Tổng hợp sự kiện an ninh Web3 năm 2024: Phân tích mười trường hợp tấn công
Năm 2024, với sự đổi mới không ngừng của công nghệ blockchain và sự mở rộng của hệ sinh thái, lĩnh vực Web3 đang đối mặt với những thách thức an ninh ngày càng nghiêm trọng. Theo thống kê từ nền tảng dữ liệu, tính đến cuối năm, tổng thiệt hại của ngành Web3 do các cuộc tấn công của hacker, lừa đảo qua phishing và việc rút lui ác ý của các dự án lên tới 2,491 triệu đô la.
Những sự kiện này không chỉ phơi bày các lỗ hổng ở cấp độ kỹ thuật như quản lý khóa riêng và hợp đồng thông minh, mà còn làm nổi bật các rủi ro tiềm ẩn trong tấn công kỹ thuật xã hội và quản lý nội bộ. Bài viết này sẽ điểm lại mười sự kiện an ninh có ảnh hưởng nhất trong lĩnh vực Web3 năm 2024, nhằm hy vọng rằng ngành có thể rút ra bài học kinh nghiệm, chuẩn bị tốt hơn để đối phó với các mối đe dọa an ninh trong tương lai.
1. DMM Bitcoin: Rò rỉ khóa riêng dẫn đến tổn thất 304 triệu đô la Mỹ
Vào ngày 31 tháng 5 năm 2024, sàn giao dịch tiền điện tử nổi tiếng của Nhật Bản, DMM Bitcoin, đã gặp phải một sự cố an ninh nghiêm trọng. Kẻ tấn công đã lợi dụng khóa riêng bị rò rỉ để chuyển trực tiếp hơn 300 triệu đô la Mỹ Bitcoin và nhanh chóng phân tán số tiền bị đánh cắp đến hơn 10 địa chỉ khác nhau. Sự kiện này đã phơi bày những thiếu sót nghiêm trọng của sàn giao dịch trong việc quản lý khóa riêng và bảo vệ an ninh đa lớp.
Mặc dù các sàn giao dịch cố gắng theo dõi hacker thông qua việc giám sát trên chuỗi và đóng băng tiền, nhưng do Bitcoin bị đánh cắp nhanh chóng bị phân tán và được rửa qua các công cụ trộn, công việc thu hồi gặp nhiều thách thức lớn. Cuối năm, cảnh sát Nhật Bản điều tra xác định rằng sự cố tấn công này nghi ngờ do tổ chức hacker Bắc Triều Tiên Lazarus Group thực hiện.
2. PlayDapp: Thiệt hại 290 triệu đô la do rò rỉ khóa riêng
Vào ngày 9 tháng 2 năm 2024, PlayDapp đã gặp phải một sự cố bảo mật nghiêm trọng. Tin tặc đã thành công trong việc đánh cắp khóa riêng và đúc ra 2 tỷ token PLA, có giá trị ban đầu là 36,5 triệu đô la Mỹ. Do bên dự án đã không thành công trong việc thương lượng với tin tặc, kẻ tấn công đã tiếp tục đúc thêm 15,9 tỷ token PLA trong một khoảng thời gian ngắn, đạt giá trị lên tới 253,9 triệu đô la Mỹ.
Một phần token bị đánh cắp đã chảy vào nền tảng giao dịch, PlayDapp buộc phải tạm ngừng hoạt động hợp đồng PLA và di chuyển token sang hợp đồng PDA mới. Sự kiện này làm nổi bật những thiếu sót của các dự án blockchain trong việc bảo vệ khóa riêng và cơ chế phản ứng khẩn cấp.
3. WazirX: Tấn công mạng và lừa đảo dẫn đến thiệt hại 2,35 triệu đô la
Vào ngày 18 tháng 7 năm 2024, ví đa ký của Safe Wallet thuộc sàn giao dịch tiền điện tử lớn nhất Ấn Độ WazirX đã bị tấn công chính xác. Kẻ tấn công đã sử dụng kỹ thuật kỹ thuật xã hội để lừa những người ký đa ký phê duyệt một giao dịch nâng cấp hợp đồng, sau đó lợi dụng quyền hạn của hợp đồng đã được nâng cấp để chuyển toàn bộ tài sản trong ví.
