Retrospectiva dos 10 principais eventos de segurança no campo Web3 em 2024

Em 2024, a indústria de blockchain enfrenta desafios de segurança cada vez mais severos, enquanto continua a inovar. De acordo com plataformas de dados, até o momento, as perdas totais no setor Web3 em 2024, devido a ataques de hackers, fraudes de phishing e fuga de projetos, atingiram 2,491 milhões de dólares.

Estes eventos não apenas expuseram as falhas técnicas na gestão de chaves privadas, contratos inteligentes e outras áreas, mas também destacaram os riscos potenciais associados à engenharia social e à gestão interna. Vamos rever os 10 principais eventos de segurança da Web3 em 2024, aprendendo com eles para melhor enfrentar as ameaças de segurança futuras.

1. Uma importante troca japonesa sofreu um ataque significativo

Montante da perda: 304 milhões de dólares Método de ataque: vazamento de chave privada

No dia 31 de maio de 2024, uma famosa exchange de criptomoedas japonesa sofreu um ataque histórico. Os atacantes utilizaram chaves privadas vazadas para transferir diretamente mais de 300 milhões de dólares em Bitcoin, rapidamente dispersando os fundos roubados em mais de 10 endereços diferentes. Este incidente expôs as sérias deficiências da exchange na gestão de chaves privadas e nas múltiplas camadas de proteção de segurança. Embora a exchange tenha tentado rastrear os hackers por meio de monitoramento na blockchain e congelamento de fundos, o Bitcoin roubado foi disperso e transferido utilizando ferramentas de mistura, o que trouxe enormes desafios para o rastreamento.

No dia 24 de dezembro, a polícia japonesa identificou que o incidente de roubo foi causado por um determinado grupo de hackers internacional.

2. PlayDapp sofre um grande golpe

Valor da perda: 290 milhões de dólares Método de ataque: vazamento de chave privada

No dia 9 de fevereiro de 2024, a PlayDapp enfrentou um grave incidente de segurança. Hackers, ao roubarem a chave privada, cunharam 2 bilhões de tokens PLA, com um valor inicial de 36,5 milhões de dólares. Devido à falha nas negociações entre a equipe do projeto e os hackers, estes últimos cunharam mais 15,9 bilhões de tokens PLA, no valor de 253,9 milhões de dólares. Após parte dos tokens entrarem em uma determinada bolsa de valores, a PlayDapp foi forçada a suspender o contrato PLA e migrar para um novo contrato de token. Este incidente destaca as deficiências dos projetos de blockchain na proteção de chaves privadas e na resposta a emergências.

3. A maior bolsa de criptomoedas da Índia sofre um ataque direcionado

Montante da perda: 235 milhões de dólares Métodos de ataque: ataque cibernético e phishing

Em 18 de julho de 2024, a maior exchange de criptomoedas da Índia teve sua carteira multisig alvo de um ataque hacker preciso. Os atacantes induziram os signatários da multisig a assinar uma transação de atualização de contrato por meio de engenharia social, e em seguida, utilizaram os privilégios do contrato atualizado para transferir todos os ativos da carteira. Este caso destaca os riscos potenciais das carteiras multisig na configuração de permissões de gerenciamento e na transparência das operações, também provocando uma reflexão aprofundada na indústria sobre os mecanismos internos de controle de riscos e segurança dos projetos.

4. Gala Games sofre ataque de superemissão de tokens

Montante da perda: 216 milhões de dólares Método de ataque: Falha de controle de acesso

No dia 20 de maio de 2024, um endereço privilegiado da Gala Games foi invadido por hackers. Os atacantes chamaram a função mint no contrato do token, cunhando 5 bilhões de tokens GALA de uma só vez. Em seguida, os hackers trocaram os tokens emitidos em lotes por ETH, resultando em uma perda direta de 216 milhões de dólares. A equipe da Gala Games ativou urgentemente a função de lista negra para bloquear algumas contas dos hackers e recuperou parte das perdas por meio de vias judiciais.

5. A carteira pessoal de um conhecido fundador de criptomoedas foi atacada

Montante da perda: 112 milhões de dólares Método de Ataque: Vazamento de Chave Privada

No dia 31 de janeiro de 2024, quatro carteiras pessoais de um dos cofundadores de um famoso projeto de criptomoeda foram invadidas por hackers, resultando no roubo de 112 milhões de dólares em criptomoedas. Essas carteiras se tornaram alvo do ataque devido à falta de proteção dupla com dispositivos de hardware. Após o incidente, uma grande exchange conseguiu congelar ativos roubados no valor de 4,2 milhões de dólares e ajudou a rastrear, mas a maior parte dos fundos já havia sido lavada por meio de exchanges descentralizadas e serviços de mistura.

