gate Viện nghiên cứu: Tổng kết sự kiện an ninh tháng 11 năm 2024

Tóm tắt

• Trong tháng 11/2024, có 21 sự cố bảo mật trong ngành Web3, dẫn đến thiệt hại khoảng 76,86 triệu USD, giảm so với tháng trước đó.
• Sự kiện an ninh trong tháng này tập trung vào lỗ hổng hợp đồng, tài khoản bị đánh cắp và các phương thức tấn công khác.
• Lỗ hổng hợp đồng vẫn là mối đe dọa chính, chiếm 39% tổng thiệt hại.
• Thiệt hại về sự kiện an ninh trong tháng này chủ yếu tập trung vào Ethereum và Polygon.
• Các sự kiện gây thiệt hại vốn lớn trong tháng này bao gồm thiệt hại do lỗ hổng hợp đồng của Thala là 25,5 triệu đô la, lỗ hổng Khóa riêng của DEXX là 21 triệu đô la và cuộc tấn công cho vay chớp nhoáng của Polter Finance là 12 triệu đô la.

Tổng quan về sự kiện an ninh

The Slowmist data shows that there were 21 hacking incidents in November 2024, resulting in a loss of approximately $76.86 million. This month’s security incidents focused on contract vulnerabilities, account hacking, and attacks in various other ways. The number of security incidents and the scale of losses this month have significantly decreased compared to last month, which reflects the continuous improvement of the industry in security protection measures and raising security awareness to some extent. It is worth noting that contract vulnerabilities are still the main cause of attacks and losses. The 7 contract vulnerability exploitation incidents that occurred this month alone resulted in a loss of over $30 million, accounting for 39% of the total losses. In addition, the official X account and official website of the encryption project remain the main targets of hacking.

Dữ liệu từ Scam Sniffer cho thấy, các sự cố an ninh của chuỗi công cộng trong tháng này tập trung chủ yếu vào một số chuỗi công cộng đã trưởng thành và phổ biến, đặc biệt là Ethereum và Polygon, lần lượt xảy ra các sự cố an ninh mất hơn 6.91 triệu đô la và 1.05 triệu đô la. Điều này cho thấy, mặc dù tính an ninh ở tầng hạ tầng của chuỗi công cộng là cao, nhưng lỗ hổng ở Lớp ứng dụng và Hợp đồng thông minh vẫn tạo ra rủi ro lớn đối với an toàn tài chính của người dùng.

Tháng này, nhiều dự án blockchain đã gặp sự cố bảo mật dẫn đến mất mát vốn lớn. Các sự cố bảo mật lớn gây ra mất mát vốn trong tháng này bao gồm lỗ hổng hợp đồng Thala dẫn đến mất cắp 25,5 triệu USD, rò rỉ Khóa riêng DEXX gây mất mát 21 triệu USD và Polter Finance bị tấn công cuộc vay nhanh gây mất mát 12 triệu USD.

Sự kiện an ninh quan trọng tháng 11

Theo dữ liệu được tiết lộ bởi các cơ quan chính thức, dưới đây là tổng kết các dự án mất hàng triệu đô la trở lên trong tháng 11. Các sự kiện an ninh nhiều trong tháng 11 cho thấy lỗ hổng hợp đồng vẫn là mối đe dọa lớn.

