Revisión de los diez principales incidentes de seguridad en el ámbito Web3 de 2024

En 2024, la industria de blockchain, mientras continúa innovando, también enfrenta desafíos de seguridad cada vez más graves. Según el monitoreo de plataformas de datos, hasta ahora, las pérdidas totales en el ámbito de Web3 debido a ataques de hackers, fraudes de phishing y el abandono de proyectos alcanzan los 24.91 mil millones de dólares.

Estos eventos no solo revelan defectos técnicos en la gestión de claves privadas y contratos inteligentes, sino que también destacan los riesgos potenciales de la ingeniería social y la gestión interna. Revisemos los diez principales eventos de seguridad de Web3 en 2024, aprendiendo de ellos para afrontar mejor las amenazas de seguridad futuras.

1. Un importante ataque a un intercambio japonés

Monto de la pérdida: 304 millones de dólares Método de ataque: filtración de clave privada

El 31 de mayo de 2024, un conocido intercambio de criptomonedas japonés sufrió un ataque histórico. Los atacantes utilizaron claves privadas filtradas para transferir directamente más de 300 millones de dólares en Bitcoin, y rápidamente dispersaron los fondos robados en más de 10 direcciones diferentes. Este incidente expuso graves deficiencias en la gestión de claves privadas y en la seguridad de múltiples capas del intercambio. A pesar de que el intercambio intentó rastrear a los hackers mediante monitoreo en la cadena y congelación de fondos, los Bitcoins robados fueron dispersados y limpiados utilizando herramientas de mezcla, lo que presentó un gran desafío para el trabajo de seguimiento.

El 24 de diciembre, la policía japonesa determinó que el robo fue perpetrado por un grupo de hackers internacional.

2. PlayDapp sufre un duro golpe

Monto de la pérdida: 290 millones de dólares Método de ataque: filtración de clave privada

El 9 de febrero de 2024, PlayDapp sufrió un grave incidente de seguridad. Los hackers mintieron 2 mil millones de tokens PLA al robar claves privadas, con un valor inicial de 36.5 millones de dólares. Debido a que el equipo del proyecto no logró llegar a un acuerdo con los hackers, estos mintieron posteriormente 15.9 mil millones de tokens PLA, con un valor de 253.9 millones de dólares. Parte de los tokens fluyeron a un intercambio, lo que llevó a PlayDapp a suspender el contrato de PLA y migrar a un nuevo contrato de tokens. Este incidente destaca las deficiencias de los proyectos de blockchain en la protección de claves privadas y en la gestión de emergencias.

3. El mayor intercambio de criptomonedas de India sufre un ataque preciso

Monto de la pérdida: 235 millones de dólares Métodos de ataque: ataques en línea y phishing

El 18 de julio de 2024, el monedero multifirma del mayor intercambio de criptomonedas de India fue objeto de un ataque preciso por parte de hackers. Los atacantes utilizaron técnicas de ingeniería social para inducir a los firmantes del monedero multifirma a firmar una transacción de actualización de contrato, y luego aprovecharon los permisos del contrato actualizado para vaciar los activos del monedero. Este caso destaca los riesgos potenciales en la gestión de la configuración de permisos y la transparencia operativa de los monederos multifirma, y ha llevado a una profunda reflexión en la industria sobre los mecanismos de control interno y seguridad de los proyectos.

4. Gala Games sufre un ataque de sobreemisión de tokens

Monto de la pérdida: 216 millones de dólares Método de ataque: Vulnerabilidad de control de acceso

El 20 de mayo de 2024, una dirección privilegiada de Gala Games fue hackeada. Los atacantes llamaron a la función mint en el contrato de tokens, acuñando de una vez 5 mil millones de tokens GALA. Posteriormente, el hacker canjeó los tokens recién emitidos por ETH en varias operaciones, lo que provocó una pérdida directa de 216 millones de dólares. El equipo de Gala Games activó de emergencia la función de lista negra para bloquear algunas cuentas de los hackers y recuperó parte de las pérdidas a través de vías judiciales.

5. La billetera personal de un conocido fundador de criptomonedas fue atacada

Monto de pérdida: 112 millones de dólares Método de ataque: filtración de clave privada

El 31 de enero de 2024, cuatro billeteras personales de un cofundador de un conocido proyecto de criptomonedas fueron hackeadas, lo que resultó en el robo de 112 millones de dólares en criptomonedas. Estas billeteras se convirtieron en el objetivo del ataque debido a la falta de protección de doble factor por hardware. Después del incidente, un importante intercambio logró congelar activos robados por un valor de 4.2 millones de dólares y ayudó en el seguimiento, pero la gran mayoría de los fondos ya habían sido lavados a través de intercambios descentralizados y servicios de mezcla.

