Q3 2022 Blockchain Security Overview Insgesamt wurden 37 schwerwiegende Exploits mit einem Gesamtschaden von ca. 405 Millionen Dollar beobachtet
1 Q3 2022 Blockchain Security Overview
Insgesamt wurden 37 größere Exploits mit einem Gesamtschaden von ca. 405 Mio. $ überwacht
Im dritten Quartal 2022 überwachte Beosin EagleEye mehr als 37 größere Angriffe im Web3-Bereich mit einem Gesamtschaden von ca. 405 Millionen US-Dollar, was einem Rückgang von 43,6 % gegenüber 718,34 Millionen US-Dollar im zweiten Quartal 2022 und einem Rückgang von 59,6 % gegenüber dem Schaden von 1.002,58 Millionen US-Dollar im dritten Quartal 2021 entspricht.
Von Januar bis September 2022 beliefen sich die durch Angriffe im Web3-Bereich verlorenen Vermögenswerte auf insgesamt 2.317,91 Mio. $.
Q over/on Q growths
In Bezug auf die einzelnen Monate verzeichnete der Juli einen deutlichen Rückgang der Angriffe und damit die geringste Schadenssumme durch Angriffe seit 2022. Im August und September nahm die Hackeraktivität deutlich zu.
Was die Projekttypen betrifft, so entfielen 92 % der Schadenssumme auf kettenübergreifende Brücken und DeFi-Protokolle. 22 der 37 Angriffe fanden im DeFi-Bereich statt.
Was die TVL betrifft, so war der Trend der TVL der einzelnen Ketten nach einem starken Rückgang von Mai auf Juni in diesem Quartal tendenziell stabil. Ende Juli bis Anfang August war ein leichter Aufwärtstrend bei der TVL zu verzeichnen, was auch der Zeitraum mit der höchsten Anzahl von Angriffen und der höchsten Schadenssumme in diesem Quartal war.
Bezogen auf die einzelnen Chains beliefen sich die Verluste auf Ethereum in diesem Quartal auf 374,28 Millionen US-Dollar, was 92 % der Gesamtverluste ausmacht. Die am häufigsten angegriffene Kette war die BNB-Kette, die 16 Mal angegriffen wurde.
Was die Art der Angriffe betrifft, so wurden 92 % der Verluste durch die Ausnutzung von Vertragsschwachstellen und die Kompromittierung privater Schlüssel verursacht.
Was die Geldströme betrifft, so flossen etwa 204,2 Millionen US-Dollar der gestohlenen Gelder in Tornado Cash, was etwa 50,4 % der im Quartal gestohlenen Gelder entspricht. Nur etwa 4 % der gestohlenen Gelder wurden im Laufe des Quartals wiedergefunden.
Was die Prüfungen anbelangt, so wurden nur 40 % der rektifizierten Projekte geprüft.
2 Überblick über Exploits
Insgesamt gingen die Angriffe in Q3 im Vergleich zu Q2 zurück
Im 3. Quartal 2022 wurden 37 größere Angriffe im Web3-Bereich mit einem Gesamtschaden von ca. 405 Millionen Dollar beobachtet. Es gab zwei Angriffe mit einem Schaden von 100 Millionen Dollar oder mehr, drei Angriffe mit einem Schaden von 10 Millionen Dollar oder mehr und 14 Angriffe mit einem Schaden von 1 Million Dollar oder mehr. Die Sicherheitsvorfälle mit Verlusten von mehr als 100 Millionen Dollar waren Nomad Bridge (190 Millionen Dollar) und Wintermute (160 Millionen Dollar)
Q3 Schadenhöhe nach Projekt
Der August 2022 war der aktivste Monat für Hacker im Quartal, mit Verlusten von rund 210,62 Millionen Dollar. Die Gesamtverluste durch Angriffe im Juli beliefen sich auf 30,05 Millionen Dollar und waren damit die niedrigste Schadenssumme in einem Monat seit 2022.
Q3 monthly loss amount & count
3 Arten von rekt-Projekten
Cross-Chain-Brücken und DeFi-Projekte machen 92% der Schadenssumme aus
Q3 Schadenhöhe & Zählung nach Kategorien
Im dritten Quartal 2022 führten drei Cross-Chain-Bridge-Angriffe zu einem Gesamtschaden von rund 190,25 Millionen US-Dollar; 22 Angriffe im DeFi-Bereich führten zu einem Gesamtschaden von 186,79 Millionen US-Dollar. Ungefähr 92 % des Angriffsschadens entfielen auf die Protokolle Cross-Chain-Bridge und DeFi.
