Значок аудита — возможно, самое дорогое плацебо в криптоиндустрии.
В опубликованном на этой неделе отчёте за третий квартал блокчейн-компания по кибербезопасности Hacken раскрыла цифры: в Q3 хакеры похитили у криптопроектов 1,18 млрд долларов. Произошло 107 инцидентов — на 55% больше, чем в предыдущем квартале.
Больше всего бросается в глаза не общая сумма, а её структура: около 906,8 млн долларов (77%) потерь пришлись на то, что не входило в область аудита: взлом поставщиков, заражение инструментов разработки, неустановленные давно опубликованные патчи и компоненты, исключённые из проверки.
Сооснователь Hacken Андрии Матиухин точно подметил: «Проблема всегда в области аудита». Обычно аудит охватывает лишь несколько конкретных смарт-контрактов, а кошельки, системы подписи и стороннее ПО остаются за рамками. Увидев значок «проверено аудитом», пользователи полагают, что проверена вся платформа, хотя деньги теряются из-за ключей, поставщиков и настроек, которые никто не проверял.
Крупнейшие инциденты этого квартала: в сентябре у Bitget похитили около 387 млн долларов (по сообщениям, уязвимость стороннего продукта для обеспечения безопасности затронула систему вывода средств), у Liquid Network — около 320 млн долларов, у Tectonic — около 120 млн долларов, а уязвимость прошивки Coldcard привела к потерям примерно в 115 млн долларов. Уязвимости смарт-контрактов встречались чаще всего, но ущерб от каждого такого случая был наименьшим: 71 инцидент и около 228 млн долларов.
Есть и хорошие новости: механизмы возмещения сработали. Около 387 млн долларов удалось вернуть или откатить (в инциденте с Liquid белые хакеры вернули 272 млн, а валидаторы Cronos откатили связанные с Tectonic транзакции), операторы покрыли около 410 млн, и в итоге невозмещёнными остались примерно 384 млн долларов — чуть больше трети от общей суммы.
На мой взгляд, аудит не бесполезен: он защищает «логику кода». Но теперь хакеры атакуют «людей, цепочки поставок и ключи». Для обычного пользователя есть одно простое правило: не воспринимайте отметку «проверено аудитом» как индульгенцию. Лучше посмотрите, регулярно ли команда устанавливает патчи и использует ли такие операционные меры, как программы вознаграждения за найденные уязвимости, мультиподпись и аппаратные ключи.
В следующий раз, увидев большой баннер «проверено аудитом», спросите: а что именно проверяли?
Вы читаете аудиторские отчёты проектов или смотрите только на доходность?
#黑客 #安全审计 #Безопасность
Это не является инвестиционной рекомендацией. Проводите собственное исследование (DYOR); торговля связана с риском.
В опубликованном на этой неделе отчёте за третий квартал блокчейн-компания по кибербезопасности Hacken раскрыла цифры: в Q3 хакеры похитили у криптопроектов 1,18 млрд долларов. Произошло 107 инцидентов — на 55% больше, чем в предыдущем квартале.
Больше всего бросается в глаза не общая сумма, а её структура: около 906,8 млн долларов (77%) потерь пришлись на то, что не входило в область аудита: взлом поставщиков, заражение инструментов разработки, неустановленные давно опубликованные патчи и компоненты, исключённые из проверки.
Сооснователь Hacken Андрии Матиухин точно подметил: «Проблема всегда в области аудита». Обычно аудит охватывает лишь несколько конкретных смарт-контрактов, а кошельки, системы подписи и стороннее ПО остаются за рамками. Увидев значок «проверено аудитом», пользователи полагают, что проверена вся платформа, хотя деньги теряются из-за ключей, поставщиков и настроек, которые никто не проверял.
Крупнейшие инциденты этого квартала: в сентябре у Bitget похитили около 387 млн долларов (по сообщениям, уязвимость стороннего продукта для обеспечения безопасности затронула систему вывода средств), у Liquid Network — около 320 млн долларов, у Tectonic — около 120 млн долларов, а уязвимость прошивки Coldcard привела к потерям примерно в 115 млн долларов. Уязвимости смарт-контрактов встречались чаще всего, но ущерб от каждого такого случая был наименьшим: 71 инцидент и около 228 млн долларов.
Есть и хорошие новости: механизмы возмещения сработали. Около 387 млн долларов удалось вернуть или откатить (в инциденте с Liquid белые хакеры вернули 272 млн, а валидаторы Cronos откатили связанные с Tectonic транзакции), операторы покрыли около 410 млн, и в итоге невозмещёнными остались примерно 384 млн долларов — чуть больше трети от общей суммы.
На мой взгляд, аудит не бесполезен: он защищает «логику кода». Но теперь хакеры атакуют «людей, цепочки поставок и ключи». Для обычного пользователя есть одно простое правило: не воспринимайте отметку «проверено аудитом» как индульгенцию. Лучше посмотрите, регулярно ли команда устанавливает патчи и использует ли такие операционные меры, как программы вознаграждения за найденные уязвимости, мультиподпись и аппаратные ключи.
В следующий раз, увидев большой баннер «проверено аудитом», спросите: а что именно проверяли?
Вы читаете аудиторские отчёты проектов или смотрите только на доходность?
#黑客 #安全审计 #Безопасность
Это не является инвестиционной рекомендацией. Проводите собственное исследование (DYOR); торговля связана с риском.