6. Munchables enfrenta un ataque de infiltración interno

Cantidad de pérdida: 62.5 millones de dólares Método de ataque: ataque de ingeniería social

El 26 de marzo de 2024, la plataforma de videojuegos Web3 basada en Blast, Munchables, sufrió un raro ataque de infiltración interno. Los atacantes se hicieron pasar por desarrolladores de blockchain y, tras una larga infiltración, obtuvieron el código fuente y las claves sensibles. A pesar de que el ataque causó enormes pérdidas, bajo la presión de la comunidad y del equipo, los hackers finalmente devolvieron todos los fondos robados. Este evento revela la importancia de la seguridad de la cadena de suministro, especialmente para los proyectos de blockchain que dependen del desarrollo de terceros.

7. El mayor intercambio de criptomonedas de Turquía sufre un ataque

Cantidad de pérdida: 55 millones de dólares Método de ataque: filtración de claves privadas

El 22 de junio de 2024, el mayor intercambio de criptomonedas de Turquía sufrió un ataque de filtración de claves privadas, con pérdidas de más de 55 millones de dólares en activos criptográficos. Con la ayuda de un gran intercambio, se congelaron con éxito 5.3 millones de dólares de los fondos robados, pero otros activos aún no se han recuperado. Este incidente ha profundizado la preocupación del mercado sobre la gestión de claves privadas en los intercambios centralizados.

8. La billetera multifirma de Radiant Capital fue hackeada

Cantidad de pérdida: 53 millones de dólares Método de ataque: filtración de clave privada

El 17 de octubre de 2024, la billetera multifirma de Radiant Capital fue atacada por hackers. Debido a la utilización de un modo de verificación de firma 3/11 de bajo umbral, los hackers lograron obtener las claves privadas de 3 firmantes y realizar una firma fuera de la cadena, transfiriendo la propiedad del contrato de la billetera a una dirección maliciosa, lo que resultó en el robo de 53 millones de dólares. Este ataque ha provocado una reflexión en la industria sobre el diseño y los mecanismos de gobernanza de las billeteras multifirma.

Es importante señalar que Radiant Capital perdió 4.5 millones de dólares debido a una vulnerabilidad en el contrato antes de este ataque, con más de 1900 ETH robados. Esto demuestra una vez más que los equipos de proyectos Web3 deben mejorar su enfoque en la seguridad.

9. Hedgey Finance, contratos multichain atacados

Monto de la pérdida: 44.7 millones de dólares Método de ataque: vulnerabilidad del contrato

El 19 de abril de 2024, Hedgey Finance sufrió un ataque dirigido a múltiples contratos en cadena. Los hackers aprovecharon una vulnerabilidad de aprobación en su contrato ClaimCampaigns, logrando extraer tokens de las cadenas de Ethereum y Arbitrum, con una pérdida total de 44.7 millones de dólares. Este evento destaca la importancia de la auditoría de código, especialmente la validación rigurosa de la lógica de aprobación de tokens.

10. La billetera caliente de un intercambio fue hackeada

Monto de la pérdida: 44.7 millones de dólares Método de ataque: filtración de clave privada

El 19 de septiembre de 2024, la billetera caliente de un intercambio fue pirateada, involucrando cadenas como Ethereum, BNB Chain, Tron y otras múltiples cadenas públicas. A pesar de que el intercambio rápidamente activó el mecanismo de transferencia de activos y congelación de retiros, los hackers lograron extraer activos por un valor de 44.7 millones de dólares. Este ataque refleja una vez más la alta riesgo de la gestión de billeteras calientes en intercambios centralizados y promueve aún más la exploración de soluciones de almacenamiento de activos más seguras en la industria.

Los frecuentes incidentes de ataques de seguridad en 2024 nos recuerdan una vez más que el desarrollo de la industria de blockchain no puede prescindir de la protección de la seguridad. Desde la filtración de claves privadas hasta las vulnerabilidades de contratos, desde las negligencias en la gestión interna hasta la actualización de los métodos de ataque externos, cada incidente ha traído lecciones profundas. Para enfrentar las amenazas de ataque cada vez más complejas, todas las partes de la industria deben seguir fortaleciendo la inversión en investigación tecnológica, normas de gestión y prevención de riesgos. En el futuro, esperamos que a través de la colaboración en la industria y la innovación tecnológica, podamos establecer conjuntamente un ecosistema de blockchain más seguro, proporcionando una protección más confiable para los usuarios e inversores.