Tổng hợp 10 sự kiện an ninh hàng đầu trong lĩnh vực Web3 năm 2024

Năm 2024, ngành công nghiệp blockchain trong khi đổi mới và phát triển cũng đang đối mặt với những thách thức an ninh ngày càng nghiêm trọng. Theo thống kê, tính đến cuối năm, tổng thiệt hại do các sự kiện an ninh trong lĩnh vực Web3 lên tới 2,491 triệu USD. Những sự kiện này không chỉ phơi bày các lỗ hổng ở cấp độ kỹ thuật mà còn làm nổi bật những thiếu sót trong quản lý và kiểm soát rủi ro. Bài viết này sẽ điểm lại mười sự kiện an ninh có ảnh hưởng nhất trong lĩnh vực Web3 năm 2024, nhằm cung cấp những bài học và cảnh báo cho ngành.

1. Một sàn giao dịch Nhật Bản gặp phải cuộc tấn công lớn

Số tiền tổn thất: 3,04 triệu đô la Phương thức tấn công: Rò rỉ khóa riêng

Vào ngày 31 tháng 5, một sàn giao dịch tiền điện tử nổi tiếng của Nhật Bản đã gặp phải một cuộc tấn công lịch sử. Kẻ tấn công đã sử dụng khóa riêng bị rò rỉ để chuyển trực tiếp một số lượng lớn Bitcoin và nhanh chóng phân tán số tiền bị đánh cắp vào nhiều địa chỉ khác nhau. Sự việc này đã phơi bày những thiếu sót nghiêm trọng của sàn giao dịch trong việc quản lý khóa riêng và bảo mật đa lớp. Mặc dù sàn giao dịch đã thực hiện các biện pháp như giám sát trên chuỗi và đóng băng tài sản, nhưng do hacker đã sử dụng công cụ trộn coin, công tác truy tìm gặp rất nhiều thách thức.

Cuối năm, cảnh sát Nhật Bản xác nhận vụ việc này do một tổ chức hacker quốc tế thực hiện.

2. PlayDapp gặp phải tổn thất lớn

Số tiền tổn thất: 290 triệu đô la Mỹ Phương thức tấn công: Lộ khóa riêng

Vào ngày 9 tháng 2, dự án PlayDapp đã gặp phải một sự cố an ninh nghiêm trọng. Hacker đã đánh cắp khóa riêng và đúc ra một lượng lớn token PLA, với giá trị ban đầu là 36,5 triệu đô la. Do không đạt được thỏa thuận với hacker, hacker đã tiếp tục đúc thêm nhiều token nữa, tổng giá trị lên tới 253,9 triệu đô la. Sau khi một phần các token này được đưa vào sàn giao dịch, PlayDapp buộc phải tạm dừng hợp đồng gốc và chuyển sang hợp đồng token mới. Sự cố này đã làm nổi bật những thiếu sót của các dự án blockchain trong việc bảo vệ khóa riêng và xử lý tình huống khẩn cấp.

3. Sàn giao dịch tiền điện tử lớn nhất Ấn Độ bị tấn công

Số tiền lỗ: 235 triệu USD Phương thức tấn công: Tấn công mạng và lừa đảo trực tuyến

Vào ngày 18 tháng 7, ví đa ký của sàn giao dịch tiền điện tử lớn nhất Ấn Độ đã bị tấn công chính xác. Kẻ tấn công đã sử dụng kỹ thuật kỹ thuật xã hội để dụ dỗ những người ký đa ký ký một giao dịch nâng cấp hợp đồng, sau đó đã lợi dụng quyền hạn của hợp đồng đã được nâng cấp để chuyển tài sản trong ví. Vụ việc này đã làm nổi bật những rủi ro tiềm ẩn của ví đa ký trong việc cấu hình quyền hạn và tính minh bạch trong hoạt động, gây ra sự suy nghĩ sâu sắc trong ngành về cơ chế kiểm soát rủi ro nội bộ của các dự án.

4. Gala Games gặp phải cuộc tấn công lỗ hổng hợp đồng

Số tiền lỗ: 216 triệu USD Phương thức tấn công: Lỗ hổng kiểm soát truy cập

Vào ngày 20 tháng 5, một địa chỉ đặc quyền của Gala Games đã bị tin tặc tấn công. Kẻ tấn công đã gọi hàm mint trong hợp đồng token, một lần đã đúc ra 5 tỷ GALA token. Sau đó, các token này đã được đổi thành ETH theo từng đợt, gây ra thiệt hại trực tiếp 216 triệu đô la. Đội ngũ Gala Games đã khẩn cấp kích hoạt chức năng danh sách đen để chặn một số tài khoản của tin tặc và đã thu hồi một phần thiệt hại thông qua các biện pháp pháp lý.

5. Ví cá nhân của một người sáng lập tiền điện tử nổi tiếng bị đánh cắp

Số tiền thiệt hại: 1.12 triệu đô la Mỹ Phương thức tấn công: Rò rỉ khóa riêng

Vào ngày 31 tháng 1, bốn ví cá nhân của một đồng sáng lập dự án tiền điện tử nổi tiếng đã bị hacker tấn công, dẫn đến việc 112 triệu USD tiền điện tử bị đánh cắp. Những ví này bị tấn công có thể do thiếu sự bảo vệ kép bằng thiết bị phần cứng. Sau sự kiện, một sàn giao dịch lớn đã thành công trong việc đông lạnh một phần tài sản bị đánh cắp, nhưng phần lớn tiền đã được rửa thông qua các sàn giao dịch phi tập trung và dịch vụ trộn tiền.

