In einem Quartal wurden 1,18 Milliarden US-Dollar gestohlen – doch das eigentliche Problem liegt nicht in Code-Schwachstellen 🦖
📊 进群看每日策略
Laut dem am Donnerstag veröffentlichten Quartalsbericht des Blockchain-Sicherheitsunternehmens Hacken gab es von Juli bis September 107 Angriffe auf die Krypto-Branche. Der Schaden belief sich auf 1,18 Milliarden US-Dollar 💥 – 55 % mehr als im zweiten Quartal. Davon standen 906,8 Millionen US-Dollar im Zusammenhang mit Zulieferern, nicht installierten Patches für Entwicklungstools und Komponenten, die vom Audit ausgeschlossen waren. Das entspricht 77 % des Gesamtschadens.
Anders gesagt: Die meisten glauben, Hacker würden das Geld aus Smart Contracts abziehen. Tatsächlich versickerten fast 80 % des Geldes über Randbereiche, die die Projekte selbst nie gründlich geprüft hatten ⚠️
Als Kernproblem nennt der Bericht den Umfang der Audits. Hacken-Mitgründer Andrii Matiukhin sagte, es sei zu teuer, alle Komponenten zu prüfen, die mit Geldern und der Ökonomie zu tun haben. Deshalb prüften Teams nur die zentralen Bestandteile. Nutzer sähen das Audit-Siegel und nähmen an, das ganze System sei abgedeckt – am Ende verlören sie ihr Geld jedoch wegen eines privaten Schlüssels, eines Zulieferers oder einer Konfiguration, die nie getestet wurde.
Der größte Einzelfall war der Angriff auf eine Börse im September mit einem Schaden von mindestens 352 Millionen US-Dollar. Der Zugang erfolgte über ein Sicherheitsprodukt eines Drittanbieters, nicht über ein geleaktes Passwort. Außerdem belief sich der Schaden durch den diese Woche von Ledger gemeldeten Spionagechip-Vorfall auf rund 93 Millionen US-Dollar. Beim Liquid Network wurden 319 Millionen US-Dollar gestohlen, bei der Coldcard-Wallet-Software rund 114 Millionen US-Dollar und bei Tectonic mindestens 75 Millionen US-Dollar. Drei Cross-Chain-Bridges verloren im Juli innerhalb von sechs Stunden zusammen mehr als 35 Millionen US-Dollar.
Eine weitere Zahl verdient besondere Aufmerksamkeit: Hacken untersuchte 12 Derivate-Handelsplattformen und stellte fest, dass bei zwei führenden Plattformen Vermögenswerte im Wert von mehr als 700 Millionen US-Dollar durch ein Signaturverfahren abgesichert waren, bei dem drei von vier Schlüsseln benötigt werden, oder durch Verwaltungsschlüssel, die von ihren Inhabern nicht offengelegt werden. Der Bericht stellte zwar keine derzeit ausgenutzten Schwachstellen fest, kam aber zu dem Schluss, dass eine solche Schlüsselstruktur angesichts dieser Vermögenswerte nicht sicher genug ist.
Meine Einschätzung: Audit-Siegel werden gerade zu einem Placebo. Sie belegen, dass sich jemand zu einem bestimmten Zeitpunkt einen bestimmten Teil des Codes angesehen hat. Sie beweisen nicht, dass Wallets, Signatursysteme, Abhängigkeiten von Drittanbietern und der Patch-Stand in Ordnung sind. 🔍 Die entscheidenden Fragen lauten: Was genau wurde bei diesem Audit geprüft? Wurden die beim letzten Mal gefundenen Schwachstellen behoben? Wie viele Schlüssel kontrollieren das Geld – und wer besitzt sie?
Als normaler Nutzer sollte man bei der Auswahl eines Projekts weniger darauf achten, ob es überhaupt ein Audit gibt, sondern lieber den Umfang des Audits und die Dokumentation der behobenen Schwachstellen prüfen. Diese beiden Dinge lassen sich viel schwerer fälschen als ein Siegel.
Schaut ihr euch bei der Auswahl eines Projekts den Audit-Bericht an, oder beruhigt euch schon das Wort „Audit“?
Klickt auf das Profilbild, um den Livestream anzusehen.
