Retour sur les dix principaux incidents de sécurité dans le domaine du Web3 en 2024

Avec l'innovation continue de la technologie blockchain et l'expansion de l'écosystème, l'industrie Web3 fait face à des défis de sécurité de plus en plus graves en 2024. Selon les statistiques du secteur, d'ici la fin de 2024, les pertes totales dans le domaine Web3 dues aux attaques de hackers, aux escroqueries par phishing et aux retraits malveillants des projets s'élèveront à 2,491 milliards de dollars. Ces événements ont non seulement exposé les vulnérabilités techniques telles que la gestion des clés privées et les contrats intelligents, mais ont également mis en lumière les risques potentiels liés aux attaques d'ingénierie sociale et à la gestion interne. Cet article dressera un bilan des dix événements de sécurité les plus influents dans le domaine Web3 en 2024, dans le but de fournir des références au secteur et d'aider à mieux faire face aux menaces de sécurité à l'avenir.

1. Une importante attaque subie par une bourse japonaise

Montant de la perte : 304 millions de dollars Méthode d'attaque : fuite de clé privée

Le 31 mai 2024, une célèbre bourse de cryptomonnaies japonaise a subi une attaque historique. Les attaquants ont utilisé des clés privées divulguées pour transférer directement des bitcoins d'une valeur de plus de 300 millions de dollars, et ont rapidement dispersé les fonds volés sur plus de 10 adresses différentes. Cet incident a révélé de graves défauts dans la gestion des clés privées et la protection multi-niveaux de la bourse. Bien que la bourse ait tenté de suivre les hackers à travers une surveillance en chaîne et le gel des fonds, le suivi fait face à de grands défis en raison de la dispersion des bitcoins volés et de l'utilisation d'outils de mélange pour le nettoyage.

À la fin de l'année, la police japonaise a confirmé que l'incident était lié à un certain groupe de hackers international.

2. PlayDapp subit un coup dur

Montant de la perte : 290 millions de dollars Méthode d'attaque : fuite de clé privée

Le 9 février 2024, le projet PlayDapp a subi des pertes importantes. Des hackers ont volé des clés privées pour frapper 2 milliards de jetons PLA, d'une valeur initiale de 36,5 millions de dollars. En raison de l'échec des négociations entre l'équipe du projet et les hackers, ces derniers ont frappé en peu de temps 15,9 milliards de jetons PLA supplémentaires, d'une valeur de 253,9 millions de dollars. Après qu'une partie des jetons volés ait afflué sur les échanges, PlayDapp a été contraint de suspendre le contrat PLA et de migrer vers un nouveau contrat de jeton. Cet incident met en lumière les graves lacunes des projets de blockchain en matière de protection des clés privées et de gestion des urgences.

3. La plus grande bourse de cryptomonnaies en Inde victime d'une attaque ciblée

Montant de la perte : 235 millions de dollars Méthodes d'attaque : attaques réseau et phishing

Le 18 juillet 2024, le portefeuille multi-signatures Safe Wallet de la plus grande bourse de cryptomonnaies en Inde a été la cible d'une attaque ciblée par des hackers. Les attaquants ont utilisé des techniques d'ingénierie sociale pour inciter les signataires multi-signatures à signer une transaction de mise à niveau de contrat, puis ont profité des droits d'accès du contrat mis à niveau pour transférer tous les actifs du portefeuille. Cette affaire met en lumière les risques potentiels des portefeuilles multi-signatures en matière de gestion des configurations de droits et de transparence des opérations, tout en suscitant une réflexion approfondie dans le secteur sur les mécanismes de contrôle et de sécurité internes des projets.

4. Gala Games subit une attaque d'émission de jetons

Montant de la perte : 216 millions de dollars Méthode d'attaque : vulnérabilité de contrôle d'accès

Le 20 mai 2024, une adresse privilégiée de Gala Games a été piratée. Les attaquants ont appelé la fonction mint du contrat de jetons, créant d'un coup 5 milliards de jetons GALA. Par la suite, les pirates ont échangé les jetons nouvellement émis par lots contre de l'ETH, entraînant une perte directe de 216 millions de dollars. L'équipe de Gala Games a activé en urgence la fonction de liste noire pour bloquer certains comptes de pirates et a récupéré une partie des pertes par voie judiciaire.

5. Le portefeuille personnel d'un cofondateur d'un projet de cryptomonnaie a été piraté

Montant de la perte : 112 millions de dollars Méthode d'attaque : fuite de clé privée

Le 31 janvier 2024, quatre portefeuilles personnels d'un cofondateur d'un projet de cryptomonnaie bien connu ont été piratés, entraînant le vol de 112 millions de dollars de cryptomonnaies. Ces portefeuilles sont devenus des cibles d'attaque en raison d'un manque de protection par double matériel. Après l'incident, un grand échange a réussi à geler des actifs volés d'une valeur de 4,2 millions de dollars et a aidé à la traçabilité, mais la plupart des fonds ont déjà été blanchis via des échanges décentralisés et des services de mélange.