• Thala đã gặp sự cố lỗ hỏng hợp đồng trong hồ chứa thanh khoản, mất tới 25,5 triệu đô la Mỹ. Mặc dù đã thu hồi toàn bộ tài sản của người dùng cuối cùng, nhưng sự việc này đã tiết lộ vấn đề rủi ro trong thiết kế hợp đồng.
• DEXX máy chủ trực tiếp phát hành Khóa riêng rõ ràng có nguy cơ nghiêm trọng, dẫn đến việc mất mát tiền của người dùng, tổng số tiền lên đến 2,100 triệu đô la. Cách thức hoạt động như vậy cần phải được cải thiện triệt để.
• SpookySwap của Polter Finance đã trải qua cuộc tấn công cho vay chớp nhoáng và mất đi 12 triệu đô la. Việc kiểm tra bảo mật không đủ sau khi thị trường mới được ra mắt có thể là nguyên nhân của vấn đề này. Những sự kiện như vậy nhắc nhở Bên dự án cần tiến hành kiểm tra bảo mật toàn diện trước khi triển khai tính năng mới.
• Delta Prime đã bị tấn công vì lỗ hổng hợp đồng trên nhiều on-chain, gây thiệt hại khoảng 4,75 triệu đô la Mỹ. Điều này cho thấy rằng ngay cả trong các dự án on-chain đã trưởng thành, không thể hoàn toàn tránh được rủi ro an ninh. Tương tự, MetaWin đã bị tấn công không rõ nguồn gốc và mất khoảng 4 triệu đô la Mỹ. Sự việc xảy ra trên nhiều on-chain khác nhau, cho thấy sự đa dạng và phức tạp của các phương thức tấn công đang tăng lên.
• CoinPoker Ví nóng bị Hacker đánh cắp, tổng số tiền mất khoảng 200 triệu USD. Sự cố này liên quan đến nhiều mạng, kẻ tấn công chuyển tiền vào giao thức riêng tư để rửa sạch. XT Exchange sau đó bị tấn công bởi Hacker với lý do không rõ ràng, mất 1,7 triệu USD tài sản. Kẻ tấn công nhanh chóng đổi tiền thành ETH và chuyển vào Địa chỉ cụ thể.

Thala

Thala là một giao thức phi tập trung xây dựng trên Aptos để cung cấp lớp token ổn định và thanh khoản tạo ra thu nhập. Giao thức này hỗ trợ nhiều hình thức tài sản thế chấp, bao gồm các sản phẩm thế chấp thanh khoản, thanh khoản giao dịch Token, giấy tờ tiền gửi Token và các tài sản liên quan đến tài sản thực (RWA). Thiết kế đa dạng này không chỉ đảm bảo tính phi tập trung và khả năng chống kiểm duyệt của Thala, mà còn đồng thời tối ưu hóa hiệu quả vốn.

Sự kiện giới thiệu:

Ngày 15 tháng 11 năm 2024, Thala, dự án Tài chính phi tập trung của hệ sinh thái Aptos, đã xảy ra sự cố bảo mật, lượng thiệt hại là 25,5 triệu đô la. Kẻ tấn công đã tận dụng lỗ hổng trong Hợp đồng thông minh để thực hiện cuộc tấn công. Bên dự án đã nhanh chóng tạm ngừng các hợp đồng liên quan sau sự cố và đóng băng một phần tài sản Token.

Sau cuộc điều tra, Bên dự án đã thành công đóng băng khoảng 1,150 triệu đô la tài sản. Sau đó, Bên dự án đã hợp tác với cơ quan thực thi pháp luật và nhiều đội an ninh blockchain để tích cực xử lý sự việc. Sau cuộc đàm phán, Bên dự án đã thu hồi được số tiền bị đánh cắp. Theo nội dung đàm phán, kẻ tấn công đã nhận được 30 triệu đô la tiền thưởng.

Lưu ý sau sự việc:

• Bên dự án cần tăng cường kiểm định an ninh của hợp đồng thông minh. Trước khi mã code được triển khai, cần phải trải qua kiểm định an ninh nghiêm ngặt và kiểm tra lỗ hổng định kỳ để giảm thiểu khả năng bị tấn công.
• Chiến lược quản lý vốn rất quan trọng. Dự án nên thiết lập cơ chế đa chữ ký và chiến lược lưu trữ vốn theo tầng lớp, tránh tối đa việc tập trung quá nhiều vốn vào một hợp đồng duy nhất, để tránh những tổn thất tiềm ẩn khi bị tấn công.
• Hợp tác với cơ quan an ninh là không thể thiếu. Sau khi sự cố xảy ra, việc liên kết nhanh chóng với đội ngũ an ninh blockchain và các cơ quan thi hành pháp luật có thể giúp kiểm soát thiệt hại một cách hiệu quả và nhanh chóng khôi phục tài sản.