Vụ việc này đã phơi bày những rủi ro tiềm ẩn của ví đa chữ ký trong việc cấu hình quản lý quyền hạn và độ minh bạch trong hoạt động, đồng thời cũng đã khơi dậy một cuộc suy ngẫm sâu sắc trong ngành về cơ chế kiểm soát rủi ro nội bộ và an ninh của dự án.
4. Gala Games: Lỗ hổng kiểm soát truy cập gây ra thiệt hại 216 triệu USD
Vào ngày 20 tháng 5 năm 2024, một địa chỉ đặc quyền của Gala Games đã bị hacker tấn công. Kẻ tấn công đã gọi hàm mint trong hợp đồng token, một lần đã đúc ra 5 tỷ GALA token. Sau đó, hacker đã đổi những token mới này thành ETH qua nhiều đợt, dẫn đến thiệt hại trực tiếp là 216 triệu USD.
Đội ngũ Gala Games đã nhanh chóng kích hoạt chức năng danh sách đen ngay sau khi sự kiện xảy ra, chặn một số tài khoản của hacker và đã đòi lại một phần thiệt hại thông qua các biện pháp pháp lý. Sự kiện này làm nổi bật tầm quan trọng của việc quản lý quyền hạn hợp đồng.
5. Chris Larsen: Rò rỉ khóa riêng dẫn đến 1,12 triệu đô la XRP bị đánh cắp
Vào ngày 31 tháng 1 năm 2024, bốn ví cá nhân của Chris Larsen, đồng sáng lập Ripple, đã bị tin tặc xâm nhập, dẫn đến việc 112 triệu đô la XRP bị đánh cắp. Những ví này có thể đã trở thành mục tiêu tấn công do thiếu bảo mật xác thực hai yếu tố từ thiết bị phần cứng.
Sau sự cố xảy ra, một nền tảng giao dịch đã thành công trong việc đông lạnh 4,2 triệu USD XRP và hỗ trợ Larsen truy tìm tài sản bị đánh cắp. Tuy nhiên, hầu hết số tiền đã được rửa qua các sàn giao dịch phi tập trung và dịch vụ trộn tiền, khiến việc thu hồi trở nên cực kỳ khó khăn.
6. Munchables: Tấn công kỹ thuật xã hội dẫn đến thiệt hại 62,5 triệu đô la
Vào ngày 26 tháng 3 năm 2024, nền tảng trò chơi Web3 dựa trên Blast Munchables đã gặp phải một cuộc tấn công thâm nhập nội bộ hiếm thấy. Kẻ tấn công đã giả trang thành nhà phát triển blockchain, thông qua việc lẩn trốn lâu dài để lấy được mã nguồn và khóa nhạy cảm.
Mặc dù vụ tấn công gây ra thiệt hại lớn, nhưng dưới áp lực của cộng đồng và đội ngũ, hacker cuối cùng đã trả lại toàn bộ số tiền bị đánh cắp. Sự kiện này làm nổi bật tầm quan trọng của an ninh chuỗi cung ứng, đặc biệt là đối với các dự án blockchain phụ thuộc vào phát triển bên thứ ba.
7. BtcTurk: Lỗ hổng bảo mật khóa riêng đã gây ra thiệt hại 55 triệu USD
Vào ngày 22 tháng 6 năm 2024, sàn giao dịch tiền điện tử lớn nhất của Thổ Nhĩ Kỳ, BtcTurk, đã gặp phải một cuộc tấn công rò rỉ khóa riêng, gây thiệt hại hơn 55 triệu USD tài sản tiền điện tử. Với sự hỗ trợ của một nền tảng giao dịch, 5,3 triệu USD trong số tiền bị đánh cắp đã được đóng băng thành công, nhưng các tài sản khác vẫn chưa được thu hồi. Sự kiện này càng làm sâu sắc thêm mối lo ngại của thị trường về khả năng quản lý khóa riêng của các sàn giao dịch tập trung.
