Préface
Ce rapport de recherche est lancé par l'Alliance de sécurité Blockchain et créé conjointement par ses membres Beosin et Footprint Analytics. Il vise à fournir une exploration complète du paysage mondial de la sécurité blockchain en 2024. À travers une analyse et une évaluation de l'état actuel de la sécurité blockchain dans le monde entier, le rapport dévoilera les défis et les menaces de sécurité auxquels nous sommes confrontés aujourd'hui, tout en proposant des solutions et des meilleures pratiques. Grâce à ce rapport, les lecteurs pourront mieux comprendre l'évolution dynamique de la sécurité de la blockchain Web3. Cela aidera les lecteurs à évaluer et à relever les défis de sécurité auxquels ils sont confrontés dans l'espace blockchain. De plus, le rapport fournit des informations précieuses sur les mesures de sécurité et les tendances de développement de l'industrie, aidant ainsi les lecteurs à prendre des décisions et des actions éclairées dans ce domaine émergent. La sécurité et la réglementation de la blockchain sont des problèmes clés dans le développement de l'ère Web3. Grâce à des recherches et des discussions approfondies, nous pouvons mieux comprendre et relever ces défis, favorisant ainsi la sécurité et le développement durable de la technologie blockchain.
Selon la surveillance effectuée par la plate-forme Alert de la société d'audit de sécurité Beosin, les pertes totales dans l'espace Web3 en 2024 en raison d'attaques de hackers, d'escroqueries de phishing et de rug pulls par des équipes de projets ont atteint 2,513 milliards de dollars. Parmi celles-ci, il y avait 131 incidents d'attaques majeures, causant des pertes d'environ 1,792 milliard de dollars; 68 incidents de rug pull par des équipes de projet, avec des pertes totalisant environ 148 millions de dollars; et les escroqueries de phishing ont causé une perte totale d'environ 574 millions de dollars.
En 2024, les attaques de pirates informatiques et les escroqueries par hameçonnage ont connu une augmentation significative par rapport à 2023, avec une hausse de 140,66% des escroqueries par hameçonnage. Les pertes liées aux incidents de 'rug pull' par les équipes de projet ont notablement diminué, chutant d'environ 61,94%.
En 2024, les types de projets affectés par les attaques comprenaient DeFi, CEX, DEX, chaînes publiques, ponts inter-chaînes, portefeuilles, plateformes de paiement, plateformes de jeu, courtiers en crypto, infrastructures, gestionnaires de mots de passe, outils de développement, bots MEV, bots TG, et autres. DeFi était le type de projet le plus fréquemment attaqué, avec 75 attaques sur DeFi causant des pertes totales d'environ 390 millions de dollars. CEX a enregistré le montant total de pertes le plus élevé, avec 10 attaques sur CEX entraînant des pertes d'environ 724 millions de dollars.
En 2024, des attaques ont eu lieu sur plusieurs types de chaînes publiques, avec plusieurs incidents de sécurité impliquant des vols sur différentes chaînes. Ethereum est resté la chaîne publique avec le montant de pertes le plus élevé, avec 66 attaques sur Ethereum entraînant des pertes d'environ 844 millions de dollars, soit 33,57% des pertes totales de l'année.
Du point de vue des méthodes d'attaque, 35 incidents de fuite de clés privées ont causé des pertes d'environ 1,306 milliard de dollars, soit 51,96% des pertes totales, en faisant la méthode d'attaque la plus dommageable.
L'exploitation de vulnérabilités de contrat était la méthode d'attaque la plus fréquente, avec 76 des 131 attaques provenant de vulnérabilités de contrat, représentant 58,02% du total des incidents.
Environ 531 millions de dollars de fonds volés ont été récupérés, ce qui représente environ 21,13 %. Environ 109 millions de dollars de fonds volés ont été transférés à des mélangeurs, représentant environ 4,34 % du total des fonds volés, soit une baisse d'environ 66,97 % par rapport à 2023.
En 2024, il y a eu 5 grands incidents d'attaque avec des pertes dépassant 100 millions de dollars : DMM Bitcoin (304 millions de dollars), PlayDapp (290 millions de dollars), WazirX (235 millions de dollars), Gala Games (216 millions de dollars), et le vol de Chris Larsen (112 millions de dollars). Les pertes totales des 10 principaux incidents de sécurité se sont élevées à environ 1,417 milliard de dollars, soit environ 79,07% des pertes totales annuelles dues à des attaques.
