Resumen de los eventos de seguridad Web3 en 2024: diez casos de ataque que advierten sobre los riesgos de la industria

En 2024, la industria de blockchain, mientras se desarrolla rápidamente, también enfrenta desafíos de seguridad cada vez más graves. Según datos de una plataforma de monitoreo de seguridad, hasta ahora, las pérdidas totales en el ámbito de Web3 en 2024 debido a ataques de hackers, fraudes de phishing y el abandono de proyectos ascienden a 2.491 millones de dólares.

Estos eventos no solo expusieron las deficiencias técnicas en la gestión de claves privadas, contratos inteligentes, entre otros, sino que también destacaron los riesgos potenciales asociados con la ingeniería social y la gestión interna. Este artículo revisará los diez principales eventos de seguridad de Web3 en 2024, con la esperanza de que la industria pueda aprender de ellos y enfrentar mejor las amenazas de seguridad futuras.

1. Un importante ataque a un intercambio japonés

Monto de pérdida: 304 millones de dólares Método de ataque: filtración de clave privada

El 31 de mayo de 2024, un conocido intercambio de criptomonedas japonés sufrió un ataque histórico. Los atacantes utilizaron claves privadas filtradas para transferir directamente más de 300 millones de dólares en Bitcoin y rápidamente dispersaron los fondos robados en más de 10 direcciones diferentes. Este incidente expuso las graves deficiencias de la plataforma en la gestión de claves privadas y en la seguridad de múltiples capas. A pesar de que el intercambio intentó rastrear a los hackers a través de la supervisión en la cadena y el congelamiento de fondos, los Bitcoins robados ya habían sido transferidos y lavados utilizando herramientas de mezclado, lo que representó un gran desafío para el rastreo.

El 24 de diciembre, la policía japonesa confirmó que el incidente fue obra de un grupo de hackers internacional.

2. PlayDapp sufre un ataque de emisión excesiva de tokens

Monto de la pérdida: 290 millones de dólares Método de ataque: filtración de clave privada

El 9 de febrero de 2024, PlayDapp sufrió un duro golpe, los hackers, a través del robo de claves privadas, acuñaron 2 mil millones de tokens PLA, con un valor inicial de 36.5 millones de dólares. Debido a que el equipo del proyecto no logró negociar con los hackers, estos acuñaron posteriormente 15.9 mil millones de tokens PLA, valorados en 253.9 millones de dólares. Después de que parte de los tokens fluyeron a un intercambio, PlayDapp se vio obligado a suspender el contrato de PLA y migrar a un nuevo contrato de tokens. Este incidente resalta las deficiencias de los proyectos de blockchain en la protección de claves privadas y la respuesta a emergencias.

3. El wallet multifirma del mayor exchange de criptomonedas de India es atacado

Monto de la pérdida: 235 millones de dólares Métodos de ataque: ataques en red y phishing

El 18 de julio de 2024, el monedero multisig Safe Wallet del intercambio de criptomonedas más grande de India fue objeto de un ataque preciso. Los atacantes utilizaron técnicas de ingeniería social para inducir a los firmantes del multisig a aprobar una transacción de actualización de contrato, y luego aprovecharon los permisos del contrato actualizado para vaciar los activos del monedero. Este caso expuso los riesgos potenciales en la configuración de permisos y la transparencia operativa de los monederos multisig, y también provocó una profunda reflexión en la industria sobre los mecanismos de control interno y seguridad del proyecto.

4. La dirección privilegiada de Gala Games fue hackeada

Monto de pérdida: 216 millones de dólares Método de ataque: Vulnerabilidad de control de acceso

El 20 de mayo de 2024, una dirección privilegiada de Gala Games fue hackeada. Los atacantes llamaron a la función mint en el contrato de tokens y acuñaron 5 mil millones de tokens GALA de una sola vez. Luego, los hackers canjearon estos nuevos tokens acuñados en lotes por ETH, causando directamente una pérdida de 216 millones de dólares. El equipo de Gala Games activó de inmediato la función de lista negra para bloquear algunas cuentas de los hackers y recuperó parte de las pérdidas a través de vías legales.

5. El monedero personal del fundador de un conocido proyecto de criptomonedas fue robado

Monto de la pérdida: 112 millones de dólares Método de ataque: filtración de clave privada

El 31 de enero de 2024, cuatro wallets personales de un cofundador de un conocido proyecto de criptomonedas fueron hackeadas, lo que resultó en el robo de 112 millones de dólares en activos digitales. Estas wallets se convirtieron en un objetivo del ataque debido a la falta de protección de doble factor con hardware. Después del incidente, un importante intercambio logró congelar activos por valor de 4.2 millones de dólares y ayudó a rastrear los fondos robados, pero la mayor parte de los fondos ya había sido lavada a través de intercambios descentralizados y servicios de mezcla.

