Il primo trimestre del 2024 si è rivelato un capitolo cruciale nel racconto della sicurezza Web3, caratterizzato sia da notevoli risultati nella mitigazione delle minacce che da sfide profonde.
Questo rapporto sintetizza i risultati chiave dell’analisi completa degli incidenti di sicurezza avvenuti nel primo trimestre del 2024, effettuata dalla società di sicurezza AI Web3 Cyvers, evidenziando le minacce emergenti e sottolineando l’importanza della resilienza all’interno dell’ecosistema.
Sintesi
In mezzo al continuo progresso di DeFi, DePIN (Decentralized Physical Infrastructure Networks), RWA (Real World Assets) e altre applicazioni basate su blockchain, abbiamo osservato una corrispondente escalation di sofisticate minacce alla sicurezza. I vettori di attacco si sono diversificati, con vulnerabilità del codice che portano a notevoli ripercussioni finanziarie e violazioni del controllo degli accessi che si sono rivelate eccezionalmente costose.
Queste tendenze segnalano l’urgente necessità di misure di sicurezza rafforzate e di maggiore vigilanza all’interno della comunità Web3.
Cyvers , in collaborazione con BeInCrypto , ha dimostrato il suo impegno per questa causa aprendo la strada al rilevamento delle minacce in tempo reale e alle soluzioni di sicurezza basate sull'intelligenza artificiale. L’obiettivo è fornire un’identificazione rapida e precisa delle minacce, offrendo una mitigazione proattiva e salvaguardando le risorse attraverso la blockchain.
Queste minacce utilizzano una serie di vettori di attacco, dalle vulnerabilità dei contratti intelligenti alle truffe di phishing, con l’obiettivo di sfruttare la natura aperta e interconnessa delle tecnologie Web3. In risposta a queste sfide, la comunità Web3 si è mobilitata, sottolineando l'importanza della sicurezza come elemento fondamentale dell'infrastruttura dell'ecosistema.
Principali tendenze e statistiche sulla sicurezza
Il valore totale rubato (TSV) nel primo trimestre del 2024 è di circa 739,7 milioni di dollari. A gennaio si è registrato il maggior numero di attacchi (27), seguito da marzo (21) e febbraio (18). Nonostante il minor numero di attacchi, febbraio ha avuto un impatto finanziario elevato, con circa 405,3 milioni di dollari persi a causa degli attacchi.
La perdita media per attacco, calcolata in circa 6,7 milioni di dollari, indica l'elevata posta in gioco nella sicurezza di Web3.
Il vettore di attacco più comune è stato quello delle vulnerabilità del codice, con 37 casi, che hanno comportato una perdita di circa 165,9 milioni di dollari. Sebbene meno diffusi, gli attacchi al controllo degli accessi sono stati molto più costosi, provocando una perdita di circa 573,8 milioni di dollari.
Ci sono stati 10 casi in cui gli attacchi informatici sono stati rilevati esclusivamente da Cyvers, il che sottolinea l'importanza di misure di sicurezza proattive, algoritmi sofisticati e ottimizzazione continua.
Tre di questi casi sono stati tra i 10 principali hack del primo trimestre del 2024.
Analisi delle violazioni della sicurezza di PlayDapp
Nel febbraio 2024, l'importante piattaforma di gioco e NFT PlayDapp ha dovuto affrontare una grave sfida alla sicurezza quando ha subito due exploit consecutivi che hanno portato al conio senza precedenti di token PLA. Inizialmente, il 9 febbraio, un'entità non autorizzata ha coniato 200 milioni di token PLA, per un valore di circa 36,5 milioni di dollari.
Pochi giorni dopo, il 12 febbraio, la stessa entità avrebbe coniato altri 1,79 miliardi di token PLA, pari all'incredibile cifra di 253,9 milioni di dollari. Questi exploit hanno comportato collettivamente una perdita totale di circa 290 milioni di dollari.
La causa principale della violazione è stata identificata come una vulnerabilità del contratto intelligente, che ha consentito all’aggressore di coniare token senza l’autorizzazione necessaria. Le ripercussioni furono immediate e gravi, poiché il prezzo di mercato dei token PLA crollò a causa dell'improvviso afflusso di token non autorizzati. Il team di PlayDapp ha tentato di negoziare con l'aggressore, offrendo una taglia di 1 milione di dollari per la restituzione dei fondi rubati, ma senza alcun risultato.
Le misure di sicurezza adottate dopo l'incidente includevano la sospensione del contratto intelligente del PLA e l'avvio di una migrazione del contratto basata su istantanee pre-exploit dei saldi dei detentori. La pronta risposta di PlayDapp di sospendere il contratto e di impegnarsi con le forze dell'ordine e le società forensi blockchain ha dimostrato un impegno per la sicurezza e la trasparenza. Gli sforzi per collaborare con gli scambi e tenere traccia dei fondi rubati erano in corso, con strategie per mitigare l’impatto e prevenire tali incidenti in futuro in fase di discussione attiva.
Per saperne di più: AI per gli audit dei contratti intelligenti: soluzione rapida o attività rischiosa?
L’incidente di PlayDapp funge da ammonimento sulle vulnerabilità inerenti ai contratti intelligenti, in particolare per quanto riguarda il conio e la gestione dei token. In effetti, le lezioni apprese dall’incidente di PlayDapp sono molteplici: l’assoluta necessità di una vigilanza continua sulla sicurezza, l’importanza di misure di sicurezza proattive e reattive e la necessità sempre presente di educazione della comunità sulle migliori pratiche di sicurezza.
