Resumen de los diez principales incidentes de seguridad en el campo de Web3 en 2024

En 2024, la industria blockchain enfrenta desafíos de seguridad cada vez más graves, al mismo tiempo que avanza en innovación tecnológica y expansión ecológica. Según los datos de la plataforma de monitoreo de seguridad, hasta la fecha, las pérdidas totales en el ámbito de Web3 en 2024, causadas por ataques de hackers, fraudes de phishing y el abandono de proyectos, ascienden a 2.491 millones de dólares.

Estos eventos no solo exponen las deficiencias técnicas en la gestión de claves privadas y vulnerabilidades de contratos inteligentes, sino que también destacan los riesgos potenciales de la ingeniería social y la gestión interna. Este artículo revisará los diez principales eventos de seguridad de Web3 en 2024, con la esperanza de que la industria pueda aprender de ellos y enfrentar mejor las amenazas de seguridad futuras.

1. DMM Bitcoin: Fugas de claves privadas provocan pérdidas de 304 millones de dólares

El 31 de mayo de 2024, el conocido intercambio de criptomonedas japonés DMM Bitcoin sufrió un grave incidente de seguridad. Los atacantes utilizaron claves privadas filtradas para transferir directamente más de 300 millones de dólares en Bitcoin, y rápidamente dispersaron los fondos robados a múltiples direcciones. Este ataque expuso serias vulnerabilidades en la gestión de claves privadas y en la protección de seguridad en múltiples capas del intercambio. A pesar de que el intercambio intentó rastrear a los hackers a través de la monitorización en la cadena y el congelamiento de fondos, la dispersión de la transferencia de Bitcoin robada y las operaciones de mezcla plantearon enormes desafíos para la recuperación.

Es importante señalar que el 24 de diciembre, la policía japonesa confirmó que el ataque fue llevado a cabo por un cierto grupo de hackers internacional.

2. PlayDapp: Filtración de claves privadas provoca pérdidas de 2.90 millones de dólares

El 9 de febrero de 2024, PlayDapp sufrió un grave incidente de seguridad. Los hackers, a través del robo de claves privadas, acuñaron ilegalmente 2 mil millones de tokens PLA, con un valor inicial de 36.5 millones de dólares. Debido a que el equipo del proyecto no llegó a un acuerdo con los hackers, estos acuñaron posteriormente otros 15.9 mil millones de tokens PLA, valorados en 253.9 millones de dólares. Parte de los tokens robados fluyó a los intercambios, lo que llevó a PlayDapp a suspender el contrato de PLA y migrar a un nuevo contrato de tokens. Este incidente destaca la insuficiencia de los proyectos de blockchain en la protección de claves privadas y la respuesta a emergencias.

3. Un intercambio en India: Ataques cibernéticos y phishing causan pérdidas de 235 millones de dólares

El 18 de julio de 2024, la billetera multifirma del intercambio de criptomonedas más grande de India fue objeto de un ataque preciso. Los atacantes indujeron a los firmantes multifirma a aprobar una transacción de actualización de contrato mediante ingeniería social, y luego utilizaron los permisos del contrato actualizado para transferir todos los activos de la billetera. Este caso revela los riesgos potenciales de las billeteras multifirma en la configuración de permisos y la transparencia operativa, y también ha provocado una profunda reflexión en la industria sobre los mecanismos de control interno y seguridad de los proyectos.

4. Gala Games: Vulnerabilidad de control de acceso causa pérdidas de 216 millones de dólares

El 20 de mayo de 2024, una dirección privilegiada de Gala Games fue hackeada. Los atacantes llamaron a la función mint en el contrato de tokens y acuñaron 5 mil millones de tokens GALA de una sola vez. Posteriormente, estos tokens emitidos ilegalmente fueron canjeados por lotes en ETH, causando directamente una pérdida de 216 millones de dólares. El equipo de Gala Games activó rápidamente la función de lista negra para bloquear algunas cuentas de los hackers y recuperó parte de las pérdidas a través de vías legales.

5. Co-fundador de un proyecto de criptomonedas: La filtración de claves privadas causó una pérdida de 112 millones de dólares.

El 31 de enero de 2024, cuatro billeteras personales de un cofundador de un conocido proyecto de criptomonedas fueron hackeadas, lo que resultó en el robo de 112 millones de dólares en criptomonedas. Estas billeteras se convirtieron en objetivo del ataque debido a la falta de protección de doble factor con dispositivos de hardware. Después del incidente, un importante intercambio logró congelar activos robados por un valor de 4.2 millones de dólares y asistió en el rastreo, pero la mayor parte de los fondos ya habían sido lavados a través de intercambios descentralizados y servicios de mezcla.

