Yeni yılın başında CertiK'in tüm yıl için büyük haberi söz verdiği gibi geliyor - "Hack3d: 2023 Web 3.0 Güvenlik Raporu" 3 Ocak Pekin saatiyle 22:00'da yayınlandı. Sektörün büyük ilgisini çeken bu rapor, geçtiğimiz yıl Web 3.0 alanında yaşanan güvenlik olaylarının istatistikleri ve analizleri aracılığıyla Web 3.0 güvenliğindeki en son trendleri kapsamlı bir şekilde ortaya koyuyor.
Sektördeki en ayrıntılı ve yetkili güvenlik raporu olan "Hack3d: 2023 Web3.0 Güvenlik Raporu", 2023 yılı boyunca Web3.0 ekosisteminde meydana gelen hacker saldırıları, dolandırıcılık, güvenlik açığı istismarı ve diğer olaylara ilişkin kapsamlı istatistik ve analizleri kapsar. Geliştiriciler, uygulayıcılar, düzenleyiciler, kullanıcılar ve meraklıların Web 3.0 güvenliğinin mevcut durumunu, zorluklarını ve fırsatlarını anlamaları için önemli bir kılavuzdur.
Raporun tamamını okumadan önce 2023 yılında Web 3.0 sektörünün genel güvenlik ortamına hızlıca bir göz atalım:
Yıllık Genel Bakış - Toplam güvenlik olayı kayıpları yarıdan fazla azaldı
2023 yılında toplam 751 güvenlik olayı meydana geldi ve 1,84 milyar ABD doları tutarında varlık kaybına neden oldu. Kayıp miktarı 2022'deki 3,7 milyar ABD dolarından %51 azaldı. CertiK, istatistiksel analizler yoluyla bu düşüşün birden fazla nedeninin olduğuna inanmaktadır.Akıllı sözleşme protokollerinin geliştirilmesi ve evrimi, kullanıcı davranışındaki değişiklikler, güvenlik önlemlerinin yükseltilmesi ve etkinliği, güvenlik olaylarının toplam kaybındaki azalmayla yakından ilgilidir. . Ayrıca makro sektör eğilimlerinin de güvenlik olaylarının sayısı ve neden olduğu kayıplar üzerinde belirli bir etkisi var.
Veri öngörüleri
Güvenlik olaylarının zamanlamasını, türlerini ve ekosistemlerini kategorize ederek çalışmaya değer bazı içgörüleri ortaya çıkardık:
- Kayıplar üçüncü çeyrekte en yüksek seviyedeydi ve Kasım ayı en ağır aydı. 2023'ün üçüncü çeyreği, 686 milyon ABD doları tutarında zarara neden olan toplam 183 güvenlik olayıyla yılın en maliyetli çeyreği oldu; Kasım ayında, 364 milyon ABD doları tutarında zarara neden olan toplam 45 güvenlik olayı yaşandı.
- En fazla kayba, özel anahtar sızıntısı gibi olaylar neden olur. Her ne kadar toplam olay sayısı tüm olayların yalnızca %6,3'ünü oluştursa da, 881 milyon ABD doları tutarında zarara neden oldu; bu da yıl içindeki toplam kayıpların neredeyse yarısına tekabül ediyor.
- Ethereum en yüksek toplam kayıp miktarına sahiptir. 2023 yılında Ethereum'da 224 güvenlik olayı meydana geldi ve bu olay 686 milyon ABD doları tutarında kayba neden oldu. Olay başına ortalama kayıp yaklaşık 3 milyon ABD doları oldu. Tüm ekosistemler arasında Ethereum 2023'te en fazla güvenlik olayı yaşamadı ancak toplam kayıp miktarı en yüksek olanı oldu.
- Zincirler arası güvenlik olayları ağır kayıplara neden olur. 2023'te yalnızca 35 zincirler arası güvenlik olayı 799 milyon ABD doları tutarında kayba neden oldu; bu da birlikte çalışabilirlik güvenlik açıklarının sektör güvenliği açısından sıkıntılı bir nokta olmaya devam ettiğini gösteriyor.
