El informe revelará de manera integral las últimas tendencias en seguridad Web3.0 a través de estadísticas y análisis de incidentes de seguridad en el campo Web3.0 durante el año pasado.
Escrito por: CertiK
Para obtener el texto completo, consulte: “Hack3d: Informe anual de seguridad Web3.0 de 2023”
Al comienzo del nuevo año, la gran noticia de CertiK para todo el año llegó según lo prometido: se publicó el “Hack3d: Informe anual de seguridad Web3.0 2023”. Este informe, que ha atraído mucha atención de la industria, revela de manera integral las últimas tendencias en seguridad Web3.0 a través de estadísticas y análisis de incidentes de seguridad en el campo Web3.0 durante el año pasado.
Como el informe de seguridad más detallado y autorizado de la industria, “Hack3d: 2023 Web3.0 Security Report” cubre estadísticas y análisis completos de ataques de piratas informáticos, fraude, explotación de vulnerabilidades y otros incidentes que ocurrieron en el ecosistema Web3.0 a lo largo de 2023. Es una guía esencial para que desarrolladores, profesionales, reguladores, usuarios y entusiastas comprendan el estado actual, los desafíos y las oportunidades de la seguridad Web 3.0.
Antes de leer el informe completo, echemos un vistazo rápido al panorama general de seguridad de la industria Web 3.0 en 2023:
Resumen anual: las pérdidas totales por incidentes de seguridad se redujeron a más de la mitad
En 2023 se produjeron un total de 751 incidentes de seguridad, lo que provocó pérdidas de activos por 1.840 millones de dólares, una disminución del 51% con respecto a los 3.700 millones de dólares en 2022. A través del análisis estadístico, CertiK cree que existen múltiples razones para esta disminución: el desarrollo y la evolución de los protocolos de contratos inteligentes, los cambios en el comportamiento de los usuarios, la actualización y eficacia de las medidas de seguridad están estrechamente relacionados con la reducción de la pérdida total de incidentes de seguridad. . Además, las tendencias macroindustriales también tienen cierto impacto en el número y las pérdidas provocadas por incidentes de seguridad.
Información sobre datos
Al clasificar el momento, el tipo y el ecosistema de los incidentes de seguridad, CertiK descubrió algunos conocimientos que vale la pena estudiar:
- El tercer trimestre tiene las mayores pérdidas y noviembre tiene las mayores pérdidas en un solo mes. El tercer trimestre de 2023 fue el trimestre más costoso del año, con un total de 183 incidentes de seguridad que causaron pérdidas por 686 millones de dólares; en noviembre ocurrieron un total de 45 incidentes de seguridad que causaron pérdidas por 364 millones de dólares.
Número mensual de incidentes de seguridad y monto de pérdidas en 2023 (USD)
- Los incidentes de fuga de claves privadas causan la mayor cantidad de pérdidas. Aunque el número total de incidentes representó sólo el 6,3% de todos los incidentes, causaron pérdidas por valor de 881 millones de dólares, casi la mitad de las pérdidas totales del año.
Número de sucesos y monto de pérdidas por diversos incidentes de seguridad en 2023 (USD)
-
Ethereum tiene la mayor cantidad total de pérdidas. En 2023, se produjeron 224 incidentes de seguridad en Ethereum, que provocaron pérdidas de 686 millones de dólares, siendo la pérdida media por incidente de aproximadamente 3 millones de dólares. Entre todos los ecosistemas, Ethereum no tuvo la mayor cantidad de incidentes de seguridad en 2023, pero provocó la mayor cantidad total de pérdidas.
-
Los incidentes de seguridad entre cadenas provocan grandes pérdidas. En 2023, solo 35 incidentes de seguridad entre cadenas causaron pérdidas por 799 millones de dólares, lo que indica que las vulnerabilidades de interoperabilidad siguen siendo un problema para la seguridad de la industria.
Tendencias industriales
Por otro lado, a través del análisis comparativo de una serie de incidentes de seguridad importantes, CertiK también descubrió algunas nuevas tendencias de la industria que han atraído una atención generalizada:
1. El monto del reembolso de “Recompensa por errores retroactivos” ha aumentado, pero “solucionar el problema antes de que suceda” no es tan bueno como “prevenir el problema antes de que suceda”
En 2023, 34 incidentes de seguridad recuperaron pérdidas por 219 millones de dólares a través de negociaciones de “recompensas por vulnerabilidad retroactiva” con los atacantes, lo que representa el 12% de la pérdida total de 1.800 millones de dólares. En comparación con años anteriores, el monto de devolución negociado aumentó en un 54%. CertiK cree que aunque esta estrategia puede ayudar a los proyectos a recuperar pérdidas hasta cierto punto, los proyectos Web3.0 obviamente no pueden confiar en negociar con piratas informáticos para proteger la seguridad de los activos. Por lo tanto, es fundamental establecer una plataforma de recompensas que incentive plenamente a los expertos en seguridad de sombrero blanco a informar sobre las vulnerabilidades de seguridad antes de que se produzca un ataque.
Si desea saber más sobre las actitudes de las diferentes partes del proyecto hacia las negociaciones de “recompensas por errores retroactivos”, puede leer el análisis detallado de las soluciones posteriores a los dos incidentes de Euler Finance y KyberSwap en el informe.
