Revisión de eventos de seguridad Web3 de 2024: Análisis de los diez principales casos de ataques

En 2024, la industria de la cadena de bloques, al mismo tiempo que avanza en innovación tecnológica y expansión ecológica, también enfrenta desafíos de seguridad cada vez más severos. Según estadísticas, hasta finales de año, las pérdidas totales en el ámbito de Web3 debido a ataques de hackers, estafas de phishing y el abandono de proyectos alcanzaron los 2.491 millones de dólares. Estos eventos no solo expusieron deficiencias técnicas en la gestión de claves privadas y contratos inteligentes, sino que también destacaron los riesgos potenciales en la ingeniería social y la gestión interna. Este artículo revisará los diez principales eventos de seguridad de Web3 en 2024, para que la industria pueda aprender lecciones y enfrentar mejor las amenazas de seguridad futuras.

1. DMM Bitcoin

Monto de pérdida: 304 millones de dólares Método de ataque: filtración de clave privada

El 31 de mayo de 2024, el conocido intercambio de criptomonedas japonés DMM Bitcoin sufrió un ataque importante. Los hackers utilizaron claves privadas filtradas para transferir directamente más de 300 millones de dólares en Bitcoin, dispersando rápidamente los fondos robados en más de diez direcciones diferentes. Este incidente expuso las graves vulnerabilidades del intercambio en la gestión de claves privadas y la protección de múltiples capas de seguridad. A pesar de que el intercambio implementó medidas como monitoreo en la cadena y congelación de fondos, el uso de herramientas de mezcla por parte de los hackers planteó un gran desafío para el seguimiento.

A finales de año, la policía japonesa confirmó que este incidente fue perpetrado por el grupo de hackers norcoreano Lazarus Group.

2. PlayDapp

Monto de la pérdida: 290 millones de dólares Método de ataque: filtración de clave privada

El 9 de febrero de 2024, PlayDapp sufrió un ataque grave. Los hackers acuñaron 2 mil millones de tokens PLA al robar claves privadas, con un valor inicial de 36.5 millones de dólares. Debido a que el equipo del proyecto fracasó en las negociaciones con los hackers, estos acuñaron otros 15.9 mil millones de tokens PLA en un corto período de tiempo, con un valor de 253.9 millones de dólares. Después de que parte de los tokens ingresaron a los intercambios, PlayDapp se vio obligado a suspender el contrato de PLA y migrar a un nuevo contrato de tokens. Este incidente resalta las deficiencias de los proyectos de blockchain en la protección de claves privadas y en la gestión de emergencias.

3. Un intercambio de criptomonedas en India

Monto de pérdida: 235 millones de dólares Método de ataque: ataque en red y phishing

El 18 de julio de 2024, la billetera multifirma Safe Wallet del mayor intercambio de criptomonedas de la India fue objeto de un ataque preciso. Los atacantes utilizaron técnicas de ingeniería social para inducir a los firmantes multifirma a firmar una transacción de actualización de contrato, y luego aprovecharon los permisos del contrato actualizado para transferir los activos de la billetera. Este caso revela los riesgos potenciales de las billeteras multifirma en la gestión de la configuración de permisos y la transparencia operativa, y también ha provocado una profunda reflexión en la industria sobre los mecanismos internos de control de riesgos y seguridad del proyecto.

4. Gala Games

Monto de la pérdida: 216 millones de dólares Método de ataque: vulnerabilidad de control de acceso

El 20 de mayo de 2024, una dirección privilegiada de Gala Games fue hackeada. Los atacantes invocaron la función mint en el contrato de tokens, creando de una sola vez 5 mil millones de tokens GALA. Luego, los hackers canjearon en lotes los tokens emitidos por ETH, causando una pérdida directa de 216 millones de dólares. El equipo de Gala Games activó urgentemente la función de lista negra para bloquear algunas cuentas de los hackers y recuperó parte de las pérdidas a través de medios legales.

5. Billetera personal del cofundador de Ripple

Monto de la pérdida: 112 millones de dólares Método de ataque: filtración de clave privada

El 31 de enero de 2024, cuatro billeteras personales del cofundador de Ripple, Chris Larsen, fueron hackeadas, lo que resultó en el robo de 112 millones de dólares en XRP. Estas billeteras se convirtieron en un objetivo de ataque debido a la falta de protección de doble factor con dispositivos de hardware. Después del incidente, una plataforma de intercambio logró congelar 4.2 millones de dólares en XRP y ayudó a rastrear los activos robados, pero la mayor parte de los fondos ya había sido blanqueada a través de intercambios descentralizados y servicios de mezcla.