6. Munchables: Ataques de ingeniería social causan pérdidas de 62.5 millones de dólares

El 26 de marzo de 2024, la plataforma de juegos Web3 basada en Blast, Munchables, sufrió un raro ataque de infiltración interna. Los atacantes se disfrazaron de desarrolladores de blockchain y, tras una larga infiltración, obtuvieron el código fuente y claves sensibles. A pesar de que el ataque causó enormes pérdidas, bajo la presión de la comunidad y del equipo, los hackers finalmente devolvieron todos los fondos robados. Este incidente resalta la importancia de la seguridad de la cadena de suministro, especialmente para los proyectos de blockchain que dependen de desarrolladores de terceros.

7. Un intercambio turco: la filtración de claves privadas provoca pérdidas de 55 millones de dólares

El 22 de junio de 2024, el mayor exchange de criptomonedas de Turquía sufrió un ataque de filtración de claves privadas, con pérdidas superiores a 55 millones de dólares en activos criptográficos. Con la ayuda de un gran exchange, se congelaron con éxito 5.3 millones de dólares de fondos robados, pero otros activos aún no se han recuperado. Este evento ha profundizado las preocupaciones del mercado sobre la capacidad de gestión de claves privadas de los exchanges centralizados.

8. Radiant Capital: La filtración de la clave privada provoca una pérdida de 53 millones de dólares

El 17 de octubre de 2024, la billetera multisig de Radiant Capital fue hackeada. Debido a que utilizaba un modelo de verificación de firma 3/11 de bajo umbral, los hackers obtuvieron las claves privadas de 3 firmantes para iniciar una firma fuera de la cadena, transfiriendo la propiedad del contrato de la billetera a una dirección maliciosa, lo que resultó en el robo de 53 millones de dólares. Este ataque provocó una reflexión en la industria sobre el diseño y los mecanismos de gobernanza de las billeteras multisig.

Es notable que Radiant Capital, antes de este ataque, ya había perdido 4.5 millones de dólares debido a una vulnerabilidad en el contrato, con más de 1900 ETH robados. Esto vuelve a resaltar que el nivel de atención a la seguridad por parte de los proyectos Web3 aún necesita mejorar.

9. Hedgey Finance: Pérdida de 44.7 millones de dólares debido a un fallo en el contrato

El 19 de abril de 2024, Hedgey Finance sufrió un ataque dirigido a múltiples contratos en cadena. Los hackers aprovecharon una vulnerabilidad de aprobación en su contrato ClaimCampaigns, extrayendo con éxito tokens de las cadenas de Ethereum y Arbitrum, con una pérdida total de 44.7 millones de dólares. Este incidente destaca la importancia de la auditoría de código, especialmente la verificación rigurosa de la lógica de aprobación de tokens.

10. Un intercambio de criptomonedas: filtración de claves privadas causa pérdidas de 44.7 millones de dólares

El 19 de septiembre de 2024, una conocida bolsa de criptomonedas fue hackeada, afectando a varias cadenas, incluyendo Ethereum, BNB Chain, Tron y otras cadenas públicas. A pesar de que la bolsa activó rápidamente mecanismos de transferencia de activos y congelación de retiros, los hackers lograron extraer activos por un valor de 44,7 millones de dólares. Este ataque expone nuevamente el alto riesgo de la gestión de wallets calientes en bolsas centralizadas y promueve aún más la exploración de soluciones de almacenamiento de activos más seguras en la industria.

Los frecuentes incidentes de ataques de seguridad en 2024 nos recuerdan una vez más que el desarrollo de la industria de blockchain no puede prescindir de la garantía de seguridad. Desde la filtración de claves privadas hasta las vulnerabilidades de contratos, desde las fallas en la gestión interna hasta la actualización de los métodos de ataque externos, cada incidente ha traído profundas lecciones para la industria. Para hacer frente a las amenazas de ataque cada vez más complejas, todas las partes de la industria necesitan seguir aumentando su inversión en investigación y desarrollo tecnológico, normativas de gestión y prevención de riesgos. En el futuro, esperamos que a través de la colaboración en la industria y la innovación tecnológica, podamos construir conjuntamente un ecosistema de blockchain más seguro y confiable, proporcionando una mayor protección para los usuarios e inversores.