Điểm lại 10 sự kiện an ninh hàng đầu trong lĩnh vực Web3 năm 2024

Với sự đổi mới không ngừng của công nghệ blockchain và sự mở rộng của hệ sinh thái, ngành Web3 vào năm 2024 đang đối mặt với những thách thức về an ninh ngày càng nghiêm trọng. Theo thống kê dữ liệu ngành, tính đến cuối năm 2024, tổng thiệt hại trong lĩnh vực Web3 do các cuộc tấn công của hacker, lừa đảo qua phishing và sự rút lui ác ý của các dự án lên tới 2,491 triệu USD. Những sự kiện này không chỉ phơi bày lỗ hổng kỹ thuật như quản lý khóa riêng, hợp đồng thông minh mà còn làm nổi bật những rủi ro tiềm ẩn từ các cuộc tấn công kỹ xã hội và quản lý nội bộ. Bài viết này sẽ điểm lại 10 sự kiện an ninh có ảnh hưởng nhất trong lĩnh vực Web3 vào năm 2024, nhằm cung cấp tài liệu tham khảo cho ngành, hỗ trợ cho những nỗ lực trong việc đối phó với các mối đe dọa an ninh trong tương lai.

1. Một sàn giao dịch Nhật Bản bị tấn công nghiêm trọng

Số tiền tổn thất: 304 triệu đô la Mỹ Phương thức tấn công: Rò rỉ khóa riêng

Vào ngày 31 tháng 5 năm 2024, một sàn giao dịch tiền điện tử nổi tiếng của Nhật Bản đã phải đối mặt với một cuộc tấn công lịch sử. Kẻ tấn công đã lợi dụng khóa riêng bị rò rỉ để chuyển trực tiếp hơn 300 triệu USD Bitcoin và nhanh chóng phân tán số tiền bị đánh cắp đến hơn 10 địa chỉ khác nhau. Sự kiện này đã phơi bày những thiếu sót nghiêm trọng của sàn giao dịch trong việc quản lý khóa riêng và bảo vệ an ninh đa lớp. Mặc dù sàn giao dịch đã cố gắng theo dõi hacker thông qua giám sát trên chuỗi và đóng băng tài sản, nhưng do Bitcoin bị đánh cắp đã được phân tán chuyển nhượng và sử dụng công cụ trộn tiền để rửa tiền, công việc theo dõi gặp rất nhiều thách thức.

Vào cuối năm, cảnh sát Nhật Bản xác nhận rằng sự kiện này có liên quan đến một tổ chức hacker quốc tế.

2. PlayDapp gặp khó khăn lớn

Số tiền lỗ: 290 triệu đô la Mỹ Phương thức tấn công: Rò rỉ khóa riêng

Vào ngày 9 tháng 2 năm 2024, dự án PlayDapp đã chịu tổn thất lớn. Hacker đã đánh cắp khóa riêng và đúc ra 2 tỷ mã thông báo PLA, có giá trị ban đầu là 36,5 triệu USD. Do sự thất bại trong việc đàm phán giữa bên dự án và hacker, hacker đã đúc thêm 15,9 tỷ mã thông báo PLA trong thời gian ngắn, có giá trị 253,9 triệu USD. Một phần mã thông báo bị đánh cắp đã được đưa vào sàn giao dịch, khiến PlayDapp buộc phải tạm dừng hợp đồng PLA và di chuyển sang hợp đồng mã thông báo mới. Sự kiện này đã làm nổi bật những thiếu sót nghiêm trọng trong việc bảo vệ khóa riêng và ứng phó khẩn cấp của các dự án blockchain.

