「Hack3d: 2023 年 Web3.0 セキュリティ年次報告書」の概要

このレポートは、過去 1 年間の Web3.0 分野のセキュリティ インシデントの統計と分析を通じて、Web3.0 セキュリティの最新動向を包括的に明らかにします。

執筆者: CertiK

全文については、「Hack3d: 2023 Annual Web3.0 Security Report」を参照してください。

新年の初めに、CertiK の年間通しての大きなニュースが予告どおりに発表されました - 「Hack3d: 2023 Annual Web3.0 Security Report」がリリースされました。このレポートは、過去1年間のWeb3.0分野のセキュリティインシデントの統計と分析を通じて、Web3.0セキュリティの最新動向を網羅的に明らかにするもので、業界から大きな注目を集めています。

業界で最も詳細かつ権威のあるセキュリティ レポートである「Hack3d: 2023 Web3.0 Security Report」は、2023 年を通じて Web3.0 エコシステムで発生したハッカー攻撃、詐欺、脆弱性悪用、その他のインシデントの包括的な統計と分析をカバーしています。開発者、実務者、規制当局、ユーザー、愛好家が Web 3.0 セキュリティの現状、課題、機会を理解するために不可欠なガイドです。

レポート全文を読む前に、2023 年の Web 3.0 業界の全体的なセキュリティ状況を簡単に見てみましょう。

年次概要 - セキュリティ インシデントの損失総額は半分以下に減少

2023 年には合計 751 件のセキュリティ インシデントが発生し、資産損失は 18 億 4000 万米ドルとなり、2022 年の 37 億米ドルから 51% 減少しました。 CertiK は統計分析を通じて、この減少には複数の理由があると考えています。スマート コントラクト プロトコルの開発と進化、ユーザー行動の変化、セキュリティ対策のアップグレードと有効性はすべて、セキュリティ インシデントの総損失の削減と密接に関連しています。 。さらに、マクロ業界の動向も、セキュリティ インシデントによる被害の数と損失に一定の影響を与えます。

データ洞察

CertiK は、セキュリティ インシデントのタイミング、種類、エコシステムを分類することで、研究に値するいくつかの洞察を明らかにしました。

1. 第 3 四半期の損失が最も大きく、11 月の損失が単月で最も大きくなります。 2023 年の第 3 四半期は、年間で最も費用がかかった四半期で、合計 183 件のセキュリティ インシデントが発生し、6 億 8,600 万米ドルの損失が発生しました。11 月には合計 45 件のセキュリティ インシデントが発生し、3 億 6,400 万米ドルの損失が発生しました。

2023年の月間セキュリティインシデント件数と損失額（米ドル）

2. 秘密鍵の漏洩事故が最も多くの損失を引き起こします。インシデントの総数は全インシデントのわずか 6.3% にすぎませんでしたが、これらのインシデントによる損失は 8 億 8,100 万米ドルに達し、年間損失総額のほぼ半分に達しました。

＊2023年の各種セキュリティインシデントの発生件数と被害額（米ドル）＊

3. 損失総額が最も多いのはイーサリアム。 2023 年にイーサリアムで 224 件のセキュリティ インシデントが発生し、6 億 8,600 万米ドルの損失が発生し、1 件あたりの平均損失は約 300 万米ドルでした。すべてのエコシステムの中で、イーサリアムは 2023 年に最も多くのセキュリティ インシデントが発生したわけではありませんが、損失総額が最も多かったです。

4. クロスチェーンのセキュリティインシデントは多大な損失を引き起こします。 2023 年に発生したクロスチェーン セキュリティ インシデントはわずか 35 件で、7 億 9,900 万ドルの損失が発生しました。これは、相互運用性の脆弱性が依然として業界のセキュリティにとって問題点であることを示しています。

業界のトレンド

その一方で、CertiK は一連の主要なセキュリティ インシデントの比較分析を通じて、幅広い注目を集めているいくつかの新しい業界トレンドも発見しました。

1. 「遡及バグ報奨金」の返金額は増額されましたが、「問題が起こる前に解決する」ことは「問題が起こる前に防ぐ」ことには及びません

2023 年には、34 件のセキュリティ インシデントにより、攻撃者との「遡及脆弱性報奨金」交渉により 2 億 1,900 万米ドルの損失が回復し、損失総額 18 億米ドルの 12% を占め、前年と比較して、交渉による返金額は 54% 増加しました。 CertiK は、この戦略はプロジェクトの損失をある程度回復するのに役立ちますが、Web3.0 プロジェクトは資産のセキュリティを保護するためにハッカーとの交渉に依存できないことは明らかであると考えています。したがって、ホワイトハット セキュリティの専門家が攻撃が発生する前にセキュリティの脆弱性を報告するよう完全に奨励する報奨金プラットフォームを確立することが重要です。

「遡及バグ報奨金」交渉に対するさまざまなプロジェクト当事者の態度について詳しく知りたい場合は、レポートにある Euler Finance と KyberSwap の 2 つのインシデントに対するその後の解決策の詳細な分析をぜひお読みください。

