Im selben Quartal meldeten zwei Sicherheitsfirmen zwei verschiedene Zahlen.
Hacken: Im Q3 wurden rund 1,18 Milliarden US-Dollar gestohlen, bei 107 Vorfällen.
CertiK: rund 1,26 Milliarden US-Dollar, bei 247 Vorfällen.
Die Summen sind ähnlich, aber die Zahl der Vorfälle unterscheidet sich um mehr als das Doppelte. Was als „ein Vorfall“ zählt, legt jede Firma selbst fest. Deshalb sollte man solche Quartalsberichte nicht für amtliche Statistiken halten – in erster Linie sind sie Marketingmaterial.
Wirklich interessant ist, was Hacken selbst schreibt: Verluste von rund 907 Millionen Dollar hingen damit zusammen, dass Infrastruktur kompromittiert wurde, bekannte Schwachstellen nicht behoben wurden oder Komponenten betroffen waren, die gar nicht zum Prüfungsumfang gehörten. Auf gut Deutsch: Das „Auditiert“-Abzeichen auf der Projektwebsite bezieht sich vielleicht nur auf den kleinen Teil der Smart Contracts. Das Geld ist über das Backend, die Verwaltung privater Schlüssel, Entwicklungstools oder Zulieferer abgeflossen.
Und jetzt kommt die Ironie: Diejenigen, die sagen, „Audits vermitteln ein trügerisches Sicherheitsgefühl“, sind ausgerechnet die Firmen, die Audits verkaufen. Die Schlussfolgerung liegt auf der Hand: Man braucht mehr Audits, mehr Überwachung und mehr jährliche Servicegebühren. Und die Accounts mit Kurzmeldungen zu Smart Contracts, die solche Zahlen weiterverbreiten, hängen unter ihre Posts noch einen Börsenlink – die komplette Traffic-Maschinerie.
Die Zahlen können als Anhaltspunkt dienen, aber die Schlussfolgerungen sollte man mit Vorsicht genießen. Wenn du ein Audit-Logo siehst, schau zuerst in den Bericht: Was steht zum Prüfungsumfang drin, wann fand das Audit statt, und wurde der Code danach noch geändert? Das meiste Geld wird nicht von genialen Hackern gestohlen, sondern aus „dem Bereich, für den sich niemand zuständig fühlt“ abgezogen.
#安全 #Audit
Hacken: Im Q3 wurden rund 1,18 Milliarden US-Dollar gestohlen, bei 107 Vorfällen.
CertiK: rund 1,26 Milliarden US-Dollar, bei 247 Vorfällen.
Die Summen sind ähnlich, aber die Zahl der Vorfälle unterscheidet sich um mehr als das Doppelte. Was als „ein Vorfall“ zählt, legt jede Firma selbst fest. Deshalb sollte man solche Quartalsberichte nicht für amtliche Statistiken halten – in erster Linie sind sie Marketingmaterial.
Wirklich interessant ist, was Hacken selbst schreibt: Verluste von rund 907 Millionen Dollar hingen damit zusammen, dass Infrastruktur kompromittiert wurde, bekannte Schwachstellen nicht behoben wurden oder Komponenten betroffen waren, die gar nicht zum Prüfungsumfang gehörten. Auf gut Deutsch: Das „Auditiert“-Abzeichen auf der Projektwebsite bezieht sich vielleicht nur auf den kleinen Teil der Smart Contracts. Das Geld ist über das Backend, die Verwaltung privater Schlüssel, Entwicklungstools oder Zulieferer abgeflossen.
Und jetzt kommt die Ironie: Diejenigen, die sagen, „Audits vermitteln ein trügerisches Sicherheitsgefühl“, sind ausgerechnet die Firmen, die Audits verkaufen. Die Schlussfolgerung liegt auf der Hand: Man braucht mehr Audits, mehr Überwachung und mehr jährliche Servicegebühren. Und die Accounts mit Kurzmeldungen zu Smart Contracts, die solche Zahlen weiterverbreiten, hängen unter ihre Posts noch einen Börsenlink – die komplette Traffic-Maschinerie.
Die Zahlen können als Anhaltspunkt dienen, aber die Schlussfolgerungen sollte man mit Vorsicht genießen. Wenn du ein Audit-Logo siehst, schau zuerst in den Bericht: Was steht zum Prüfungsumfang drin, wann fand das Audit statt, und wurde der Code danach noch geändert? Das meiste Geld wird nicht von genialen Hackern gestohlen, sondern aus „dem Bereich, für den sich niemand zuständig fühlt“ abgezogen.
#安全 #Audit