Vào ngày 17 tháng 10 năm 2024, ví đa chữ ký của Radiant Capital đã bị tấn công bởi hacker. Do áp dụng mô hình xác thực chữ ký 3/11 với mức rào cản thấp, hacker đã thông qua việc nắm giữ khóa riêng của 3 người ký để thực hiện chữ ký ngoài chuỗi, thành công chuyển quyền sở hữu hợp đồng ví sang địa chỉ độc hại, cuối cùng dẫn đến việc 53 triệu đô la bị đánh cắp.
Cần lưu ý rằng Radiant Capital đã mất 4,5 triệu đô la do lỗ hổng hợp đồng trước khi xảy ra cuộc tấn công này, với hơn 1900 ETH bị đánh cắp. Chuỗi sự kiện này đã làm nổi bật sự cần thiết phải nâng cao nhận thức về an ninh và khả năng bảo vệ của các dự án Web3.
9. Hedgey Finance: Lỗi hợp đồng gây thiệt hại 44,7 triệu đô la
Vào ngày 19 tháng 4 năm 2024, Hedgey Finance đã遭遇 một cuộc tấn công vào nhiều hợp đồng trên chuỗi. Tin tặc đã lợi dụng lỗ hổng phê duyệt của hợp đồng ClaimCampaigns, thành công rút tiền token trên hai chuỗi Ethereum và Arbitrum, tổng thiệt hại lên đến 44,7 triệu đô la.
Sự kiện này lại nhấn mạnh tầm quan trọng của việc kiểm toán mã, đặc biệt là việc xác minh nghiêm ngặt logic phê duyệt token.
10. BingX: Ví nóng bị tấn công gây thiệt hại 44,7 triệu đô la
Vào ngày 19 tháng 9 năm 2024, ví nóng của một nền tảng giao dịch đã bị tin tặc xâm nhập, liên quan đến nhiều chuỗi công khai bao gồm Ethereum, BNB Chain, Tron, và nhiều chuỗi khác. Mặc dù sàn giao dịch đã nhanh chóng khởi động cơ chế chuyển tài sản và đóng băng rút tiền, nhưng tin tặc vẫn thành công rút ra tài sản trị giá 44,7 triệu USD.
Cuộc tấn công lần này một lần nữa phản ánh tính rủi ro cao trong việc quản lý ví nóng của các sàn giao dịch tập trung, thúc đẩy ngành công nghiệp khám phá thêm các giải pháp lưu trữ tài sản an toàn hơn.
Kết luận
Những sự kiện an ninh xảy ra thường xuyên trong năm 2024 một lần nữa nhắc nhở chúng ta rằng sự phát triển lành mạnh của ngành công nghiệp blockchain không thể thiếu sự bảo đảm an ninh mạnh mẽ. Từ việc rò rỉ khóa riêng cho đến lỗ hổng hợp đồng, từ sự thiếu sót trong quản lý nội bộ cho đến sự nâng cấp của các phương thức tấn công bên ngoài, mỗi sự kiện đều gióng lên hồi chuông cảnh báo cho ngành.
Để đối phó với những mối đe dọa tấn công ngày càng phức tạp, các bên trong ngành cần tăng cường đầu tư liên tục vào nghiên cứu công nghệ, quy định quản lý và phòng ngừa rủi ro. Trong tương lai, chúng tôi hy vọng thông qua hợp tác ngành và đổi mới công nghệ, cùng nhau xây dựng một hệ sinh thái blockchain an toàn và đáng tin cậy hơn, cung cấp sự bảo vệ tốt hơn cho người dùng và nhà đầu tư.
Xem bản gốc
Trang này có thể chứa nội dung của bên thứ ba, được cung cấp chỉ nhằm mục đích thông tin (không phải là tuyên bố/bảo đảm) và không được coi là sự chứng thực cho quan điểm của Gate hoặc là lời khuyên về tài chính hoặc chuyên môn. Xem Tuyên bố từ chối trách nhiệm để biết chi tiết.
