Web3“危机四伏”

Web3自带金融属性,金钱的诱惑下,更容易被黑客盯上。随着Web3玩家的体量不断扩大,加密货币犯罪也呈现快速上涨趋势。

本文来自沈阳四块科技。

在这次Solana被袭同期,跨链桥Nomad Bridge也受到攻击。值得注意的是,参与攻击Nomad Bridge的黑客有上百位,甚至包含了“白帽子”,损失近2亿美元。

慢雾科技首席信息安全官(CISO)张连锋告诉极客公园,目前对Web3的攻击类型主要有两种:

一是链上攻击,例如假充值、重入攻击、重放攻击、重排攻击等。这类攻击往往更加隐秘,需要通过专业的代码安全审计、完备的链上分析监测预警等方法来识别。

二是链下攻击,如高级长期威胁(APT)、网络钓鱼、供应链攻击等。这类都是传统Web2常见的安全问题,但是目前却对Web3生态安全产生了很大影响。

今年4月,周杰伦丢失价值超300万人民币的无聊猿编号3738的NFT,就是因为无意中点击了钓鱼链接。

Web3自带金融属性,金钱的诱惑下,更容易被黑客盯上。随着Web3玩家的体量不断扩大,加密货币犯罪也呈现快速上涨趋势。

根据慢雾区块链被黑事件档案库(SlowMist Hacked)统计,2022年上半年,Web3领域的资产损失接近20亿美元,已经超过2021年全年因黑客攻击漏洞造成的总损失。

2345截图20220818151609.png

2022年因此被称作“Web3兴起以来损失最惨重的一年”。其中,以去中心化程度低、流动资金量大的跨链桥受损最为严重。

截至6月30日,今年共发生7起跨链桥安全事件,损失超过10亿美元,占上半年总资产损失的半数以上。在上半年损失金额达到上亿美元的4起事件中,有3起波及跨链桥。

比较有代表性的是区块链游戏Axie Infinity的侧链Ronin Network被袭,造成6.24亿美元的损失,以及Solana的跨链桥项目Wormhole被攻击,损失3.26亿美元。

除了跨链桥,区块链钱包也是安全事件发生的“重灾区”。

钱包是用户管理加密资产的工具,也是用户进入各类Web3应用的账户入口,加密世界的交互和交易通过钱包来进行。

钱包包含着基于公钥和私钥生成的地址,表面上看是一组有字母、数字构成的符号串。其中的私钥可以对照理解为Web2支付工具的密码,掌握这个“密码”的人才是加密资产的真正主人。

所以,私钥一般是黑客攻击窃取的关键信息。通常来说,大部分钱包都会与网络连接,私钥泄露的风险系数较高。

加密货币被黑客盗取后,主要流向就是洗钱场景,以混币器为代表性“帮凶”。

从隐私保护出发的混币器,本来的设想是消除用户的链上交易痕迹,却被黑客用作转移被盗资产后的洗钱工具。不久前被制裁的Tornado Cash自2019年创建以来,已经「清洗」了价值超过70亿美元的虚拟货币。

今年5月份的时候,美国曾经制裁了中心化混币平台Blender,理由是Blender涉嫌帮助朝鲜知名黑客组织Lazarus Group清洗从Axie Infinity盗取的部分资产。

以美国政府为代表的监管势力盯上混币器,黑客们的如意算盘未来或许打得不那么响。制裁犯罪固然重要,但另一个关键的问题是,加密世界亟需更优化的安全方案,在财产、隐私保护与犯罪监管之间寻求平衡。

无论对浅试Web3的个体玩家还是All in的建设者来说,在通向一个美丽新世界之前,先要走过一片遍布安全陷阱的暗黑森林。

THEEND

最新评论(评论仅代表用户观点)

更多
暂无评论