Méthode d'attaque: Fuite de clé privée
Le 31 mai 2024, la bourse de cryptomonnaie japonaise DMM Bitcoin a été attaquée et plus de 304 millions de dollars de Bitcoin ont été volés. Les pirates ont dispersé les fonds volés sur plus de 10 adresses dans le but de les blanchir.
Perte : $290 million
Méthode d'attaque : Fuite de clé privée
Le 9 février 2024, la plateforme de jeux blockchain PlayDapp a été attaquée, les pirates ont créé 2 milliards de jetons PLA d'une valeur de 36,5 millions de dollars. Après des négociations infructueuses avec PlayDapp, le 12 février, les pirates ont créé 15,9 milliards de jetons PLA d'une valeur de 253,9 millions de dollars et ont envoyé une partie des fonds à l'échange gate. PlayDapp a ensuite mis en pause le contrat PLA et a migré les jetons PLA en jetons PDA.
Montant de la perte : $235 million
Méthode d'attaque: Attaque réseau et phishing
Le 18 juillet 2024, le portefeuille multi-signature de l'échange de cryptomonnaie indien WazirX a été volé, entraînant une perte de plus de 235 millions de dollars. Le portefeuille multi-signature était un contrat intelligent de portefeuille sécurisé. L'attaquant a trompé les signataires multi-signature en signant une transaction de mise à niveau, et grâce au contrat mis à niveau, a transféré les actifs directement depuis le portefeuille.
Montant de la perte : $216 million
Méthode d'attaque : Vulnérabilité de contrôle d'accès
Le 20 mai 2024, une adresse privilégiée de Gala Games a été compromise. L'attaquant a utilisé cette adresse pour appeler la fonction de création et a directement créé 5 milliards de jetons GALA d'une valeur d'environ 216 millions de dollars, convertissant les jetons créés en ETH par lots. L'équipe de Gala Games a ensuite utilisé la fonction de liste noire pour bloquer le pirate et récupérer les pertes.
Montant de la perte : $112 million
Méthode d'attaque : Fuite de clé privée
Le 31 janvier 2024, Chris Larsen, co-fondateur de Ripple, a signalé que quatre de ses portefeuilles avaient été piratés, entraînant une perte totale d'environ 112 millions de dollars. L'équipe de Binance a réussi à geler pour 4,2 millions de dollars de jetons XRP volés.
Montant de la perte : 62,5 millions de dollars
Méthode d'attaque: Attaque d'ingénierie sociale
Le 26 mars 2024, la plateforme de jeu Web3 Munchables, basée sur Blast, a été attaquée, ce qui a entraîné une perte d'environ 62,5 millions de dollars. Le projet a été attaqué car il employait des pirates informatiques nord-coréens en tant que développeurs. Tous les fonds volés ont finalement été restitués par les pirates informatiques.
Montant de la perte : $55 millions
Méthode d'attaque : Fuite de clé privée
Le 22 juin 2024, la bourse turque de cryptomonnaie BTCTurk a été attaquée, ce qui a entraîné une perte d'environ 55 millions de dollars. Binance a aidé à geler plus de 5,3 millions de dollars des fonds volés.
Montant de la perte : $53 millions
Méthode d'attaque : Fuite de clé privée
Le 17 octobre 2024, le protocole de prêt multi-chaîne Radiant Capital a été attaqué. L'attaquant a illégalement acquis les autorisations de 3 propriétaires du portefeuille multi-signatures de Radiant Capital. Le portefeuille multi-signatures utilisait un modèle de validation de signature 3/11, et l'attaquant a utilisé les 3 clés privées pour une signature hors ligne. L'attaquant a ensuite initié une transaction on-chain pour transférer la propriété du contrat Radiant Capital à un contrat malveillant sous le contrôle de l'attaquant, entraînant une perte de plus de 53 millions de dollars.
Montant de perte: $44.7 millions
Méthode d'attaque : Vulnérabilité du contrat
Le 19 avril 2024, Hedgey Finance a été attaqué à plusieurs reprises par un attaquant. L'attaquant a exploité une vulnérabilité d'approbation de jeton pour voler un grand nombre de jetons du contrat ClaimCampaigns, dont des jetons d'une valeur de plus de 2,1 millions de dollars volés sur la chaîne Ethereum et des jetons d'une valeur d'environ 42,6 millions de dollars volés sur la chaîne Arbitrum.
