O primeiro trimestre de 2024 foi um capítulo fundamental na segurança da Web3. Nele, ocorreram tanto conquistas notáveis na mitigação de ameaças quanto desafios profundos.
Este relatório sintetiza as principais descobertas da análise abrangente de incidentes de segurança da empresa de segurança de IA e Web3 Cyvers no primeiro trimestre de 2024. Além disso, ele destaca as ameaças emergentes e ressaltando a importância da resiliência no ecossistema.
Resumo executivo
Em meio ao avanço contínuo de DeFi, DePIN (Decentralized Physical Infrastructure Networks), RWAs (Real World Assets) e outros aplicativos baseados em blockchain, observamos uma escalada correspondente em ameaças sofisticadas à segurança. Os vetores de ataque se diversificaram, com vulnerabilidades de código levando a repercussões financeiras substanciais e violações de controle de acesso que se mostraram excepcionalmente caras.
Essas tendências sinalizam uma necessidade urgente de medidas de segurança aprimoradas e maior vigilância na comunidade Web3.
A Cyvers, em parceria com o BeInCrypto, demonstrou seu compromisso com essa causa ao ser pioneira na detecção de ameaças em tempo real e em soluções de segurança orientadas por IA. O objetivo é fornecer identificação rápida e precisa de ameaças, oferecendo mitigação proativa e protegendo ativos em toda a blockchain.
Essas ameaças implantam uma série de vetores de ataque – de vulnerabilidades de contratos inteligentes a golpes de phishing – com o objetivo de explorar a natureza aberta e interconectada das tecnologias Web3. Em resposta a esses desafios, a comunidade Web3 se uniu, enfatizando a importância da segurança como um elemento fundamental da infraestrutura do ecossistema.
Principais tendências e estatísticas de segurança
O valor total roubado (TSV) no primeiro trimestre de 2024 é de aproximadamente US$ 739,7 milhões. O maior número de ataques ocorreu em janeiro (27), seguido por março (21) e fevereiro (18). Apesar de ter o menor número de ataques, fevereiro teve um alto impacto financeiro, com ataques roubando cerca de US$ 405,3 milhões.
A perda média por ataque é de aproximadamente US$ 6,7 milhões, indicando os altos riscos envolvidos na segurança da Web3.
O vetor de ataque mais comum foi o de vulnerabilidades de código, com 37 ocorrências, resultando em uma perda de cerca de US$ 165,9 milhões. Embora menos prevalentes, os ataques de controle de acesso foram muito mais caros, resultando em uma perda de cerca de US$ 573,8 milhões.
Houve 10 casos em que apenas a Cyvers detectou os hacks. Isso ressalta a importância de medidas de segurança proativas, algoritmos sofisticados e otimização contínua.
Três desses casos estavam entre os 10 principais hacks do primeiro trimestre de 2024.
Análise da violação de segurança da PlayDapp
Em fevereiro de 2024, a plataforma de jogos e NFT PlayDapp enfrentou um grave desafio de segurança. Naquela época, ela sofreu duas explorações consecutivas que levaram a uma cunhagem sem precedentes de tokens PLA. Em primeiro lugar, no dia 9 de fevereiro, uma entidade não autorizada cunhou 200 milhões de tokens PLA, avaliados em cerca de US$ 36,5 milhões.
Em seguida, no dia 12 de fevereiro, a mesma entidade teria cunhado mais 1,79 bilhão de tokens PLA, o que equivale a incríveis US$ 253,9 milhões. Essas explorações resultaram coletivamente em uma perda total de cerca de US$ 290 milhões.
Leia mais: 6 dicas para proteger suas criptomoedas contra hacks e roubos
A principal causa da violação foi identificada como uma vulnerabilidade de contrato inteligente, que permitiu que o invasor criasse tokens sem a autoridade necessária. As repercussões foram imediatas e graves, pois o preço de mercado dos tokens PLA despencou devido ao súbito influxo de tokens não autorizados. A equipe da PlayDapp tentou negociar com o invasor, oferecendo uma recompensa de US$ 1 milhão pela devolução dos fundos roubados, mas sem sucesso.
Resposta rápida
As medidas de segurança tomadas após o incidente incluíram a pausa do contrato inteligente PLA e o início de uma migração de contrato com base em instantâneos pré-exploração dos saldos dos titulares. A pronta resposta da PlayDapp para pausar o contrato e se envolver com as autoridades policiais e empresas forenses de blockchain demonstrou um compromisso com a segurança e a transparência. Além disso, os esforços para entrar em contato com as exchanges e rastrear os fundos roubados estavam em andamento, com estratégias para mitigar o impacto e evitar tais incidentes no futuro sendo ativamente discutidas.
Em suma, o incidente da PlayDapp serve como um conto de advertência sobre as vulnerabilidades inerentes aos contratos inteligentes, especialmente em relação à cunhagem e ao gerenciamento de tokens. De fato, as lições do incidente da PlayDapp são múltiplas: a necessidade absoluta de vigilância contínua da segurança, a importância de medidas de segurança proativas e reativas e a necessidade sempre presente de educação da comunidade sobre as práticas recomendadas de segurança.
Mudanças regulatórias na segurança da Web3
No primeiro trimestre de 2024, o cenário global de ativos digitais viu avanços regulatórios notáveis que tiveram um impacto considerável na segurança da Web3.
