Почти восемь из десяти долларов, потерянных в результате атак в третьем квартале, были украдены из проектов, которые формально проходили аудиты. Компания Hacken, специализирующаяся на безопасности блокчейнов, выяснила: 77% потерь пришлись на проверенные проекты, а общий ущерб от взломов за квартал достиг $1,18 млрд. Проверки не охватывают всю инфраструктуру, а исправление найденных уязвимостей затягивается.
Почему сертификат об аудите не защищает средства
Специалисты Hacken проанализировали инциденты и пришли к выводу: в большинстве случаев злоумышленники использовали бреши, которые не входили в периметр последних проверок. Речь идёт о скомпрометированных поставщиках услуг, отложенных патчах и системах, которые вообще не попадали в поле зрения аудиторов.
Напомним, что взломы Bitget и Liquid обошли аудиты, а убытки криптоиндустрии в третьем квартале уже достигали $1,2 млрд.
Наличие сертификата или отчёта об аудите не гарантирует защиту средств. Инвесторы и пользователи протоколов часто воспринимают такую бумагу как индульгенцию, тогда как реальный ландшафт угроз шире.
Почти восемь из десяти долларов, потерянных в результате атак в третьем квартале, были украдены из проектов, которые считались проверенными. Аудит — не страховка от взлома.
Три вектора атак: подрядчики, отложенные патчи и непроверенные сервисы
Аналитики Hacken выделяют три основных вектора, которые привели к потерям в отчётном периоде. Все они так или иначе связаны с человеческим фактором и организационными процессами, а не с ошибками в коде смарт-контрактов, которые обычно и проверяют аудиторы.
- Атаки через скомпрометированных поставщиков и подрядчиков, чьи системы имеют доступ к инфраструктуре проекта.
- Задержки с установкой исправлений для уже известных уязвимостей.
- Использование компонентов и сервисов, которые не входили в последние проверки безопасности.
Каждый из этих пунктов указывает на разрыв между формальной процедурой аудита и реальной практикой эксплуатации. Проверка кода не защищает от фишинга сотрудников, слабых паролей у сторонних сервисов или забытых тестовых сред.
Рост капитала в DeFi повышает ставки для атакующих
Ситуация складывается на фоне роста институционального интереса к криптовалютам и притока капитала в DeFi-протоколы. Чем больше средств сосредоточено в смарт-контрактах, тем выше ставки для атакующих и тем ощутимее ущерб от каждой успешной кампании.
Рынок аудиторских услуг в криптоиндустрии пока не стандартизирован: одни фирмы проверяют только код, другие — конфигурацию сети, третьи ограничиваются поверхностным анализом. Единого требования к глубине проверки нет, а потому наличие отчёта часто не отражает реальный уровень защищённости.
В третьем квартале общий ущерб от взломов составил $1,18 млрд. Для сравнения, за весь 2023 год, по оценкам различных аналитических платформ, потери от криптопреступлений измерялись миллиардами долларов, и квартальная цифра выглядит сопоставимой с крупными инцидентами прошлых лет.
Пользователям приходится самостоятельно оценивать риски: проверять, какие именно сервисы и контрагенты задействованы в протоколе, как быстро команда реагирует на сообщения об уязвимостях и есть ли у неё программа bug bounty — вознаграждение за найденные дыры.
Рынок, вероятно, будет двигаться в сторону более комплексных проверок, включающих не только код, но и операционные процессы. Открытый вопрос: успеют ли аудиторы перестроиться раньше, чем злоумышленники найдут новые обходные пути.