Im September 2022 gab es 10 größere Cross-Chain-Bridge-Sicherheitsvorfälle mit einem Schaden von über 1,4 Milliarden Dollar. Kettenübergreifende Brücken waren im Jahr 2022 der am stärksten von Angriffen betroffene Bereich.
Neben kettenübergreifenden Brücken und DeFi-Protokollen wurden in diesem Quartal auch NFTs, Börsen, DAOs, Wallets und MEV-Bots angegriffen, so dass die Arten der Angriffe insgesamt vielfältiger sind als im vorangegangenen Quartal.
4 Verlustbetrag nach Kette
Verluste bei Ethereum belaufen sich auf 374,3 Millionen Dollar
Q3 loss amount & count by chain
12 größere Angriffe ereigneten sich in diesem Quartal auf Ethereum, mit einem Gesamtverlust von 374,28 Millionen Dollar, was den ersten Platz unter allen Chains einnimmt. Solana verlor 18,37 Mio. $ durch 3 Angriffe.
Zu den Chains mit größeren Angriffen in zwei aufeinanderfolgenden Quartalen gehören Ethereum, BNB Chain, Fantom und Avalanche.
BNB Chain verzeichnete mit 16 Angriffen die meisten Angriffe, und die entsprechenden Projekte sind alle ungeprüft. Die Geldbeträge, um die es bei diesen 16 Angriffen ging, sind relativ gering: Bei 14 Vorfällen betrug der Schaden weniger als 500.000 US-Dollar.
Nach einem starken Rückgang der TVL von Mai auf Juni stabilisierte sich der Trend der TVL über alle Ketten hinweg in diesem Quartal. In der Zeit von Ende Juli bis Anfang August war ein leichter Aufwärtstrend bei den TVL zu verzeichnen, der auch der Zeitraum mit den meisten Angriffen und Verlusten in diesem Quartal war. Der Kryptomarkt bewegte sich im September allgemein leicht abwärts. Nach der Ethereum-Fusion am 15. September ging die Ethereum TVL kontinuierlich leicht zurück:
Chain TVL
5 Analyse der Angriffsarten
92% des verlorenen Betrags wurde durch die Ausnutzung von Vertragsschwachstellen und die Kompromittierung privater Schlüssel verursacht
Q3 Schadenssumme & Anzahl nach Angriffsart
Auch im dritten Quartal waren Vertragsverletzungen die häufigste Angriffsart. Bei etwa 15 Angriffen handelt es sich um die Ausnutzung von Vertragsschwachstellen, was 40,5 Prozent der Gesamtzahl ausmacht. Die Gesamtverluste durch Sicherheitslücken in Verträgen beliefen sich auf 201,6 Millionen US-Dollar, was 50,9 Prozent der Gesamtverluste entspricht.
Die vier Kompromittierungen von privaten Schlüsseln in diesem Quartal führten zu Verlusten in Höhe von 167,24 Millionen US-Dollar, dem zweithöchsten Verlustbetrag nach der Ausnutzung vertraglicher Sicherheitslücken.
Im Vergleich zum vorangegangenen Quartal waren die Arten von Angriffen in diesem Quartal vielfältiger. Zu den neuen Angriffsarten, die in diesem Quartal auftauchten, gehören BGP-Hijacking, Fehlkonfiguration und Angriffe auf die Lieferkette.
Q3 Marktanteil der Schadenshöhe nach Angriffstyp
Q3 Marktanteil der Anzahl nach Angriffstyp
Die wichtigsten Schwachstellen, die in diesem Quartal ausgenutzt wurden, sind: Validierungsprobleme, Wiederverknüpfung, Berechtigungsprobleme, unsachgemäß gestaltete Geschäftslogik oder Funktionen und Überlaufschwachstellen. Diese Schwachstellen können alle während der Prüfungsphase entdeckt und behoben werden
Q3 loss amount & count by contract vulnerabilities
6 Typische Sicherheitsvorfälle – Zusammenfassung
6.1 Nomad Bridge $190 Millionen Vorfall
Am 2. August wurde Nomad Bridge, eine Cross-Chain-Plattform, die Asset-Transfers zwischen Ethereum, Moonbeam, Avalanche, Evmos und Milkomeda unterstützt, Opfer eines massiven Hacks, der das Projekt 190 Millionen Dollar kostete.
