Revisión de los diez principales incidentes de seguridad en el campo de Web3 en 2024

Con la constante innovación de la tecnología blockchain y la expansión del ecosistema, la industria Web3 enfrenta desafíos de seguridad cada vez más graves en 2024. Según estadísticas de la industria, a finales de 2024, las pérdidas totales en el ámbito Web3 debido a ataques de hackers, fraudes de phishing y retiros maliciosos de los proyectos alcanzarán los 2.491 millones de dólares. Estos eventos no solo han expuesto las vulnerabilidades en aspectos técnicos como la gestión de claves privadas y los contratos inteligentes, sino que también han resaltado los riesgos potenciales de los ataques de ingeniería social y la gestión interna. Este artículo revisará los diez eventos de seguridad más influyentes en el ámbito Web3 de 2024, con el objetivo de proporcionar referencia a la industria y ayudar a enfrentar mejor las amenazas de seguridad en el futuro.

1. Un importante ataque a un intercambio japonés

Monto de la pérdida: 304 millones de dólares Método de ataque: filtración de clave privada

El 31 de mayo de 2024, un conocido intercambio de criptomonedas japonés sufrió un ataque histórico. Los atacantes utilizaron claves privadas filtradas para transferir directamente más de 300 millones de dólares en Bitcoin y rápidamente dispersaron los fondos robados en más de 10 direcciones diferentes. Este evento expuso serias deficiencias en la gestión de claves privadas y en la seguridad de múltiples capas del intercambio. A pesar de que el intercambio intentó rastrear a los hackers a través de la monitorización en la cadena y el congelamiento de fondos, el seguimiento se enfrenta a grandes desafíos debido a que los Bitcoins robados fueron transferidos de manera dispersa y limpiados utilizando herramientas de mezcla.

A finales de año, la policía japonesa confirmó que el incidente estaba relacionado con una organización internacional de hackers.

2. PlayDapp sufre un duro golpe

Monto de la pérdida: 290 millones de dólares Método de ataque: filtración de clave privada

El 9 de febrero de 2024, el proyecto PlayDapp sufrió pérdidas significativas. Los hackers acuñaron 2 mil millones de tokens PLA robando claves privadas, con un valor inicial de 36.5 millones de dólares. Debido a la falla en las negociaciones entre el equipo del proyecto y los hackers, estos últimos acuñaron 15.9 mil millones de tokens PLA en poco tiempo, con un valor de 253.9 millones de dólares. Tras la llegada de parte de los tokens robados a los intercambios, PlayDapp se vio obligado a suspender el contrato PLA y migrar a un nuevo contrato de tokens. Este incidente resalta las graves deficiencias en la protección de claves privadas y la gestión de emergencias en los proyectos de blockchain.

3. El mayor intercambio de criptomonedas de India sufre un ataque preciso

Monto de la pérdida: 235 millones de dólares Métodos de ataque: ataques en red y phishing

El 18 de julio de 2024, la billetera multifirma Safe Wallet de la bolsa de criptomonedas más grande de la India fue objeto de un ataque preciso por parte de hackers. Los atacantes utilizaron tácticas de ingeniería social para inducir a los firmantes multifirma a firmar una transacción de actualización de contrato, y luego aprovecharon los permisos del contrato actualizado para vaciar los activos de la billetera. Este caso destaca los riesgos potenciales de las billeteras multifirma en la configuración de permisos de gestión y la transparencia operativa, y ha generado una profunda reflexión en la industria sobre los mecanismos internos de control y seguridad de los proyectos.

4. Gala Games sufre un ataque de emisión de tokens

Monto de la pérdida: 216 millones de dólares Método de ataque: vulnerabilidad de control de acceso

El 20 de mayo de 2024, una dirección privilegiada de Gala Games fue hackeada. Los atacantes llamaron a la función mint en el contrato de token, acuñando de una sola vez 5 mil millones de tokens GALA. Posteriormente, los hackers intercambiaron en lotes los tokens emitidos por el ataque por ETH, causando directamente una pérdida de 216 millones de dólares. El equipo de Gala Games activó de inmediato la función de lista negra para bloquear algunas cuentas de hackers y recuperó parte de las pérdidas a través de la vía judicial.

5. La billetera personal del cofundador de un proyecto de criptomonedas fue hackeada

Monto de la pérdida: 112 millones de dólares Método de ataque: filtración de claves privadas

El 31 de enero de 2024, cuatro billeteras personales de un cofundador de un conocido proyecto de criptomonedas fueron hackeadas, lo que resultó en el robo de 112 millones de dólares en criptomonedas. Estas billeteras se convirtieron en objetivo de ataque debido a la falta de doble protección de dispositivos de hardware. Después del incidente, un importante intercambio logró congelar activos robados por un valor de 4.2 millones de dólares y ayudó a rastrearlos, pero la gran mayoría de los fondos ya habían sido lavados a través de intercambios descentralizados y servicios de mezcla.