6. Munchables gặp phải sự xâm nhập nội bộ

Số tiền tổn thất: 62,5 triệu USD Phương thức tấn công: Tấn công kỹ thuật xã hội

Vào ngày 26 tháng 3, nền tảng trò chơi Web3 dựa trên Blast là Munchables đã gặp phải một cuộc tấn công xâm nhập nội bộ hiếm hoi. Kẻ tấn công đã ngụy trang thành nhà phát triển blockchain và thông qua việc ẩn nấp lâu dài để lấy được mã nguồn và khóa nhạy cảm. Mặc dù đã gây ra thiệt hại lớn, nhưng dưới áp lực từ cộng đồng và đội ngũ, hacker cuối cùng đã trả lại toàn bộ số tiền bị đánh cắp. Sự kiện này đã làm nổi bật tầm quan trọng của an ninh chuỗi cung ứng, đặc biệt là đối với các dự án blockchain phụ thuộc vào phát triển của bên thứ ba.

7. Một sàn giao dịch ở Thổ Nhĩ Kỳ gặp sự cố rò rỉ khóa riêng.

Số tiền lỗ: 55 triệu đô la Mỹ Phương thức tấn công: Rò rỉ khóa riêng

Vào ngày 22 tháng 6, một sàn giao dịch tiền điện tử lớn ở Thổ Nhĩ Kỳ đã bị tấn công do rò rỉ khóa riêng, với thiệt hại lên đến hơn 55 triệu USD tài sản tiền điện tử. Với sự hỗ trợ của các sàn giao dịch khác, 5,3 triệu USD tiền bị đánh cắp đã được đóng băng thành công, nhưng phần lớn tài sản vẫn chưa được thu hồi. Sự kiện này đã làm sâu sắc thêm lo ngại của thị trường về quản lý khóa riêng của các sàn giao dịch tập trung.

8. Ví đa chữ ký Radiant Capital bị tấn công

Số tiền tổn thất: 53 triệu đô la Mỹ Phương thức tấn công: Rò rỉ khóa riêng

Vào ngày 17 tháng 10, ví đa chữ ký của Radiant Capital đã bị hacker tấn công. Do áp dụng mô hình xác minh chữ ký với ngưỡng thấp 3/11, hacker đã nắm giữ khóa riêng của 3 người ký và thực hiện chữ ký ngoại tuyến, chuyển quyền sở hữu hợp đồng ví sang địa chỉ độc hại, cuối cùng dẫn đến việc 53 triệu đô la bị đánh cắp. Cuộc tấn công này đã gây ra sự suy ngẫm trong ngành về thiết kế và cơ chế quản trị của ví đa chữ ký.

Cần lưu ý rằng, Radiant Capital đã mất 4,5 triệu đô la và hơn 1900 ETH do lỗ hổng hợp đồng trước khi cuộc tấn công này xảy ra. Điều này cho thấy rằng các dự án Web3 vẫn cần nâng cao mức độ chú trọng đến an toàn.

9. Hedgey Finance gặp phải cuộc tấn công đa chuỗi

Số tiền thua lỗ: 44,7 triệu USD Phương thức tấn công: Lỗ hổng hợp đồng

Vào ngày 19 tháng 4, Hedgey Finance đã遭遇 một cuộc tấn công vào nhiều hợp đồng trên chuỗi. Hacker đã lợi dụng lỗ hổng phê duyệt trong hợp đồng ClaimCampaigns của họ để thành công rút các token trên hai chuỗi Ethereum và Arbitrum, tổng thiệt hại lên tới 44,7 triệu đô la Mỹ. Sự kiện này nhấn mạnh tầm quan trọng của việc kiểm toán mã, đặc biệt là việc xác minh nghiêm ngặt logic phê duyệt token.

10. Ví nóng của một sàn giao dịch tiền điện tử bị hack

Số tiền tổn thất: 44,7 triệu USD Phương thức tấn công: Lộ khóa riêng

Vào ngày 19 tháng 9, một sàn giao dịch nổi tiếng đã bị hacker tấn công vào ví nóng, liên quan đến nhiều blockchain công khai như Ethereum, BNB Chain, Tron. Mặc dù sàn giao dịch đã nhanh chóng khởi động cơ chế chuyển giao tài sản và đóng băng rút tiền, nhưng hacker đã thành công trong việc rút ra tài sản trị giá 44,7 triệu đô la. Cuộc tấn công này phản ánh tính rủi ro cao trong việc quản lý ví nóng của các sàn giao dịch tập trung, và thúc đẩy ngành công nghiệp tìm kiếm các giải pháp lưu trữ tài sản an toàn hơn.

Kết luận

Sự kiện an ninh xảy ra thường xuyên vào năm 2024 một lần nữa nhắc nhở chúng ta rằng sự phát triển của ngành công nghiệp blockchain không thể tách rời khỏi bảo đảm an ninh. Từ quản lý khóa riêng đến lỗ hổng hợp đồng, từ kiểm soát rủi ro nội bộ đến nâng cấp các phương thức tấn công bên ngoài, mỗi sự kiện đều mang lại bài học sâu sắc. Đối mặt với các mối đe dọa an ninh ngày càng phức tạp, các bên trong ngành cần tiếp tục đầu tư vào công nghệ, quản lý và kiểm soát rủi ro. Trong tương lai, chúng tôi hy vọng thông qua hợp tác và đổi mới trong ngành, cùng nhau xây dựng một hệ sinh thái blockchain an toàn và đáng tin cậy hơn.