Endüstri akımları
Öte yandan, bir dizi büyük güvenlik olayının karşılaştırmalı analizi yoluyla, geniş çapta ilgi çeken bazı yeni sektör eğilimlerini de keşfettik:
Endüstri akımları
Öte yandan, bir dizi büyük güvenlik olayının karşılaştırmalı analizi yoluyla, geniş çapta ilgi çeken bazı yeni sektör trendlerini de keşfettik:
1. "Geriye dönük hata ödülü"nün geri dönüş miktarı arttı, ancak "durumu gerçekleşmeden önce onarmak", "sorunları gerçekleşmeden önce önlemek" kadar iyi değil
2023 yılında, saldırganlarla yapılan "geçmişe dönük hata ödülü" müzakereleri yoluyla 34 güvenlik olayında 219 milyon ABD doları tutarındaki kayıp kurtarıldı ve bu, 1,8 milyar ABD doları tutarındaki toplam kaybın %12'sini oluşturdu. Önceki yıllarla karşılaştırıldığında, müzakere edilen getiri miktarı %54 arttı. CertiK, bu stratejinin projelerin kayıpları bir dereceye kadar telafi etmesine yardımcı olabilmesine rağmen, Web3.0 projelerinin varlık güvenliğini korumak için bilgisayar korsanlarıyla pazarlık yapmaya kesinlikle güvenemeyeceğine inanıyor. Bu nedenle, beyaz şapkalı güvenlik uzmanlarını bir saldırı gerçekleşmeden önce güvenlik açıklarını bildirmeye tam olarak teşvik eden bir ödül platformunun kurulması çok önemlidir.
Farklı proje taraflarının "geriye dönük hata ödülü" müzakerelerine yönelik tutumları hakkında daha fazla bilgi edinmek istiyorsanız, Euler Finance ve KyberSwap'in iki olayına yönelik takip çözümlerinin ayrıntılı analizini raporda okuyabilirsiniz.
2. Web2.0 riskinin Web3.0'a yayılması—uzun vadeli ve devam eden bir zorluk
14 Aralık'ta Web3.0 donanım cüzdanı devi Ledger büyük bir güvenlik kriziyle karşılaştı. Eski bir Ledger çalışanı kimlik avı saldırısının kurbanı oldu. Saldırgan, NPMJS hesabını Github aracılığıyla kontrol etti, Ledger'in NPMJS'sine kötü amaçlı kod yükledi ve ardından Ledger Connect Kit'e başarıyla erişim sağlayarak cüzdan kullanıcılarını kötü amaçlı web sitelerine yönlendirdi. Ledger, güvenlik açığını keşfettikten sonra 40 dakika içinde olası takip tehditlerini içeren güncellemeleri hızlı bir şekilde dağıttı. Saldırı, yaklaşık 610.000 ABD Doları tutarında doğrudan kayba neden oldu ve miktar çok büyük olmasa da Ledger'in itibarı üzerinde ölçülemeyecek kadar olumsuz bir etki yarattı.
Bu Ledger olayı, CertiK ve WalletConnect'in XSS güvenlik açıklarını çözmek için güçlerini birleştirmesi vakası gibi, bize Web3.0 ve blockchain ekosisteminin merkezi olmayan bir ruha sahip olmasına rağmen mevcut Web3.0 uygulamalarının hala çok sayıda Web2.0 ekolojik bileşenini kullandığını hatırlatıyor. Hesap sistemleri, QR kodları, kod kitaplıkları vb. gibi . Bir çalışanın hesabı bir kimlik avı saldırısıyla başarılı bir şekilde saldırıya uğradığında, Web3.0 kullanıcılarının çoğunluğu için büyük kayıplara neden olabilir. Bu amaçla, CertiK de dahil olmak üzere Web 3.0 güvenlik uygulayıcılarının, merkezi olmayan yönetim kavramı ile yazılım geliştirme ve bakımının gerçek gerçekliği arasında bir denge bulması gerekiyor.Bu, uzun vadeli ve devam eden bir zorluktur.
