739,7 miljoonaa dollaria kryptoa hakkeroitu Q1 2024: Cyvers

Vuoden 2024 ensimmäinen vuosineljännes on ollut keskeinen luku Web3-tietoturvan tarinassa, jota leimaavat sekä merkittävät saavutukset uhkien vähentämisessä että syvälliset haasteet.

Tässä raportissa kootaan yhteen keskeiset havainnot tekoälyyn perustuvan Web3-tietoturvayritys Cyversin kattavasta analyysistä vuoden 2024 ensimmäisen vuosineljänneksen tietoturvaloukkauksista, tuodaan esiin uusia uhkia ja korostetaan ekosysteemin häiriönsietokyvyn merkitystä.

Tiivistelmä

DeFi:n, DePIN:n (hajautetut fyysiset infrastruktuuriverkot), RWA:n (Real World Assets) ja muiden lohkoketjupohjaisten sovellusten jatkuvan kehityksen keskellä olemme havainneet vastaavaa kehittyneiden tietoturvauhkien eskaloitumista. Hyökkäysvektorit ovat monipuolistuneet, ja koodin haavoittuvuudet ovat johtaneet huomattaviin taloudellisiin seurauksiin ja pääsynvalvontarikkomukset ovat osoittautuneet poikkeuksellisen kalliiksi.

Nämä suuntaukset ovat merkki siitä, että Web3-yhteisössä tarvitaan kiireellisesti tehostettuja turvatoimia ja suurempaa valppautta.

Cyvers onyhdessä BeInCrypton kanssa osoittanut sitoutumisensa tähän asiaan luomalla uraauurtavia reaaliaikaisia uhkien havaitsemis- ja tekoälypohjaisia tietoturvaratkaisuja. Tavoitteena on tarjota uhkien nopea ja tarkka tunnistaminen, ennakoiva torjunta ja varojen suojaaminen koko lohkoketjussa.

Nämä uhat käyttävät erilaisia hyökkäysvektoreita – älykkäiden sopimusten haavoittuvuuksista phishing-huijauksiin – ja pyrkivät hyödyntämään Web3-teknologioiden avointa ja toisiinsa kytkeytynyttä luonnetta. Vastauksena näihin haasteisiin Web3-yhteisö on kokoontunut yhteen ja korostanut turvallisuuden merkitystä ekosysteemin infrastruktuurin peruselementtinä.

Tärkeimmät tietoturvatrendit ja tilastot

Varastetun omaisuuden kokonaisarvo (Total Stolen Value, TSV) vuoden 2024 ensimmäisellä neljänneksellä on noin 739,7 miljoonaa dollaria. Eniten hyökkäyksiä tapahtui tammikuussa (27), seuraavaksi eniten maaliskuussa (21) ja helmikuussa (18). Vaikka helmikuussa oli vähiten hyökkäyksiä, niiden taloudellinen vaikutus oli suuri, sillä hyökkäykset aiheuttivat noin 405,3 miljoonan dollarin menetyksen.

Keskimääräinen tappio hyökkäystä kohden oli noin 6,7 miljoonaa dollaria, mikä osoittaa, että Web3-tietoturvaan liittyy suuria panoksia.

Yleisin hyökkäysvektori oli koodihaavoittuvuudet, joita esiintyi 37 kappaletta ja joiden aiheuttama tappio oli noin 165,9 miljoonaa dollaria. Pääsynvalvontahyökkäykset olivat paljon kalliimpia, vaikka ne olivatkin harvinaisempia, ja niiden aiheuttama tappio oli noin 573,8 miljoonaa dollaria.

Cyvers havaitsi 10 tapausta, joissa hakkerit havaittiin yksinomaan, mikä korostaa ennakoivien turvatoimien, kehittyneiden algoritmien ja jatkuvan optimoinnin merkitystä.

Kolme näistä tapauksista oli vuoden 2024 ensimmäisen neljänneksen 10 tärkeimmän hakkeroinnin joukossa.

PlayDappin tietoturvaloukkausten analyysi

Helmikuussa 2024 merkittävä peli- ja NFT-alusta PlayDapp kohtasi vakavan turvallisuushaasteen, kun se kärsi kahdesta peräkkäisestä haavoittuvuudesta, jotka johtivat ennennäkemättömään PLA-tunnisteiden lyöntiin. Aluksi helmikuun 9. päivänä luvaton taho leimasi 200 miljoonaa PLA-tunnusta, joiden arvo oli noin 36,5 miljoonaa dollaria.