Jeden Tag halten wir euch über wichtige Themen der Krypto-Sicherheit auf dem Laufenden. Wir berichten nicht nur, was passiert ist, sondern erklären auch die Hintergründe und Chancen 👀🚀
📊 进群看每日策略
Laut dem am Donnerstag veröffentlichten Quartalsbericht des Blockchain-Sicherheitsunternehmens Hacken gab es von Juli bis September 107 Angriffe auf die Krypto-Branche. Der Schaden belief sich auf 1,18 Milliarden US-Dollar 💥 – 55 % mehr als im zweiten Quartal. Davon standen 906,8 Millionen US-Dollar im Zusammenhang mit Zulieferern, nicht installierten Patches für Entwicklungstools und Komponenten, die vom Audit ausgeschlossen waren. Das entspricht 77 % des Gesamtschadens.
Anders gesagt: Die meisten glauben, Hacker würden das Geld aus Smart Contracts abziehen. Tatsächlich versickerten fast 80 % des Geldes über Randbereiche, die die Projekte selbst nie gründlich geprüft hatten ⚠️
Als Kernproblem nennt der Bericht den Umfang der Audits. Hacken-Mitgründer Andrii Matiukhin sagte, es sei zu teuer, alle Komponenten zu prüfen, die mit Geldern und der Ökonomie zu tun haben. Deshalb prüften Teams nur die zentralen Bestandteile. Nutzer sähen das Audit-Siegel und nähmen an, das ganze System sei abgedeckt – am Ende verlören sie ihr Geld jedoch wegen eines privaten Schlüssels, eines Zulieferers oder einer Konfiguration, die nie getestet wurde.
Der größte Einzelfall war der Angriff auf eine Börse im September mit einem Schaden von mindestens 352 Millionen US-Dollar. Der Zugang erfolgte über ein Sicherheitsprodukt eines Drittanbieters, nicht über ein geleaktes Passwort. Außerdem belief sich der Schaden durch den diese Woche von Ledger gemeldeten Spionagechip-Vorfall auf rund 93 Millionen US-Dollar. Beim Liquid Network wurden 319 Millionen US-Dollar gestohlen, bei der Coldcard-Wallet-Software rund 114 Millionen US-Dollar und bei Tectonic mindestens 75 Millionen US-Dollar. Drei Cross-Chain-Bridges verloren im Juli innerhalb von sechs Stunden zusammen mehr als 35 Millionen US-Dollar.
Eine weitere Zahl verdient besondere Aufmerksamkeit: Hacken untersuchte 12 Derivate-Handelsplattformen und stellte fest, dass bei zwei führenden Plattformen Vermögenswerte im Wert von mehr als 700 Millionen US-Dollar durch ein Signaturverfahren abgesichert waren, bei dem drei von vier Schlüsseln benötigt werden, oder durch Verwaltungsschlüssel, die von ihren Inhabern nicht offengelegt werden. Der Bericht stellte zwar keine derzeit ausgenutzten Schwachstellen fest, kam aber zu dem Schluss, dass eine solche Schlüsselstruktur angesichts dieser Vermögenswerte nicht sicher genug ist.
Meine Einschätzung: Audit-Siegel werden gerade zu einem Placebo. Sie belegen, dass sich jemand zu einem bestimmten Zeitpunkt einen bestimmten Teil des Codes angesehen hat. Sie beweisen nicht, dass Wallets, Signatursysteme, Abhängigkeiten von Drittanbietern und der Patch-Stand in Ordnung sind. 🔍 Die entscheidenden Fragen lauten: Was genau wurde bei diesem Audit geprüft? Wurden die beim letzten Mal gefundenen Schwachstellen behoben? Wie viele Schlüssel kontrollieren das Geld – und wer besitzt sie?
Als normaler Nutzer sollte man bei der Auswahl eines Projekts weniger darauf achten, ob es überhaupt ein Audit gibt, sondern lieber den Umfang des Audits und die Dokumentation der behobenen Schwachstellen prüfen. Diese beiden Dinge lassen sich viel schwerer fälschen als ein Siegel.
Schaut ihr euch bei der Auswahl eines Projekts den Audit-Bericht an, oder beruhigt euch schon das Wort „Audit“?
Klickt auf das Profilbild, um den Livestream anzusehen.
Jeden Tag halten wir euch über wichtige Themen der Krypto-Sicherheit auf dem Laufenden. Wir berichten nicht nur, was passiert ist, sondern erklären auch die Hintergründe und Chancen 👀🚀