3. Sanayi denetimi olgunlaşmaya devam ediyor
2023 yılında, Web3.0 denetimi yavaş yavaş olgunlaştıkça, giderek daha fazla kurumun blockchain teknolojisi ile geleneksel işletmelerin birleşimini aktif olarak keşfetmeye başladığını görmekten memnuniyet duyuyoruz. Swift'in birlikte çalışabilirliği teşvik etme çabaları, dünya çapında birçok bankanın varlık tokenizasyonu alanındaki uygulamaları ve Paypal gibi İnternet finans devlerinin istikrarlı para birimi düzeyindeki araştırmaları, işletmelerin blockchain teknolojisi ve ekolojik çevre konusunda güçlü bir anlayışa sahip olduğunu gösteriyor. Web3.0 konusundaki fikir birliği sürekli güçleniyor.
Düzenleme açısından Hong Kong, Singapur, Japonya, Amerika Birleşik Devletleri, Avrupa Birliği ve Birleşik Krallık dahil olmak üzere birçok bölge, stabilcoinler için düzenleyici çerçeveler veya yönergeler uygulamaya koydu. CertiK ekibi ayrıca yakın zamanda danışmanlık uzmanı olarak görev yaptı ve Singapur Para Otoritesi'ne (MAS) stabilcoin çerçevesini formüle etme konusunda profesyonel tavsiyelerde bulundu ve MAS tarafından tanındı. CertiK ayrıca yakın zamanda stabilcoin güvenlik denetimi ve uyumluluk danışmanlığı hizmetlerini de başlattı ve çeşitli bölgelerdeki düzenleyici kurumlarla istişare faaliyetlerine aktif olarak katılarak stablecoin alanının güvenlik gelişimini ve Web3.0'ın geniş ölçekli uygulanmasını desteklemeye devam edecek.
Sertifika 2023
Tüm sektörün ortak çabalarıyla Web3.0 güvenliği 2023 yılında birçok açıdan ilerleme kaydetti. CertiK bu alana katkıda bulunmaya devam etmekten ve Web 3.0'ın geleceğine yönelik çalışmaktan onur duymaktadır. CertiK'in 2023'teki öne çıkan anlarına bir göz atalım:
Temmuz 2023'te SOC 2 Type I sertifikasını alan ilk Web3.0 güvenlik denetim şirketi oldu.
Ağustos 2023'te Worldcoin sisteminde bir güvenlik açığı keşfedildi.
Eylül 2023'te Web3.0 uyumluluk ve risk yönetimi ürünü SkyInsights piyasaya sürüldü.
Kasım 2023'te Web3.0 mobil terminalinde çok sayıda önemli güvenlik açığı keşfedildi.
Aralık 2023'te Cosmos ekolojik güvenlik rehberi yayınlanacak.
Aralık 2023'te WalletConnect Verify API'sinde bir XSS güvenlik açığı keşfedildi.
Aralık 2023'te Wormhole ve OKX mobil terminallerindeki güvenlik açıkları keşfedildi.
Aralık 2023'te Wormhole ve OKX mobil terminallerindeki güvenlik açıkları keşfedildi.
Bu, CertiK'in 2023'te Web 3.0 endüstrisinin güvenliğini korumaya yönelik çabalarının yalnızca küçük bir kısmı. 2023'teki kod denetiminin her satırına, her olayın ardından tüm gece süren takiplere, her analiz ve araştırma makalesine baktığımızda, bunlar Web 3.0'ın gelecekteki dünyasına yönelik taahhüdümüz ve beklentilerimizdir.
Tüm Web3.0 uygulayıcılarına, güvenlik uzmanlarına ve kullanıcılarına, bu yolda bizimle oldukları için teşekkür ederiz. 2023 yılında elde edilen kazanımların ve öğrenilen derslerin, güvenli bir Web3.0 dünyasının inşasında en değerli zenginlik olacağına inanıyorum.
"Hack3d: 2023 Web3.0 Güvenlik Raporu"nun PDF versiyonuna anında ulaşmak için yazının sonundaki "Orijinal metni oku" seçeneğine tıklayın.
Tüm Yorumlar