گزارش هک و کلاهبرداری ارز دیجیتال تا اوت 2023
گزارش هک و کلاهبرداری ارز دیجیتال در هشت ماه نخست ۲۰۲۳، از خسارت قابل توجه کاربران و پروژه ها خبر می دهد. طبق گزارش Immunefi منتشرشده در ۱ سپتامبر ۲۰۲۳، مجموع زیان ثبت شده از ژانویه تا پایان اوت حدود ۱٫۲۴۵ میلیارد دلار بود. این آمار مربوط به کل سال نیست و نباید با گزارش های پایان سال مقایسه مستقیم شود.
در همان گزارش، زیان ماه اوت حدود ۲۳٫۳۷ میلیون دلار برآورد شده بود: حدود ۱۵٫۸۱ میلیون دلار مربوط به هک و ۷٫۵۵ میلیون دلار مربوط به موارد گزارش شده راگ پول بود. در راگ پول، پروژه پس از جذب سرمایه، نقدینگی یا دارایی را از دسترس کاربران خارج می کند. این گزارش فقط همین نوع موارد را در بخش تقلب بررسی کرده و آمار همه فیشینگ ها یا شکایت های مالی نیست.
برای فهم این آمار، باید زمان هر حادثه و نوع آن را جدا بررسی کرد. سه نمونه معروف Wormhole، Ronin و Poly Network که در ادامه می آیند، مربوط به سال های ۲۰۲۱ و ۲۰۲۲ هستند؛ آن ها را نباید به خسارت های سال ۲۰۲۳ اضافه کرد.
فهرست مطالب
گزارش هک ارز دیجیتال در DeFi و پل های بلاک چینی
DeFi به خدمات مالی مبتنی بر قراردادهای هوشمند گفته می شود. آسیب پذیری کد می تواند یکی از مسیرهای هک باشد، اما همه حمله ها از همین راه اتفاق نمی افتند. دسترسی به کلیدهای اعتبارسنج ها یا ضعف در تأیید پیام های میان دو شبکه هم می تواند دارایی ها را در معرض خطر قرار دهد.
پل بلاک چینی به انتقال دارایی یا پیام میان شبکه ها کمک می کند. هنگام استفاده از پل، علاوه بر امنیت شبکه مبدأ و مقصد، امنیت خود پل نیز اهمیت دارد. نمونه های زیر این تفاوت را روشن می کنند.
هک Wormhole در فوریه ۲۰۲۲
حمله Wormhole در ۲ فوریه ۲۰۲۲ اتفاق افتاد. طبق تحلیل فنی CertiK، حدود ۱۲۰ هزار واحد اترِ نماینده شده در Wormhole، با ارزش تقریبی بیش از ۳۲۰ میلیون دلار در آن زمان، درگیر این حادثه بود.
Wormhole ارتباط میان بلاک چین ها را فراهم می کند. در این حادثه، مشکل در بررسی اعتبار پیام ها و امضاها اجازه داد دارایی نماینده شده بدون پشتوانه کافی ایجاد شود.
این نمونه نشان می دهد صرف استفاده از قرارداد هوشمند، امنیت یک پل را تضمین نمی کند. بررسی پیام ها و پشتوانه دارایی های صادرشده هم بخش مهمی از امنیت آن است.
هک Ronin Network در مارس ۲۰۲۲
حمله Ronin در ۲۳ مارس ۲۰۲۲ رخ داد. طبق گزارش خود شبکه، ۱۷۳٬۶۰۰ اتر و ۲۵٫۵ میلیون USDC از پل خارج شد.
Ronin شبکه ای مرتبط با بازی Axie Infinity است که Sky Mavis آن را توسعه داد. در این حادثه، مهاجم به کلیدهای لازم برای تأیید برداشت از پل دسترسی پیدا کرد. این موضوع با یک باگ در کد قرارداد یا فیشینگ مستقیم از همه بازیکنان یکسان نیست.
