- هکرها در سه‌ماهه سوم، 1.18 میلیارد دلار از پروژه‌های ارز دیجیتال به سرقت بردند که 55 درصد بیشتر از فصل قبل است، طبق گزارش شرکت امنیت بلاک‌چین Hacken.
- حدود 900 میلیون دلار از این زیان‌ها ناشی از تامین‌کنندگان یا ابزارهای توسعه‌دهندگان آسیب‌دیده، رفع اشکالات امنیتی نصب‌نشده یا اجزایی است که در بررسی‌های امنیتی لحاظ نشده‌اند.
- Hacken هشدار داد که نشان‌های تأییدیه (audit badges) می‌توانند حس امنیت کاذب به سرمایه‌گذاران بدهند، زیرا بررسی‌ها اغلب کیف پول‌ها، سیستم‌های امضا و نرم‌افزارهای شخص ثالثی را که مورد هدف مهاجمان قرار می‌گیرند، نادیده می‌گیرند.
سرمایه‌گذاران ارز دیجیتال ممکن است بیش از حد به بررسی‌های امنیتی اعتماد کنند که سیستم‌هایی را که هکرها واقعاً هدف قرار می‌دهند، پوشش نمی‌دهند، طبق گفته شرکت امنیت بلاک‌چین Hacken.
در گزارشی که روز پنجشنبه منتشر شد، Hacken دریافت که هکرها در طول سه‌ماهه سوم، 1.18 میلیارد دلار در 107 حادثه به سرقت بردند که 55 درصد بیشتر از فصل قبل است. از این مبلغ، 906.8 میلیون دلار به دلیل آسیب‌دیدگی تامین‌کنندگان یا ابزارهای توسعه‌دهندگان، رفع اشکالات امنیتی در دسترس عموم که نصب نشده‌اند یا اجزایی که در آخرین بررسی امنیتی لحاظ نشده‌اند، از دست رفته است.
آندری ماتیوخین، یکی از بنیانگذاران و مدیرعامل این شرکت در مصاحبه با CoinDesk گفت: "مشکل همیشه در دامنه بررسی است." افزودن دامنه وسیعی از تمام اجزایی که با وجوه در ارتباط هستند یا بر اقتصاد تأثیر می‌گذارند، پرهزینه است و تیم‌ها با مصلحت‌جویی فقط بخش‌های حیاتی سرویس را بررسی می‌کنند.”
این یافته‌ها سوالاتی را در مورد میزان محافظتی که سرمایه‌گذاران می‌توانند از پروژه‌های ارز دیجیتالی که خود را تأییدشده معرفی می‌کنند، انتظار داشته باشند، ایجاد می‌کند. Hacken گفت که مشتریان اغلب فرض می‌کنند که یک بررسی کل پلتفرم را پوشش می‌دهد در حالی که ممکن است فقط قراردادهای هوشمند خاصی را بررسی کند و کیف پول‌ها، سیستم‌های امضا و نرم‌افزارهای شخص ثالث را خارج از دامنه بررسی خود قرار دهد.
ماتیوخین گفت: "معمولاً وقتی مشتری به یک پروژه جدید نگاه می‌کند، یک نشان تأییدیه می‌بیند، فرض می‌کند که کل سیستم پوشش داده شده است و از طریق کلید، یک تامین‌کننده یا یک تنظیماتی که هرگز آزمایش نشده است، پول خود را از دست می‌دهد.”
بزرگترین حادثه در این دوره، حمله سپتامبر به صرافی ارز دیجیتال Bitget بود که حداقل 352 میلیون دلار را پس از آنکه هکرها با بهره‌برداری از یک آسیب‌پذیری در یک محصول امنیتی شخص ثالث به زیرساخت‌های برداشت آن دسترسی پیدا کردند، از دست داد، طبق گزارش این شرکت.
خطرها فراتر از صرافی‌ها است. فقط همین هفته، سازنده کیف پول سخت‌افزاری Ledger گفت که یک ایمپلنت سخت‌افزاری غیرمجاز “جاسوس” را در یک دستگاه فروخته‌شده توسط CryptoBilis، یک فروشنده در جنوب‌شرقی آسیا، پیدا کرده است که منجر به زیان حدود 93 میلیون دلار شده است.
سه پل و پروتکل‌های زنجیره‌ای متقاطع ارز دیجیتال بیش از 35 میلیون دلار را در طی یک حمله شش ساعته در ماه ژوئیه از دست دادند، Hacken گفت. AFX Trade مسئول 24 میلیون دلار از آن بود پس از اینکه مهاجمان کنترل کلیدهای اعتبارسنجی آن را به دست آوردند. سایر حملات 319 میلیون دلار در شبکه Liquid، حداقل 75 میلیون دلار در Tectonic و تقریباً 114 میلیون دلار در نرم‌افزار کیف پول Coldcard را به سرقت بردند.
Hacken همچنین 12 صرافی و بازار پیش‌بینی مشتقات را بررسی کرد و دریافت که بیش از 700 میلیون دلار دارایی امن در دو مکان اصلی به یک ترتیب امضای چهار کلیدی متکی بود که به سه امضا نیاز داشت یا به کلیدهای اداری که دارندگان آنها به طور عمومی شناسایی نشده بودند.
ماتیوخین از شناسایی مکان‌ها یا ارائه ارزیابی دقیق قبل از انتشار گزارش خود خودداری کرد. او گفت که هیچ مدرکی از آسیب‌پذیری فعال در سیستم‌های هیچ مکان بررسی‌شده‌ای پیدا نکرده است، اما برخی از تنظیمات را با توجه به مقیاس بررسی‌شده، ناکافی می‌داند.
ماتیوخین گفت: "ما از وجود یک باگ زنده در سیستم‌های هیچ مکان بررسی‌شده‌ای آگاه نیستیم. در عوض، آنچه یافتیم تنظیماتی است که با توجه به مقیاس مکان‌های بررسی‌شده، تنظیمات امنیتی کافی ندارند.”
ماتیوخین گفت که تأخیر در رفع آسیب‌پذیری‌های شناخته‌شده نیز نگران‌کننده است، به ویژه زمانی که چندین بلاک‌چین به یک نرم‌افزار متکی هستند اما آن را با زمان‌بندی‌های مختلف به‌روز می‌کنند.
ماتیوخین گفت: "گاهی اوقات یک آسیب‌پذیری حیاتی توسط تیم به عنوان کم‌اهمیت طبقه‌بندی می‌شود و اجرای رفع آن به تأخیر می‌افتد یا حتی رد می‌شود.”
Hacken گفت که در نهایت مسئولیت با شرکت‌هایی است که وجوه مشتریان را در اختیار دارند، که باید آسیب‌پذیری‌ها را ردیابی کرده و رفع اشکالات را به سرعت انجام دهند به جای اینکه به یک بررسی که ماه‌ها یا سال‌ها پیش انجام شده است، تکیه کنند.
نوشته: اولیویه آکونا