Báo cáo sẽ tiết lộ một cách toàn diện những xu hướng mới nhất về bảo mật Web3.0 thông qua số liệu thống kê và phân tích các sự cố bảo mật trong lĩnh vực Web3.0 trong năm qua.
Người viết: CertiK
Để biết toàn văn, hãy xem: “Hack3d: Báo cáo bảo mật Web3.0 thường niên năm 2023”
Đầu năm mới, tin tức lớn trong năm của CertiK đã đến như đã hứa - “Hack3d: Báo cáo bảo mật Web3.0 thường niên năm 2023” được công bố. Báo cáo này đã thu hút nhiều sự chú ý trong ngành, tiết lộ một cách toàn diện các xu hướng mới nhất về bảo mật Web3.0 thông qua số liệu thống kê và phân tích các sự cố bảo mật trong lĩnh vực Web3.0 trong năm qua.
Là báo cáo bảo mật chi tiết và có thẩm quyền nhất trong ngành, “Báo cáo bảo mật Web3.0 của Hack3d: 2023” bao gồm số liệu thống kê và phân tích toàn diện về các cuộc tấn công của hacker, gian lận, khai thác lỗ hổng và các sự cố khác xảy ra trong hệ sinh thái Web3.0 trong suốt năm 2023. Báo cáo này là Hướng dẫn cần thiết dành cho các nhà phát triển, người thực hành, cơ quan quản lý, người dùng và những người đam mê hiểu được hiện trạng, thách thức và cơ hội của bảo mật Web 3.0.
Trước khi đọc báo cáo đầy đủ, chúng ta hãy xem nhanh bối cảnh bảo mật tổng thể của ngành Web 3.0 vào năm 2023:
Tổng quan hàng năm - Tổng thiệt hại do sự cố an ninh đã giảm hơn một nửa
Tổng cộng có 751 sự cố bảo mật xảy ra vào năm 2023, gây thiệt hại tài sản 1,84 tỷ USD, giảm 51% so với 3,7 tỷ USD vào năm 2022. Thông qua phân tích thống kê, CertiK tin rằng có nhiều lý do dẫn đến sự suy giảm này: Sự phát triển và phát triển của các giao thức hợp đồng thông minh, những thay đổi trong hành vi của người dùng, việc nâng cấp và hiệu quả của các biện pháp bảo mật đều có liên quan chặt chẽ đến việc giảm tổng thiệt hại do các sự cố bảo mật. . Ngoài ra, xu hướng vĩ mô của ngành cũng có tác động nhất định đến con số và tổn thất do sự cố an ninh gây ra.
Thông tin chi tiết về dữ liệu
Bằng cách phân loại thời gian, loại hình và hệ sinh thái của các sự cố bảo mật, CertiK đã phát hiện ra một số thông tin chi tiết đáng nghiên cứu:
- Quý 3 có mức lỗ cao nhất và tháng 11 có mức lỗ nặng nhất trong một tháng. Quý 3 năm 2023 là quý tốn kém nhất trong năm với tổng cộng 183 sự cố an ninh, gây thiệt hại 686 triệu USD; tháng 11, tổng cộng 45 sự cố an ninh xảy ra, gây thiệt hại 364 triệu USD.
Số sự cố bảo mật hàng tháng và số tiền tổn thất trong năm 2023 (USD)
- Sự cố rò rỉ khóa riêng gây thiệt hại nhiều nhất. Mặc dù tổng số sự cố chỉ chiếm 6,3% tổng số sự cố nhưng đã gây thiệt hại 881 triệu USD, gần một nửa tổng thiệt hại trong năm.
Số lần xảy ra và số lượng tổn thất của các sự cố bảo mật khác nhau vào năm 2023 (USD)
-
Ethereum có tổng số tiền thua lỗ cao nhất. Vào năm 2023, 224 sự cố bảo mật đã xảy ra ở Ethereum, gây thiệt hại 686 triệu USD, tổn thất trung bình cho mỗi sự cố là khoảng 3 triệu USD. Trong số tất cả các hệ sinh thái, Ethereum không có nhiều sự cố bảo mật nhất vào năm 2023, nhưng nó mang lại tổng số tổn thất cao nhất.
-
Sự cố bảo mật xuyên chuỗi gây thiệt hại nặng nề. Vào năm 2023, chỉ có 35 sự cố bảo mật chuỗi chéo đã gây thiệt hại 799 triệu USD, cho thấy các lỗ hổng về khả năng tương tác vẫn là điểm yếu đối với an ninh ngành.
