Аудиторские значки все чаще создают у инвесторов ощущение, что проект проверен целиком, хотя на практике аудит может не затрагивать именно те части инфраструктуры, по которым бьют злоумышленники, предупредила компания Hacken, специализирующаяся на безопасности блокчейна. Главное По данным Hacken, в третьем квартале хакеры похитили у криптопроектов $1,18 млрд в результате 107 инцидентов. Это на 55% больше, […]
Аудиторские значки все чаще создают у инвесторов ощущение, что проект проверен целиком, хотя на практике аудит может не затрагивать именно те части инфраструктуры, по которым бьют злоумышленники, предупредила компания Hacken, специализирующаяся на безопасности блокчейна.
В опубликованном в четверг отчете Hacken пришла к выводу, что значительная часть убытков возникла не из-за ошибок в уже проверенных смарт-контрактах, а из-за слабых мест вокруг них. В эту категорию попали поставщики, инструменты для разработки, публично доступные патчи, которые команды не установили вовремя, а также элементы инфраструктуры, исключенные из актуального аудита.
«Проблема всегда заключается в масштабе. Проверить все компоненты, которые взаимодействуют со средствами или влияют на экономику проекта, дорого, поэтому команды сокращают расходы и отправляют на аудит только критически важные части сервиса», — сказал сооснователь и член совета директоров Hacken Андрей Матюхин.
Такой подход, по оценке компании, создает разрыв между тем, что видит инвестор, и тем, что фактически проверено. Пользователь замечает отметку об аудите и предполагает, что под контроль попала вся система. На деле вне проверки могут оставаться ключи, настройки доступа, решения сторонних поставщиков и механизмы подписи транзакций.
«Обычно клиент видит новый проект, обращает внимание на значок аудита, считает, что проверена вся система, а затем теряет деньги из-за ключа, поставщика или конфигурации, которые вообще не тестировались», — отметил Матюхин.
Самым масштабным эпизодом отчетного периода Hacken назвала сентябрьскую атаку на криптовалютную биржу Bitget. Площадка потеряла не менее $352 млн после того, как злоумышленники использовали уязвимость в стороннем продукте безопасности и получили доступ к инфраструктуре вывода средств.
Риски, на которые указывает Hacken, не ограничиваются биржами. На этой же неделе Ledger заявила, что обнаружила несанкционированную «шпионскую» аппаратную установку в устройстве, проданном CryptoBilis, реселлером из Юго-Восточной Азии. Потери в этом случае составили примерно $93 млн.
В июле три криптомоста и межсетевых протокола за шесть часов лишились более $35 млн. На AFX Trade пришлось $24 млн из этой суммы: атакующие получили контроль над ключами валидатора. Среди других заметных инцидентов Hacken указала $319 млн потерь на Liquid Network, как минимум $75 млн на Tectonic и около $114 млн, связанных с программным обеспечением кошелька Coldcard.
Hacken также изучила 12 бирж деривативов и рынков прогнозов. Аналитики обнаружили, что на двух крупных площадках активы на сумму более $700 млн защищены либо схемой подписи с четырьмя ключами, где требуется три подписи, либо административными ключами, владельцы которых публично не раскрыты.
Матюхин отказался назвать эти площадки и раскрывать детальную оценку до публикации отчета. По его словам, признаков активной уязвимости специалисты не нашли, однако часть организационных мер выглядит недостаточной с учетом объема защищаемых средств.
«Мы не выявили активных ошибок в системах ни одной из рассмотренных площадок. Вместо этого мы нашли конфигурации, где ключевые настройки защищены слабее, чем требует масштаб этих площадок», — сказал Матюхин.
Отдельный источник риска — медленное устранение уже известных уязвимостей. Эта проблема особенно опасна, когда несколько блокчейнов используют одно и то же программное обеспечение, но обновляют его в разные сроки.
«Иногда команда классифицирует критическую уязвимость как низкоприоритетную, после чего исправление откладывается или вовсе отклоняется», — отметил Матюхин.
По позиции Hacken, основная ответственность лежит на компаниях, которые хранят средства клиентов. Им необходимо постоянно отслеживать уязвимости и своевременно устанавливать исправления, а не рассчитывать на аудит, проведенный месяцы или годы назад.
JOIN