6. Munchables

Monto de pérdida: 62.5 millones de dólares Método de ataque: Ataque de ingeniería social

El 26 de marzo de 2024, la plataforma de juegos Web3 Munchables, basada en Blast, sufrió un raro ataque de infiltración interna. Los atacantes se disfrazaron de desarrolladores de blockchain y, tras una larga infiltración, obtuvieron el código fuente y las claves sensibles. A pesar de las enormes pérdidas, bajo la presión de la comunidad y del equipo, los hackers finalmente devolvieron todos los fondos robados. Este incidente revela la importancia de la seguridad de la cadena de suministro, especialmente para los proyectos de blockchain que dependen de desarrolladores de terceros.

7. Un intercambio de criptomonedas en Turquía

Monto de la pérdida: 55 millones de dólares Método de ataque: filtración de clave privada

El 22 de junio de 2024, el mayor intercambio de criptomonedas de Turquía sufrió un ataque de filtración de claves privadas, con pérdidas de más de 55 millones de dólares en activos criptográficos. Con la ayuda de una plataforma de intercambio, se congelaron con éxito 5.3 millones de dólares de fondos robados, pero otros activos aún no se han recuperado. Este evento ha profundizado las preocupaciones del mercado sobre la gestión de claves privadas en los intercambios centralizados.

8. Radiant Capital

Monto de la pérdida: 53 millones de dólares Método de ataque: filtración de clave privada

El 17 de octubre de 2024, la billetera multifirma de Radiant Capital fue hackeada. Debido a que se utilizó un modelo de verificación de firma 3/11 de bajo umbral, el hacker, al obtener las claves privadas de 3 firmantes, inició una firma fuera de la cadena y transfirió la propiedad del contrato de la billetera a una dirección maliciosa, lo que finalmente resultó en el robo de 53 millones de dólares. Este ataque ha provocado una reflexión en la industria sobre el diseño y los mecanismos de gobernanza de las billeteras multifirma.

Es importante señalar que Radiant Capital ya había perdido 4.5 millones de dólares debido a una vulnerabilidad en el contrato, con más de 1900 ETH robados, lo que resalta la falta de atención del equipo del proyecto hacia la seguridad.

9. Hedgey Finance

Monto de la pérdida: 44.7 millones de dólares Método de ataque: Vulnerabilidad del contrato

El 19 de abril de 2024, Hedgey Finance sufrió un ataque dirigido a varios contratos en cadena. Los hackers aprovecharon una vulnerabilidad de aprobación en su contrato ClaimCampaigns, logrando extraer tokens en las cadenas de Ethereum y Arbitrum, con una pérdida total de 44.7 millones de dólares. Este evento destaca la importancia de las auditorías de código, especialmente la verificación rigurosa de la lógica de aprobación de tokens.

10. Una plataforma de intercambio de criptomonedas

Cantidad de pérdida: 44.7 millones de dólares Método de ataque: filtración de clave privada

El 19 de septiembre de 2024, el monedero caliente de una plataforma de intercambio fue hackeado, afectando a múltiples cadenas públicas como Ethereum, BNB Chain y Tron. A pesar de que el intercambio activó rápidamente mecanismos de transferencia de activos y congelación de retiros, los hackers lograron extraer activos por un valor de 44.7 millones de dólares. Este ataque refleja la alta riesgo de la gestión de monederos calientes en intercambios centralizados y promueve aún más la búsqueda de soluciones de almacenamiento de activos más seguras en la industria.

Los frecuentes incidentes de seguridad en 2024 nos recuerdan una vez más que el desarrollo de la industria blockchain depende de la garantía de seguridad. Desde la filtración de claves privadas hasta las vulnerabilidades en contratos, desde las omisiones en la gestión interna hasta la mejora de los métodos de ataque externos, cada incidente trae lecciones profundas. Para hacer frente a las amenazas de ataque cada vez más complejas, todas las partes de la industria deben seguir fortaleciendo la inversión en investigación y desarrollo tecnológico, normas de gestión y prevención de riesgos. En el futuro, esperamos que a través de la colaboración en la industria y la innovación tecnológica, construyamos juntos un ecosistema blockchain más seguro, proporcionando una garantía más confiable para los usuarios e inversores.