Montant de la perte : $44.7 million
Méthode d'attaque : Fuite de clé privée
Le 19 septembre 2024, le portefeuille chaud de l'échange BingX a été attaqué. Bien que BingX ait activé des mesures d'urgence, notamment le transfert d'actifs et la suspension des retraits, les statistiques de Beosin montrent que la perte totale due à l'écoulement anormal d'actifs du portefeuille chaud s'est élevée à 44,7 millions de dollars. Les actifs volés concernaient plusieurs blockchains, notamment Ethereum, BNB Chain, Tron, Polygon, Avalanche et Base.
En 2024, les types de projets attaqués comprenaient non seulement des types courants tels que DeFi, CEX, DEX, chaînes publiques et ponts inter-chaînes, mais s'étendaient également aux plateformes de paiement, aux plateformes de jeu, aux courtiers en crypto, à l'infrastructure, aux gestionnaires de mots de passe, aux outils de développement, aux bots MEV, aux bots TG et à divers autres types de projets.
En 2024, les attaques de projets DeFi ont eu lieu 75 fois, en faisant le type de projet le plus fréquemment attaqué (environ 50,70 %). La perte totale due aux attaques DeFi s'élevait à environ 390 millions de dollars, ce qui représente environ 15,50 % de toutes les pertes, en faisant le quatrième type de projet en termes de montant de perte.
Le type de projet ayant subi les pertes les plus élevées était les CEX (centralized exchanges). Dix attaques sur les CEX ont entraîné des pertes d'environ 724 millions de dollars, ce qui en fait le type de projet ayant subi le montant de pertes le plus élevé. Dans l'ensemble, les échanges étaient le type de projet le plus fréquemment attaqué en 2024, et la sécurité des échanges reste le plus grand défi de l'écosystème Web3.
La deuxième plus grande perte provenait des portefeuilles personnels, avec une perte totale d'environ 445 millions de dollars. Douze attaques visant les baleines de crypto, ainsi que de nombreuses attaques de phishing et d'ingénierie sociale contre les utilisateurs réguliers, ont entraîné une augmentation de 464,72% de la perte totale des portefeuilles personnels par rapport à 2023, faisant de la sécurité des portefeuilles personnels le deuxième plus grand défi après la sécurité des échanges.
Comparé à 2023, les types de chaînes publiques attaquées en 2024 étaient plus diversifiés. Les cinq chaînes les plus touchées en termes de pertes étaient Ethereum, Bitcoin, Arbitrum, Ripple et Blast.
Les six principales chaînes par le nombre d'événements d'attaque étaient :
Ethereum, BNB Chain, Arbitrum, Autres, Base et Solana.
En 2023, Ethereum est resté la chaîne avec le montant de perte le plus élevé. Soixante-six attaques sur Ethereum ont causé environ 844 millions de dollars de pertes, soit 33,59% de la perte annuelle totale.
Note : Les données de perte totale n'incluent pas les pertes de hameçonnage on-chain et certaines pertes de portefeuille chaud CEX. Les pertes du réseau Bitcoin ont été classées au deuxième rang, avec un incident de sécurité unique entraînant une perte de 238 millions de dollars. Arbitrum s'est classé troisième, avec une perte totale d'environ 114 millions de dollars.
Les méthodes d'attaque en 2024 étaient très diversifiées. En plus des attaques courantes de vulnérabilité de contrat, plusieurs autres méthodes ont été utilisées, notamment les attaques d'approvisionnement, les attaques de fournisseurs de services tiers, les attaques de l'homme du milieu, les attaques DNS et les attaques de front-end.
En 2024, 35 incidents de fuite de clé privée ont entraîné une perte totale de 1,306 milliard de dollars, soit 51,96% de la perte totale, ce qui en fait la méthode d'attaque la plus dommageable. Les incidents de fuite de clé privée notables comprenaient: DMM Bitcoin (304 millions de dollars), PlayDapp (290 millions de dollars), le co-fondateur de Ripple Chris Larsen (112 millions de dollars), BTCTurk (55 millions de dollars), Radiant Capital (53 millions de dollars), BingX (44,7 millions de dollars) et DEXX (21 millions de dollars).
L'exploitation de vulnérabilités contractuelles était la méthode d'attaque la plus fréquente. Sur les 131 incidents d'attaque, 76 étaient dus à des vulnérabilités contractuelles, représentant 58,02% du total. La perte totale due aux vulnérabilités contractuelles s'élevait à environ 321 millions de dollars, se classant troisième en termes de montant de perte.
En termes de vulnérabilités spécifiques, les incidents les plus fréquents et les plus importants en termes de pertes étaient dus à des vulnérabilités de la logique métier. Environ 53,95 % des pertes dues à des vulnérabilités contractuelles étaient causées par des défauts de logique métier, entraînant une perte d'environ 158 millions de dollars.