6.2 Slope Wallet Incident on Solana
Am 3. August ereignete sich auf Solana ein groß angelegter Diebstahl von Geldbörsen, dessen Schaden auf etwa 6 Millionen Dollar geschätzt wird.
6.3 Wintermute Private Key Compromise Incident
Am 20. September wurde der Krypto-Börsenbetreiber Wintermute angegriffen, wobei aufgrund einer Kompromittierung des privaten Schlüssels ein Verlust von 160 Millionen Dollar entstand.
7 Fund Flow Analysis
Rund 204,2 Millionen Dollar an gestohlenen Geldern flossen in Tornado Cash
Am 8. August hat das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums Sanktionen gegen Tornado Cash verhängt, die es US-Personen oder -Organisationen untersagen, mit dem Unternehmen in Kontakt zu treten. Im dritten Quartal 2022 flossen noch etwa 204,2 Millionen US-Dollar an gestohlenen Geldern in Tornado Cash, was 50,4 Prozent der in diesem Quartal gestohlenen Gelder entspricht und damit niedriger ist als im zweiten Quartal.
Ungefähr 182,3 Millionen Dollar der gestohlenen Gelder verblieben als Restbetrag an der Adresse des Hackers. Einige der gestohlenen Gelder wurden auf Adressen in anderen Ketten übertragen, und dieser Teil wird weiterhin als Saldo der Adresse des Hackers gezählt.
Etwa 16,6 Millionen Dollar an Vermögenswerten wurden durch On-Chain-Verhandlungen und unaufgeforderte Rückgaben von White-Hat-Hackern zurückgewonnen. Im dritten Quartal 2022 wurden nur etwa 4 % der gestohlenen Gelder wiedererlangt, ein deutlich geringerer Prozentsatz als im zweiten Quartal.
Rund 1,92 Millionen Dollar an gestohlenen Vermögenswerten flossen in Börsen wie Binance und FixedFloat. Bei diesen Vorfällen ging es in der Regel um eine geringe Anzahl von Vermögenswerten (in der Regel zwischen 10 000 und 100 000 US-Dollar), und die Hacker überwiesen die gestohlenen Gelder unmittelbar nach dem Angriff an die Börsen, was dazu führte, dass die Projekte nicht rechtzeitig mit den Börsen Kontakt aufnahmen, um die Gelder einzufrieren.
Q3 fund flows
8 Projekt Audit Analyse
Nur 40% der Projekte wurden geprüft
Im Jahr 2022 betrug der Prozentsatz der rekt-Projekte, die geprüft wurden: 70% im ersten Quartal, 52% im zweiten Quartal und 40% im dritten Quartal. Der Prozentsatz der ungeprüften rekt-Projekte zeigt von Quartal zu Quartal eine steigende Tendenz.
Ob geprüfte – Anzahl
Ob geprüft – Betrag
Von allen rekt-Projekten verloren die geprüften Projekte insgesamt 375,48 Millionen Dollar, und die nicht geprüften Projekte verloren etwa 29,56 Millionen Dollar an Angriffen. Auf den ersten Blick könnte man meinen, dass die Prüfungen nicht dazu dienten, den sicheren Betrieb der Projekte zu gewährleisten. Eine genauere Analyse zeigt jedoch, dass die meisten dieser geprüften Projekte durch nicht vertragsgemäße Probleme wie die Kompromittierung privater Schlüssel, Angriffe auf die Lieferkette, DNS-Angriffe, BGP-Hijacking und Fehlkonfigurationen angegriffen wurden. Bei den nicht geprüften Projekten wurden 85 % durch Vertragsschwachstellen oder Flashloan-Angriffe verursacht.
Es zeigt sich, dass professionelle Audits immer noch bis zu einem gewissen Grad wirksam sind, um das Projekt auf der Vertragsebene abzusichern. Der sichere Betrieb eines Protokolls erfordert jedoch auch eine gute Offline-Risikokontrolle, die sichere Aufbewahrung des privaten Schlüssels, die Aufmerksamkeit gegenüber traditionellen Netzwerksicherheitsangriffen und die sorgfältige Verwendung von Komponenten Dritter. Natürlich gibt es in diesem Quartal auch einige Schwachstellen, die in der Audit-Phase hätten entdeckt werden müssen, aber nicht im Audit-Bericht aufgeführt wurden. Daher wird empfohlen, dass das Projekt ein professionelles Sicherheitsunternehmen mit der Durchführung des Audits beauftragt.
