Bit Jungle: Informe de análisis de seguridad de blockchain para la primera mitad de 2023

Prefacio

Con la continua profundización del proceso de digitalización, la tecnología blockchain se ha convertido en una fuerza impulsora importante en muchos campos, no solo trae cambios disruptivos a las industrias tradicionales como las finanzas, la atención médica y la logística, sino que también brinda más apertura y transparencia a los participantes. experiencia. Sin embargo, con la aplicación generalizada de la tecnología blockchain, los problemas de seguridad asociados con ella se han vuelto cada vez más graves. En los últimos años, los incidentes de seguridad de blockchain han ocurrido con frecuencia, lo que no solo causó grandes pérdidas a individuos y empresas, sino que también planteó desafíos para el desarrollo de la tecnología blockchain.

Este informe clasifica y analiza los incidentes de seguridad de blockchain en la primera mitad de 2023, con el objetivo de explorar los peligros ocultos de la seguridad de blockchain, analizar las causas de los incidentes de seguridad de blockchain y proponer las soluciones y sugerencias correspondientes. A través de este informe, esperamos llamar la atención de todas las partes sobre los problemas de seguridad de blockchain, promover conjuntamente el desarrollo seguro de la tecnología blockchain y sentar una base sólida para el futuro del mundo digital.

Resumen de pérdidas económicas por incidentes de seguridad

En la primera mitad de 2023, se produjeron un total de 192 ataques importantes, con una pérdida total de aproximadamente 920 millones de dólares estadounidenses.

• Un total de 4 incidentes de seguridad con una pérdida de más de 100 millones de dólares estadounidenses:

El ataque de préstamo flash de Euler Finance perdió $ 197 millones

Blockchain para el proyecto de estafa de arrugas de la nariz del perro causa pérdidas de $ 127 millones

BonqDAO y AllianceBlock manipularon los precios y causaron pérdidas de 120 millones de dólares estadounidenses

Atomic Wallet robado y perdido $ 100 millones

• 12 incidentes en los que el monto de la pérdida estuvo en el rango de US $ 10 millones a US $ 100 millones
• Hubo 40 incidentes con pérdidas que oscilaron entre US$1 millón y US$10 millones.

Descripción general del análisis de los métodos de ataque

Según el análisis de métodos de ataque utilizados en incidentes de seguridad, los métodos de ataque más frecuentes son Rug Pull y Contract Vulnerability, ambos con 32 ataques. A esto le siguieron los ataques de préstamos relámpago, que ocurrieron 20 veces y representaron el 14,93 % de todos los incidentes.

Entre los métodos de ataque con mayor número de ocurrencias, el préstamo flash perdió la mayor cantidad, causando una pérdida total de 250 millones de dólares estadounidenses. Le siguió la estafa de la cadena de bloques, que solo ocurrió siete veces y causó pérdidas por 230 millones de dólares.

Aunque el número total de vulnerabilidades de contrato y Rug Pull es relativamente grande, representando el 47,76 % de todos los métodos de ataque, las pérdidas causadas por ellos son mucho menores que las dos anteriores, con solo una pérdida de 66,49 millones de dólares estadounidenses. La alta incidencia de estos ataques y la enorme cantidad de pérdidas ponen de manifiesto una vez más los riesgos en el mercado de las criptomonedas. Aunque la tecnología blockchain tiene un gran potencial y perspectivas de aplicación, aún enfrenta riesgos de seguridad y desafíos técnicos.

Los incidentes Rug Pull ocurren con frecuencia, de los cuales el 75% del monto descontrolado del proyecto es inferior a 10 millones de dólares estadounidenses, y el 28% del monto descontrolado del proyecto es inferior a 1 millón de dólares estadounidenses. Dichos proyectos generalmente carecen de un sitio web oficial, Twitter, Telegram, Github y otra información, no hay una hoja de ruta o un libro blanco, y la información de los miembros del equipo es sospechosa. El período desde el lanzamiento del proyecto hasta la ejecución final no supera los tres meses.

Las pérdidas causadas por tales incidentes de seguridad no pueden ignorarse. Es necesario fortalecer la investigación de los antecedentes del proyecto, aumentar la conciencia de prevención de información desconocida y mejorar la capacidad de prevención a través de la prevención temprana para evitar pérdidas.

Una descripción general de los tipos de eventos de seguridad atacados

1 Aplicación de cadena

La aplicación en cadena, también conocida como aplicación descentralizada (DApp), es una aplicación construida sobre blockchain o tecnología de contabilidad distribuida. Utilice las características y funciones de la cadena de bloques para el almacenamiento de datos, el procesamiento de transacciones y la ejecución de contratos inteligentes.