6. Munchables enfrenta un ataque de infiltración interna

Cantidad de pérdida: 62.5 millones de dólares Método de ataque: ataque de ingeniería social

El 26 de marzo de 2024, la plataforma de juegos Web3 Munchables basada en Blast sufrió un raro ataque de infiltración interna. Los atacantes se disfrazaron de desarrolladores de blockchain y, tras una larga infiltración, obtuvieron el código fuente y las claves sensibles. A pesar de que el ataque causó grandes pérdidas, bajo la presión de la comunidad y del equipo, los hackers finalmente devolvieron todos los fondos robados. Este evento revela la importancia de la seguridad de la cadena de suministro, especialmente para los proyectos de blockchain que dependen de desarrolladores de terceros.

7. El mayor intercambio de criptomonedas de Turquía sufre una filtración de claves privadas

Cantidad de pérdida: 55 millones de dólares Método de ataque: filtración de clave privada

El 22 de junio de 2024, el mayor intercambio de criptomonedas de Turquía sufrió un ataque de filtración de claves privadas, con pérdidas de más de 55 millones de dólares en activos criptográficos. Con la ayuda del equipo de un gran intercambio, se congelaron con éxito 5.3 millones de dólares de fondos robados, pero otros activos aún no se han recuperado. Este incidente ha profundizado la preocupación del mercado sobre la gestión de claves privadas en intercambios centralizados.

8. El monedero multifirma de Radiant Capital ha sido atacado

Monto de la pérdida: 53 millones de dólares Método de ataque: filtración de clave privada

El 17 de octubre de 2024, la billetera multisig de Radiant Capital fue atacada por hackers. Debido a que empleaba un modelo de verificación de firma 3/11 de bajo umbral, los hackers lograron obtener las claves privadas de 3 firmantes y realizar una firma fuera de la cadena, transfiriendo la propiedad del contrato de la billetera a una dirección maliciosa, lo que resultó en el robo de 53 millones de dólares. Este ataque suscitó una reflexión en la industria sobre el diseño y los mecanismos de gobernanza de las billeteras multisig.

Es importante señalar que Radiant Capital ya había perdido 4.5 millones de dólares debido a una vulnerabilidad en su contrato antes de este ataque, con más de 1900 ETH robados. Esto enfatiza nuevamente la importancia de que los proyectos de Web3 aumenten su conciencia de seguridad.

9. Hedgey Finance, contratos multichain atacados

Monto de la pérdida: 44.7 millones de dólares Método de ataque: vulnerabilidad del contrato

El 19 de abril de 2024, Hedgey Finance sufrió un ataque dirigido a múltiples contratos en cadena. Los hackers aprovecharon una vulnerabilidad de aprobación en su contrato ClaimCampaigns, extrayendo con éxito tokens en las cadenas de Ethereum y Arbitrum, con una pérdida total de 44,7 millones de dólares. Este evento resalta la importancia de la auditoría de código, especialmente la verificación rigurosa de la lógica de aprobación de tokens.

10. La billetera caliente de un intercambio fue hackeada

Monto de la pérdida: 44.7 millones de dólares Método de ataque: filtración de clave privada

El 19 de septiembre de 2024, la billetera caliente de un intercambio fue hackeada, afectando a múltiples cadenas públicas como Ethereum, BNB Chain y Tron. A pesar de que el intercambio activó rápidamente el mecanismo de transferencia de activos y congelación de retiros, los hackers lograron extraer activos por un valor de 44.7 millones de dólares. Este ataque refleja una vez más el alto riesgo de la gestión de billeteras calientes en intercambios centralizados y promueve aún más la exploración de soluciones de almacenamiento de activos más seguras en la industria.

Los incidentes de seguridad frecuentes en 2024 nos advierten una vez más que el desarrollo de la industria de blockchain no se puede separar de la garantía de seguridad. Desde la filtración de claves privadas hasta las vulnerabilidades de contratos, desde la negligencia en la gestión interna hasta la actualización de métodos de ataque externos, cada incidente ha dejado lecciones profundas para la industria. Para hacer frente a las amenazas de ataque cada vez más complejas, todas las partes de la industria necesitan seguir fortaleciendo la inversión en investigación y desarrollo tecnológico, regulación de gestión y control de riesgos. En el futuro, esperamos construir un ecosistema de blockchain más seguro y confiable a través de la colaboración de la industria y la innovación tecnológica, proporcionando una mejor protección a los usuarios e inversores.