2.Web2.0 のリスク波及 Web3.0 - 長期的かつ継続的な課題

12 月 14 日、Web3.0 ハードウェア ウォレットの大手レジャー社が重大なセキュリティ危機に遭遇しました。 Ledger の元従業員がフィッシング攻撃の被害に遭いました。攻撃者は、Github を通じて自分の NPMJS アカウントを制御し、悪意のあるコードを Ledger の NPMJS にアップロードした後、Ledger Connect Kit へのアクセスを取得することに成功し、ウォレット ユーザーを悪意のある Web サイトに誘導しました。 Ledger は脆弱性を発見してから 40 分以内にアップデートを迅速に展開し、潜在的な後続の脅威を阻止しました。この攻撃による直接的な損失は約61万ドルに上り、金額はそれほど大きくなかったものの、Ledger社の評判に計り知れない悪影響を与えた。

この Ledger のインシデントは、CertiK と WalletConnect が協力して XSS 脆弱性を解決するケースと同様に、Web3.0 とブロックチェーン エコシステムには分散化の精神があるにもかかわらず、現在の Web3.0 アプリケーションが依然として多数の Web2.0 エコロジカル コンポーネントを使用していることを思い出させます。 、アカウント システム、QR コード、コード ライブラリなど、これらは Web2.0 時代の集中化された脆弱性のリスクも引き継いでいます。従業員のアカウントがフィッシング攻撃に成功すると、大多数の Web3.0 ユーザーに多大な損害が発生する可能性があります。この目的を達成するために、CertiK を含む Web3.0 セキュリティ専門家は、分散化の概念とソフトウェア開発および保守の現実との間のバランスを見つける必要がありますが、これは長期かつ継続的な課題です。

3. 業界の監督は成熟し続けています

2023 年、Web3.0 規制が徐々に成熟するにつれて、ますます多くの機関がブロックチェーン テクノロジーと従来のビジネスの組み合わせを積極的に検討し始めていることを CertiK は嬉しく思います。相互運用性を促進するためのスウィフトの取り組み、資産トークン化の分野における世界中の多くの銀行の実践、安定した通貨レベルでのペイパルなどのインターネット金融大手の探求はすべて、企業がブロックチェーン技術とエコロジーについての深い理解があることを示しています。 Web3.0 に対するコンセンサスは常に強化されています。

規制の面では、香港、シンガポール、日本、米国、欧州連合、英国を含む多くの地域がステーブルコインに対する規制の枠組みやガイドラインを導入している。 CertiK チームは最近、シンガポール金融管理局 (MAS) のステーブルコイン フレームワークの策定において専門的なアドバイスを提供するコンサルティング専門家としても活動し、後者から認められました。 CertiKは最近、ステーブルコインのセキュリティ監査およびコンプライアンスコンサルティングサービスも開始しており、今後も現地の規制当局のコンサルティング活動に積極的に参加することで、ステーブルコイン分野のセキュリティ開発とWeb3.0の大規模実装をサポートしていきます。

Certik の 2023 年

業界全体の協力により、Web3.0 セキュリティは 2023 年に多くの面で進歩しました。 CertiK は、この分野で貢献し続け、Web3.0 の将来に向けて取り組むことを光栄に思います。 2023 年の CertiK のハイライト瞬間を振り返ってみましょう。

※ 2023 年 4 月に、ユーザーにワンストップの情報プラットフォームを提供するスカイネット for Community が開始されます。

• 2023 年 5 月に、クラウド プラットフォームにブロックチェーン セキュリティを導入するための Alibaba Cloud との提携を発表しました。
• 2023 年 6 月、Sui ブロックチェーンに対する重大なセキュリティ上の脅威を発見したことに対して、Sui 財団から報奨金が授与されました。 ※2023年7月、Web3.0セキュリティ監査会社として初めてSOC 2 Type I認証を取得。
• 2023 年 7 月、Ant Group の革新的なオープン クロスプラットフォーム Trusted ExecutionEnvironment (TEE) HyperEnclave の高度な正式検証が完了しました。
• 2023 年 7 月に、Safeheron オープンソース TEE ソリューションのセキュリティ脆弱性が発見され、解決するために協力しました。 ※2023年8月、ワールドコインのシステムにセキュリティ上の脆弱性が発見されました。
• 2023 年 8 月と 10 月に、CertiK は Apple iOS カーネルの複数のセキュリティ脆弱性を発見したことに対して Apple から 2 回の感謝状を受け取りました。 ※ 2023 年 9 月に、Web3.0 コンプライアンスおよびリスク管理製品 SkyInsights がリリースされました。
• 2023 年 11 月に、TON ネットワークの 1 秒あたりのトランザクション数 (TPS) の検証を提供します。 ※2023年11月、Web3.0モバイル端末における重大なセキュリティ脆弱性が複数発見されました。 ※2023年12月に「コスモスエコロジーセキュリティガイド」を発行予定です。
• 2023 年 12 月に、WalletConnect Verify API の XSS 脆弱性が発見されました。
• 2023 年 12 月に、ワームホールと OKX モバイルの脆弱性が発見されました。

これは、2023 年の Web3.0 業界のセキュリティを守るための CertiK の取り組みのほんの一部にすぎません。 2023 年のコード監査のすべての行、すべてのインシデント後の徹夜の追跡、すべての分析と調査を振り返ると、これらは Web3.0 の将来の世界に対する CertiK の取り組みと期待です。

Web3.0 実践者、セキュリティ専門家、ユーザーの皆様、ご協力いただきありがとうございました。 2023 年に得られた成果と教訓は、安全な Web3.0 世界を構築する上で最も貴重な財産になると私は信じています。