Xu hướng công nghiệp
Mặt khác, qua phân tích so sánh hàng loạt sự cố bảo mật lớn, CertiK cũng phát hiện một số xu hướng mới của ngành thu hút sự quan tâm rộng rãi:
1. Số tiền hoàn lại của “Tiền thưởng lỗi hồi tố” đã tăng lên, nhưng “khắc phục sự cố trước khi nó xảy ra” không tốt bằng “ngăn chặn sự cố trước khi nó xảy ra”
Vào năm 2023, 34 sự cố bảo mật đã thu hồi được khoản thiệt hại 219 triệu USD thông qua các cuộc đàm phán “tiền thưởng cho lỗ hổng có hiệu lực hồi tố” với những kẻ tấn công, chiếm 12% trong tổng số thiệt hại là 1,8 tỷ USD. So với những năm trước, số tiền hoàn lại được thương lượng đã tăng 54%. CertiK tin rằng mặc dù chiến lược này có thể giúp các dự án phục hồi tổn thất ở một mức độ nhất định, nhưng các dự án Web3.0 rõ ràng không thể dựa vào việc đàm phán với tin tặc để bảo vệ an ninh tài sản. Do đó, điều quan trọng là phải thiết lập một nền tảng tiền thưởng khuyến khích hoàn toàn các chuyên gia bảo mật mũ trắng báo cáo các lỗ hổng bảo mật trước khi một cuộc tấn công xảy ra.
Nếu bạn muốn biết thêm về thái độ của các bên dự án khác nhau đối với các cuộc đàm phán “tiền thưởng lỗi hồi tố”, bạn có thể đọc phân tích chi tiết về các giải pháp tiếp theo cho hai sự cố của Euler Finance và KyberSwap trong báo cáo.
2.Sự lan tỏa rủi ro của Web2.0 Web3.0 - một thách thức lâu dài và liên tục
Vào ngày 14 tháng 12, gã khổng lồ ví phần cứng Web3.0 Ledger đã gặp phải một cuộc khủng hoảng bảo mật lớn. Một cựu nhân viên của Ledger đã trở thành nạn nhân của một cuộc tấn công lừa đảo. Kẻ tấn công đã kiểm soát tài khoản NPMJS của mình thông qua Github, tải mã độc lên NPMJS của Ledger, sau đó lấy thành công quyền truy cập vào Ledger Connect Kit, hướng người dùng ví đến các trang web độc hại. Ledger nhanh chóng triển khai các bản cập nhật trong vòng 40 phút sau khi phát hiện ra lỗ hổng, ngăn chặn các mối đe dọa tiềm ẩn tiếp theo. Vụ tấn công đã gây thiệt hại trực tiếp khoảng 610.000 USD, tuy số tiền không lớn nhưng đã tác động tiêu cực khôn lường đến danh tiếng của Ledger.
Sự cố Ledger này, giống như trường hợp CertiK và WalletConnect hợp lực giải quyết các lỗ hổng XSS, nhắc nhở chúng ta rằng mặc dù Web3.0 và hệ sinh thái blockchain có tinh thần phi tập trung nhưng các ứng dụng Web3.0 hiện tại vẫn sử dụng một số lượng lớn các thành phần sinh thái Web2.0 , chẳng hạn như hệ thống tài khoản, mã QR, thư viện mã, v.v. nên chúng cũng thừa hưởng nguy cơ lỗ hổng tập trung trong thời đại Web2.0. Khi tài khoản của nhân viên bị tấn công lừa đảo thành công, nó có thể gây ra tổn thất lớn cho phần lớn người dùng Web3.0. Để đạt được mục tiêu này, những người thực hành bảo mật Web3.0, bao gồm cả CertiK, cần tìm ra sự cân bằng giữa khái niệm phân cấp và thực tế phát triển và bảo trì phần mềm, đây là một thách thức lâu dài và liên tục.
3. Giám sát ngành tiếp tục phát triển
Vào năm 2023, CertiK vui mừng khi thấy rằng khi quy định về Web3.0 dần hoàn thiện, ngày càng có nhiều tổ chức bắt đầu tích cực khám phá sự kết hợp giữa công nghệ chuỗi khối và hoạt động kinh doanh truyền thống. Những nỗ lực của Swift nhằm thúc đẩy khả năng tương tác, thực tiễn của nhiều ngân hàng trên thế giới trong lĩnh vực token hóa tài sản và việc thăm dò các gã khổng lồ tài chính Internet như Paypal ở mức tiền tệ ổn định đều cho thấy các doanh nghiệp có hiểu biết sâu sắc về công nghệ blockchain và hệ sinh thái. sự đồng thuận của Web3.0 không ngừng được củng cố.
