Kripto įsilaužimų skaičius išaugo 55% iki 1,2 mlrd. USD, bet raktų vagysčių sumažėjo 30%
„Hacken“ trečiojo ketvirčio kriptovaliutų įsilaužimų suma išaugo iki 1,18 mlrd. USD, o nuostoliai, susiję su prieigos kontrolės ir veiklos skaičiais, sumažėjo maždaug 30%.
Spalio 15 d. kriptovaliutų saugumo įmonės paskelbtame pranešime nurodoma, kad liepos–rugsėjo mėnesiais bendras vagysčių skaičius padidėjo 55%, palyginti su antruoju ketvirčiu.
Pakeitimas apėmė 48% daugiau nuostolių dėl išmaniųjų sutarčių trečiąjį ketvirtį, palyginti su maždaug 11% pradinėje „Hacken“ antrojo ketvirčio suvestinėje. Daugiau incidentų ir šiek tiek mažesnis vidutinis užregistruotas nuostolis vienam incidentui taip pat išskiria du ketvirčius. Skaičiai prieštarauja fiksuotai saugumo hierarchijai, dėl kurios globos operacijos yra svarbiausias prioritetas.
„Bitget“ rugsėjo mėn. ataskaitoje buvo parodytos suklastotos išėmimo instrukcijos be privataus rakto kompromiso, o „Liquid“ to paties mėnesio ataskaitoje buvo priimtas netinkamas turtas, prieš atliekant tikrą autorizacijos procesą, prieš juos paleisdama „Bitcoin“.
Kas pasikeitė Hackeno kvartale
„Hacken“ antrojo ketvirčio suvestinė užfiksavo 763,9 mln. USD, gautų per 67 incidentus, o 88,3 % nuostolių priskyrė pažeistiems raktams, signatarams ir infrastruktūrai.
Padauginus šiuos skaičius gaunama maždaug 675 mln. USD, o pritaikius 40 % trečiojo ketvirčio dalį iki 1,18 mlrd. USD, gaunama apytiksliai 472 mln. USD, maždaug 30 % mažiau.
Trečiojo ketvirčio ataskaitoje jos kategorija vadinama prieigos valdymu ir veikimo sutrikimais, o antrojo ketvirčio ataskaitoje aprašomi veiklos sutrikimai.
Trečiojo ketvirčio 48% dalis reiškia apie 566 mln. USD, palyginti su maždaug 84 mln. USD, naudojant antrojo ketvirčio pradinę 11% dalį.
Šis neatitikimas, suapvalinti įvesties duomenys ir neaiškus detalus kategorijų palyginamumas atmeta tikslų augimo kartotinį, tačiau paskelbtas derinys rodo daug didesnius sutarčių nuostolius.
Bendras padidėjimas taip pat atrodo kitoks, kai jis skirstomas į incidentų dažnumą ir vidutinį sunkumą. Užregistruotų incidentų skaičius padidėjo nuo 67 iki 107, todėl paskelbtas bendras sumas padalijus iš šių skaičių gaunamas maždaug 11,4 mln. USD aritmetinis vidurkis antrąjį ketvirtį ir 11 mln. USD trečiąjį ketvirtį. Daugiau incidentų gali pakelti agregatą net tada, kai aritmetinis vidurkis krenta.
„Hacken“ 75,5% antrojo ketvirčio nuostolių priskyrė tik dviem incidentams „Drift Protocol“ ir „KelpDAO“. Išmaniųjų sutarčių klaidos atsirado 44 iš 67 to ketvirčio incidentų ir sudarė tik apie 11 % prarastos vertės.
Mažėjanti kategorija gali egzistuoti kartu su dažnais gedimais ir nuolatiniu didelių nuostolių galimybe. Norint sukurti patobulintą kontrolę, reikės panašaus poveikio ir įrodymų, kurios apsaugos priemonės buvo taikomos arba neveikiančios.
Kategorijos praeities žalos dalis padeda paaiškinti laikotarpį, o jos svarba konkrečiai institucijai priklauso nuo tos institucijos poveikio ir kontrolės procesų.
Kaip Bitget ir Liquid prarado kriptovaliutų išėmimo kontrolę
„Bitget“ rugsėjo 30 d. tyrimo atnaujinime teigiama, kad pažeisti trečiųjų šalių saugos produktai suteikė neteisėtą prieigą prie mainų piniginės aplinkos per rugsėjo 24 d. incidentą.
Spalio 14 d. paskyros atnaujinime aprašomi užpuolikai, gaunantys aukštų privilegijų vidinius kredencialus ir suleidžiantys suklastotas išėmimo komandas.