Modifiche normative sulla sicurezza Web3
Nel primo trimestre del 2024, il panorama globale delle risorse digitali ha visto notevoli progressi normativi che hanno avuto un impatto considerevole sulla sicurezza Web3.
Il Global Crypto Regulatory Report di PwC sottolinea l’evoluzione in corso nella regolamentazione degli asset digitali, suggerendo che, sebbene siano stati compiuti progressi sostanziali nel 2023, il settore continua ad affrontare un carico di lavoro normativo significativo. Tali sviluppi sono cruciali in quanto forniscono un quadro strutturato per le operazioni, migliorano le politiche di regolamentazione globale e aiutano a stabilire standard prudenziali globali, influenzando potenzialmente la regolamentazione dei mercati europei delle criptovalute e altre politiche internazionali.
Inoltre, dopo il crollo di alto profilo di FTX , gli organismi di regolamentazione sono stati spinti ad adottare un approccio più rigoroso alle regole sugli asset digitali per proteggere meglio il pubblico degli investitori. La Securities and Exchange Commission (SEC) degli Stati Uniti, ad esempio, aveva pianificato di emanare nuove regole che disciplinano gli scambi e le offerte di risorse digitali. Ci si aspettava che queste regole fornissero norme complete per le offerte di risorse digitali, insieme a linee guida per gli scambi di risorse digitali.
Questa risposta agli eventi passati dimostra un chiaro intento da parte degli organismi di regolamentazione di migliorare la supervisione e prevenire eventi simili in futuro.
Queste normative mirano non solo a salvaguardare gli investitori, ma anche a garantire il funzionamento ordinato dei mercati delle risorse digitali. Per Cyvers, questi sviluppi potrebbero rappresentare un’opportunità per contribuire alle discussioni normative, sfruttando la propria esperienza per guidare la formulazione di politiche che bilancino la necessità di sicurezza con il potenziale di innovazione nello spazio Web3.
Con l'evolversi delle normative, la capacità di Cyvers e BeInCrypto di fornire servizi di sicurezza allineati alla conformità diventa sempre più critica. Il primo trimestre del 2024 è stato quindi un momento cruciale per la sicurezza Web3, caratterizzato da organismi di regolamentazione di tutto il mondo che hanno imparato lezioni dagli eventi passati per rafforzare le difese del settore e stabilire una base sicura per la fiorente economia digitale.
Raccomandazioni per migliorare la sicurezza Web3
Nel perseguimento di un panorama Web3 fortificato, Cyvers ha spiegato a BeInCrypto modi strategici per migliorare le posizioni di sicurezza per le varie parti interessate all'interno dell'ecosistema:
Per i progetti:
- Audit dei contratti intelligenti : garantire che i contratti intelligenti siano sottoposti a controlli di sicurezza approfonditi da parte di aziende rispettabili. Ricontrollare regolarmente dopo importanti aggiornamenti o cambiamenti nella logica del contratto. Dai un'occhiata ai nostri auditor consigliati qui.
- Pianificazione della risposta agli incidenti : sviluppare un piano di risposta agli incidenti su misura per potenziali violazioni specifiche di Web3, descrivendo in dettaglio azioni immediate, protocolli di comunicazione e misure di emergenza.
- Integrazione dei moduli di sicurezza : implementa il rilevamento delle minacce in tempo reale e moduli di sicurezza, come quelli forniti da Cyvers, per monitorare e proteggere continuamente da attività dannose.
Per gli sviluppatori:
- Progettazione che mette la sicurezza al primo posto : adotta un approccio che mette la sicurezza al primo posto durante la progettazione dei sistemi, dando priorità alla sicurezza in ogni fase dello sviluppo.
- Formazione continua : rimani informato sulle ultime ricerche sulla sicurezza, sulle vulnerabilità e sulle strategie di protezione. Interagire con la comunità per condividere conoscenze e migliori pratiche.
- Decentralizzazione del controllo : evita singoli punti di guasto nei tuoi sistemi. Utilizza portafogli multifirma e un processo decisionale distribuito per le operazioni critiche.
Per gli investitori:
- Due Diligence : esercitare la due diligence esaminando le pratiche di sicurezza dei progetti prima di investire. Controlla i rapporti di audit, le affiliazioni di sicurezza e la cronologia degli incidenti.
- Diversifica le partecipazioni : proteggi il tuo portafoglio da violazioni mirate diversificando le tue partecipazioni su varie piattaforme e portafogli.
- Utilizza piattaforme affidabili : interagisci con piattaforme che hanno una comprovata esperienza di sicurezza e che implementano le misure di sicurezza più recenti.
Per gli utenti:
- Pratiche di portafoglio sicure : utilizza portafogli hardware per partecipazioni significative, pratica l'archiviazione sicura di chiavi private e utilizza l'autenticazione a più fattori.
- Attenzione al phishing : informati sulle tattiche di phishing più comuni nello spazio Web3. Verifica gli URL, ricontrolla le interazioni del contratto intelligente e sii cauto con le richieste non richieste.
- Rimani aggiornato : aggiorna regolarmente il tuo software alle versioni più recenti, assicurandoti che vengano applicate le patch di sicurezza.
Per saperne di più: Identificazione ed esplorazione del rischio sui protocolli di prestito DeFi
Aderendo a queste raccomandazioni, le parti interessate dell’ecosistema Web3 possono ridurre significativamente il proprio profilo di rischio e contribuire alla creazione di un ambiente digitale sicuro e resiliente. È attraverso la vigilanza collettiva e misure proattive che possiamo navigare nell’ecosistema Web3 con sicurezza e fiducia.
Il post 739,7 milioni di dollari in criptovalute violate nel primo trimestre del 2024: Cyvers è apparso per la prima volta su BeInCrypto .