Le 17 novembre 2024, la surveillance Beosin Alert a détecté une attaque sur Polter Finance, un protocole de prêt sur la chaîne FTM. L'attaquant a manipulé le prix du jeton dans le contrat du projet pour réaliser des bénéfices en utilisant un prêt flash.
Le contrat LendingPool attaqué (0xd47ae558623638f676c1e38dad71b53054f54273) a utilisé 0x6808b5ce79d44e89883c5393b487c4296abb69fe comme oracle. Cet oracle a utilisé un contrat de price-feed récemment déployé (0x80663edff11e99e8e0b34cb9c3e1ff32e82a80fe), qui calcule les prix en fonction des réserves de jetons dans le contrat uniswapV2_pair (0xEc71), un contrat vulnérable aux attaques de flash loan.
L'attaquant a utilisé un prêt éclair pour gonfler artificiellement le prix du jeton $BOO et emprunter d'autres actifs cryptographiques. Les fonds volés ont ensuite été convertis en jetons FTM et croisés à la chaîne ETH, où tous les fonds étaient stockés. Ci-dessous se trouve un diagramme de flux illustrant le mouvement des fonds sur les chaînes ARB et ETH:
Le 20 novembre, l'attaquant a continué de transférer plus de 2 625 ETH vers Tornado Cash, comme le montre le diagramme ci-dessous :
Le 23 février 2024, l'enquêteur blockchain bien connu ZachXBT a révélé via son outil d'analyse que le portefeuille chaud de BitForex a connu une sortie de 56,5 millions de dollars et que la plateforme a suspendu les services de retrait pendant ce processus.
L'équipe de sécurité de Beosin a mené un suivi et une analyse approfondis de l'incident BitForex à l'aide de Trace :
Ethereum
Le 24 février 2024, à 6h11 (UTC+8), BitForex a commencé le transfert de 40 771 USDT, 258 700 USDC, 148,01 ETH et 471 405 TRB vers une adresse de sortie Ethereum (0xdcacd7eb6692b816b6957f8898c1c4b63d1fc01f).
Le 9 août, l'adresse de sortie a transféré tous les jetons, sauf TRB, de retour au compte de BitForex (0xcce7300829f49b8f2e4aee6123b12da64662a8b8).
Du 9 novembre au 10 novembre, l'adresse de sortie a transféré 355 000 TRB à quatre adresses d'utilisateurs OKX différentes via sept transactions :
0x274c481bf400c2abfd2b5e648a0056ef34970b0a
0x45798ca76a589647acc21040c50562dcc33cf6bf
0x712d2fd67fe65510c5fad49d5a9181514d94183d
0xe8ec263ad9ee6947bf773837a2c86dff3a737bba
Par la suite, l'adresse de sortie a transféré les 116 414,93 TRB restants à une adresse intermédiaire (0xbb217bd37c6bf76c6d9a50fefc21caa8e2f2e82e), qui a ensuite été divisée en deux transactions et envoyée à deux adresses d'utilisateurs Binance différentes :
0x431c916ef45e660dae7cd7184e3226a72fa50c0c
0xe7b1fb77baaa3bba9326af2af3cd5857256519df
Chaîne BNB
Le 24 février, BitForex a retiré 166 ETH, 46 905 USDT et 57 810 USDC vers une adresse BNB Chain (0xdcacd7eb6692b816b6957f8898c1c4b63d1fc01f), où il reste.
Polygon
Le 24 février, BitForex a retiré 99 000 MATIC, 20 300 USDT et 1 700 USDC à une adresse de chaîne Polygon (0xdcacd7eb6692b816b6957f8898c1c4b63d1fc01f).
Sur les 99 000 MATIC, 8 000 ont été transférés à l'adresse 0xcce7300829f49b8f2e4aee6123b12da64662a8b8 le 9 août, où ils restent, et le reste des jetons USDT et USDC reste également.
TRON
Le 24 février, BitForex a retiré 44 000 TRX et 657 698 USDT vers une adresse de la chaîne TRON (TQcnqaU4NDTR86eA4FZneeKfJMiQi7i76o).
Le 9 août, ces jetons ont tous été transférés à nouveau à l'adresse de l'utilisateur de BitForex (TGiTEXjqx1C2Y2ywp7gTR8aYGv8rztn9uo).
Bitcoin
À partir du 24 février, 16 adresses BitForex ont commencé à transférer un total de 5,7 BTC vers une adresse de chaîne BTC (3DbbF7yxCR7ni94ANrRkfV12rJoxrmo1o2).
