Principais Dez Incidentes de Segurança no Espaço Web3 em 2024

Em 2024, a indústria Web3 enfrenta desafios de segurança cada vez mais severos, ao mesmo tempo em que continua a inovar. De acordo com estatísticas, até o final de 2024, as perdas totais no campo Web3 devido a ataques de hackers, fraudes e saídas de projetos atingiram impressionantes 2,491 bilhões de dólares. Esses eventos expuseram falhas técnicas em áreas como gestão de chaves privadas e contratos inteligentes, além de destacar os riscos potenciais existentes em engenharia social e gestão interna. Este artigo revisará os dez principais eventos de segurança no campo Web3 em 2024, com o objetivo de ajudar a indústria a aprender lições e enfrentar melhor as ameaças de segurança futuras.

1. DMM Bitcoin sofreu um ataque de 304 milhões de dólares

No dia 31 de maio de 2024, a conhecida exchange de criptomoedas japonesa DMM Bitcoin sofreu um grave incidente de segurança. Os atacantes utilizaram chaves privadas vazadas para transferir diretamente mais de 300 milhões de dólares em Bitcoin, e rapidamente dispersaram os fundos roubados em mais de 10 endereços diferentes. Este ataque expôs as sérias deficiências da exchange na gestão de chaves privadas e na proteção de segurança em múltiplas camadas. Embora a exchange tenha tentado rastrear os hackers através da monitorização on-chain e do congelamento de fundos, os Bitcoins roubados já foram dispersos e lavados através de ferramentas de mistura, apresentando um enorme desafio para o trabalho de rastreamento.

No dia 24 de dezembro, a polícia japonesa confirmou que o incidente foi realizado pelo grupo de hackers norte-coreano Lazarus Group.

2. PlayDapp sofre ataque de 290 milhões de dólares

No dia 9 de fevereiro de 2024, a PlayDapp sofreu um grande golpe, hackers roubaram chaves privadas e cunharam 2 bilhões de tokens PLA, com um valor inicial de 36,5 milhões de dólares. Devido a falhas nas negociações entre a equipe do projeto e os hackers, os hackers posteriormente cunharam mais 15,9 bilhões de tokens PLA, no valor de 253,9 milhões de dólares. Após parte dos tokens entrarem nas exchanges, a PlayDapp foi forçada a suspender o contrato PLA e migrar para um novo contrato de token PDA. Este incidente destaca as deficiências dos projetos de blockchain na proteção de chaves privadas e na resposta a emergências.

3. WazirX sofreu um ataque de 235 milhões de dólares

Em 18 de julho de 2024, a maior bolsa de criptomoedas da Índia, WazirX, teve sua carteira multiassinada alvo de um ataque preciso de hackers. Os atacantes induziram os signatários da multiassinatura a assinar uma transação de atualização de contrato por meio de engenharia social, e então utilizaram os direitos do contrato atualizado para transferir todos os ativos da carteira. Este caso destaca os riscos potenciais das carteiras multiassinadas em relação à configuração de permissões e à transparência das operações, e também suscitou uma reflexão aprofundada na indústria sobre os mecanismos de controle e segurança internos dos projetos.

4. Gala Games sofre ataque de 216 milhões de dólares

No dia 20 de maio de 2024, um endereço privilegiado da Gala Games foi invadido por hackers. Os atacantes utilizaram a função mint do contrato do token para cunhar 5 bilhões de tokens GALA de uma só vez. Em seguida, os hackers trocaram esses tokens em lotes por ETH, resultando em uma perda direta de 216 milhões de dólares. A equipe da Gala Games ativou urgentemente a funcionalidade de blacklist para bloquear algumas contas dos hackers e recuperou parte das perdas por meio de vias legais.

5. O cofundador da Ripple, Chris Larsen, sofre um ataque de 112 milhões de dólares

No dia 31 de janeiro de 2024, quatro carteiras pessoais do cofundador da Ripple, Chris Larsen, foram hackeadas, resultando no roubo de 112 milhões de dólares em XRP. Essas carteiras foram alvo do ataque devido à falta de proteção de dupla autenticação por hardware. Após o incidente, uma exchange conseguiu congelar 4,2 milhões de dólares em XRP e ajudou Larsen a rastrear os ativos roubados, mas a maior parte dos fundos já havia sido lavada através de exchanges descentralizadas e serviços de mistura.