برای خواندن جزئیات، اطلاعیه تیم Axie Infinity درباره حادثه Ronin را ببینید. این نمونه اهمیت حفاظت از کلیدهای اعتبارسنجی و کنترل دسترسی را نشان می دهد؛ بزرگی و شهرت یک پروژه به تنهایی تضمین امنیت نیست.
هک Poly Network در اوت ۲۰۲۱
حمله معروف Poly Network در ۱۰ اوت ۲۰۲۱ رخ داد. تحلیل CertiK ارزش دارایی های درگیر را حدود ۶۱۰ میلیون دلار برآورد کرده است. این رقم برآورد همان زمان است، نه قیمت امروز دارایی ها و نه خسارت سال ۲۰۲۳.
Poly Network نیز برای ارتباط میان شبکه های بلاک چینی استفاده می شود. در این حمله، از ضعف در منطق قراردادهای ارتباط میان شبکه ها سوءاستفاده شد. درباره چنین رخدادهایی، بهتر است مبلغ اولیه خروج دارایی را با زیان نهایی پس از بازگشت احتمالی وجوه یکی ندانیم.
در استفاده از خدمات DeFi، خواندن گزارش های امنیتی و شناخت شیوه نگهداری دارایی مفید است. بااین حال، هیچ بررسی یا حسابرسی ای نمی تواند احتمال همه خطاهای آینده را به صفر برساند.
کلاهبرداری ارز دیجیتال با فیشینگ
فیشینگ یعنی فریب دادن کاربر با پیام، سایت یا هویت جعلی. هدف ممکن است گرفتن رمز حساب، عبارت بازیابی یا وادار کردن کاربر به امضای درخواست مخرب باشد. ظاهر مشابه سایت اصلی یا استفاده از نام یک صرافی، اعتبار پیام را ثابت نمی کند.
نام بردن از یک بازی یا صرافی، بدون مشخص کردن تاریخ، منبع و نوع حادثه، برای معرفی آن به عنوان نمونه کلاهبرداری کافی نیست. برای بررسی یک خبر، ابتدا ببینید مشکل از زیرساخت پروژه بوده یا شخصی با جعل نام آن، کاربران را هدف گرفته است.
سوءاستفاده مالی با هک چه فرقی دارد؟
هک معمولاً به دسترسی یا برداشت غیرمجاز از سامانه مربوط می شود. فیشینگ بر فریب کاربر تکیه دارد. سوءاستفاده مالی هم عنوانی کلی است و ممکن است به رفتارهای متفاوتی اشاره کند. ورشکستگی، اختلاف بر سر برداشت و حمله فنی را نباید بدون سند، یک اتفاق واحد دانست.
به همین دلیل، یک خبر قابل بررسی باید نام دقیق خدمت، زمان حادثه، دارایی درگیر و منبع ادعا را روشن کند. تیترهایی مثل «بزرگ ترین کلاهبرداری» بدون این جزئیات، تصویر درستی از خطر نمی دهند.
راهکارهای کاهش خطر هک و کلاهبرداری
هک ها و کلاهبرداری ها همچنان از خطرهای استفاده از ارزهای دیجیتال هستند. کارهای زیر می تواند احتمال برخی خسارت ها را کمتر کند، اما جای امنیت خود پلتفرم را نمی گیرد:
برای حساب های آنلاین، رمز قوی و جداگانه انتخاب کنید و احراز هویت دو مرحله ای را فعال کنید.
عبارت بازیابی و کلید خصوصی را در اختیار هیچ شخص یا سایت پشتیبانی قرار ندهید.
پیش از ورود اطلاعات یا اتصال کیف پول، آدرس سایت را بررسی کنید.
پیش از امضا، آدرس مقصد و مجوز خرج کردن توکن ها را بخوانید.
کیف پول سخت افزاری به حفاظت از کلید کمک می کند، اما تأیید یک درخواست مخرب همچنان می تواند خطرساز باشد.
این نکات در راهنمای امنیت اتریوم توضیح داده شده اند. برای دیدن تفاوت افشای عبارت بازیابی، مجوز مخرب و آلودگی دستگاه، راهنمای سناریوهای هک تراست ولت را هم بخوانید.
