Một nghiên cứu mới cho thấy trong quý 3 năm 2023, đã có tổng cộng 117 vụ hack, trong đó 720 triệu USD đã bị đánh cắp thông qua các vi phạm kiểm soát truy cập và kéo thảm cùng các sự cố bảo mật khác.
Yếu tố con người
Theo báo cáo bảo mật Web3 mới nhất của nhà kiểm tra bảo mật blockchain Hacken, đã có tổng cộng 117 vụ hack trong quý 3 năm 2023 trong khi giá trị số tiền bị đánh cắp trong giai đoạn này lên tới 720 triệu USD. Để so sánh, đã có 131 vụ hack trong quý trước nhưng chỉ có 327 triệu USD bị đánh cắp.
Như đã lưu ý trong báo cáo nghiên cứu, vi phạm kiểm soát truy cập một lần nữa là cuộc tấn công gây thiệt hại lớn nhất về mặt tài chính “với tổn thất 449 triệu USD chỉ sau 8 sự cố”. Báo cáo nói thêm rằng mức thiệt hại trung bình hàng chục triệu đô la cho mỗi sự cố một lần nữa cho thấy “yếu tố con người vẫn là phần dễ bị vạch trần nhất trong ngành công nghiệp tiền điện tử”.
Mặc dù tổn thất (49,80 triệu USD) từ các sự cố kéo thảm thấp hơn đáng kể so với tổn thất 449 triệu USD do kiểm soát truy cập và reentrancy, dữ liệu nghiên cứu cho thấy sự cố kéo thảm là hình thức tấn công phổ biến nhất.
“Một xu hướng rõ ràng khác là sự phổ biến của kéo thảm – một loại exit scam được đặc trưng bởi việc rút thanh khoản đột ngột, thường đi kèm với những thay đổi về token hoặc hợp đồng thông minh của dự án. Hiểu được bản chất của trò lừa đảo này là rất quan trọng vì chúng chiếm phần lớn các vụ khai thác trong năm nay. Mặc dù doanh thu trung bình của chúng là 638.594 USD, nhưng đây là một trong những trò lừa đảo đơn giản nhất có thể ngăn chặn,” báo cáo nêu rõ.
Dự án có điểm kiểm toán kém
Về lý do tại sao tội phạm mạng vẫn bòn rút tiền của người dùng thông qua chiến thuật này, báo cáo của Hacken tiết lộ rằng khoảng 15%, tương đương 12 trong số 78 sự cố kéo thảm được kiểm tra đã được kiểm toán. Hơn nữa, báo cáo lưu ý rằng nhiều người dùng thường bỏ qua điểm kiểm toán kém của dự án. Tuy nhiên, điểm số như vậy đôi khi có thể chỉ ra một vấn đề thậm chí còn sâu sắc hơn.
Để minh họa, báo cáo của Hacken trích dẫn kết quả kiểm toán từ Magnate Finance, tuyên bố rõ ràng rằng “người triển khai có thể thao túng token”. Thật không may, nhiều người dùng “tiếp tục tham gia giao thức trong gần 3 tháng sau khi có kết quả kiểm toán”. Kết quả là, người triển khai đã có thể “loại bỏ LP trong nhiều giao dịch” và hơn 5 triệu USD đã bị đánh cắp.
Trong khi đó, báo cáo kêu gọi người dùng phân tích quyền sở hữu token, điều kiện thanh khoản và kết quả kiểm toán trước khi đầu tư tiền của họ. Báo cáo cho biết thêm, người dùng cũng nên ưu tiên các dự án không có quyền kiểm soát của quản trị viên và tài chính do cộng đồng lãnh đạo.