6. Munchables a subi une attaque par infiltration interne

Montant de la perte : 62,5 millions de dollars Méthode d'attaque : attaque d'ingénierie sociale

Le 26 mars 2024, la plateforme de jeu Web3 Munchables, basée sur Blast, a subi une rare attaque d'infiltration interne. Les attaquants se sont déguisés en développeurs de blockchain et ont obtenu le code source et les clés sensibles après une longue infiltration. Bien que l'attaque ait causé des pertes énormes, sous la pression de la communauté et de l'équipe, les hackers ont finalement restitué tous les fonds volés. Cet événement met en lumière l'importance de la sécurité de la chaîne d'approvisionnement, en particulier pour les projets de blockchain dépendant de développeurs tiers.

7. La plus grande bourse de cryptomonnaie de Turquie fait face à une fuite de clés privées

Montant de la perte : 55 millions de dollars Méthode d'attaque : fuite de clé privée

Le 22 juin 2024, la plus grande bourse de cryptomonnaies de Turquie a subi une attaque de fuite de clés privées, entraînant une perte de plus de 55 millions de dollars d'actifs cryptographiques. Grâce à l'assistance de l'équipe d'une grande bourse, 5,3 millions de dollars de fonds volés ont été réussis à geler, mais d'autres actifs n'ont pas encore été récupérés. Cet événement a renforcé les inquiétudes du marché concernant la gestion des clés privées par les bourses centralisées.

8. Le portefeuille multi-signatures de Radiant Capital a été compromis

Montant de la perte : 53 millions de dollars Méthode d'attaque : fuite de clé privée

Le 17 octobre 2024, le portefeuille multi-signatures de Radiant Capital a été piraté. En raison de l'utilisation d'un mode de vérification à faible seuil de 3/11 signatures, les hackers ont pu initier une signature hors chaîne en maîtrisant les clés privées de 3 signataires, transférant ainsi la propriété du contrat de portefeuille vers une adresse malveillante, entraînant finalement le vol de 53 millions de dollars. Cette attaque a suscité une réflexion au sein de l'industrie sur la conception et les mécanismes de gouvernance des portefeuilles multi-signatures.

Il convient de noter que Radiant Capital avait déjà perdu 4,5 millions de dollars en raison d'une vulnérabilité de contrat avant cette attaque, avec plus de 1900 ETH volés. Cela souligne à nouveau l'importance pour les projets Web3 d'améliorer leur sensibilisation à la sécurité.

9. Hedgey Finance, contrats multi-chaînes attaqués

Montant de la perte : 44,7 millions de dollars Méthode d'attaque : vulnérabilité de contrat

Le 19 avril 2024, Hedgey Finance a été victime d'une attaque ciblant plusieurs contrats en chaîne. Les hackers ont exploité une vulnérabilité d'approbation dans son contrat ClaimCampaigns, extrayant avec succès des tokens sur les chaînes Ethereum et Arbitrum, pour un montant total de pertes s'élevant à 44,7 millions de dollars. Cet événement met en lumière l'importance de l'audit de code, en particulier la vérification rigoureuse de la logique d'approbation des tokens.

10. Le portefeuille chaud d'un échange a été piraté

Montant de la perte : 44,7 millions de dollars américains Méthode d'attaque : fuite de clé privée

Le 19 septembre 2024, le portefeuille chaud d'un certain échange a été piraté, impliquant plusieurs blockchains publiques telles qu'Ethereum, BNB Chain et Tron. Bien que l'échange ait rapidement activé le mécanisme de transfert d'actifs et de gel des retraits, les hackers ont réussi à extraire des actifs d'une valeur de 44,7 millions de dollars. Cette attaque reflète à nouveau la haute risque de gestion des portefeuilles chauds des échanges centralisés et pousse davantage l'industrie à explorer des solutions de stockage d'actifs plus sécurisées.

Les événements de sécurité fréquents en 2024 nous rappellent à nouveau que le développement de l'industrie de la blockchain dépend de la sécurité. Des fuites de clés privées aux vulnérabilités des contrats, en passant par les négligences de gestion interne et l'évolution des méthodes d'attaque externes, chaque incident a apporté des leçons profondes à l'industrie. Pour faire face à des menaces d'attaque de plus en plus complexes, toutes les parties prenantes de l'industrie doivent continuer à renforcer leurs investissements dans la recherche technologique, les normes de gestion et la prévention des risques. À l'avenir, nous espérons qu'à travers la collaboration sectorielle et l'innovation technologique, nous pourrons construire ensemble un écosystème blockchain plus sûr et plus fiable, offrant une meilleure protection aux utilisateurs et aux investisseurs.