Le 9 août, les 5,7 BTC ont été entièrement transférés à l'adresse de BitForex (11dxPFQ8K9pJefffHE4HUwb2aprzLUqxz).
En résumé, le 24 février, BitForex a transféré 40 771 USDT, 258 700 USDC, 148,01 ETH et 471 405 TRB sur la chaîne Ethereum ; 44 000 TRX et 657 698 USDT sur la chaîne TRON ; 5,7 BTC sur la chaîne BTC ; 166 ETH, 46 905 USDT et 57 810 USDC sur la chaîne BNB ; et 99 000 MATIC, 20 300 USDT et 1 700 USDC sur la chaîne Polygon.
Le 9 août, tous les jetons de la chaîne BTC, de la chaîne TRON et de la chaîne Ethereum (à l'exception de TRB) ont été transférés à BitForex. Les 9 et 10 novembre, les 471 405 TRB ont été entièrement transférés sur quatre comptes OKX et deux comptes Binance.
Ainsi, tous les jetons sur les chaînes ETH, TRON et BTC ont été transférés, et sur BSC, il reste 166 ETH, 46 905 USDT et 57 810 USDC, tandis que sur POL, il reste 99 000 MATIC, 20 300 USDT et 1 700 USDC.
Adresse de dépôt d'échange TRB attachée :
En 2024, environ 1,312 milliard de dollars des fonds volés sont restés dans les adresses des hackers (y compris les fonds transférés entre les chaînes et dispersés vers de multiples adresses), ce qui représente 52,20% du total des fonds volés. Par rapport à l'année dernière, cette année, les hackers ont été plus enclins à blanchir les fonds à travers de multiples transactions entre chaînes et à disperser les actifs volés dans de nombreuses adresses, plutôt que d'utiliser directement des mélangeurs. L'augmentation du nombre d'adresses et de la complexité des chemins de blanchiment ajoute indéniablement à la difficulté pour les équipes de projet et les autorités de réglementation d'enquêter sur ces activités.
Environ 531 millions de dollars de fonds volés ont été récupérés, soit environ 21,13 %. En 2023, le montant des fonds récupérés était d'environ 295 millions de dollars.
Tout au long de l'année, environ 109 millions de dollars de fonds volés ont été transférés dans des mélangeurs, ce qui représente environ 4,34% du total des fonds volés. Depuis que l'OFAC américain a sanctionné Tornado Cash en août 2022, le montant des fonds volés transférés dans Tornado Cash a considérablement diminué.
Parmi les 131 incidents d'attaque, 42 incidents concernaient des projets qui n'avaient pas fait l'objet d'une vérification, 78 incidents concernaient des projets qui avaient été vérifiés et 11 incidents avaient un statut de vérification flou.
Parmi les 42 projets qui n'avaient pas été audités, 30 incidents (environ 71,43%) étaient liés à des vulnérabilités contractuelles. Cela indique que les projets non audités sont plus susceptibles de présenter des risques de sécurité potentiels. En revanche, parmi les 78 projets audités, 49 incidents (environ 62,82%) étaient liés à des vulnérabilités contractuelles. Cela suggère que les audits peuvent améliorer la sécurité des projets dans une certaine mesure.
Cependant, en raison du manque de normes globales sur le marché Web3, la qualité des audits est inégale et les résultats sont souvent en deçà des attentes. Pour protéger efficacement la sécurité des actifs, il est recommandé que les projets fassent appel à des sociétés de sécurité professionnelles pour effectuer des audits avant le lancement.
En 2024, la plate-forme Beosin Alert a surveillé un total de 68 incidents majeurs de Rug Pull dans l'écosystème Web3, d'une valeur totale d'environ 148 millions de dollars. Cela représente une baisse significative par rapport à 388 millions de dollars en 2023.
En termes de valeur, parmi les 68 incidents de Rug Pull, 9 projets ont subi des pertes dépassant 1 million de dollars. Il s'agit de : Essence Finance (20 millions de dollars), Shido Global (2,4 millions de dollars), ETHTrustFund (2,2 millions de dollars), Nexera (1,8 million de dollars), Grand Base (1,7 million de dollars), SAGA Token (1,6 million de dollars), OrdiZK (1,4 million de dollars), MangoFarmSOL (1,29 million de dollars) et RiskOnBlast (1,25 million de dollars). La perte totale pour ces 9 incidents s'est élevée à 33,64 millions de dollars, soit 22,73% de la perte totale de tous les incidents de Rug Pull.