6. Munchables enfrenta um ataque de infiltração interna

Montante da perda: 62,5 milhões de dólares Método de ataque: Ataque de engenharia social

No dia 26 de março de 2024, a plataforma de jogos Web3 Munchables, baseada em Blast, sofreu um raro ataque de infiltração interna. Os atacantes disfarçaram-se de desenvolvedores de blockchain e, após uma longa infiltração, conseguiram obter o código-fonte e chaves sensíveis. Apesar de o ataque ter causado enormes perdas, sob pressão da comunidade e da equipe, os hackers acabaram por devolver todos os fundos roubados. Este incidente revelou a importância da segurança da cadeia de suprimentos, especialmente para projetos de blockchain que dependem de desenvolvedores de terceiros.

7. A maior bolsa de criptomoedas da Turquia foi atacada

Valor da perda: 55 milhões de dólares Método de ataque: Vazamento de chave privada

No dia 22 de junho de 2024, a maior bolsa de criptomoedas da Turquia foi alvo de um ataque de vazamento de chave privada, resultando em perdas superiores a 55 milhões de dólares em ativos criptográficos. Com a ajuda de uma grande exchange, 5,3 milhões de dólares dos fundos roubados foram congelados com sucesso, mas outros ativos ainda não foram recuperados. Este evento aumentou as preocupações do mercado sobre a gestão de chaves privadas em exchanges centralizadas.

8. A carteira multi-assinatura da Radiant Capital foi comprometida

Montante da perda: 53 milhões de dólares Método de ataque: Vazamento de chave privada

No dia 17 de outubro de 2024, a carteira multi-assinatura da Radiant Capital foi alvo de um ataque hacker. Devido à utilização de um modelo de verificação de assinatura 3/11 com baixa barreira de entrada, os hackers conseguiram obter as chaves privadas de 3 signatários e realizar uma assinatura off-chain, transferindo a propriedade do contrato da carteira para um endereço malicioso, resultando no roubo de 53 milhões de dólares. Este ataque provocou uma reflexão na indústria sobre o design e os mecanismos de governança das carteiras multi-assinatura.

Vale a pena notar que a Radiant Capital já tinha perdido 4,5 milhões de dólares devido a uma vulnerabilidade no contrato antes deste ataque, com mais de 1900 ETH roubados. Isso mais uma vez demonstra que a preocupação com a segurança por parte dos projetos Web3 ainda precisa ser aumentada.

9. Hedgey Finance contratos multichain atacados

Valor da perda: 44,7 milhões de dólares Método de ataque: Vulnerabilidade de contrato

No dia 19 de abril de 2024, a Hedgey Finance sofreu um ataque direcionado a vários contratos em cadeia. Os hackers exploraram uma vulnerabilidade de aprovação no seu contrato ClaimCampaigns, conseguindo extrair tokens nas redes Ethereum e Arbitrum, totalizando uma perda de 44,7 milhões de dólares. Este evento destaca a importância da auditoria de código, especialmente a verificação rigorosa da lógica de aprovação de tokens.

10. A carteira quente de uma exchange foi invadida

Montante da perda: 44,7 milhões de dólares Método de ataque: vazamento de chave privada

No dia 19 de setembro de 2024, a carteira quente de uma determinada exchange foi invadida por hackers, envolvendo blockchains como Ethereum, BNB Chain, Tron e várias outras. Embora a exchange tenha rapidamente iniciado o processo de transferência de ativos e congelamento de saques, os hackers conseguiram extrair ativos no valor de 44,7 milhões de dólares. Este ataque reflete novamente o alto risco da gestão de carteiras quentes em exchanges centralizadas e impulsiona ainda mais a indústria a explorar soluções de armazenamento de ativos mais seguras.

Os frequentes ataques de segurança em 2024 lembram-nos mais uma vez que o desenvolvimento da indústria de blockchain não pode prescindir de uma proteção segura. Desde o vazamento de chaves privadas até vulnerabilidades em contratos, desde falhas na gestão interna até a atualização de métodos de ataque externos, cada incidente trouxe lições profundas. Para enfrentar as ameaças de ataque cada vez mais complexas, todas as partes da indústria precisam continuar a reforçar o investimento em pesquisa e desenvolvimento tecnológico, normas de gestão e controle de riscos. No futuro, esperamos que, através da colaboração da indústria e da inovação tecnológica, possamos estabelecer um ecossistema de blockchain mais seguro, proporcionando aos usuários e investidores uma proteção mais confiável.