Về mặt quy định, nhiều khu vực, bao gồm Hồng Kông, Singapore, Nhật Bản, Hoa Kỳ, Liên minh Châu Âu và Vương quốc Anh, đã đưa ra các khung pháp lý hoặc hướng dẫn cho stablecoin. Nhóm CertiK gần đây cũng đã đóng vai trò là chuyên gia tư vấn để cung cấp lời khuyên chuyên nghiệp cho Cơ quan tiền tệ Singapore (MAS) trong việc xây dựng khuôn khổ stablecoin của mình và đã được cơ quan này công nhận. CertiK gần đây cũng đã triển khai các dịch vụ tư vấn tuân thủ và kiểm toán bảo mật stablecoin, đồng thời sẽ tiếp tục hỗ trợ phát triển bảo mật của lĩnh vực stablecoin và triển khai Web3.0 trên quy mô lớn bằng cách tích cực tham gia vào các hoạt động tư vấn của các cơ quan quản lý địa phương.
Certik 2023
Với nỗ lực chung của toàn ngành, bảo mật Web3.0 đã đạt được tiến bộ về nhiều mặt vào năm 2023. CertiK rất vinh dự được tiếp tục đóng góp trong lĩnh vực này và hướng tới tương lai của Web3.0. Cùng điểm lại những khoảnh khắc nổi bật của CertiK trong năm 2023:
- Vào tháng 4 năm 2023, Skynet for Community sẽ được ra mắt để cung cấp cho người dùng nền tảng thông tin tổng hợp.
- Vào tháng 5 năm 2023, họ tuyên bố hợp tác với Alibaba Cloud để đưa tính năng bảo mật blockchain vào nền tảng đám mây.
- Vào tháng 6 năm 2023, Sui Foundation đã trao tiền thưởng cho việc phát hiện ra mối đe dọa bảo mật lớn đối với chuỗi khối Sui.
- Vào tháng 7 năm 2023, trở thành công ty kiểm tra bảo mật Web3.0 đầu tiên đạt được chứng nhận SOC 2 Loại I.
- Vào tháng 7 năm 2023, quá trình xác minh chính thức nâng cao đối với HyperEnclave Môi trường thực thi tin cậy (TEE) đa nền tảng mở đầy sáng tạo của Ant Group đã được hoàn thành.
- Vào tháng 7 năm 2023, các lỗ hổng bảo mật trong giải pháp TEE nguồn mở Safeheron đã được phát hiện và cùng nhau giải quyết.
- Vào tháng 8 năm 2023, một lỗ hổng bảo mật đã được phát hiện trong hệ thống Worldcoin.
- Vào tháng 8 và tháng 10 năm 2023, CertiK đã nhận được hai lời cảm ơn từ Apple vì đã phát hiện ra nhiều lỗ hổng bảo mật trong nhân Apple iOS.
- Vào tháng 9 năm 2023, sản phẩm quản lý rủi ro và tuân thủ Web3.0 SkyInsights đã được phát hành.
- Vào tháng 11 năm 2023, cung cấp xác minh số giao dịch mỗi giây (TPS) cho mạng TON.
- Vào tháng 11 năm 2023, nhiều lỗ hổng bảo mật lớn trong thiết bị đầu cuối di động Web3.0 đã được phát hiện.
- Vào tháng 12 năm 2023, Hướng dẫn An ninh Sinh thái Vũ trụ sẽ được phát hành.
- Vào tháng 12 năm 2023, một lỗ hổng XSS trong API Xác minh WalletConnect đã được phát hiện.
- Vào tháng 12 năm 2023, các lỗ hổng di động Wormhole và OKX đã được phát hiện.
Đây chỉ là một phần nhỏ trong nỗ lực của CertiK nhằm bảo vệ tính bảo mật của ngành Web3.0 vào năm 2023. Nhìn lại từng dòng kiểm tra mã trong năm 2023, việc theo dõi suốt đêm sau mỗi sự cố cũng như mọi phân tích và nghiên cứu, đây là những cam kết và kỳ vọng của CertiK đối với thế giới tương lai của Web3.0.
Cảm ơn tất cả những người thực hành Web3.0, các chuyên gia bảo mật và người dùng đã đồng hành cùng chúng tôi trong suốt chặng đường. Tôi tin rằng những lợi ích và bài học rút ra vào năm 2023 sẽ trở thành tài sản quý giá nhất trong việc xây dựng một thế giới Web3.0 an toàn.