6. Munchables sofre um ataque de 62,5 milhões de dólares

No dia 26 de março de 2024, a plataforma de jogos Web3 Munchables, baseada em Blast, sofreu um raro ataque de infiltração interna. Os atacantes eram hackers norte-coreanos disfarçados de desenvolvedores de blockchain, que, através de uma longa infiltração, obtiveram o código-fonte e chaves sensíveis. Embora o ataque tenha causado enormes perdas, sob pressão da comunidade e da equipe, os hackers acabaram devolvendo todos os fundos roubados. Este evento revelou a importância da segurança da cadeia de suprimentos, especialmente para projetos de blockchain que dependem de desenvolvimentos de terceiros.

7. BtcTurk sofreu um ataque de 55 milhões de dólares

No dia 22 de junho de 2024, a maior exchange de criptomoedas da Turquia, BtcTurk, foi alvo de um ataque de vazamento de chaves privadas, resultando em perdas superiores a 55 milhões de dólares em ativos criptográficos. Com a ajuda de uma plataforma de negociação, 5,3 milhões de dólares dos fundos roubados foram congelados com sucesso, mas outros ativos ainda não foram recuperados. Este incidente aprofundou as preocupações do mercado sobre a gestão de chaves privadas em exchanges centralizadas.

8. Radiant Capital sofre ataque de 53 milhões de dólares

No dia 17 de outubro de 2024, a carteira multi-assinatura da Radiant Capital foi invadida por hackers. Devido à sua utilização de um modelo de verificação de assinatura 3/11 com baixa barreira de entrada, os hackers conseguiram obter as chaves privadas de 3 signatários e realizar uma assinatura fora da cadeia, transferindo a propriedade do contrato da carteira para um endereço malicioso, resultando em um roubo de 53 milhões de dólares. Este ataque provocou uma reflexão na indústria sobre o design e os mecanismos de governança das carteiras multi-assinatura.

É importante notar que a Radiant Capital já havia perdido 4,5 milhões de dólares devido a uma vulnerabilidade no contrato antes deste ataque, com mais de 1900 ETH roubados. Isso destaca novamente a necessidade de os projetos Web3 prestarem mais atenção às questões de segurança.

9. Hedgey Finance sofre um ataque de 44,7 milhões de dólares

Em 19 de abril de 2024, a Hedgey Finance sofreu um ataque direcionado a vários contratos na blockchain. Os hackers exploraram uma vulnerabilidade de aprovação no seu contrato ClaimCampaigns, conseguindo extrair tokens nas redes Ethereum e Arbitrum, com uma perda total de 44,7 milhões de dólares. Este evento destaca a importância da auditoria de código, especialmente a verificação rigorosa da lógica de aprovação de tokens.

10. BingX sofre ataque de 44,7 milhões de dólares

No dia 19 de setembro de 2024, a carteira quente da exchange BingX foi invadida por hackers, envolvendo várias blockchains, incluindo Ethereum, BNB Chain e Tron. Embora a exchange tenha iniciado rapidamente o mecanismo de transferência de ativos e congelamento de saques, os hackers conseguiram extrair ativos no valor de 44,7 milhões de dólares. Este ataque reflete o alto risco na gestão das carteiras quentes das exchanges centralizadas e impulsiona ainda mais a exploração de soluções de armazenamento de ativos mais seguras na indústria.

Os frequentes incidentes de segurança em 2024 nos lembram mais uma vez que o desenvolvimento da indústria de blockchain não pode prescindir de garantias de segurança. Desde o vazamento de chaves privadas até falhas de contratos, desde a negligência na gestão interna até a atualização das táticas de ataque externas, cada incidente trouxe lições profundas. Para enfrentar as ameaças de ataque cada vez mais complexas, todas as partes da indústria precisam continuar a investir em pesquisa e desenvolvimento tecnológico, normas de gestão e controle de riscos. No futuro, esperamos que através da colaboração da indústria e da inovação tecnológica, possamos juntos construir um ecossistema de blockchain mais seguro, fornecendo garantias mais confiáveis para usuários e investidores.