Les projets Rug Pull sur Ethereum et BNB Chain représentaient 82,35 % du total, avec 24 incidents sur Ethereum et 32 sur BNB Chain. De plus, un incident de plus de 20 millions de dollars s'est produit sur Scroll. D'autres blockchains publiques, notamment Polygon, BASE et Solana, ont également connu un petit nombre d'événements Rug Pull.
En 2024, les activités de piratage on-chain et les incidents de Rug Pull dans l'écosystème Web3 ont considérablement diminué par rapport à 2023. Cependant, le montant des pertes a continué d'augmenter et les attaques de phishing sont devenues plus fréquentes. La méthode d'attaque causant le plus de pertes est restée les fuites de clé privée. Les principales raisons de ce changement sont les suivantes :
Après les activités de piratage débridées de l'année dernière, l'ensemble de l'écosystème Web3 s'est davantage concentré sur la sécurité en 2024. Des efforts ont été déployés par les équipes de projet et les entreprises de sécurité dans divers aspects, tels que la surveillance en temps réel sur la chaîne, une attention accrue aux audits de sécurité et l'apprentissage actif des exploits de vulnérabilité de contrat passés. Cela rend plus difficile aux pirates de voler des fonds grâce à des vulnérabilités de contrat par rapport à l'année dernière. Cependant, les équipes de projet doivent encore renforcer leur conscience de la gestion des clés privées et de la sécurité opérationnelle.
Avec l'intégration du marché des crypto-monnaies et des marchés traditionnels, les pirates ne se limitent plus à attaquer les projets DeFi, les ponts inter-chaînes, les plateformes d'échange, etc., mais se tournent vers les plateformes de paiement, les plateformes de jeu, les courtiers en crypto-monnaies, l'infrastructure, les gestionnaires de mots de passe, les outils de développement, les bots MEV, les bots TG et d'autres cibles diverses.
En 2024-2025, alors que le marché des cryptomonnaies entre dans un marché haussier et que les fonds on-chain deviennent plus actifs, cela attirera davantage d'attaques de hackers. De plus, les réglementations régionales sur les actifs cryptographiques s'améliorent progressivement pour lutter contre les crimes impliquant des actifs cryptographiques. Dans cette tendance, les activités des hackers devraient rester élevées en 2025, et les agences d'application de la loi et les organismes de réglementation mondiaux continueront de faire face à des défis importants.
Partager
Contenu
Préface
Ce rapport de recherche est lancé par l'Alliance de sécurité Blockchain et créé conjointement par ses membres Beosin et Footprint Analytics. Il vise à fournir une exploration complète du paysage mondial de la sécurité blockchain en 2024. À travers une analyse et une évaluation de l'état actuel de la sécurité blockchain dans le monde entier, le rapport dévoilera les défis et les menaces de sécurité auxquels nous sommes confrontés aujourd'hui, tout en proposant des solutions et des meilleures pratiques. Grâce à ce rapport, les lecteurs pourront mieux comprendre l'évolution dynamique de la sécurité de la blockchain Web3. Cela aidera les lecteurs à évaluer et à relever les défis de sécurité auxquels ils sont confrontés dans l'espace blockchain. De plus, le rapport fournit des informations précieuses sur les mesures de sécurité et les tendances de développement de l'industrie, aidant ainsi les lecteurs à prendre des décisions et des actions éclairées dans ce domaine émergent. La sécurité et la réglementation de la blockchain sont des problèmes clés dans le développement de l'ère Web3. Grâce à des recherches et des discussions approfondies, nous pouvons mieux comprendre et relever ces défis, favorisant ainsi la sécurité et le développement durable de la technologie blockchain.
Selon la surveillance effectuée par la plate-forme Alert de la société d'audit de sécurité Beosin, les pertes totales dans l'espace Web3 en 2024 en raison d'attaques de hackers, d'escroqueries de phishing et de rug pulls par des équipes de projets ont atteint 2,513 milliards de dollars. Parmi celles-ci, il y avait 131 incidents d'attaques majeures, causant des pertes d'environ 1,792 milliard de dollars; 68 incidents de rug pull par des équipes de projet, avec des pertes totalisant environ 148 millions de dollars; et les escroqueries de phishing ont causé une perte totale d'environ 574 millions de dollars.
En 2024, les attaques de pirates informatiques et les escroqueries par hameçonnage ont connu une augmentation significative par rapport à 2023, avec une hausse de 140,66% des escroqueries par hameçonnage. Les pertes liées aux incidents de 'rug pull' par les équipes de projet ont notablement diminué, chutant d'environ 61,94%.