Muutamaa päivää myöhemmin, 12. helmikuuta, sama taho lyönyt 1,79 miljardia PLA-tunnusta, mikä vastaa huikeaa 253,9 miljoonan dollarin arvoa. Näiden väärinkäytösten seurauksena menetettiin yhteensä noin 290 miljoonaa dollaria.

Pääasiallisena syynä loukkaukseen tunnistettiin älysopimusten haavoittuvuus, jonka ansiosta hyökkääjä pystyi lyömään rahakkeita ilman tarvittavia valtuuksia. Seuraukset olivat välittömät ja vakavat, sillä PLA-tunnisteiden markkinahinta romahti luvattomien tunnisteiden äkillisen tulvan vuoksi. PlayDappin tiimi yritti neuvotella hyökkääjän kanssa ja tarjosi miljoonan dollarin palkkion varastettujen varojen palauttamisesta, mutta tuloksetta.

Tapahtuman jälkeen toteutettuihin turvatoimiin kuului PLA:n älykkään sopimuksen keskeyttäminen ja sopimuksen siirtäminen ennen hyökkäystä tehtyjen tilannekuvien perusteella haltijoiden saldoista. PlayDappin ripeä reagointi sopimuksen keskeyttämiseen ja yhteistyöhön lainvalvontaviranomaisten ja lohkoketjututkimusyritysten kanssa osoitti sitoutumista turvallisuuteen ja avoimuuteen. Yhteydenpito pörsseihin ja varastettujen varojen jäljittäminen jatkui, ja parhaillaan keskustellaan aktiivisesti strategioista vaikutusten lieventämiseksi ja vastaavien tapausten estämiseksi tulevaisuudessa.

Lue lisää: AI for Smart Contract Audits: Nopea ratkaisu vai riskialtista liiketoimintaa?

PlayDappin tapaus toimii varoittavana esimerkkinä älykkäisiin sopimuksiin sisältyvistä haavoittuvuuksista, erityisesti mitä tulee tokenien lyömiseen ja hallintaan. PlayDappin tapauksen opetukset ovatkin moninaiset: jatkuvan turvallisuusvalvonnan ehdoton välttämättömyys, ennakoivien ja reaktiivisten turvatoimien tärkeys ja jatkuva tarve yhteisön koulutukseen parhaista turvallisuuskäytännöistä.

Web3:n turvallisuutta koskevat sääntelymuutokset

Vuoden 2024 ensimmäisellä vuosineljänneksellä globaalissa digitaalisen omaisuuden maisemassa tapahtui huomattavia sääntelyn edistysaskeleita, joilla on ollut huomattava vaikutus Web3-turvallisuuteen.

PwC:n Global Crypto Regulatory Report -raportissa korostetaan digitaalisten omaisuuserien sääntelyn jatkuvaa kehitystä ja todetaan, että vaikka vuonna 2023 tapahtui merkittävää edistystä, toimialalla on edelleen edessään merkittävä sääntelyn työmäärä. Tällainen kehitys on ratkaisevan tärkeää, koska se tarjoaa jäsennellyn kehyksen toiminnalle, parantaa globaalia sääntelypolitiikkaa ja auttaa luomaan maailmanlaajuisia vakavaraisuusstandardeja, jotka mahdollisesti vaikuttavat EU:n krypto-omaisuusmarkkinoiden sääntelyyn ja muihin kansainvälisiin politiikkoihin.

Lisäksi FTX:n korkean profiilin romahduksen jälkeen sääntelyelimet ovat joutuneet omaksumaan tiukemman lähestymistavan digitaalisia omaisuuseriä koskeviin sääntöihin, jotta sijoittajia voitaisiin suojella paremmin. Esimerkiksi Yhdysvaltain arvopaperimarkkinavalvontaviranomainen SEC (Securities and Exchange Commission) oli suunnitellut julkaisevansa uusia sääntöjä digitaalisten omaisuuserien pörsseistä ja tarjouksista. Näiden sääntöjen odotettiin sisältävän kattavat säännökset digitaalisten omaisuuserien tarjoamiselle sekä ohjeet digitaalisten omaisuuserien pörsseille.

Tämä reaktio aiempiin tapahtumiin osoittaa sääntelyelinten selkeää aikomusta parantaa valvontaa ja estää vastaavat tapahtumat tulevaisuudessa.