18 thích
Phần thưởng
18
6
Chia sẻ
Bình luận
0/400
DataOnlooker
· 15giờ trước
Tiền này dễ kiếm quá 8
Xem bản gốcTrả lời0
ImaginaryWhale
· 07-21 08:58
Ôi chao Hacker đều phát tài rồi
Xem bản gốcTrả lời0
BridgeJumper
· 07-21 08:56
Cỏ lại nổ một cú nữa
Xem bản gốcTrả lời0
GweiObserver
· 07-21 08:54
là âm thanh của đồ ngốc bị chơi đùa với mọi người xong~
Xem bản gốcTrả lời0
CryptoSourGrape
· 07-21 08:46
Lại chơi đùa với mọi người một lần nữa. Người ta là chơi đùa với người khác, còn tôi là chơi đùa với chính mình.
Phân tích 10 sự kiện bảo mật hàng đầu của Web3 năm 2024: Thiệt hại gần 2,5 tỷ đô la
Tổng hợp sự kiện an ninh Web3 năm 2024: Phân tích mười trường hợp tấn công
Năm 2024, với sự đổi mới không ngừng của công nghệ blockchain và sự mở rộng của hệ sinh thái, lĩnh vực Web3 đang đối mặt với những thách thức an ninh ngày càng nghiêm trọng. Theo thống kê từ nền tảng dữ liệu, tính đến cuối năm, tổng thiệt hại của ngành Web3 do các cuộc tấn công của hacker, lừa đảo qua phishing và việc rút lui ác ý của các dự án lên tới 2,491 triệu đô la.
Những sự kiện này không chỉ phơi bày các lỗ hổng ở cấp độ kỹ thuật như quản lý khóa riêng và hợp đồng thông minh, mà còn làm nổi bật các rủi ro tiềm ẩn trong tấn công kỹ thuật xã hội và quản lý nội bộ. Bài viết này sẽ điểm lại mười sự kiện an ninh có ảnh hưởng nhất trong lĩnh vực Web3 năm 2024, nhằm hy vọng rằng ngành có thể rút ra bài học kinh nghiệm, chuẩn bị tốt hơn để đối phó với các mối đe dọa an ninh trong tương lai.
1. DMM Bitcoin: Rò rỉ khóa riêng dẫn đến tổn thất 304 triệu đô la Mỹ
Vào ngày 31 tháng 5 năm 2024, sàn giao dịch tiền điện tử nổi tiếng của Nhật Bản, DMM Bitcoin, đã gặp phải một sự cố an ninh nghiêm trọng. Kẻ tấn công đã lợi dụng khóa riêng bị rò rỉ để chuyển trực tiếp hơn 300 triệu đô la Mỹ Bitcoin và nhanh chóng phân tán số tiền bị đánh cắp đến hơn 10 địa chỉ khác nhau. Sự kiện này đã phơi bày những thiếu sót nghiêm trọng của sàn giao dịch trong việc quản lý khóa riêng và bảo vệ an ninh đa lớp.
Mặc dù các sàn giao dịch cố gắng theo dõi hacker thông qua việc giám sát trên chuỗi và đóng băng tiền, nhưng do Bitcoin bị đánh cắp nhanh chóng bị phân tán và được rửa qua các công cụ trộn, công việc thu hồi gặp nhiều thách thức lớn. Cuối năm, cảnh sát Nhật Bản điều tra xác định rằng sự cố tấn công này nghi ngờ do tổ chức hacker Bắc Triều Tiên Lazarus Group thực hiện.
2. PlayDapp: Thiệt hại 290 triệu đô la do rò rỉ khóa riêng
Vào ngày 9 tháng 2 năm 2024, PlayDapp đã gặp phải một sự cố bảo mật nghiêm trọng. Tin tặc đã thành công trong việc đánh cắp khóa riêng và đúc ra 2 tỷ token PLA, có giá trị ban đầu là 36,5 triệu đô la Mỹ. Do bên dự án đã không thành công trong việc thương lượng với tin tặc, kẻ tấn công đã tiếp tục đúc thêm 15,9 tỷ token PLA trong một khoảng thời gian ngắn, đạt giá trị lên tới 253,9 triệu đô la Mỹ.
Một phần token bị đánh cắp đã chảy vào nền tảng giao dịch, PlayDapp buộc phải tạm ngừng hoạt động hợp đồng PLA và di chuyển token sang hợp đồng PDA mới. Sự kiện này làm nổi bật những thiếu sót của các dự án blockchain trong việc bảo vệ khóa riêng và cơ chế phản ứng khẩn cấp.