• En la primera mitad de 2023, se produjeron un total de 157 incidentes de seguridad en aplicaciones en cadena, lo que representa el 81 % del número total de incidentes. La cantidad total de pérdida de aplicaciones en cadena alcanzó los 740 millones de dólares estadounidenses, lo que representa el 79% de la cantidad total de pérdida. Las aplicaciones en cadena fueron el tipo con la mayor frecuencia de ataques y la mayor cantidad de pérdidas en los últimos seis meses.
• La frecuencia de incidentes de seguridad de aplicaciones en cadena en los seis meses de la primera mitad del año fue casi la misma. Las tres principales causas de incidentes de seguridad fueron Rug Pull, lagunas en los contratos y Twitter siendo pirateado.

sugerencia:

• La parte del proyecto considera completamente la seguridad del proyecto al diseñar y construir el proyecto. Al implementar la función, también considera si se omitirá la función de verificación y si hay defectos, y realiza una auditoría de seguridad completa antes de que el proyecto entre en línea. .
• Antes de que los usuarios inviertan en la aplicación de la cadena, deben investigar tanto como sea posible, tomar decisiones cuidadosas e invertir con cautela.

2 Intercambio

Intercambio (Exchange) se refiere a una plataforma o institución que brinda servicios de negociación y comercio de activos digitales. Permite a los usuarios intercambiar un activo digital (como Bitcoin, Ethereum, etc.) por otro, o comprar o vender activos digitales con monedas fiduciarias (como USD, EUR, etc.).

• En la primera mitad de 2023, los intercambios ocuparon el segundo lugar en el número de incidentes de seguridad. En la primera mitad del año, hubo 11 incidentes de seguridad en el campo de los intercambios, lo que provocó una pérdida total de 73,18 millones de dólares estadounidenses. La razón principal del ataque es la laguna del contrato.
• Los incidentes de seguridad relacionados con los intercambios ocurren todos los meses. Y la cantidad de dinero perdido debido a incidentes de seguridad no es un número pequeño.

sugerencia:

*Los usuarios deben tener cuidado con el phishing y los enlaces maliciosos: Evite hacer clic en enlaces que no sean de confianza, especialmente los recibidos por correo electrónico o redes sociales.

• Verifique regularmente la actividad de la cuenta; no almacene todos los fondos de forma centralizada; actualice y asegure el equipo; elija una empresa de seguridad confiable para una auditoría temprana.

3 Cadena pública/Cadena lateral

Public Blockchain, conocida como la cadena pública, se refiere a una cadena de bloques de consenso a la que cualquier persona en el mundo puede acceder y leer en cualquier momento, y cualquiera puede enviar transacciones y obtener una confirmación efectiva. Una cadena lateral es una cadena de bloques paralela a la cadena principal, que puede entenderse como un protocolo de extensión de la cadena de bloques. Para satisfacer necesidades comerciales específicas, como el intercambio de activos entre cadenas, la expansión de cadenas privadas y soluciones de cadenas de bloques específicas de la industria.

• En la primera mitad de 2023, la cadena pública/cadena lateral es el tercer tipo más grande de incidentes de seguridad. La razón principal del ataque es la vulnerabilidad del contrato inteligente.

sugerencia:

• Elegir un mecanismo de consenso fiable.
• Use algoritmos de encriptación seguros para generar y almacenar claves, y use tecnología de firmas múltiples para aumentar la seguridad de las transacciones.
• Realizar auditorías de seguridad periódicas, incluidas revisiones de código, pruebas de seguridad y escaneo de vulnerabilidades para identificar posibles agujeros y debilidades de seguridad.

4 Puente de cadena cruzada

Cross-Chain Bridge es una solución técnica que permite la transferencia de activos digitales entre diferentes redes de blockchain. Un puente entre cadenas normalmente bloquea o quema tokens en un contrato inteligente en la cadena de origen y desbloquea o acuña tokens a través de otro contrato inteligente en la cadena de destino. La comunicación entre cadenas esencialmente requiere una compensación en tres dimensiones: seguridad, confianza y flexibilidad. Debido a la existencia de estos factores complejos, los puentes entre cadenas se han convertido en el principal objetivo de ataque en el campo Web3.

• En la primera mitad de 2023, hubo 8 incidentes de seguridad de puentes entre cadenas, con una pérdida de US $ 11,37 millones.
• En 2022, los 12 incidentes de seguridad de puentes de cadena cruzada causaron un total de alrededor de US $ 1890 millones en pérdidas, ocupando el primer lugar entre todos los tipos de proyectos en pérdidas. En comparación con el año pasado, ha habido 7 incidentes de seguridad en el puente de cadena cruzada en la primera mitad de este año. Además de los recientes incidentes de seguridad de Poly Network y Multichain, ha habido 10 incidentes de seguridad. La seguridad del puente de cadena cruzada los incidentes son más altos que el año pasado acontecimientos más graves. Las principales razones para ser atacado son las vulnerabilidades de los contratos inteligentes, los préstamos rápidos, etc.

sugerencia:

• La parte del proyecto prioriza la seguridad al diseñar el protocolo de transmisión de mensajes entre cadenas.

