Crypto hacks бьют рекорды: почему аудит не спасает ваши деньги

Crypto hacks продолжают расти быстрее, чем индустрия успевает латать дыры. По данным блокчейн-компании по безопасности Hacken, за третий квартал злоумышленники украли из криптопроектов $1.18 млрд - это на 55% больше, чем кварталом ранее. И самое неприятное в этом отчете даже не сумма, а то, что большая часть украденного прошла мимо всех систем аудита, которые должны были это предотвратить.

Crypto hacks третьего квартала: откуда взялась такая цифра

Согласно отчету Hacken, опубликованному в четверг, за квартал зафиксировано 107 инцидентов. Из общей суммы потерь $906.8 млн пришлись на случаи, когда злоумышленники пробирались через скомпрометированных поставщиков или инструменты разработчиков, использовали публично известные уязвимости, патчи для которых просто не установили, либо атаковали компоненты системы, которые в последний раз даже не включали в проверку безопасности.

Иными словами, почти 77% ущерба пришлось не на дыры в самом коде смарт-контрактов, а на то, что находилось рядом с ним - и что никто толком не проверял. Именно это делает crypto hacks такими трудноуловимыми для классических аудиторских процедур.

Почему аудит дает ложное чувство защищенности

Со-основатель и директор правления Hacken Андрей Матюхин в разговоре с CoinDesk объяснил корень проблемы предельно просто.

Проблема всегда в объеме проверки. Дорого охватывать аудитом абсолютно все компоненты, которые взаимодействуют с деньгами или влияют на экономику продукта, поэтому команды срезают углы и проверяют только критичные части сервиса.

Беда в том, что рядовой инвестор видит значок "audited" на сайте проекта и делает вывод, что проверена вся платформа целиком. На деле аудит нередко затрагивает лишь конкретные смарт-контракты, оставляя за скобками кошельки, системы подписи транзакций и стороннее программное обеспечение - именно то, на что чаще всего и нацелены современные crypto hacks.

Обычно, когда клиент видит новый проект, он видит значок аудита, предполагает, что вся система защищена, и теряет деньги из-за ключа, поставщика или настройки, которую никогда не тестировали.

В англоязычных отчетах подобные инциденты нередко обобщают термином hacker crypto активность, подчеркивая, что речь идет не о взломе одного конкретного контракта, а о системной проблеме инфраструктуры вокруг него.

Bitget, Ledger и бриджи: главные жертвы квартала

Самым крупным инцидентом квартала стала сентябрьская атака на биржу Bitget, которая потеряла минимум $352 млн после того, как злоумышленники использовали уязвимость в стороннем продукте безопасности, чтобы получить доступ к инфраструктуре вывода средств.

Отдельно стоит история с производителем аппаратных кошельков Ledger. На этой неделе компания сообщила, что обнаружила несанкционированный "шпионский" чип, встроенный в устройство, которое продавал юго-восточный реселлер CryptoBilis. Ущерб от этой истории оценивают примерно в $93 млн. Для тех, кто хранит активы на аппаратных кошельках и переживает за сохранность сид-фразы, это лишний повод перечитать базовые правила восстановления доступа - подробный разбор того, как действовать в подобных ситуациях, есть в материале о восстановлении криптокошелька.

Досталось и мостам между блокчейнами. В июле три кросс-чейн протокола за шесть часов потеряли в сумме более $35 млн. На AFX Trade пришлось $24 млн после того, как атакующие получили контроль над ключами валидаторов. Дальше список продолжают Liquid Network с потерей $319 млн, Tectonic минимум на $75 млн и инцидент с программным обеспечением кошелька Coldcard примерно на $114 млн.

Биржи деривативов тоже не так защищены, как кажется

Hacken также изучила 12 бирж деривативов и платформ предсказаний и обнаружила, что более $700 млн "защищенных" активов на двух крупных площадках держались на системе подписи из четырех ключей, где требовалось всего три подписи, либо на административных ключах, держатели которых нигде публично не раскрывались.

Матюхин отказался называть конкретные площадки до официальной публикации отчета, но подчеркнул, что речь не о найденной уязвимости, а о самой архитектуре доверия.

Мы не знаем о действующей ошибке в системах ни одной из проверенных площадок. Но мы обнаружили схемы, где настройка ключей недостаточно надежна с учетом масштаба средств, которыми управляют эти площадки.

Отдельно Матюхин отметил проблему с задержками исправлений известных уязвимостей, особенно когда несколько блокчейнов используют одно и то же программное обеспечение, но обновляют его в разное время.

Иногда критическую уязвимость команда классифицирует как низкую по приоритету, и исправление откладывается или вовсе не внедряется.

Что это значит для инвесторов

Отчет Hacken по сути переворачивает привычную логику "проект прошел аудит - значит безопасен". На практике ответственность за сохранность средств клиентов все равно лежит на самих компаниях, которые должны отслеживать новые уязвимости и устанавливать патчи своевременно, а не полагаться на проверку, проведенную месяцы или годы назад.

Для обычного пользователя вывод довольно приземленный. Значок аудита на сайте проекта не гарантирует защиты кошельков, систем подписи и сторонних сервисов, через которые чаще всего и случаются crypto hacks. Разумнее относиться к такому значку как к частичной проверке, а не как к страховке от всех рисков - и диверсифицировать способы хранения активов, не держать все на одной бирже или в одном кошельке.

Параллельно индустрия думает и о более долгосрочных угрозах безопасности хранения - например, о том, как квантовые компьютеры могут однажды поставить под удар старые криптокошельки, об этом подробнее писали в материале про квантовую угрозу для биткоина. Пока же основная опасность куда более приземленная и куда более распространенная - это именно crypto hacks через недооцененные звенья инфраструктуры, а не экзотические атаки будущего.

Регуляторы тоже постепенно реагируют на рост числа подобных инцидентов, ужесточая требования к биржам и платформам - показательный пример разбирали в истории про судебное разбирательство Gemini с CFTC. Но пока нормативная база догоняет реальность с опозданием, инвесторам остается полагаться в основном на собственную осторожность и здоровый скептицизм к любым значкам "secured" и "audited".

Автор

Barbados