En 2024, les types de projets affectés par les attaques comprenaient DeFi, CEX, DEX, chaînes publiques, ponts inter-chaînes, portefeuilles, plateformes de paiement, plateformes de jeu, courtiers en crypto, infrastructures, gestionnaires de mots de passe, outils de développement, bots MEV, bots TG, et autres. DeFi était le type de projet le plus fréquemment attaqué, avec 75 attaques sur DeFi causant des pertes totales d'environ 390 millions de dollars. CEX a enregistré le montant total de pertes le plus élevé, avec 10 attaques sur CEX entraînant des pertes d'environ 724 millions de dollars.
En 2024, des attaques ont eu lieu sur plusieurs types de chaînes publiques, avec plusieurs incidents de sécurité impliquant des vols sur différentes chaînes. Ethereum est resté la chaîne publique avec le montant de pertes le plus élevé, avec 66 attaques sur Ethereum entraînant des pertes d'environ 844 millions de dollars, soit 33,57% des pertes totales de l'année.
Du point de vue des méthodes d'attaque, 35 incidents de fuite de clés privées ont causé des pertes d'environ 1,306 milliard de dollars, soit 51,96% des pertes totales, en faisant la méthode d'attaque la plus dommageable.
L'exploitation de vulnérabilités de contrat était la méthode d'attaque la plus fréquente, avec 76 des 131 attaques provenant de vulnérabilités de contrat, représentant 58,02% du total des incidents.
Environ 531 millions de dollars de fonds volés ont été récupérés, ce qui représente environ 21,13 %. Environ 109 millions de dollars de fonds volés ont été transférés à des mélangeurs, représentant environ 4,34 % du total des fonds volés, soit une baisse d'environ 66,97 % par rapport à 2023.
En 2024, il y a eu 5 grands incidents d'attaque avec des pertes dépassant 100 millions de dollars : DMM Bitcoin (304 millions de dollars), PlayDapp (290 millions de dollars), WazirX (235 millions de dollars), Gala Games (216 millions de dollars), et le vol de Chris Larsen (112 millions de dollars). Les pertes totales des 10 principaux incidents de sécurité se sont élevées à environ 1,417 milliard de dollars, soit environ 79,07% des pertes totales annuelles dues à des attaques.
Méthode d'attaque: Fuite de clé privée
Le 31 mai 2024, la bourse de cryptomonnaie japonaise DMM Bitcoin a été attaquée et plus de 304 millions de dollars de Bitcoin ont été volés. Les pirates ont dispersé les fonds volés sur plus de 10 adresses dans le but de les blanchir.
Perte : $290 million
Méthode d'attaque : Fuite de clé privée
Le 9 février 2024, la plateforme de jeux blockchain PlayDapp a été attaquée, les pirates ont créé 2 milliards de jetons PLA d'une valeur de 36,5 millions de dollars. Après des négociations infructueuses avec PlayDapp, le 12 février, les pirates ont créé 15,9 milliards de jetons PLA d'une valeur de 253,9 millions de dollars et ont envoyé une partie des fonds à l'échange gate. PlayDapp a ensuite mis en pause le contrat PLA et a migré les jetons PLA en jetons PDA.
Montant de la perte : $235 million
Méthode d'attaque: Attaque réseau et phishing
Le 18 juillet 2024, le portefeuille multi-signature de l'échange de cryptomonnaie indien WazirX a été volé, entraînant une perte de plus de 235 millions de dollars. Le portefeuille multi-signature était un contrat intelligent de portefeuille sécurisé. L'attaquant a trompé les signataires multi-signature en signant une transaction de mise à niveau, et grâce au contrat mis à niveau, a transféré les actifs directement depuis le portefeuille.
Montant de la perte : $216 million
Méthode d'attaque : Vulnérabilité de contrôle d'accès
Le 20 mai 2024, une adresse privilégiée de Gala Games a été compromise. L'attaquant a utilisé cette adresse pour appeler la fonction de création et a directement créé 5 milliards de jetons GALA d'une valeur d'environ 216 millions de dollars, convertissant les jetons créés en ETH par lots. L'équipe de Gala Games a ensuite utilisé la fonction de liste noire pour bloquer le pirate et récupérer les pertes.
Montant de la perte : $112 million
Méthode d'attaque : Fuite de clé privée
Le 31 janvier 2024, Chris Larsen, co-fondateur de Ripple, a signalé que quatre de ses portefeuilles avaient été piratés, entraînant une perte totale d'environ 112 millions de dollars. L'équipe de Binance a réussi à geler pour 4,2 millions de dollars de jetons XRP volés.