2.Desbordamiento del riesgo de Web2.0 Web3.0: un desafío continuo y a largo plazo
El 14 de diciembre, el gigante de las billeteras de hardware Web3.0, Ledger, se encontró con una importante crisis de seguridad. Un ex empleado de Ledger fue víctima de un ataque de phishing. El atacante controló su cuenta NPMJS a través de Github, cargó código malicioso en el NPMJS de Ledger y luego obtuvo acceso al Ledger Connect Kit, dirigiendo a los usuarios de billeteras a sitios web maliciosos. Ledger implementó rápidamente actualizaciones dentro de los 40 minutos posteriores al descubrimiento de la vulnerabilidad, disuadiendo posibles amenazas posteriores. El ataque causó una pérdida directa de aproximadamente 610.000 dólares estadounidenses y, aunque la cantidad no fue enorme, tuvo un impacto negativo inconmensurable en la reputación de Ledger.
Este incidente de Ledger, como el caso de CertiK y WalletConnect uniendo fuerzas para resolver las vulnerabilidades XSS, nos recuerda que aunque Web3.0 y el ecosistema blockchain tienen un espíritu descentralizado, las aplicaciones Web3.0 actuales todavía utilizan una gran cantidad de componentes ecológicos Web2.0. , como sistemas de cuentas, códigos QR, bibliotecas de códigos, etc., por lo que también heredan el riesgo de vulnerabilidades centralizadas en la era Web2.0. Una vez que la cuenta de un empleado es atacada con éxito mediante un ataque de phishing, puede causar enormes pérdidas a la mayoría de los usuarios de Web3.0. Con este fin, los profesionales de la seguridad Web3.0, incluido CertiK, deben encontrar un equilibrio entre el concepto de descentralización y la realidad real del desarrollo y mantenimiento de software, lo cual es un desafío continuo y a largo plazo.
3. La supervisión de la industria continúa madurando
En 2023, CertiK se complace en ver que a medida que la regulación Web3.0 madura gradualmente, cada vez más instituciones comienzan a explorar activamente la combinación de la tecnología blockchain y los negocios tradicionales. Los esfuerzos de Swift para promover la interoperabilidad, la práctica de muchos bancos de todo el mundo en el campo de la tokenización de activos y la exploración de gigantes financieros de Internet como Paypal en el nivel de moneda estable muestran que las empresas tienen un sólido conocimiento de la tecnología blockchain y el impacto ecológico. El consenso sobre la Web3.0 se fortalece constantemente.
En términos de regulación, muchas regiones, incluidas Hong Kong, Singapur, Japón, Estados Unidos, la Unión Europea y el Reino Unido, han introducido marcos regulatorios o directrices para las monedas estables. El equipo de CertiK también se desempeñó recientemente como experto en consultoría para brindar asesoramiento profesional a la Autoridad Monetaria de Singapur (MAS) en la formulación de su marco de moneda estable y fue reconocido por esta última. CertiK también lanzó recientemente servicios de consultoría de cumplimiento y auditoría de seguridad de las monedas estables, y continuará apoyando el desarrollo de la seguridad del campo de las monedas estables y la implementación a gran escala de Web3.0 participando activamente en las actividades de consultoría de las agencias reguladoras locales.
Certik’s 2023
Con los esfuerzos conjuntos de toda la industria, la seguridad Web3.0 ha progresado en muchos aspectos en 2023. CertiK tiene el honor de seguir contribuyendo en esta área y trabajar hacia el futuro de la Web3.0. Repasemos los momentos destacados de CertiK en 2023:
- En abril de 2023, se lanzará Skynet for Community para brindar a los usuarios una plataforma de información integral.
- En mayo de 2023, anunció una asociación con Alibaba Cloud para introducir la seguridad blockchain en la plataforma en la nube.
- En junio de 2023, la Fundación Sui otorgó una recompensa por descubrir una importante amenaza a la seguridad de la cadena de bloques Sui.
- En julio de 2023, se convirtió en la primera empresa de auditoría de seguridad Web3.0 en obtener la certificación SOC 2 Tipo I.
- En julio de 2023, se completó la verificación formal avanzada del innovador HyperEnclave, Trusted Execution Environment (TEE) multiplataforma abierta de Ant Group.
- En julio de 2023, se descubrieron vulnerabilidades de seguridad en la solución TEE de código abierto de Safeheron y trabajaron juntos para resolverlas.
- En agosto de 2023, se descubrió una vulnerabilidad de seguridad en el sistema Worldcoin.
- En agosto y octubre de 2023, CertiK recibió dos agradecimientos de Apple por descubrir múltiples vulnerabilidades de seguridad en el kernel de Apple iOS.
- En septiembre de 2023, se lanzó SkyInsights, el producto de gestión de riesgos y cumplimiento Web3.0.
- En noviembre de 2023, proporcionar verificación de transacciones por segundo (TPS) para la red TON.
- En noviembre de 2023, se descubrieron múltiples vulnerabilidades de seguridad importantes en el terminal móvil Web3.0.
- En diciembre de 2023 se lanzará la Guía de Seguridad Ecológica Cosmos.
- En diciembre de 2023, se descubrió una vulnerabilidad XSS en la API WalletConnect Verify.
- En diciembre de 2023, se descubrieron las vulnerabilidades móviles de Wormhole y OKX.
Esto es sólo una pequeña parte de los esfuerzos de CertiK para proteger la seguridad de la industria Web3.0 en 2023. Si analizamos cada línea de auditoría de código en 2023, el seguimiento nocturno después de cada incidente y cada análisis e investigación, estos son el compromiso y las expectativas de CertiK para el mundo futuro de la Web3.0.
Gracias a todos los profesionales, expertos en seguridad y usuarios de Web3.0 por acompañarnos en el camino. Creo que los logros y las lecciones aprendidas en 2023 se convertirán en la riqueza más valiosa para construir un mundo Web3.0 seguro.
