Le rapport révélera de manière exhaustive les dernières tendances en matière de sécurité Web3.0 à travers des statistiques et une analyse des incidents de sécurité dans le domaine Web3.0 au cours de l’année écoulée.
Écrit par : CertiK
Pour le texte intégral, voir : “Hack3d : Rapport annuel 2023 sur la sécurité du Web3.0”
Au début de la nouvelle année, la grande nouvelle de CertiK pour toute l’année est arrivée comme promis : « Hack3d : 2023 Annual Web3.0 Security Report » a été publié. Ce rapport, qui a beaucoup attiré l’attention de l’industrie, révèle de manière exhaustive les dernières tendances en matière de sécurité Web3.0 à travers des statistiques et une analyse des incidents de sécurité dans le domaine Web3.0 au cours de l’année écoulée.
En tant que rapport de sécurité le plus détaillé et faisant autorité du secteur, « Hack3d : 2023 Web3.0 Security Report » couvre des statistiques complètes et une analyse des attaques de pirates informatiques, de la fraude, de l’exploitation des vulnérabilités et d’autres incidents survenus dans l’écosystème Web3.0 tout au long de l’année 2023. Il est un guide essentiel destiné aux développeurs, aux praticiens, aux régulateurs, aux utilisateurs et aux passionnés pour comprendre l’état actuel, les défis et les opportunités de la sécurité du Web 3.0.
Avant de lire le rapport complet, examinons rapidement le paysage global de la sécurité de l’industrie du Web 3.0 en 2023 :
Aperçu annuel - Les pertes totales liées aux incidents de sécurité ont diminué de plus de moitié
Au total, 751 incidents de sécurité se sont produits en 2023, entraînant des pertes d’actifs de 1,84 milliard de dollars, soit une baisse de 51 % par rapport aux 3,7 milliards de dollars de 2022. Grâce à des analyses statistiques, CertiK estime que les raisons de ce déclin sont multiples : le développement et l’évolution des protocoles de contrats intelligents, les changements de comportement des utilisateurs, la mise à niveau et l’efficacité des mesures de sécurité sont tous étroitement liés à la réduction de la perte totale d’incidents de sécurité. . En outre, les tendances macro-industrielles ont également un certain impact sur le nombre et les pertes causées par les incidents de sécurité.
Informations sur les données
En classifiant le moment, le type et l’écosystème des incidents de sécurité, CertiK a découvert quelques informations qui méritent d’être étudiées :
- Le troisième trimestre connaît les pertes les plus élevées et novembre les pertes les plus lourdes en un seul mois. Le troisième trimestre 2023 a été le trimestre le plus coûteux de l’année, avec un total de 183 incidents de sécurité, causant des pertes de 686 millions de dollars ; en novembre, un total de 45 incidents de sécurité se sont produits, causant des pertes de 364 millions de dollars.
Nombre mensuel d’incidents de sécurité et montant des pertes en 2023 (USD)
- Les fuites de clés privées sont celles qui causent le plus de pertes. Bien que le nombre total d’incidents ne représente que 6,3 % de tous les incidents, ils ont causé des pertes de 881 millions de dollars, soit près de la moitié des pertes totales de l’année.
Nombre d’occurrences et montant des pertes de divers incidents de sécurité en 2023 (USD)
-
Ethereum a le montant total de pertes le plus élevé. En 2023, 224 incidents de sécurité se sont produits sur Ethereum, entraînant des pertes de 686 millions de dollars, la perte moyenne par incident étant d’environ 3 millions de dollars. Parmi tous les écosystèmes, Ethereum n’a pas connu le plus grand nombre d’incidents de sécurité en 2023, mais il a entraîné le montant total de pertes le plus élevé.
-
Les incidents de sécurité inter-chaînes entraînent de lourdes pertes. En 2023, seuls 35 incidents de sécurité inter-chaînes ont causé 799 millions de dollars de pertes, ce qui indique que les vulnérabilités d’interopérabilité restent un problème pour la sécurité de l’industrie.
Tendances de l’industrie
D’autre part, grâce à l’analyse comparative d’une série d’incidents de sécurité majeurs, CertiK a également découvert de nouvelles tendances du secteur qui ont attiré une large attention :
1. Le montant du remboursement du « Bug Bounty rétroactif » a augmenté, mais « résoudre le problème avant qu’il ne se produise » n’est pas aussi efficace que « prévenir le problème avant qu’il ne se produise »
En 2023, 34 incidents de sécurité ont permis de récupérer 219 millions de dollars de pertes grâce à des négociations de « primes de vulnérabilité rétroactives » avec les attaquants, ce qui représente 12 % de la perte totale de 1,8 milliard de dollars. Par rapport aux années précédentes, le montant du retour négocié a augmenté de 54 %. CertiK estime que même si cette stratégie peut aider les projets à récupérer leurs pertes dans une certaine mesure, les projets Web3.0 ne peuvent évidemment pas compter sur la négociation avec les pirates pour protéger la sécurité des actifs. Il est donc crucial d’établir une plateforme de primes qui incite pleinement les experts en sécurité White Hat à signaler les vulnérabilités de sécurité avant qu’une attaque ne se produise.
Si vous souhaitez en savoir plus sur l’attitude des différentes parties au projet à l’égard des négociations du « bug bounty rétroactif », vous êtes invités à lire l’analyse détaillée des solutions ultérieures aux deux incidents d’Euler Finance et de KyberSwap dans le rapport.