3. WazirX: Tấn công mạng và lừa đảo dẫn đến thiệt hại 2,35 triệu đô la
Vào ngày 18 tháng 7 năm 2024, ví đa ký của Safe Wallet thuộc sàn giao dịch tiền điện tử lớn nhất Ấn Độ WazirX đã bị tấn công chính xác. Kẻ tấn công đã sử dụng kỹ thuật kỹ thuật xã hội để lừa những người ký đa ký phê duyệt một giao dịch nâng cấp hợp đồng, sau đó lợi dụng quyền hạn của hợp đồng đã được nâng cấp để chuyển toàn bộ tài sản trong ví.
Vụ việc này đã phơi bày những rủi ro tiềm ẩn của ví đa chữ ký trong việc cấu hình quản lý quyền hạn và độ minh bạch trong hoạt động, đồng thời cũng đã khơi dậy một cuộc suy ngẫm sâu sắc trong ngành về cơ chế kiểm soát rủi ro nội bộ và an ninh của dự án.
4. Gala Games: Lỗ hổng kiểm soát truy cập gây ra thiệt hại 216 triệu USD
Vào ngày 20 tháng 5 năm 2024, một địa chỉ đặc quyền của Gala Games đã bị hacker tấn công. Kẻ tấn công đã gọi hàm mint trong hợp đồng token, một lần đã đúc ra 5 tỷ GALA token. Sau đó, hacker đã đổi những token mới này thành ETH qua nhiều đợt, dẫn đến thiệt hại trực tiếp là 216 triệu USD.
Đội ngũ Gala Games đã nhanh chóng kích hoạt chức năng danh sách đen ngay sau khi sự kiện xảy ra, chặn một số tài khoản của hacker và đã đòi lại một phần thiệt hại thông qua các biện pháp pháp lý. Sự kiện này làm nổi bật tầm quan trọng của việc quản lý quyền hạn hợp đồng.
5. Chris Larsen: Rò rỉ khóa riêng dẫn đến 1,12 triệu đô la XRP bị đánh cắp
Vào ngày 31 tháng 1 năm 2024, bốn ví cá nhân của Chris Larsen, đồng sáng lập Ripple, đã bị tin tặc xâm nhập, dẫn đến việc 112 triệu đô la XRP bị đánh cắp. Những ví này có thể đã trở thành mục tiêu tấn công do thiếu bảo mật xác thực hai yếu tố từ thiết bị phần cứng.
Sau sự cố xảy ra, một nền tảng giao dịch đã thành công trong việc đông lạnh 4,2 triệu USD XRP và hỗ trợ Larsen truy tìm tài sản bị đánh cắp. Tuy nhiên, hầu hết số tiền đã được rửa qua các sàn giao dịch phi tập trung và dịch vụ trộn tiền, khiến việc thu hồi trở nên cực kỳ khó khăn.
6. Munchables: Tấn công kỹ thuật xã hội dẫn đến thiệt hại 62,5 triệu đô la
Vào ngày 26 tháng 3 năm 2024, nền tảng trò chơi Web3 dựa trên Blast Munchables đã gặp phải một cuộc tấn công thâm nhập nội bộ hiếm thấy. Kẻ tấn công đã giả trang thành nhà phát triển blockchain, thông qua việc lẩn trốn lâu dài để lấy được mã nguồn và khóa nhạy cảm.
Mặc dù vụ tấn công gây ra thiệt hại lớn, nhưng dưới áp lực của cộng đồng và đội ngũ, hacker cuối cùng đã trả lại toàn bộ số tiền bị đánh cắp. Sự kiện này làm nổi bật tầm quan trọng của an ninh chuỗi cung ứng, đặc biệt là đối với các dự án blockchain phụ thuộc vào phát triển bên thứ ba.