DEXX

Giới thiệu dự án: DEXX là một ứng dụng kết thúc giao dịch Token on-chain, được thiết kế đặc biệt cho giao dịch memecoin, cung cấp hỗ trợ toàn diện. Nền tảng tích hợp các công cụ phân tích dữ liệu chính xác, chiến lược giao dịch cao cấp như chốt lời, cắt lỗ di động và trang bị chức năng giám sát Ví tiền thông minh và thông báo thời gian thực, giúp người dùng tối ưu hóa trải nghiệm giao dịch và quản lý tài sản hiệu quả.

Sự kiện giới thiệu:

Ngày 16 tháng 11, nền tảng DEXX đã trải qua một sự kiện bảo mật lớn, do quản lý Khóa riêng không đúng cách từ phía chính thức dẫn đến rò rỉ Khóa riêng, tài sản của người dùng bị đánh cắp, tổng thiệt hại vượt quá 21 triệu đô la, với hơn 500 nạn nhân. Các Token bị ảnh hưởng bao gồm BAN, Banana và LUCE, trong đó BAN mất mát lớn nhất.

Dưới đây là dòng thời gian sự kiện Hacker DEXX:

• Ngày 19 tháng 11, DEXX thông báo đã chính thức khởi kiện vụ việc an ninh, nền tảng cho biết kế hoạch bồi thường sẽ được xác định dựa trên số tiền thu hồi. Nhóm SlowMist hỗ trợ các cơ quan chức năng điều tra và xác nhận sơ bộ khoảng 2.000 địa chỉ đáng ngờ.
• Ngày 25 tháng 11, số người bị ảnh hưởng đã vượt qua con số 1.000 người thông qua việc gửi thông tin qua biểu mẫu của SlowMist, đồng thời tiếp tục phân tích dữ liệu bị hỏng cùng với người theo lệnh long, nhấn mạnh việc tránh thông báo sai.
• Ngày 26 tháng 11, Kẻ tấn công DEXX bắt đầu đổi một lượng lớn Token on-chain của Solana thành SOL và chưa rút.
• Ngày 28 tháng 11, Mạng lưới chậm tiết lộ 8.612 địa chỉ Solana liên quan đến kẻ tấn công, đồng thời làm sạch và thống kê dữ liệu EVM on-chain.
• Ngày 29 tháng 11, kẻ tấn công tiếp tục đổi Token trong địa chỉ Solana thành SOL và thử nghiệm hoạt động đổi Token từ EVM on-chain thành ETH.
• Ngày 30 tháng 11, Kẻ tấn công đã hoán đổi Token thành ETH và BNB trên chuỗi EVM (ETH/BSC/BASE), tài sản liên quan chưa được chuyển đi.
• Ngày 5 tháng 12, kẻ tấn công sử dụng Wormhole để chuyển một phần số tiền bị đánh cắp trên Solana sang ETH, đến thời điểm hiện tại, số dư ETH của kẻ tấn công là 4,400.74 ETH, trị giá khoảng 17,25 triệu USD; số dư ETH của Solana còn lại khoảng 1,5 triệu USD. Sự cố đang được điều tra.

Lưu ý sau sự việc:

1. Người dùng nên chú trọng đến việc bảo mật Khóa riêng, kiểm tra định kỳ hoạt động của Ví tiền và tài khoản, phát hiện giao dịch bất thường hoặc chuyển đổi tài sản kịp thời. Sử dụng công cụ thông báo và giám sát Ví tiền thông minh theo thời gian thực có thể giúp đưa ra biện pháp kịp thời.
2. Nếu tài sản bị đánh cắp, hãy thực hiện các biện pháp phù hợp để bảo vệ quyền lợi của mình và theo dõi các diễn biến liên quan kịp thời.

Polter Finance

Giới thiệu dự án: Polter Finance là một nền tảng Phi tập trung phi trực tiếp trên FTM, nhằm cung cấp lợi nhuận Tiền lãi cho người gửi tiền theo tỷ lệ.