O Relatório Global de Regulamentação de Criptomoedas da PwC enfatiza a evolução contínua da regulamentação de ativos digitais, sugerindo que, embora tenha havido um progresso substancial em 2023, o setor continua a enfrentar uma carga de trabalho regulatória significativa. Esses desenvolvimentos são cruciais, pois fornecem uma estrutura estruturada para as operações, aprimoram as políticas regulatórias globais e ajudam a estabelecer padrões prudenciais globais, influenciando potencialmente a regulamentação dos Mercados de Criptomoedas da UE e outras políticas internacionais.
Além disso, após o colapso da FTX, os órgãos reguladores foram levados a adotar uma abordagem mais rigorosa das regras de ativos digitais para proteger melhor o público investidor. A Comissão de Valores Mobiliários dos Estados Unidos (SEC), por exemplo, planejou lançar novas regras que regem as trocas e ofertas de ativos digitais. Esperava-se que essas regras fornecessem regulamentações abrangentes para ofertas de ativos digitais, juntamente com diretrizes para trocas de ativos digitais.
Além disso, essa resposta a eventos passados demonstra uma clara intenção dos órgãos reguladores de melhorar a supervisão e evitar ocorrências semelhantes no futuro.
Protegendo investidores
Essas regulamentações visam não apenas proteger os investidores, mas também garantir o funcionamento ordenado dos mercados de ativos digitais. Para a Cyvers, esses desenvolvimentos podem servir como uma oportunidade de contribuir para discussões regulatórias, aproveitando sua experiência para orientar a formulação de políticas que equilibrem a necessidade de segurança com o potencial de inovação no espaço da Web3.
Conforme as regulamentações evoluem, a capacidade da Cyvers e da BeInCrypto de fornecer serviços de segurança alinhados à conformidade torna-se cada vez mais crítica. O primeiro trimestre de 2024 foi, portanto, um momento crucial para a segurança na Web3, marcado por órgãos reguladores em todo o mundo que tiraram lições de eventos passados para fortalecer as defesas do setor e estabelecer uma base segura para a economia digital em expansão.
Recomendações para aprimorar a segurança da Web3
Em busca de um cenário Web3 fortalecido, Cyvers explicou ao BeInCrypto maneiras estratégicas de aprimorar as posturas de segurança para vários participantes do ecossistema:
Projetos:
- Auditoria de contratos inteligentes: Garantir que os contratos inteligentes sejam submetidos a auditorias de segurança completas por empresas de boa reputação. Faça uma nova auditoria regularmente após grandes atualizações ou alterações na lógica do contrato. Confira nossos auditores recomendados aqui.
- Planejamento de resposta a incidentes: Desenvolva um plano de resposta a incidentes adaptado a possíveis violações específicas da Web3, detalhando ações imediatas, protocolos de comunicação e medidas de contingência.
- Integração de módulos de segurança: Implemente detecção de ameaças em tempo real e módulos de segurança, como os fornecidos pela Cyvers, para monitorar e proteger continuamente contra atividades mal-intencionadas.
Desenvolvedores:
- Design que prioriza a segurança: Adote uma abordagem de segurança em primeiro lugar ao projetar sistemas, priorizando a segurança em todas as fases do desenvolvimento.
- Educação contínua: Mantenha-se informado sobre as mais recentes pesquisas de segurança, vulnerabilidades e estratégias de proteção. Envolva-se com a comunidade para compartilhar conhecimentos e práticas recomendadas.
- Descentralização do controle: Evite pontos únicos de falha em seus sistemas. Use carteiras com várias assinaturas e tomada de decisões distribuídas para operações críticas.
Investidores:
- Due Diligence: Faça a devida diligência analisando as práticas de segurança dos projetos antes de investir. Verifique os relatórios de auditoria, as afiliações de segurança e os históricos de incidentes.
- Diversifique as participações: Proteja seu portfólio contra violações direcionadas diversificando suas participações em várias plataformas e carteiras.
- Use plataformas confiáveis: Envolva-se com plataformas que tenham um histórico comprovado de segurança e que implementem as medidas de segurança mais recentes.
Usuários:
- Práticas de carteira segura: Utilize carteiras de hardware para acervos significativos, pratique o armazenamento seguro de chaves privadas e empregue autenticação multifator.
- Cuidado com o phishing: informe-se sobre as táticas comuns de phishing no espaço da Web3. Verifique URLs, verifique novamente as interações de contratos inteligentes e seja cauteloso com solicitações não solicitadas.
- Mantenha-se atualizado: Atualize regularmente seu software para as versões mais recentes, garantindo que os patches de segurança sejam aplicados.
Ao aderir a essas recomendações, as partes interessadas em todo o ecossistema da Web3 podem reduzir significativamente seu perfil de risco e contribuir para a criação de um ambiente digital seguro e resiliente. É por meio da vigilância coletiva e de medidas proativas que podemos navegar no ecossistema da Web3 com segurança e confiança.
Trusted
Isenção de responsabilidade
Todas as informações contidas em nosso site são publicadas de boa fé e apenas para fins de informação geral. Qualquer ação que o leitor tome com base nas informações contidas em nosso site é por sua própria conta e risco.
