Huy hiệu kiểm toán có lẽ là một trong những liều an ủi đắt đỏ nhất giới crypto.
Báo cáo quý III do công ty bảo mật blockchain Hacken công bố trong tuần này đã đưa ra những con số cụ thể: trong Q3, tin tặc lấy đi 1,18 tỷ USD từ các dự án crypto, qua 107 vụ việc, tăng 55% so với quý trước.
Điều đáng chú ý nhất không phải tổng thiệt hại, mà là cơ cấu của nó — khoảng 906,8 triệu USD (77%) thiệt hại xảy ra bên ngoài phạm vi kiểm toán: nhà cung cấp bị xâm nhập, công cụ phát triển bị cài mã độc, các bản vá đã công khai từ lâu nhưng không được cài đặt, hay những thành phần bị loại khỏi phạm vi kiểm toán.
Andrii Matiukhin, đồng sáng lập Hacken, nói thẳng trong một câu: “Vấn đề luôn nằm ở phạm vi.” Kiểm toán thường chỉ xem xét một số hợp đồng thông minh cụ thể; ví, hệ thống ký và phần mềm bên thứ ba đều nằm ngoài phạm vi. Người dùng nhìn thấy huy hiệu “đã kiểm toán” thì mặc định cả nền tảng đều được kiểm tra, nhưng tiền lại bị mất qua những khóa, nhà cung cấp và cấu hình chưa từng được kiểm thử.
Một số vụ thiệt hại lớn trong quý này: Bitget bị đánh cắp khoảng 387 triệu USD hồi tháng 9 (theo báo cáo, lỗ hổng trong sản phẩm bảo mật của bên thứ ba đã ảnh hưởng đến hệ thống rút tiền), Liquid Network khoảng 320 triệu USD, Tectonic khoảng 120 triệu USD, và lỗ hổng firmware của Coldcard khoảng 115 triệu USD. Ngược lại, lỗ hổng hợp đồng thông minh là loại sự cố xảy ra nhiều nhất nhưng thiệt hại mỗi vụ thấp nhất — 71 vụ, khoảng 228 triệu USD.
Mặt tích cực là cơ chế thu hồi đã phát huy tác dụng: khoảng 387 triệu USD được thu hồi hoặc đảo ngược giao dịch (các hacker mũ trắng trong vụ Liquid trả lại 272 triệu USD, còn các validator của Cronos đảo ngược những giao dịch liên quan đến Tectonic), các đơn vị vận hành bù đắp khoảng 410 triệu USD, và khoảng 384 triệu USD cuối cùng không thể thu hồi — chỉ chiếm hơn 30% tổng thiệt hại.
Theo tôi, kiểm toán không phải vô ích; nó bảo vệ “logic mã nguồn”, nhưng giờ đây tin tặc nhắm vào “con người, chuỗi cung ứng và khóa”. Với nhà đầu tư nhỏ lẻ, chỉ có một nguyên tắc hữu ích: đừng xem “đã kiểm toán” là lá bùa miễn tử nữa; hãy tìm hiểu xem đội ngũ có thường xuyên vá lỗi, tổ chức chương trình thưởng tìm lỗi, dùng ví đa chữ ký và khóa phần cứng hay không.
Lần tới khi thấy một biểu ngữ lớn ghi “đã kiểm toán”, hãy nhớ hỏi: rốt cuộc phần nào đã được kiểm toán?
Bạn có xem báo cáo kiểm toán của dự án không, hay chỉ nhìn vào tỷ suất lợi nhuận?
#黑客 #安全审计 #安全
Nội dung trên không cấu thành lời khuyên đầu tư. Hãy tự nghiên cứu (DYOR); giao dịch luôn tiềm ẩn rủi ro.
Báo cáo quý III do công ty bảo mật blockchain Hacken công bố trong tuần này đã đưa ra những con số cụ thể: trong Q3, tin tặc lấy đi 1,18 tỷ USD từ các dự án crypto, qua 107 vụ việc, tăng 55% so với quý trước.
Điều đáng chú ý nhất không phải tổng thiệt hại, mà là cơ cấu của nó — khoảng 906,8 triệu USD (77%) thiệt hại xảy ra bên ngoài phạm vi kiểm toán: nhà cung cấp bị xâm nhập, công cụ phát triển bị cài mã độc, các bản vá đã công khai từ lâu nhưng không được cài đặt, hay những thành phần bị loại khỏi phạm vi kiểm toán.
Andrii Matiukhin, đồng sáng lập Hacken, nói thẳng trong một câu: “Vấn đề luôn nằm ở phạm vi.” Kiểm toán thường chỉ xem xét một số hợp đồng thông minh cụ thể; ví, hệ thống ký và phần mềm bên thứ ba đều nằm ngoài phạm vi. Người dùng nhìn thấy huy hiệu “đã kiểm toán” thì mặc định cả nền tảng đều được kiểm tra, nhưng tiền lại bị mất qua những khóa, nhà cung cấp và cấu hình chưa từng được kiểm thử.
Một số vụ thiệt hại lớn trong quý này: Bitget bị đánh cắp khoảng 387 triệu USD hồi tháng 9 (theo báo cáo, lỗ hổng trong sản phẩm bảo mật của bên thứ ba đã ảnh hưởng đến hệ thống rút tiền), Liquid Network khoảng 320 triệu USD, Tectonic khoảng 120 triệu USD, và lỗ hổng firmware của Coldcard khoảng 115 triệu USD. Ngược lại, lỗ hổng hợp đồng thông minh là loại sự cố xảy ra nhiều nhất nhưng thiệt hại mỗi vụ thấp nhất — 71 vụ, khoảng 228 triệu USD.
Mặt tích cực là cơ chế thu hồi đã phát huy tác dụng: khoảng 387 triệu USD được thu hồi hoặc đảo ngược giao dịch (các hacker mũ trắng trong vụ Liquid trả lại 272 triệu USD, còn các validator của Cronos đảo ngược những giao dịch liên quan đến Tectonic), các đơn vị vận hành bù đắp khoảng 410 triệu USD, và khoảng 384 triệu USD cuối cùng không thể thu hồi — chỉ chiếm hơn 30% tổng thiệt hại.
Theo tôi, kiểm toán không phải vô ích; nó bảo vệ “logic mã nguồn”, nhưng giờ đây tin tặc nhắm vào “con người, chuỗi cung ứng và khóa”. Với nhà đầu tư nhỏ lẻ, chỉ có một nguyên tắc hữu ích: đừng xem “đã kiểm toán” là lá bùa miễn tử nữa; hãy tìm hiểu xem đội ngũ có thường xuyên vá lỗi, tổ chức chương trình thưởng tìm lỗi, dùng ví đa chữ ký và khóa phần cứng hay không.
Lần tới khi thấy một biểu ngữ lớn ghi “đã kiểm toán”, hãy nhớ hỏi: rốt cuộc phần nào đã được kiểm toán?
Bạn có xem báo cáo kiểm toán của dự án không, hay chỉ nhìn vào tỷ suất lợi nhuận?
#黑客 #安全审计 #安全
Nội dung trên không cấu thành lời khuyên đầu tư. Hãy tự nghiên cứu (DYOR); giao dịch luôn tiềm ẩn rủi ro.