Sự kiện giới thiệu:

Dưới đây là lịch trình sự kiện của Polter Finance:

• Ngày 17 tháng 11, Polter Finance đã bị tấn công vì vấn đề “thị trường trống rỗng”, dẫn đến khoản thiệt hại khoảng 12 triệu USD.【5】
• Ngày 18 tháng 11, Báo cáo của Polter Finance cho biết, tài sản mã hóa on-chain của Fantom đã bị tấn công, tổn thất lên đến hơn 7 triệu đô la. Ban đầu, kẻ tấn công đã lấy một khoản tiền từ chuỗi Ethereum thông qua Tornado Cash, sau đó chuyển tiền sang Fantom. Nền tảng đã tạm dừng hoạt động để kiểm soát lỗ hổng và bắt đầu theo dõi các Ví tiền liên quan, phát hiện rằng các Địa chỉ liên quan đã được liên kết với Binance. Nhóm phát triển của nền tảng cũng đã công khai tuyên bố rằng, nếu kẻ tấn công trả lại tiền, sẽ không có hành động pháp lý.
• Ngày 19 tháng 11, kẻ tấn công Polter Finance đã chuyển 120 ETH sang Tornado Cash, tổn thất khoảng 8,7 triệu USD. Đồng thời, kẻ tấn công bắt đầu chuyển từ từ 11,5 triệu FTM (khoảng 8 triệu USD) tiền bị đánh cắp sang Arbitrum và Ethereum, sau đó gửi số tiền này vào Tornado Cash. Lúc này, kẻ tấn công đã gửi 220 ETH (khoảng 68,9 nghìn USD) vào Địa chỉ Ethereum.
• Ngày 20 tháng 11, Hacker của Polter Finance tiếp tục chuyển tiền sang Tornado Cash và thành công chuyển 2,625.7 ETH.
• Ngày 21 tháng 11, Polter Finance Hacker đã chuyển 2.600 ETH sang Tornado Cash một lần nữa.

Lưu ý sau sự việc:

Khi sử dụng nền tảng Phi tập trung, đặc biệt là trong việc tương tác và các dự án Tài chính phi tập trung, người dùng nên cẩn thận và chú ý đến tính an toàn của nền tảng. Đặc biệt là khi thị trường biến động lớn, các dự án nên thực hiện kiểm tra lỗi và quản lý rủi ro kịp thời để đảm bảo an toàn cho Hợp đồng thông minh và cầu nối chuỗi chéo của nền tảng.

DeltaPrime

Dự án giới thiệu: DeltaPrime là một nền tảng cho vay và đầu tư Phi tập trung, nhằm mục đích tăng cường hiệu suất vốn để giải phóng Than khoản bị hạn chế. Người dùng có thể dễ dàng gửi tiền và vay tiền trên nền tảng này, từ đó tăng cường khả năng đầu tư Tài chính phi tập trung của họ. Tỷ lệ thế chấp tối thiểu cho vay trên nền tảng là 20%.

Sự kiện giới thiệu:

Dự án DeltaPrime từng bị tấn công Hacker vào tháng 9, dưới đây là tổng quan đầy đủ:

• Ngày 16 tháng 9, DeltaPrime đã bị tấn công trên ARB on-chain, và quản trị viên có thể đã mất Khóa riêng, dẫn đến việc khoảng 4,5 triệu đô la mã hóa bị đánh cắp. Kẻ tấn công đã đổi USDC thành ETH và liên tục chuyển tiền. Các giao dịch đang bị ảnh hưởng bao gồm DPUSDC, DPARB và DPBTCb.【6】
• Ngày 17 tháng 9, Hacker đã chuyển khoản khoảng 1200 ETH (khoảng 2,8 triệu USD) vào Địa chỉ mới, sau đó chuyển tiền bị đánh cắp vào mạng lưới Ethereum và gửi vào Tornado Cash.
• Ngày 11 tháng 11 , DeltaPrime bị tấn công lần thứ hai trên ARB và AVAX, tổn thất khoảng 4,8 triệu đô la Mỹ. Kẻ tấn công tăng Thanh khoản trên Nông trại USDC của LFJ và Stargate, gây ra tổn thất khoảng 1,3 triệu đô la Mỹ.