5 carteras

Una billetera de cadena de bloques es una parte importante de la cadena de bloques, una herramienta de administración y almacenamiento de moneda digital que permite a los usuarios almacenar, recibir y enviar de forma segura varias criptomonedas como Bitcoin, Ethereum y otras fichas. La seguridad de la billetera siempre ha sido un tema candente en la industria de la cadena de bloques. Una vez que la billetera es atacada, el atacante puede robar fácilmente información confidencial, como la clave privada y la mnemotécnica del usuario, y luego dominar los activos digitales del usuario. El valor de estos activos digitales puede ser muy alto y, si son robados, la pérdida será muy grande. Por lo tanto, para maximizar la seguridad de los activos digitales de los usuarios, recomendamos que los usuarios tomen algunas medidas de seguridad.

• En la primera mitad de 2023, la cantidad de incidentes de seguridad en los que se atacaron las billeteras fue relativamente pequeña en comparación con otros tipos, pero cuando se atacaron las billeteras, las pérdidas fueron relativamente grandes. Como los incidentes de la billetera Atomic y MyAlgo, los dos ataques causaron una pérdida de hasta 109 millones de dólares estadounidenses.
• El tipo con el tercer mayor número de incidentes es la billetera, y la mayoría de los incidentes de seguridad en esta categoría se deben a la fuga de claves privadas y mnemónicos.

sugerencia:

• Elija un proveedor de billetera confiable: elija un proveedor de billetera con buena reputación y un historial sólido. Asegúrese de comprender sus prácticas de seguridad, cómo proteger información confidencial como datos de usuario y claves privadas.
• Use autenticación de dos factores: habilite la autenticación de dos factores para aumentar la seguridad de su cuenta. Este método requiere que ingrese otra forma de autenticación además de su nombre de usuario y contraseña al iniciar sesión, como un código de verificación o reconocimiento de huellas dactilares.
• NO COMPARTA SU CLAVE PRIVADA: una clave privada es prueba de propiedad de su criptomoneda. No comparta sus claves privadas con nadie, incluidos los proveedores de carteras. Si alguien le pide su clave privada, lo más probable es que sea una estafa.
• Realice una copia de seguridad de su billetera con regularidad: Hacer una copia de seguridad de su billetera con regularidad garantiza que pueda recuperar sus criptomonedas si su billetera se pierde o es atacada. Puede guardar sus copias de seguridad en un lugar seguro, como un dispositivo fuera de línea o una billetera de hardware.
• Tenga cuidado con los correos electrónicos o mensajes desconocidos: no abra ni descargue correos electrónicos o mensajes de fuentes desconocidas. Estos pueden contener malware o enlaces que pueden comprometer su billetera.
• Asegúrese de que su computadora y dispositivos móviles estén seguros: asegúrese de que su computadora y dispositivos móviles tengan las últimas actualizaciones de seguridad y antivirus para proteger sus dispositivos de ataques.
• No use redes Wi-Fi desconocidas en lugares públicos, ya que estas redes pueden ser inseguras y los piratas informáticos pueden usarlas para atacar su billetera.
• Asegúrese de que el software de su billetera esté actualizado: asegúrese de que el software de su billetera esté actualizado. Los nuevos lanzamientos a menudo contienen actualizaciones de seguridad y correcciones que pueden ayudarlo a proteger su billetera de los ataques.
• Manténgase actualizado con la información más reciente sobre la seguridad de la billetera: manténgase informado sobre la información y los eventos más recientes sobre la seguridad de la billetera para ayudarlo a mantenerse informado sobre la seguridad de la billetera y tomar las precauciones adecuadas.

Análisis y resumen de incidentes de seguridad de blockchain en la primera mitad de 2023

Mediante la clasificación de los incidentes de seguridad de blockchain en la primera mitad de 2023, se descubrió que la aplicación en la cadena era el tipo de proyecto con la mayor frecuencia de ataques y la mayor cantidad de pérdidas en medio año. Se produjeron un total de 157 incidentes de seguridad en el campo de aplicaciones en cadena, 32 de los cuales fueron ataques basados en vulnerabilidades de contratos.

Frente a los frecuentes incidentes de seguridad, los desarrolladores deben seguir la codificación de seguridad, auditar los códigos de los contratos y usar bibliotecas de seguridad maduras para proteger los derechos de los usuarios, y los usuarios que usan contratos inteligentes también deben elegir los contratos con cuidado y revisarlos cuidadosamente antes de usarlos. código y seguridad, elija una empresa de seguridad profesional para la auditoría. Cuando ocurre un incidente de seguridad, los usuarios pueden hacer muy poco, solo mejorando continuamente su propia conciencia de seguridad, descubriendo vulnerabilidades con anticipación, resolviendo vulnerabilidades y tomando precauciones pueden evitar ser atacados tanto como sea posible.

La información proporcionada en este informe es solo para referencia e investigación. La información proviene de fuentes públicas. El autor ha hecho todo lo posible para verificar la exactitud y la integridad, pero no puede garantizar su exactitud y la integridad, y no asume ninguna responsabilidad por el uso o confiar en la información responsabilidad por pérdida o daño. Este informe no debe considerarse una recomendación o recomendación para ningún proyecto de cadena de bloques o inversión en criptomonedas en particular, y los lectores deben realizar su propia investigación y toma de decisiones. El contenido de este informe no sustituye el juicio y la toma de decisiones del lector, ni puede garantizar la persistencia o realización de la situación descrita.