Ein Audit-Badge – vielleicht das teuerste Placebo der Kryptobranche.
Der Quartalsbericht für Q3, den das Blockchain-Sicherheitsunternehmen Hacken diese Woche veröffentlicht hat, legt die Zahlen auf den Tisch: Im dritten Quartal erbeuteten Hacker 1,18 Milliarden US-Dollar von Kryptoprojekten. Es gab 107 Vorfälle – 55 % mehr als im Vorquartal.
Am auffälligsten ist nicht die Gesamtsumme, sondern die Verteilung: Rund 906,8 Millionen US-Dollar (77 %) der Verluste entfielen auf Bereiche außerhalb des Audits – kompromittierte Anbieter, manipulierte Entwicklertools, längst veröffentlichte Patches, die niemand installiert hat, und Komponenten, die beim Audit außen vor blieben.
Hacken-Mitgründer Andrii Matiukhin bringt es auf den Punkt: „Das Problem liegt immer im Umfang.“ Bei Audits werden üblicherweise nur einige bestimmte Smart Contracts geprüft; Wallets, Signatursysteme und Software von Drittanbietern gehören nicht dazu. Nutzer sehen das Badge „geprüft“ und nehmen an, dass damit die gesamte Plattform abgedeckt ist. Am Ende geht das Geld aber über Schlüssel, Anbieter und Konfigurationen verloren, die nie getestet wurden.
Einige der größeren Vorfälle in diesem Quartal: Bei Bitget wurden im September rund 387 Millionen US-Dollar gestohlen (Berichten zufolge führte eine Schwachstelle in einem Sicherheitsprodukt eines Drittanbieters zu Problemen im Auszahlungssystem), beim Liquid Network rund 320 Millionen US-Dollar, bei Tectonic rund 120 Millionen US-Dollar und durch eine Schwachstelle in der Coldcard-Firmware rund 115 Millionen US-Dollar. Smart-Contract-Schwachstellen machten zwar die meisten Vorfälle aus, verursachten pro Fall aber die geringsten Verluste: 71 Vorfälle mit rund 228 Millionen US-Dollar Schaden.
Die gute Nachricht: Rückholmechanismen funktionieren. Rund 387 Millionen US-Dollar wurden zurückgeholt oder durch Rückabwicklungen wiederhergestellt (beim Liquid-Vorfall gaben White-Hat-Hacker 272 Millionen zurück, und die Cronos-Validatoren machten die mit Tectonic verbundenen Transaktionen rückgängig). Die Betreiber übernahmen rund 410 Millionen US-Dollar. Am Ende blieben rund 384 Millionen US-Dollar verschwunden – etwas mehr als ein Drittel der Gesamtsumme.
Ich finde: Audits sind nicht nutzlos. Sie schützen die „Code-Logik“, aber Hacker greifen inzwischen „Menschen, Lieferketten und Schlüssel“ an. Für Kleinanleger gibt es nur eine Faustregel: Hört auf, „geprüft“ als Freifahrtschein zu betrachten, und achtet stärker darauf, ob das Team regelmäßig Patches einspielt und Maßnahmen wie Bug-Bountys, Multisig und Hardware-Schlüssel nutzt.
Wenn ihr das nächste Mal ein großes Banner mit „geprüft“ seht, fragt nach: Welcher Teil wurde eigentlich geprüft?
Lest ihr die Audit-Berichte eines Projekts – oder schaut ihr nur auf die Rendite?
#黑客 #安全审计 #Sicherheit
Dies ist keine Anlageberatung. DYOR – der Handel birgt Risiken.
Der Quartalsbericht für Q3, den das Blockchain-Sicherheitsunternehmen Hacken diese Woche veröffentlicht hat, legt die Zahlen auf den Tisch: Im dritten Quartal erbeuteten Hacker 1,18 Milliarden US-Dollar von Kryptoprojekten. Es gab 107 Vorfälle – 55 % mehr als im Vorquartal.
Am auffälligsten ist nicht die Gesamtsumme, sondern die Verteilung: Rund 906,8 Millionen US-Dollar (77 %) der Verluste entfielen auf Bereiche außerhalb des Audits – kompromittierte Anbieter, manipulierte Entwicklertools, längst veröffentlichte Patches, die niemand installiert hat, und Komponenten, die beim Audit außen vor blieben.
Hacken-Mitgründer Andrii Matiukhin bringt es auf den Punkt: „Das Problem liegt immer im Umfang.“ Bei Audits werden üblicherweise nur einige bestimmte Smart Contracts geprüft; Wallets, Signatursysteme und Software von Drittanbietern gehören nicht dazu. Nutzer sehen das Badge „geprüft“ und nehmen an, dass damit die gesamte Plattform abgedeckt ist. Am Ende geht das Geld aber über Schlüssel, Anbieter und Konfigurationen verloren, die nie getestet wurden.
Einige der größeren Vorfälle in diesem Quartal: Bei Bitget wurden im September rund 387 Millionen US-Dollar gestohlen (Berichten zufolge führte eine Schwachstelle in einem Sicherheitsprodukt eines Drittanbieters zu Problemen im Auszahlungssystem), beim Liquid Network rund 320 Millionen US-Dollar, bei Tectonic rund 120 Millionen US-Dollar und durch eine Schwachstelle in der Coldcard-Firmware rund 115 Millionen US-Dollar. Smart-Contract-Schwachstellen machten zwar die meisten Vorfälle aus, verursachten pro Fall aber die geringsten Verluste: 71 Vorfälle mit rund 228 Millionen US-Dollar Schaden.
Die gute Nachricht: Rückholmechanismen funktionieren. Rund 387 Millionen US-Dollar wurden zurückgeholt oder durch Rückabwicklungen wiederhergestellt (beim Liquid-Vorfall gaben White-Hat-Hacker 272 Millionen zurück, und die Cronos-Validatoren machten die mit Tectonic verbundenen Transaktionen rückgängig). Die Betreiber übernahmen rund 410 Millionen US-Dollar. Am Ende blieben rund 384 Millionen US-Dollar verschwunden – etwas mehr als ein Drittel der Gesamtsumme.
Ich finde: Audits sind nicht nutzlos. Sie schützen die „Code-Logik“, aber Hacker greifen inzwischen „Menschen, Lieferketten und Schlüssel“ an. Für Kleinanleger gibt es nur eine Faustregel: Hört auf, „geprüft“ als Freifahrtschein zu betrachten, und achtet stärker darauf, ob das Team regelmäßig Patches einspielt und Maßnahmen wie Bug-Bountys, Multisig und Hardware-Schlüssel nutzt.
Wenn ihr das nächste Mal ein großes Banner mit „geprüft“ seht, fragt nach: Welcher Teil wurde eigentlich geprüft?
Lest ihr die Audit-Berichte eines Projekts – oder schaut ihr nur auf die Rendite?
#黑客 #安全审计 #Sicherheit
Dies ist keine Anlageberatung. DYOR – der Handel birgt Risiken.