Näillä säännöksillä pyritään paitsi turvaamaan sijoittajat myös varmistamaan digitaalisten omaisuuserien markkinoiden asianmukainen toiminta. Cyversille tämä kehitys voisi tarjota tilaisuuden osallistua sääntelykeskusteluihin ja hyödyntää asiantuntemustaan sellaisten politiikkojen muotoilun ohjaamisessa, joissa turvallisuuden tarve ja Web3-alueen innovaatiomahdollisuudet ovat tasapainossa.

Sääntelyn kehittyessä Cyversin ja BeInCrypton kyky tarjota vaatimustenmukaisuuden mukaisia tietoturvapalveluja on yhä tärkeämpi. Ensimmäinen vuosineljännes 2024 on näin ollen ratkaisevaa aikaa Web3-turvallisuuden kannalta, sillä sääntelyelimet ympäri maailmaa ottavat oppia aiemmista tapahtumista vahvistaakseen alan puolustusta ja luodakseen turvallisen perustan kasvavalle digitaaliselle taloudelle.

Suosituksia Web3-turvallisuuden parantamiseksi

Cyvers selvitti BeInCryptolle strategisia tapoja parantaa ekosysteemin eri sidosryhmien tietoturva-asetelmia Web3:n vahvistamiseksi:

Hankkeet:

• Älykkäiden sopimusten auditointi: Varmista, että hyvämaineiset yritykset tekevät älykkäille sopimuksille perusteelliset tietoturvatarkastukset. Auditoida säännöllisesti uudelleen suurten päivitysten tai sopimuksen logiikkaan tehtyjen muutosten jälkeen. Tutustu suositeltuihin tilintarkastajiin täällä.
• Häiriötilanteisiin vastaamisen suunnittelu: Kehitä mahdollisiinWeb3-kohtaisiin rikkomuksiin räätälöity vastesuunnitelma, jossa esitetään yksityiskohtaisesti välittömät toimet, viestintäprotokollat ja varotoimenpiteet.
• Turvallisuusmoduulien integrointi: Ota käyttöön reaaliaikaiset uhkien havaitsemis- ja turvamoduulit, kuten Cyversin tarjoamat moduulit, jotta voit jatkuvasti valvoa ja suojautua haitalliselta toiminnalta.

Kehittäjille:

• Security-First Design: Järjestelmiä suunniteltaessa on noudatettava turvallisuus etusijalla -lähestymistapaa, jossa turvallisuus asetetaan etusijalle kaikissa kehitysvaiheissa.
• Jatkuva koulutus: Pysy ajan tasalla uusimmista tietoturvatutkimuksista, haavoittuvuuksista ja suojausstrategioista. Osallistu yhteisön kanssa tiedon ja parhaiden käytäntöjen jakamiseen.
• Hallinnan hajauttaminen: Vältä yksittäisiä vikapisteitä järjestelmissäsi. Käytä kriittisissä toiminnoissa usean allekirjoituksen lompakoita ja hajautettua päätöksentekoa.

Sijoittajille:

• Due Diligence: Noudata huolellisuutta tarkastelemalla hankkeiden turvallisuuskäytäntöjä ennen sijoittamista. Tarkista tarkastuskertomukset, turvallisuusyhteydet ja tapahtumahistoria.
• Hajauta omistuksia: Suojaa salkkuasi kohdennetuilta tietoturvaloukkauksilta hajauttamalla omistuksiasi eri alustoille ja lompakoihin.
• Käytä luotettavia alustoja: Käytä alustoja, joilla on todistettu turvallisuus ja jotka toteuttavat uusimpia turvatoimia.

Käyttäjille:

• Turvalliset lompakkokäytännöt: Käytä laitteistolompakoita merkittäviin omistuksiin, käytä yksityisten avainten turvallista säilytystä ja käytä monitekijätodennusta.
• Varo tietojenkalastelua: Perehdy Web3-avaruudessa yleisiin tietojenkalastelutaktiikoihin. Tarkista URL-osoitteet, tarkista älykkäiden sopimusten vuorovaikutus kahdesti ja ole varovainen pyytämättömien pyyntöjen kanssa.
• Pysy ajan tasalla: Päivitä ohjelmistosi säännöllisesti uusimpiin versioihin ja varmista, että tietoturvakorjauksia käytetään.

Lue lisää: DeFi-lainausprotokollien riskien tunnistaminen ja tutkiminen.

Noudattamalla näitä suosituksia Web3-ekosysteemin sidosryhmät voivat pienentää riskiprofiiliaan merkittävästi ja edistää turvallisen ja kestävän digitaalisen ympäristön luomista. Yhteisen valppauden ja ennakoivien toimenpiteiden avulla voimme liikkua Web3-ekosysteemissä turvallisesti ja luottavaisesti.