Principais dez eventos de segurança no campo do Web3 em 2024

Em 2024, a indústria de blockchain, enquanto avança em inovação tecnológica e expansão ecológica, enfrenta também desafios de segurança cada vez mais severos. De acordo com dados de uma plataforma de monitoramento de segurança, até o momento, as perdas totais no setor Web3 em 2024 devido a ataques de hackers, fraudes de phishing e desaparecimento de projetos atingem 24,91 bilhões de dólares.

Estes eventos não apenas expuseram falhas técnicas na gestão de chaves privadas e contratos inteligentes, mas também destacaram os riscos potenciais da engenharia social e da gestão interna. Este artigo irá rever os dez principais eventos de segurança do Web3 em 2024, com o objetivo de extrair lições aprendidas e fornecer referências para enfrentar ameaças de segurança no futuro.

1. DMM Bitcoin

Montante da perda: 304 milhões de dólares Método de ataque: vazamento de chave privada

No dia 31 de maio de 2024, a conhecida exchange de criptomoedas DMM Bitcoin, no Japão, sofreu um ataque significativo. Hackers utilizaram chaves privadas vazadas para transferir diretamente mais de 300 milhões de dólares em Bitcoin, dispersando rapidamente os fundos roubados para mais de 10 endereços diferentes. Este incidente expôs sérias falhas na gestão de chaves privadas e na segurança em múltiplas camadas da exchange. Embora a exchange tenha tentado rastrear os hackers por meio de monitoramento on-chain e congelamento de fundos, o trabalho de rastreamento enfrenta grandes desafios devido à dispersão dos Bitcoins roubados e à lavagem através de ferramentas de mistura.

É importante notar que, a 24 de dezembro, as autoridades japonesas confirmaram que este ataque foi realizado por um certo grupo de hackers internacional.

2. PlayDapp

Montante da perda: 290 milhões de dólares Método de ataque: vazamento de chave privada

No dia 9 de fevereiro de 2024, a PlayDapp sofreu um grande golpe. Hackers, ao roubar chaves privadas, cunharam 2 bilhões de tokens PLA, com um valor inicial de 36,5 milhões de dólares. Devido à falha nas negociações entre a equipe do projeto e os hackers, estes últimos cunharam mais 15,9 bilhões de tokens PLA, valendo 253,9 milhões de dólares. Parte dos tokens roubados vazou para uma plataforma de negociação, levando a PlayDapp a suspender o contrato do PLA e migrar para um novo contrato de token PDA. Este incidente destaca as deficiências dos projetos de blockchain na proteção de chaves privadas e no gerenciamento de emergências.

3. Uma exchange de criptomoedas na Índia

Montante da perda: 235 milhões de dólares Método de ataque: Ataques de rede e phishing

No dia 18 de julho de 2024, a Safe Wallet, a carteira multi-assinatura da maior exchange de criptomoedas da Índia, foi alvo de um ataque preciso. Os atacantes induziram os signatários da multi-assinatura a assinar uma transação de atualização de contrato por meio de engenharia social, e em seguida, utilizaram os privilégios do contrato atualizado para transferir todos os ativos da carteira. Este caso revela os riscos potenciais associados à configuração de permissões e à transparência operacional das carteiras multi-assinatura, além de provocar uma profunda reflexão no setor sobre os mecanismos internos de controle de riscos e segurança dos projetos.

4. Gala Games

Montante da perda: 216 milhões de dólares Método de ataque: Vulnerabilidade de controle de acesso

No dia 20 de maio de 2024, um endereço privilegiado da Gala Games foi hackeado. O atacante chamou a função mint no contrato do token, cunhando 5 bilhões de tokens GALA de uma só vez. Em seguida, o hacker trocou esses tokens adicionais em lotes por ETH, resultando em uma perda direta de 216 milhões de dólares. A equipe da Gala Games rapidamente ativou a função de lista negra para bloquear algumas contas do hacker e recuperou parte das perdas através de vias legais.

5. Co-fundador de uma empresa de criptomoedas

Valor da perda: 112 milhões de dólares Método de ataque: vazamento da chave privada

No dia 31 de janeiro de 2024, quatro carteiras pessoais de um dos cofundadores de uma conhecida empresa de criptomoedas foram invadidas por hackers, resultando no roubo de 112 milhões de dólares em XRP. Estas carteiras tornaram-se alvo do ataque devido à falta de proteção de dupla autenticação por hardware. Após o incidente, uma grande plataforma de negociação conseguiu congelar 4,2 milhões de dólares em XRP e ajudou a rastrear os ativos roubados, mas a maior parte dos fundos já havia sido lavada através de exchanges descentralizadas e serviços de mistura.