3. Sàn giao dịch tiền điện tử lớn nhất Ấn Độ gặp phải cuộc tấn công chính xác

Số tiền lỗ: 235 triệu USD Phương thức tấn công: Tấn công mạng và lừa đảo

Vào ngày 18 tháng 7 năm 2024, ví nhiều chữ ký Safe Wallet của sàn giao dịch tiền điện tử lớn nhất Ấn Độ đã bị tấn công chính xác bởi hacker. Kẻ tấn công đã sử dụng kỹ thuật kỹ thuật xã hội để dụ dỗ những người ký nhiều chữ ký ký vào một giao dịch nâng cấp hợp đồng, sau đó lợi dụng quyền hạn của hợp đồng đã được nâng cấp để chuyển hết tài sản trong ví. Vụ việc này làm nổi bật những rủi ro tiềm ẩn của ví nhiều chữ ký trong việc quản lý cấu hình quyền hạn và tính minh bạch trong hoạt động, đồng thời đã gây ra sự suy ngẫm sâu sắc trong ngành về cơ chế kiểm soát rủi ro nội bộ và an ninh của dự án.

4. Gala Games gặp phải tấn công phát hành token

Số tiền tổn thất: 2.16 triệu USD Cách tấn công: Lỗ hổng kiểm soát truy cập

Vào ngày 20 tháng 5 năm 2024, một địa chỉ đặc quyền của Gala Games đã bị hacker tấn công. Kẻ tấn công đã gọi hàm mint trong hợp đồng token để đúc ra 5 tỷ GALA token trong một lần. Sau đó, hacker đã đổi từng đợt token tăng thêm thành ETH, gây ra thiệt hại trực tiếp lên tới 216 triệu đô la Mỹ. Đội ngũ Gala Games sau khi sự việc xảy ra đã khẩn cấp kích hoạt chức năng danh sách đen để chặn một số tài khoản của hacker và đã thu hồi được một phần thiệt hại thông qua con đường pháp lý.

5. Ví cá nhân của một trong những người đồng sáng lập dự án tiền mã hóa bị xâm nhập

Số tiền lỗ: 112 triệu USD Phương thức tấn công: Rò rỉ khóa riêng

Vào ngày 31 tháng 1 năm 2024, bốn ví cá nhân của một trong những người sáng lập nổi tiếng của một dự án tiền điện tử đã bị tin tặc tấn công, dẫn đến việc 112 triệu USD tiền điện tử bị đánh cắp. Những ví này bị nghi ngờ đã trở thành mục tiêu tấn công do thiếu bảo vệ kép của thiết bị phần cứng. Sau sự kiện, một sàn giao dịch lớn đã thành công trong việc đóng băng tài sản bị đánh cắp trị giá 4,2 triệu USD và hỗ trợ truy tìm, nhưng phần lớn số tiền đã được rửa qua các sàn giao dịch phi tập trung và dịch vụ trộn kèm.

6. Munchables gặp phải cuộc tấn công thâm nhập nội bộ

Mức tổn thất: 62,5 triệu đô la Mỹ Phương thức tấn công: Tấn công kỹ thuật xã hội

Vào ngày 26 tháng 3 năm 2024, nền tảng trò chơi Web3 Munchables dựa trên Blast đã gặp phải một cuộc tấn công xâm nhập nội bộ hiếm hoi. Kẻ tấn công đã giả mạo thành một nhà phát triển blockchain, thông qua việc ẩn nấp lâu dài để lấy được mã nguồn cốt lõi và các khóa nhạy cảm. Mặc dù cuộc tấn công đã gây ra thiệt hại lớn, nhưng dưới áp lực từ cộng đồng và đội ngũ, hacker cuối cùng đã trả lại toàn bộ số tiền bị đánh cắp. Sự kiện này đã làm nổi bật tầm quan trọng của an ninh chuỗi cung ứng, đặc biệt là đối với các dự án blockchain phụ thuộc vào phát triển từ bên thứ ba.

7. Sàn giao dịch tiền điện tử lớn nhất Thổ Nhĩ Kỳ gặp sự cố rò rỉ khóa riêng

Số tiền lỗ: 55 triệu USD Phương thức tấn công: Rò rỉ khóa riêng

Vào ngày 22 tháng 6 năm 2024, sàn giao dịch tiền điện tử lớn nhất Thổ Nhĩ Kỳ đã bị tấn công rò rỉ khóa riêng, gây thiệt hại hơn 55 triệu đô la tài sản tiền điện tử. Với sự hỗ trợ của đội ngũ từ một sàn giao dịch lớn, 5,3 triệu đô la tiền bị đánh cắp đã được đóng băng thành công, nhưng các tài sản khác vẫn chưa được thu hồi. Sự kiện này đã làm gia tăng mối lo ngại của thị trường về việc quản lý khóa riêng của các sàn giao dịch tập trung.