Lưu ý sau sự việc:

Các dự án tài chính phi tập trung và các nền tảng liên quan đến tài sản cần tăng cường an ninh, đặc biệt là trong các chức năng chính (như chức năng nhận phần thưởng), thông qua việc xác minh đầu vào một cách nghiêm ngặt, nhằm tránh những cuộc tấn công tương tự.

MetaWin

Giới thiệu dự án: MetaWin là một nền tảng trò chơi dự đoán on-chain dựa trên công nghệ Blockchain, cung cấp nhiều trò chơi nhỏ cho người dùng tham gia và có giải thưởng lên đến 1 triệu đô la.

Sự kiện giới thiệu:

Nền tảng cá cược Metawin đã trải qua một cuộc tấn công từ Hacker vào ngày 5 tháng 11 năm 2024, đã mất hơn 4 triệu đô la Mỹ. Hacker đã đánh cắp tiền từ ví nóng của ETH, Base và Solana và đã chuyển một phần của số tiền này đến KuCoin, HitBTC, Binance và ChangeNow. Kẻ tấn công đã chuyển đi 331 đồng ETH (khoảng 800.000 đô la Mỹ) thành các ví tiền khác nhau, mỗi lần chuyển là 13, 19 và 21 đồng ETH. Ngoài ra, đã phát hiện 115 địa chỉ liên quan đến kẻ tấn công và hiện tại số tiền này vẫn đang tiếp tục được chuyển đi.【7】

Lưu ý sau sự việc:

Sự cố tấn công Metawin lần này nhắc nhở người dùng cần cẩn thận khi sử dụng các nền tảng mã hóa, đặc biệt là khi liên quan đến Ví nóng và chuyển tiền qua chuỗi cross, đảm bảo rằng các biện pháp an ninh của nền tảng đủ hoàn chỉnh. Người dùng nên kiểm tra định kỳ thông báo an ninh của nền tảng, tránh tương tác với các Địa chỉ đáng ngờ và tăng cường cài đặt bảo mật tài khoản (như kích hoạt xác thực đa yếu tố, v.v.) để giảm thiểu rủi ro. Đồng thời, các bên nền tảng cần tăng cường bảo vệ tài sản của người dùng, đảm bảo phát hiện và giải quyết kịp thời các lỗ hổng bảo mật tiềm ẩn.

Tóm tắt

Trong tháng 11 năm 2024, nhiều nền tảng Tài chính phi tập trung đã bị tấn công bởi Hacker, dẫn đến mất cắp hàng triệu đô la tài sản. Những sự kiện này đã làm nổi bật rủi ro về mặt an ninh của các dự án Tài chính phi tập trung, nhắc nhở ngành công nghiệp cần chú trọng hơn vào việc bảo vệ an ninh và khắc phục lỗ hổng. Đồng thời, các vấn đề về lỗ hổng bảo mật nền tảng và kiểm soát luồng tiền lại trở thành điểm theo dõi, nhấn mạnh việc cần đảm bảo an toàn tài sản người dùng và sự ổn định của nền tảng trong quá trình theo đuổi sự đổi mới và phát triển. Gate.io nhắc nhở người dùng hãy thận trọng tham gia thị trường và bảo vệ an toàn tài chính.
Tài liệu tham khảo:

1. Slowmist,
2. Dune,
3. X,
4. X,
5. X,
6. X,
7. Tele,

Nhấp vào 链接 để đi ngay

Tuyên bố miễn trừ trách nhiệm Đầu tư vào thị trường tài sản tiền điện tử liên quan đến rủi ro cao, chúng tôi khuyến nghị người dùng nghiên cứu độc lập và hiểu rõ về tính chất của tài sản và sản phẩm mua trước khi đưa ra bất kỳ quyết định đầu tư nào. Gate.io không chịu trách nhiệm đối với bất kỳ tổn thất hoặc thiệt hại nào do quyết định đầu tư này gây ra.