Обзор инцидентов безопасности в Децентрализованных финансах: анализ крупных случаев 2022 года

В 2022 году в индустрии Web3 произошло несколько крупных инцидентов безопасности, общие убытки от которых составили до 4,3 миллиарда долларов. В этой статье будет подробно проанализировано 8 типичных случаев, большинство из которых привели к убыткам более 100 миллионов долларов.

Событие с мостом Ронин

В марте 2022 года побочная цепь Axie Infinity Ronin Network была взломана, в результате чего потеряно около 590 миллионов долларов в криптоактивах. Злоумышленники получили информацию о внутренних сотрудниках с помощью социальной инженерии и в конечном итоге контролировали несколько узлов-верификаторов. Это выявило проблемы с низким уровнем безопасности сотрудников и наличие уязвимостей в внутренней системе безопасности.

Событие Wormhole

Мост Wormhole между цепями подвергся атаке из-за проблем с кодом контракта на стороне Solana, с потерей около 120000 ETH. Это произошло в основном из-за использования устаревшей функции, что напоминает разработчикам о необходимости своевременно обновлять и использовать последние версии, чтобы избежать подобных проблем.

Событие мостa Nomad

Имеются проблемы с настройками инициализации кросс-чейн моста Nomad, что позволяет злоумышленникам многократно изымать средства, что привело к убыткам примерно в 190 миллионов долларов. Как только у этого открытого проекта возникает уязвимость, ее легко могут использовать хакеры. Команде проекта следует усилить аудит кода и тестирование безопасности.

Событие Beanstalk

Beanstalk подвергся атаке через флеш-кредиты, с потерями около 182 миллионов долларов. Атакующий использовал уязвимость механизмов управления проектом, подал злонамеренное предложение и немедленно его выполнил. Это отражает существующие риски безопасности децентрализованного управления, необходимо установить разумные механизмы временной блокировки и другие.

Событие Wintermute

Wintermute из-за использования инструмента генерации адресов с уязвимостями, что привело к компрометации частного ключа и убыткам примерно в 160 миллионов долларов. Это напоминает командам проектов о необходимости тщательной оценки безопасности внешних инструментов.

Событие Harmony Bridge

Кросс-чейн мост Harmony был атакован из-за утечки приватного ключа, что привело к потерям около 100 миллионов долларов. Подозреваемая группа хакеров из Северной Кореи использовала аналогичные методы, как в случае с Ronin Bridge. Команде проекта следует усилить управление приватными ключами и внутреннюю безопасность.

Событие Ankr

Ankr понес убытки из-за злонамеренных действий внутренних сотрудников. Это выявило серьезные проблемы проекта в области управления правами, мультиподписей и других аспектах. Необходимо создать эффективный механизм внутреннего контроля.

Событие Mango

Атакующие использовали уязвимость бизнес-модели платформы Mango для манипуляции ценами, в результате чего было потеряно около 115 миллионов долларов. Это напоминает командам проектов о необходимости учитывать различные экстремальные сценарии и улучшать меры по управлению рисками. Пользователи также должны осторожно оценивать риски при участии в проектах.