8. Ví đa chữ ký Radiant Capital bị tấn công

Số tiền thua lỗ: 53 triệu USD Phương thức tấn công: Lộ khóa riêng

Vào ngày 17 tháng 10 năm 2024, ví đa chữ ký của Radiant Capital đã bị tấn công bởi hacker. Do áp dụng mô hình xác thực chữ ký 3/11 với yêu cầu thấp, hacker đã nắm giữ khóa riêng của 3 người ký và thực hiện chữ ký ngoại tuyến, chuyển quyền sở hữu hợp đồng ví sang địa chỉ độc hại, cuối cùng dẫn đến việc 53 triệu đô la bị đánh cắp. Cuộc tấn công này đã gợi lên sự suy ngẫm trong ngành về thiết kế và cơ chế quản trị của ví đa chữ ký.

Cần lưu ý rằng Radiant Capital đã mất 4,5 triệu đô la do lỗ hổng hợp đồng trước khi cuộc tấn công này xảy ra, với hơn 1900 ETH bị đánh cắp. Điều này lại nhấn mạnh tầm quan trọng của việc nâng cao nhận thức về an ninh cho các dự án Web3.

9. Hedgey Finance hợp đồng đa chuỗi bị tấn công

Số tiền mất mát: 44,7 triệu USD Phương thức tấn công: Lỗ hổng hợp đồng

Vào ngày 19 tháng 4 năm 2024, Hedgey Finance đã bị tấn công nhằm vào nhiều hợp đồng trên chuỗi. Tin tặc đã lợi dụng lỗ hổng phê duyệt trong hợp đồng ClaimCampaigns của họ, thành công rút token trên hai chuỗi Ethereum và Arbitrum, tổng số tiền thiệt hại lên tới 44,7 triệu USD. Sự kiện này đã làm nổi bật tầm quan trọng của việc kiểm toán mã, đặc biệt là việc xác minh chặt chẽ logic phê duyệt token.

10. Ví nóng của một sàn giao dịch bị xâm nhập

Số tiền thất thoát: 44,7 triệu USD Phương thức tấn công: Rò rỉ khóa riêng

Vào ngày 19 tháng 9 năm 2024, ví nóng của một sàn giao dịch đã bị hacker xâm nhập, liên quan đến nhiều blockchain công khai như Ethereum, BNB Chain, Tron. Mặc dù sàn giao dịch đã nhanh chóng khởi động cơ chế chuyển tài sản và đóng băng rút tiền, nhưng hacker đã thành công trong việc rút ra tài sản trị giá 44,7 triệu USD. Cuộc tấn công này một lần nữa phản ánh tính rủi ro cao trong việc quản lý ví nóng của sàn giao dịch tập trung, và thúc đẩy ngành công nghiệp tìm kiếm các giải pháp lưu trữ tài sản an toàn hơn.

Các sự kiện an ninh thường xuyên xảy ra vào năm 2024 một lần nữa cảnh báo chúng ta rằng sự phát triển của ngành công nghiệp blockchain không thể tách rời khỏi việc đảm bảo an toàn. Từ việc rò rỉ khóa riêng đến lỗ hổng hợp đồng, từ sự lỏng lẻo trong quản lý nội bộ đến sự nâng cấp của các phương thức tấn công bên ngoài, mỗi sự kiện đều mang lại những bài học sâu sắc cho ngành. Để đối phó với những mối đe dọa tấn công ngày càng phức tạp, các bên trong ngành cần tiếp tục tăng cường đầu tư vào phát triển công nghệ, quy định quản lý và kiểm soát rủi ro. Trong tương lai, chúng tôi mong đợi thông qua sự hợp tác trong ngành và đổi mới công nghệ, cùng nhau xây dựng một hệ sinh thái blockchain an toàn và đáng tin cậy hơn, cung cấp sự bảo vệ tốt hơn cho người dùng và nhà đầu tư.