Аудиторские значки все чаще создают у инвесторов ощущение, что проект проверен целиком, хотя на практике аудит может не затрагивать именно те части инфраструктуры, по которым бьют злоумышленники, предупредила компания Hacken, специализирующаяся на безопасности блокчейна.
Главное
- По данным Hacken, в третьем квартале хакеры похитили у криптопроектов $1,18 млрд в результате 107 инцидентов. Это на 55% больше, чем кварталом ранее.
- Около $906,8 млн, или 77% квартальных потерь, пришлись на атаки, связанные со скомпрометированными поставщиками и инструментами разработчиков, неустановленными исправлениями безопасности или компонентами, которые не попали в последнюю проверку.
- Hacken предупреждает: аудиторские значки могут вводить пользователей в заблуждение, потому что проверки нередко ограничиваются отдельными смарт-контрактами и не охватывают кошельки, системы подписи и стороннее программное обеспечение.
Почему аудит не всегда закрывает реальные риски
В опубликованном в четверг отчете Hacken пришла к выводу, что значительная часть убытков возникла не из-за ошибок в уже проверенных смарт-контрактах, а из-за слабых мест вокруг них. В эту категорию попали поставщики, инструменты для разработки, публично доступные патчи, которые команды не установили вовремя, а также элементы инфраструктуры, исключенные из актуального аудита.
«Проблема всегда заключается в масштабе. Проверить все компоненты, которые взаимодействуют со средствами или влияют на экономику проекта, дорого, поэтому команды сокращают расходы и отправляют на аудит только критически важные части сервиса», — сказал сооснователь и член совета директоров Hacken Андрей Матюхин.
Такой подход, по оценке компании, создает разрыв между тем, что видит инвестор, и тем, что фактически проверено. Пользователь замечает отметку об аудите и предполагает, что под контроль попала вся система. На деле вне проверки могут оставаться ключи, настройки доступа, решения сторонних поставщиков и механизмы подписи транзакций.
«Обычно клиент видит новый проект, обращает внимание на значок аудита, считает, что проверена вся система, а затем теряет деньги из-за ключа, поставщика или конфигурации, которые вообще не тестировались», — отметил Матюхин.
Крупные атаки квартала
Самым масштабным эпизодом отчетного периода Hacken назвала сентябрьскую атаку на криптовалютную биржу Bitget. Площадка потеряла не менее $352 млн после того, как злоумышленники использовали уязвимость в стороннем продукте безопасности и получили доступ к инфраструктуре вывода средств.
Риски, на которые указывает Hacken, не ограничиваются биржами. На этой же неделе Ledger заявила, что обнаружила несанкционированную «шпионскую» аппаратную установку в устройстве, проданном CryptoBilis, реселлером из Юго-Восточной Азии. Потери в этом случае составили примерно $93 млн.
В июле три криптомоста и межсетевых протокола за шесть часов лишились более $35 млн. На AFX Trade пришлось $24 млн из этой суммы: атакующие получили контроль над ключами валидатора. Среди других заметных инцидентов Hacken указала $319 млн потерь на Liquid Network, как минимум $75 млн на Tectonic и около $114 млн, связанных с программным обеспечением кошелька Coldcard.
Слабые настройки и задержки с исправлениями
Hacken также изучила 12 бирж деривативов и рынков прогнозов. Аналитики обнаружили, что на двух крупных площадках активы на сумму более $700 млн защищены либо схемой подписи с четырьмя ключами, где требуется три подписи, либо административными ключами, владельцы которых публично не раскрыты.
Матюхин отказался назвать эти площадки и раскрывать детальную оценку до публикации отчета. По его словам, признаков активной уязвимости специалисты не нашли, однако часть организационных мер выглядит недостаточной с учетом объема защищаемых средств.
«Мы не выявили активных ошибок в системах ни одной из рассмотренных площадок. Вместо этого мы нашли конфигурации, где ключевые настройки защищены слабее, чем требует масштаб этих площадок», — сказал Матюхин.
Отдельный источник риска — медленное устранение уже известных уязвимостей. Эта проблема особенно опасна, когда несколько блокчейнов используют одно и то же программное обеспечение, но обновляют его в разные сроки.
«Иногда команда классифицирует критическую уязвимость как низкоприоритетную, после чего исправление откладывается или вовсе отклоняется», — отметил Матюхин.
По позиции Hacken, основная ответственность лежит на компаниях, которые хранят средства клиентов. Им необходимо постоянно отслеживать уязвимости и своевременно устанавливать исправления, а не рассчитывать на аудит, проведенный месяцы или годы назад.
Новости о биткоин, блокчейне и криптовалютах
Автор: Сoinspot