de rastreamento.
No final do ano, a polícia japonesa confirmou que o ataque foi realizado pelo grupo de hackers norte-coreano Lazarus Group.
2. PlayDapp sofreu um grande golpe
Valor da perda: 290 milhões de dólares Método de ataque: vazamento de chave privada
No dia 9 de fevereiro de 2024, a PlayDapp sofreu um grande golpe, hackers roubaram chaves privadas e cunharam 2 bilhões de tokens PLA, com um valor inicial de 36,5 milhões de dólares. Como as negociações entre a equipe do projeto e os hackers falharam, os hackers posteriormente cunharam 15,9 bilhões de tokens PLA, com um valor de 253,9 milhões de dólares. Após parte dos tokens entrarem nas exchanges, a PlayDapp foi forçada a suspender o contrato PLA e migrar para um novo contrato de token. Este evento destaca as deficiências dos projetos de blockchain na proteção de chaves privadas e na gestão de emergências.
3. A maior bolsa de criptomoedas da Índia foi atacada
Valor da perda: 235 milhões de dólares Método de ataque: ataque cibernético e phishing
No dia 18 de julho de 2024, a maior exchange de criptomoedas da Índia teve sua carteira multi-assinatura alvo de um ataque cibernético preciso. Os atacantes induziram os signatários da multi-assinatura a assinar uma transação de atualização de contrato através de engenharia social, e em seguida, utilizaram os privilégios do contrato atualizado para transferir todos os ativos da carteira. Este caso destaca os riscos potenciais das carteiras multi-assinatura em relação à configuração de permissões de gestão e à transparência operacional, e também gerou uma reflexão profunda na indústria sobre os mecanismos internos de controle de risco e segurança dos projetos.
4. Gala Games sofre perdas significativas
Montante da perda: 216 milhões de dólares Método de ataque: vulnerabilidade de controle de acesso
No dia 20 de maio de 2024, um endereço privilegiado da Gala Games foi invadido por hackers, que chamaram a função mint do contrato do token para cunhar 5 bilhões de tokens GALA de uma só vez. Em seguida, os hackers trocaram os tokens emitidos em lotes por ETH, causando diretamente uma perda de 216 milhões de dólares. A equipe da Gala Games ativou urgentemente a função de blacklist para bloquear algumas contas dos hackers após o incidente e recuperou parte das perdas por meio de vias judiciais.
5. Carteira pessoal do co-fundador da Ripple foi invadida
Valor da perda: 112 milhões de dólares Método de ataque: vazamento de chave privada
No dia 31 de janeiro de 2024, quatro carteiras pessoais do cofundador da Ripple, Chris Larsen, foram hackeadas, resultando no roubo de 112 milhões de dólares em XRP. Essas carteiras se tornaram alvos do ataque devido à falta de proteção de dupla autenticação com dispositivos de hardware. Após o incidente, uma grande troca conseguiu congelar 4,2 milhões de dólares em XRP e ajudou a rastrear os ativos roubados, mas a maior parte dos fundos já havia sido lavada através de trocas descentralizadas e serviços de mistura.
6. Munchables enfrenta um ataque de infiltração interna
Montante da perda: 62,5 milhões de dólares Método de ataque: ataque de engenharia social
No dia 26 de março de 2024, a plataforma de jogos Web3 Munchables, baseada em Blast, sofreu um raro ataque de infiltração interna. Os atacantes eram hackers disfarçados de desenvolvedores de blockchain, que, após um longo período de infiltração, obtiveram o código-fonte e chaves sensíveis. Apesar de o ataque ter causado enormes perdas, sob pressão da comunidade e da equipe, os hackers acabaram devolvendo todos os fundos roubados. Este evento revelou a importância da segurança da cadeia de suprimentos, especialmente para projetos de blockchain que dependem de desenvolvimentos de terceiros.
7. A maior exchange de criptomoedas da Turquia é atacada
Valor da perda: 55 milhões de dólares Método de ataque: vazamento de chave privada
No dia 22 de junho de 2024, a maior exchange de criptomoedas da Turquia foi alvo de um ataque de vazamento de chaves privadas, resultando em perdas superiores a 55 milhões de dólares em ativos criptográficos. Com a ajuda da equipe de uma determinada exchange, 5,3 milhões de dólares em fundos roubados foram congelados com sucesso, mas outros ativos ainda não foram recuperados. Este incidente aprofundou as preocupações do mercado sobre a gestão de chaves privadas em exchanges centralizadas.
8. A carteira multi-assinatura da Radiant Capital foi invadida
Montante da perda: 53 milhões de dólares Método de ataque: vazamento da chave privada
No dia 17 de outubro de 2024, a carteira multi-assinatura da Radiant Capital foi invadida por hackers. Devido ao seu uso de um modo de verificação de assinatura 3/11 de baixo nível, os hackers conseguiram obter as chaves privadas de 3 signatários e realizar uma assinatura fora da cadeia, transferindo a propriedade do contrato da carteira para um endereço malicioso, resultando em um roubo de 53 milhões de dólares. Este ataque desencadeou uma reflexão da indústria sobre o design e os mecanismos de governança das carteiras multi-assinatura.
É importante notar que a Radiant Capital já havia perdido 4,5 milhões de dólares devido a uma vulnerabilidade em seus contratos antes deste ataque, com mais de 1900 ETH roubados. Isso indica que as equipes de projetos Web3 ainda precisam melhorar a sua atenção à segurança.
9. Hedgey Finance contratos atacados
Montante da perda: 44,7 milhões de dólares Método de ataque: vulnerabilidades de contrato
No dia 19 de abril de 2024, a Hedgey Finance sofreu um ataque direcionado a vários contratos on-chain. Os hackers exploraram uma vulnerabilidade de aprovação no seu contrato ClaimCampaigns, conseguindo extrair tokens nas redes Ethereum e Arbitrum, com um total de perdas de 44,7 milhões de dólares. Este evento destaca a importância da auditoria de código, especialmente a verificação rigorosa da lógica de aprovação de tokens.
10. A carteira quente de uma exchange de criptomoedas foi invadida
Montante da perda: 44,7 milhões de dólares Método de ataque: vazamento de chave privada
No dia 19 de setembro de 2024, a carteira quente de uma exchange de criptomoedas foi invadida por hackers, envolvendo várias blockchains, incluindo Ethereum, BNB Chain, Tron e outras. Embora a exchange tenha rapidamente ativado o mecanismo de transferência de ativos e congelamento de saques, os hackers conseguiram extrair ativos no valor de 44,7 milhões de dólares. Este ataque reflete o alto risco da gestão de carteiras quentes em exchanges centralizadas e impulsiona ainda mais a exploração de soluções de armazenamento de ativos mais seguras na indústria.
Os frequentes incidentes de segurança em 2024 nos lembram mais uma vez que o desenvolvimento da indústria de blockchain não pode prescindir de uma proteção segura. Desde o vazamento de chaves privadas até vulnerabilidades em contratos, desde falhas na gestão interna até a atualização de métodos de ataque externos, cada evento trouxe lições profundas. Para enfrentar as ameaças de ataque cada vez mais complexas, todas as partes da indústria precisam continuar a aumentar seus investimentos em pesquisa e desenvolvimento tecnológico, normas de gestão e controle de riscos. No futuro, esperamos que, através da colaboração da indústria e da inovação tecnológica, possamos juntos estabelecer um ecossistema de blockchain mais seguro, proporcionando maior proteção para usuários e investidores.