6. Munchables

Montante da perda: 62,5 milhões de dólares Método de ataque: Ataque de engenharia social

No dia 26 de março de 2024, a plataforma de jogos Web3 baseada em Blast, Munchables, sofreu um raro ataque de infiltração interna. Os atacantes se disfarçaram de desenvolvedores de blockchain e, após uma longa permanência, obtiveram o código-fonte e chaves sensíveis. Embora o ataque tenha causado enormes perdas, sob a pressão da comunidade e da equipe, os hackers acabaram devolvendo todos os fundos roubados. Este evento destacou a importância da segurança da cadeia de suprimentos, especialmente para projetos de blockchain que dependem de desenvolvedores de terceiros.

7. Uma exchange de criptomoedas na Turquia

Montante da perda: 55 milhões de dólares Método de ataque: vazamento da chave privada

No dia 22 de junho de 2024, a maior bolsa de criptomoedas da Turquia sofreu um ataque de vazamento de chaves privadas, resultando em perdas superiores a 55 milhões de dólares em ativos criptográficos. Com a ajuda de uma grande plataforma de negociação, 5,3 milhões de dólares dos fundos roubados foram congelados com sucesso, mas outros ativos ainda não foram recuperados. Este incidente aumentou as preocupações do mercado sobre a gestão de chaves privadas em bolsas centralizadas.

8. Radiant Capital

Montante da perda: 53 milhões de dólares Método de ataque: vazamento de chave privada

No dia 17 de outubro de 2024, a carteira multi-assinatura da Radiant Capital foi invadida por hackers. Devido à adoção de um modelo de verificação de assinatura 3/11 de baixo limiar, os hackers conseguiram obter as chaves privadas de 3 signatários e realizar uma assinatura off-chain, transferindo a propriedade do contrato da carteira para um endereço malicioso, resultando no roubo de 53 milhões de dólares. Este ataque provocou uma reflexão na indústria sobre o design e a mecânica de governança das carteiras multi-assinatura.

É importante notar que a Radiant Capital já havia perdido 4,5 milhões de dólares devido a uma vulnerabilidade no contrato, com mais de 1900 ETH sendo roubados. Isso destaca novamente que os projetos Web3 ainda precisam melhorar a sua atenção à segurança.

9. Hedgey Finance

Montante da perda: 44,7 milhões de dólares Método de ataque: Vulnerabilidade de contrato

Em 19 de abril de 2024, a Hedgey Finance sofreu um ataque a vários contratos na cadeia. Os hackers exploraram uma vulnerabilidade de aprovação no seu contrato ClaimCampaigns, conseguindo extrair tokens nas duas cadeias Ethereum e Arbitrum, totalizando uma perda de 44,7 milhões de dólares. Este incidente ressalta novamente a importância da auditoria de código, especialmente a verificação rigorosa da lógica de aprovação de tokens.

10. Uma plataforma de troca de criptomoedas

Montante da perda: 44,7 milhões de dólares Método de ataque: vazamento de chave privada

No dia 19 de setembro de 2024, uma plataforma de negociação de criptomoedas conhecida teve sua carteira quente invadida por hackers, envolvendo várias blockchains públicas, como Ethereum, BNB Chain e Tron. Embora a exchange tenha rapidamente ativado mecanismos de transferência de ativos e congelamento de saques, os hackers conseguiram retirar ativos no valor de 44,7 milhões de dólares. Este ataque reflete novamente o alto risco da gestão de carteiras quentes em exchanges centralizadas e impulsiona ainda mais a indústria a explorar soluções de armazenamento de ativos mais seguras.

Os frequentes incidentes de segurança em 2024 lembram-nos mais uma vez que o desenvolvimento da indústria de blockchain não pode prescindir de uma proteção segura. Desde o vazamento de chaves privadas até vulnerabilidades em contratos, desde falhas na gestão interna até a evolução das técnicas de ataque externas, cada incidente trouxe lições profundas. Para enfrentar as ameaças de ataque cada vez mais complexas, todas as partes da indústria precisam continuar a investir em pesquisa e desenvolvimento tecnológico, regulamentação de gestão e controle de riscos. No futuro, esperamos que, através da colaboração da indústria e da inovação tecnológica, possamos construir um ecossistema de blockchain mais seguro, proporcionando garantias mais confiáveis para usuários e investidores.