2.Le risque de débordement du Web2.0 Web3.0 : un défi continu et à long terme
Le 14 décembre, le géant du portefeuille matériel Web3.0 Ledger a été confronté à une crise de sécurité majeure. Un ancien employé de Ledger a été victime d’une attaque de phishing. L’attaquant contrôlait son compte NPMJS via Github, téléchargeait du code malveillant sur NPMJS de Ledger, puis obtenait avec succès l’accès au Ledger Connect Kit, dirigeant les utilisateurs du portefeuille vers des sites Web malveillants. Ledger a rapidement déployé des mises à jour dans les 40 minutes suivant la découverte de la vulnérabilité, dissuadant ainsi les menaces potentielles ultérieures. L’attaque a causé une perte directe d’environ 610 000 dollars américains. Bien que ce montant ne soit pas énorme, il a eu un impact négatif incommensurable sur la réputation de Ledger.
Cet incident de Ledger, comme le cas de CertiK et WalletConnect unissant leurs forces pour résoudre les vulnérabilités XSS, rappelle que même si le Web3.0 et l’écosystème blockchain ont un esprit décentralisé, les applications Web3.0 actuelles utilisent encore un grand nombre de composants écologiques du Web2.0. , tels que les systèmes de comptes, les codes QR, les bibliothèques de codes, etc., ils héritent donc également du risque de vulnérabilités centralisées à l’ère du Web2.0. Une fois que le compte d’un employé est attaqué avec succès par une attaque de phishing, cela peut entraîner d’énormes pertes pour la majorité des utilisateurs du Web3.0. À cette fin, les praticiens de la sécurité Web3.0, dont CertiK, doivent trouver un équilibre entre le concept de décentralisation et la réalité réelle du développement et de la maintenance de logiciels, ce qui constitue un défi permanent et à long terme.
3. La supervision du secteur continue de mûrir
En 2023, CertiK est heureux de constater qu’à mesure que la réglementation Web3.0 mûrit progressivement, de plus en plus d’institutions commencent à explorer activement la combinaison de la technologie blockchain et des activités traditionnelles. Les efforts de Swift pour promouvoir l’interopérabilité, la pratique de nombreuses banques du monde entier dans le domaine de la tokenisation des actifs et l’exploration des géants financiers de l’Internet tels que Paypal au niveau de la monnaie stable montrent tous que les entreprises ont une solide compréhension de la technologie blockchain et de l’environnement. Le consensus du Web3.0 se renforce constamment.
En termes de réglementation, de nombreuses régions, dont Hong Kong, Singapour, le Japon, les États-Unis, l’Union européenne et le Royaume-Uni, ont introduit des cadres réglementaires ou des lignes directrices pour les pièces stables. L’équipe CertiK a également récemment servi d’expert-conseil pour fournir des conseils professionnels à l’Autorité monétaire de Singapour (MAS) dans la formulation de son cadre stablecoin et a été reconnue par cette dernière. CertiK a également récemment lancé des services de conseil en matière d’audit de sécurité et de conformité du stablecoin et continuera à soutenir le développement de la sécurité du domaine du stablecoin et la mise en œuvre à grande échelle du Web3.0 en participant activement aux activités de conseil des agences de réglementation locales.
Certik’s 2023
Grâce aux efforts conjoints de l’ensemble du secteur, la sécurité du Web3.0 a progressé à bien des égards en 2023. CertiK est honoré de continuer à contribuer dans ce domaine et à travailler pour l’avenir du Web3.0. Passons en revue les moments forts de CertiK en 2023 :
- En avril 2023, Skynet for Community sera lancé pour offrir aux utilisateurs une plateforme d’information unique.
- En mai 2023, elle a annoncé un partenariat avec Alibaba Cloud pour introduire la sécurité blockchain dans la plateforme cloud.
- En juin 2023, une prime a été décernée par la Fondation Sui pour la découverte d’une menace de sécurité majeure pour la blockchain Sui.
- En juillet 2023, est devenue la première société d’audit de sécurité Web3.0 à obtenir la certification SOC 2 Type I.
- En juillet 2023, la vérification formelle avancée de l’HyperEnclave innovant et multiplateforme ouvert d’Ant Group a été achevée.
- En juillet 2023, des vulnérabilités de sécurité dans la solution open source TEE Safeheron ont été découvertes et résolues ensemble.
- En août 2023, une faille de sécurité a été découverte dans le système Worldcoin.
- En août et octobre 2023, CertiK a reçu deux remerciements d’Apple pour avoir découvert plusieurs vulnérabilités de sécurité dans le noyau Apple iOS.
- En septembre 2023, le produit de conformité et de gestion des risques Web3.0 SkyInsights a été lancé.
- En novembre 2023, assurer la vérification des transactions par seconde (TPS) pour le réseau TON.
- En novembre 2023, plusieurs failles de sécurité majeures dans le terminal mobile Web3.0 ont été découvertes.
- En décembre 2023, le Guide de sécurité écologique Cosmos sera publié.
- En décembre 2023, une vulnérabilité XSS dans l’API WalletConnect Verify a été découverte.
- En décembre 2023, des vulnérabilités mobiles Wormhole et OKX ont été découvertes.
Ce n’est qu’une petite partie des efforts de CertiK pour assurer la sécurité de l’industrie Web3.0 en 2023. En regardant chaque ligne d’audit de code en 2023, le suivi toute la nuit après chaque incident et chaque analyse et recherche, tels sont l’engagement et les attentes de CertiK pour le monde futur du Web3.0.
Merci à tous les praticiens du Web3.0, experts en sécurité et utilisateurs d’avoir été avec nous tout au long du processus. Je crois que les acquis et les leçons apprises en 2023 deviendront la richesse la plus précieuse dans la construction d’un monde Web3.0 sécurisé.