Bitget teigia, kad privataus rakto kompromisas buvo atmestas ir šaltos piniginės nebuvo paveiktos. Birža teigia, kad pažeisti privilegijuotieji kredencialai vis dėlto įgalino suklastotas išėmimo instrukcijas. Ši išvada išskiria pasirašymo raktą nuo procesų, kuriems leidžiama prašyti jį naudoti.
Tai yra operatyvinio leidimo problema, o klausimas, kaip išėmimo užklausa gauna leidimą perkelti lėšas, įskaitant tai, ką sistema priima kaip patikimą vidinę veiklą. Saugos dizainas gali apsaugoti raktą, tuo pačiu leidžiant pažeistam procesui paprašyti neteisingo perdavimo.
Apskaičiuota, kad pradiniame „Bitget“ pranešime buvo paveikta maždaug 351,6 mln. USD, o rugsėjo 25 d. atnaujinimas padidino sumą iki maždaug 387,5 mln. USD, įtraukus papildomą turtą. Spalio mėnesio sąskaitoje galutinė patvirtinta paveikta suma yra maždaug 388 mln.
„Bitget“ priskiria šias pataisas išsamesnei pradinių neteisėtų pervedimų apskaitai. Pataisymai išsamiau apibūdina pirminius rugsėjo 24 d. pervedimus ir parodo, kaip pradinis kriptovaliutų vagystės įvertinimas ir galimi grynieji nuostoliai gali atsakyti į skirtingus klausimus.
Savo rugsėjo 23 d. įvertinime „Blockstream“ teigė, kad „Elements“ diapazonui atsparus talpyklos defektas leido maždaug 4 000 nepatvirtintų skysčių kaupimo žetonų LBTC patvirtinti.
Tiesą sakant, mazgai pakartotinai panaudojo sėkmingos operacijos, kuri turėjo nepavykti, patikrinimo įrašą. „Blockstream“ defektą nustatė talpyklos klaidos pataisymu, kuris pridėjo trūkstamus laukus be vienareikšmio ilgio rėmelio.
Skirtingi laukų išdėstymai gali sukurti tuos pačius įvesties baitus, leidžiančius netinkamam įrodymui pakartotinai naudoti talpykloje saugomą tinkamą rezultatą.
SideSwap, kuris apdorojo susiejimą, konvertuojantį LBTC į BTC, pripažino, kad maždaug 4 000 LBTC užsakymą apdorojo automatiškai, nepatikrindamas dydžio, greičio ar piniginės istorijos. Teigiama, kad internetiniai raktai ir automatinis persiuntimas pašalino galimybę rankiniu būdu laikyti išleistą Bitcoin.
„Blockstream“ teigė, kad pririšimo prieigos raktas nebuvo pavogtas ar suklastotas, o leidimas veikė su turtu, kurį tinklas jau buvo neteisingai priimtas. SideSwap taip pat teigė, kad nebuvo pažeistas joks raktas, piniginė ar sistema.
Seka peržengė dvi saugumo ribas: ar turtas galioja ir ar jis gali būti paleistas. Pristabdymas, apribojimas arba peržiūra atsiėmimo procese galėjo suteikti dar vieną galimybę nutraukti perkėlimą, kai patvirtinimas nepavyko.
Liquid rezultatas priklausė ir nuo patvirtinimo defekto, dėl kurio buvo sukurtas turtas, ir nuo veiklos proceso, dėl kurio Bitcoin pasitraukė.
Atgautos lėšos ir apsaugoti likučiai atsako į skirtingus klausimus
„Blockstream“ rugsėjo mėn. įvertinimas užfiksavo 3 400 BTC grąžintų rugsėjo 7 d. ir maždaug 602 BTC ataskaitos dieną.
Bitget teigia, kad vartotojų likučiai nebuvo paveikti, jo Apsaugos fondas padengia finansinį incidento poveikį, o laipsniškas išėmimas vėl atidarytas spalio 2 d. Šiose ataskaitose spalio 14 d. paskyros atnaujinime aptariami klientų likučiai, finansinė aprėptis ir paslaugų prieiga.
„Bitget“ padaro pašalinimo instrukcijų vientisumą pagrindiniu. „Liquid“ padaro turto patvirtinimą pagrindiniu, o „SideSwap“ vaidmuo parodo, kodėl veikimo patikros taškai vis dar svarbūs, kai patvirtinimas nepavyksta. Kartu jie palaiko viso kelio nuo turto galiojimo iki leidimo jį išleisti testavimą.
Naujas ketvirčio derinys prideda dar vieną apribojimą: įstaiga negali pasirinkti svarbiausios apsaugos priemonės vien iš praėjusio ketvirčio didžiausių nuostolių kategorijos. Praktinis klausimas yra tas, kurie nepriklausomi kontroliniai taškai gali nutraukti atleidimo kelią, kai sugenda ankstesnė apsaugos priemonė.
