Почему аудиторские значки не гарантируют безопасность криптопроектов: Hacken оценила ущерб от атак за квартал в $1,18 млрд

Аудиторские значки все чаще создают у инвесторов ощущение, что проект проверен целиком, хотя на практике аудит может не затрагивать именно те части инфраструктуры, по которым бьют злоумышленники, предупредила компания Hacken, специализирующаяся на безопасности блокчейна.

Главное

• По данным Hacken, в третьем квартале хакеры похитили у криптопроектов $1,18 млрд в результате 107 инцидентов. Это на 55% больше, чем кварталом ранее.
• Около $906,8 млн, или 77% квартальных потерь, пришлись на атаки, связанные со скомпрометированными поставщиками и инструментами разработчиков, неустановленными исправлениями безопасности или компонентами, которые не попали в последнюю проверку.
• Hacken предупреждает: аудиторские значки могут вводить пользователей в заблуждение, потому что проверки нередко ограничиваются отдельными смарт-контрактами и не охватывают кошельки, системы подписи и стороннее программное обеспечение.

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

Почему аудит не всегда закрывает реальные риски

В опубликованном в четверг отчете Hacken пришла к выводу, что значительная часть убытков возникла не из-за ошибок в уже проверенных смарт-контрактах, а из-за слабых мест вокруг них. В эту категорию попали поставщики, инструменты для разработки, публично доступные патчи, которые команды не установили вовремя, а также элементы инфраструктуры, исключенные из актуального аудита.

«Проблема всегда заключается в масштабе. Проверить все компоненты, которые взаимодействуют со средствами или влияют на экономику проекта, дорого, поэтому команды сокращают расходы и отправляют на аудит только критически важные части сервиса», — сказал сооснователь и член совета директоров Hacken Андрей Матюхин.

Такой подход, по оценке компании, создает разрыв между тем, что видит инвестор, и тем, что фактически проверено. Пользователь замечает отметку об аудите и предполагает, что под контроль попала вся система. На деле вне проверки могут оставаться ключи, настройки доступа, решения сторонних поставщиков и механизмы подписи транзакций.

«Обычно клиент видит новый проект, обращает внимание на значок аудита, считает, что проверена вся система, а затем теряет деньги из-за ключа, поставщика или конфигурации, которые вообще не тестировались», — отметил Матюхин.

Крупные атаки квартала

Самым масштабным эпизодом отчетного периода Hacken назвала сентябрьскую атаку на криптовалютную биржу Bitget. Площадка потеряла не менее $352 млн после того, как злоумышленники использовали уязвимость в стороннем продукте безопасности и получили доступ к инфраструктуре вывода средств.

Риски, на которые указывает Hacken, не ограничиваются биржами. На этой же неделе Ledger заявила, что обнаружила несанкционированную «шпионскую» аппаратную установку в устройстве, проданном CryptoBilis, реселлером из Юго-Восточной Азии. Потери в этом случае составили примерно $93 млн.

В июле три криптомоста и межсетевых протокола за шесть часов лишились более $35 млн. На AFX Trade пришлось $24 млн из этой суммы: атакующие получили контроль над ключами валидатора. Среди других заметных инцидентов Hacken указала $319 млн потерь на Liquid Network, как минимум $75 млн на Tectonic и около $114 млн, связанных с программным обеспечением кошелька Coldcard.

Слабые настройки и задержки с исправлениями

Hacken также изучила 12 бирж деривативов и рынков прогнозов. Аналитики обнаружили, что на двух крупных площадках активы на сумму более $700 млн защищены либо схемой подписи с четырьмя ключами, где требуется три подписи, либо административными ключами, владельцы которых публично не раскрыты.

Матюхин отказался назвать эти площадки и раскрывать детальную оценку до публикации отчета. По его словам, признаков активной уязвимости специалисты не нашли, однако часть организационных мер выглядит недостаточной с учетом объема защищаемых средств.

«Мы не выявили активных ошибок в системах ни одной из рассмотренных площадок. Вместо этого мы нашли конфигурации, где ключевые настройки защищены слабее, чем требует масштаб этих площадок», — сказал Матюхин.

Отдельный источник риска — медленное устранение уже известных уязвимостей. Эта проблема особенно опасна, когда несколько блокчейнов используют одно и то же программное обеспечение, но обновляют его в разные сроки.

«Иногда команда классифицирует критическую уязвимость как низкоприоритетную, после чего исправление откладывается или вовсе отклоняется», — отметил Матюхин.

По позиции Hacken, основная ответственность лежит на компаниях, которые хранят средства клиентов. Им необходимо постоянно отслеживать уязвимости и своевременно устанавливать исправления, а не рассчитывать на аудит, проведенный месяцы или годы назад.

Источник