6. Munchables enfrenta infiltración interna

Monto de la pérdida: 62.5 millones de dólares Método de ataque: Ataque de ingeniería social

El 26 de marzo de 2024, la plataforma de juegos Web3 Munchables, basada en Blast, sufrió un raro ataque de infiltración interna. Los atacantes se hicieron pasar por desarrolladores de blockchain y, tras una larga espera, obtuvieron el código fuente y las claves sensibles. A pesar de las enormes pérdidas, bajo la presión de la comunidad y el equipo, los hackers finalmente devolvieron todos los fondos robados. Este evento resalta la importancia de la seguridad de la cadena de suministro, especialmente para los proyectos de blockchain que dependen de desarrolladores de terceros.

7. Un intercambio turco sufre una filtración de claves privadas

Monto de la pérdida: 55 millones de dólares Método de ataque: filtración de claves privadas

El 22 de junio de 2024, un importante intercambio de criptomonedas en Turquía sufrió un ataque de filtración de claves privadas, lo que resultó en la pérdida de más de 55 millones de dólares en activos criptográficos. Con la ayuda de un gran intercambio, se congelaron con éxito 5.3 millones de dólares en fondos robados, pero otros activos aún no se han recuperado. Este evento ha aumentado la preocupación del mercado sobre la capacidad de gestión de claves privadas de los intercambios centralizados.

8. La billetera multifirma de Radiant Capital fue atacada

Monto de la pérdida: 53 millones de dólares Método de ataque: filtración de claves privadas

El 17 de octubre de 2024, la billetera multifirma de Radiant Capital fue hackeada. Debido a que utilizaba un modo de verificación de firma 3/11 de bajo umbral, el hacker controló las claves privadas de 3 firmantes para iniciar una firma fuera de la cadena, transfiriendo la propiedad del contrato de la billetera a una dirección maliciosa, lo que finalmente resultó en el robo de 53 millones de dólares. Este ataque provocó una reflexión en la industria sobre el diseño y los mecanismos de gobernanza de las billeteras multifirma.

Es importante señalar que Radiant Capital había perdido 4.5 millones de dólares debido a un fallo en el contrato antes de este ataque, con más de 1900 ETH robados. Esto recuerda una vez más a los proyectos de Web3 la necesidad de prestar más atención a los problemas de seguridad.

9. Hedgey Finance, contratos multi cadena atacados

Monto de la pérdida: 44.7 millones de dólares Método de ataque: vulnerabilidad del contrato

El 19 de abril de 2024, Hedgey Finance sufrió un ataque dirigido a varios contratos en la cadena. Los hackers aprovecharon una vulnerabilidad en la autorización de su contrato ClaimCampaigns, logrando extraer tokens de las cadenas de Ethereum y Arbitrum, con una pérdida total de 44.7 millones de dólares. Este incidente destaca la importancia de la auditoría de código, especialmente la verificación rigurosa de la lógica de autorización de tokens.

10. La billetera caliente de un conocido intercambio fue hackeada

Monto de pérdida: 44.7 millones de dólares Método de ataque: filtración de clave privada

El 19 de septiembre de 2024, una conocida bolsa sufrió una violación de su billetera caliente por parte de hackers, afectando múltiples cadenas públicas como Ethereum, BNB Chain y Tron. A pesar de que la bolsa activó rápidamente los mecanismos de transferencia de activos y congelación de retiros, los hackers lograron extraer activos por un valor de 44.7 millones de dólares. Este ataque expone una vez más la alta riesgo de la gestión de billeteras calientes en las bolsas centralizadas, lo que impulsa al sector a explorar soluciones de almacenamiento de activos más seguras.

Los frecuentes incidentes de seguridad en 2024 nos recuerdan una vez más que el desarrollo de la industria de la blockchain depende de la garantía de seguridad. Desde la filtración de claves privadas hasta las vulnerabilidades de contratos, desde fallos en la gestión interna hasta la actualización de métodos de ataque externos, cada incidente ha traído lecciones profundas. Para hacer frente a las amenazas de ataque cada vez más complejas, todas las partes de la industria necesitan seguir invirtiendo en investigación y desarrollo tecnológico, normas de gestión y prevención de riesgos. En el futuro, esperamos que a través de la colaboración de la industria y la innovación tecnológica, se construya un ecosistema de blockchain más seguro, proporcionando una garantía más confiable para los usuarios e inversores.