7. BtcTurk: Lỗ hổng bảo mật khóa riêng đã gây ra thiệt hại 55 triệu USD
Vào ngày 22 tháng 6 năm 2024, sàn giao dịch tiền điện tử lớn nhất của Thổ Nhĩ Kỳ, BtcTurk, đã gặp phải một cuộc tấn công rò rỉ khóa riêng, gây thiệt hại hơn 55 triệu USD tài sản tiền điện tử. Với sự hỗ trợ của một nền tảng giao dịch, 5,3 triệu USD trong số tiền bị đánh cắp đã được đóng băng thành công, nhưng các tài sản khác vẫn chưa được thu hồi. Sự kiện này càng làm sâu sắc thêm mối lo ngại của thị trường về khả năng quản lý khóa riêng của các sàn giao dịch tập trung.
8. Radiant Capital: Lỗ hổng ví đa chữ ký dẫn đến thiệt hại 53 triệu USD
Vào ngày 17 tháng 10 năm 2024, ví đa chữ ký của Radiant Capital đã bị tấn công bởi hacker. Do áp dụng mô hình xác thực chữ ký 3/11 với mức rào cản thấp, hacker đã thông qua việc nắm giữ khóa riêng của 3 người ký để thực hiện chữ ký ngoài chuỗi, thành công chuyển quyền sở hữu hợp đồng ví sang địa chỉ độc hại, cuối cùng dẫn đến việc 53 triệu đô la bị đánh cắp.
Cần lưu ý rằng Radiant Capital đã mất 4,5 triệu đô la do lỗ hổng hợp đồng trước khi xảy ra cuộc tấn công này, với hơn 1900 ETH bị đánh cắp. Chuỗi sự kiện này đã làm nổi bật sự cần thiết phải nâng cao nhận thức về an ninh và khả năng bảo vệ của các dự án Web3.
9. Hedgey Finance: Lỗi hợp đồng gây thiệt hại 44,7 triệu đô la
Vào ngày 19 tháng 4 năm 2024, Hedgey Finance đã遭遇 một cuộc tấn công vào nhiều hợp đồng trên chuỗi. Tin tặc đã lợi dụng lỗ hổng phê duyệt của hợp đồng ClaimCampaigns, thành công rút tiền token trên hai chuỗi Ethereum và Arbitrum, tổng thiệt hại lên đến 44,7 triệu đô la.
Sự kiện này lại nhấn mạnh tầm quan trọng của việc kiểm toán mã, đặc biệt là việc xác minh nghiêm ngặt logic phê duyệt token.
10. BingX: Ví nóng bị tấn công gây thiệt hại 44,7 triệu đô la
Vào ngày 19 tháng 9 năm 2024, ví nóng của một nền tảng giao dịch đã bị tin tặc xâm nhập, liên quan đến nhiều chuỗi công khai bao gồm Ethereum, BNB Chain, Tron, và nhiều chuỗi khác. Mặc dù sàn giao dịch đã nhanh chóng khởi động cơ chế chuyển tài sản và đóng băng rút tiền, nhưng tin tặc vẫn thành công rút ra tài sản trị giá 44,7 triệu USD.
Cuộc tấn công lần này một lần nữa phản ánh tính rủi ro cao trong việc quản lý ví nóng của các sàn giao dịch tập trung, thúc đẩy ngành công nghiệp khám phá thêm các giải pháp lưu trữ tài sản an toàn hơn.
Kết luận
Những sự kiện an ninh xảy ra thường xuyên trong năm 2024 một lần nữa nhắc nhở chúng ta rằng sự phát triển lành mạnh của ngành công nghiệp blockchain không thể thiếu sự bảo đảm an ninh mạnh mẽ. Từ việc rò rỉ khóa riêng cho đến lỗ hổng hợp đồng, từ sự thiếu sót trong quản lý nội bộ cho đến sự nâng cấp của các phương thức tấn công bên ngoài, mỗi sự kiện đều gióng lên hồi chuông cảnh báo cho ngành.
Để đối phó với những mối đe dọa tấn công ngày càng phức tạp, các bên trong ngành cần tăng cường đầu tư liên tục vào nghiên cứu công nghệ, quy định quản lý và phòng ngừa rủi ro. Trong tương lai, chúng tôi hy vọng thông qua hợp tác ngành và đổi mới công nghệ, cùng nhau xây dựng một hệ sinh thái blockchain an toàn và đáng tin cậy hơn, cung cấp sự bảo vệ tốt hơn cho người dùng và nhà đầu tư.