Montant de la perte : 62,5 millions de dollars
Méthode d'attaque: Attaque d'ingénierie sociale
Le 26 mars 2024, la plateforme de jeu Web3 Munchables, basée sur Blast, a été attaquée, ce qui a entraîné une perte d'environ 62,5 millions de dollars. Le projet a été attaqué car il employait des pirates informatiques nord-coréens en tant que développeurs. Tous les fonds volés ont finalement été restitués par les pirates informatiques.
Montant de la perte : $55 millions
Méthode d'attaque : Fuite de clé privée
Le 22 juin 2024, la bourse turque de cryptomonnaie BTCTurk a été attaquée, ce qui a entraîné une perte d'environ 55 millions de dollars. Binance a aidé à geler plus de 5,3 millions de dollars des fonds volés.
Montant de la perte : $53 millions
Méthode d'attaque : Fuite de clé privée
Le 17 octobre 2024, le protocole de prêt multi-chaîne Radiant Capital a été attaqué. L'attaquant a illégalement acquis les autorisations de 3 propriétaires du portefeuille multi-signatures de Radiant Capital. Le portefeuille multi-signatures utilisait un modèle de validation de signature 3/11, et l'attaquant a utilisé les 3 clés privées pour une signature hors ligne. L'attaquant a ensuite initié une transaction on-chain pour transférer la propriété du contrat Radiant Capital à un contrat malveillant sous le contrôle de l'attaquant, entraînant une perte de plus de 53 millions de dollars.
Montant de perte: $44.7 millions
Méthode d'attaque : Vulnérabilité du contrat
Le 19 avril 2024, Hedgey Finance a été attaqué à plusieurs reprises par un attaquant. L'attaquant a exploité une vulnérabilité d'approbation de jeton pour voler un grand nombre de jetons du contrat ClaimCampaigns, dont des jetons d'une valeur de plus de 2,1 millions de dollars volés sur la chaîne Ethereum et des jetons d'une valeur d'environ 42,6 millions de dollars volés sur la chaîne Arbitrum.
Montant de la perte : $44.7 million
Méthode d'attaque : Fuite de clé privée
Le 19 septembre 2024, le portefeuille chaud de l'échange BingX a été attaqué. Bien que BingX ait activé des mesures d'urgence, notamment le transfert d'actifs et la suspension des retraits, les statistiques de Beosin montrent que la perte totale due à l'écoulement anormal d'actifs du portefeuille chaud s'est élevée à 44,7 millions de dollars. Les actifs volés concernaient plusieurs blockchains, notamment Ethereum, BNB Chain, Tron, Polygon, Avalanche et Base.
En 2024, les types de projets attaqués comprenaient non seulement des types courants tels que DeFi, CEX, DEX, chaînes publiques et ponts inter-chaînes, mais s'étendaient également aux plateformes de paiement, aux plateformes de jeu, aux courtiers en crypto, à l'infrastructure, aux gestionnaires de mots de passe, aux outils de développement, aux bots MEV, aux bots TG et à divers autres types de projets.
En 2024, les attaques de projets DeFi ont eu lieu 75 fois, en faisant le type de projet le plus fréquemment attaqué (environ 50,70 %). La perte totale due aux attaques DeFi s'élevait à environ 390 millions de dollars, ce qui représente environ 15,50 % de toutes les pertes, en faisant le quatrième type de projet en termes de montant de perte.
Le type de projet ayant subi les pertes les plus élevées était les CEX (centralized exchanges). Dix attaques sur les CEX ont entraîné des pertes d'environ 724 millions de dollars, ce qui en fait le type de projet ayant subi le montant de pertes le plus élevé. Dans l'ensemble, les échanges étaient le type de projet le plus fréquemment attaqué en 2024, et la sécurité des échanges reste le plus grand défi de l'écosystème Web3.
La deuxième plus grande perte provenait des portefeuilles personnels, avec une perte totale d'environ 445 millions de dollars. Douze attaques visant les baleines de crypto, ainsi que de nombreuses attaques de phishing et d'ingénierie sociale contre les utilisateurs réguliers, ont entraîné une augmentation de 464,72% de la perte totale des portefeuilles personnels par rapport à 2023, faisant de la sécurité des portefeuilles personnels le deuxième plus grand défi après la sécurité des échanges.
Comparé à 2023, les types de chaînes publiques attaquées en 2024 étaient plus diversifiés. Les cinq chaînes les plus touchées en termes de pertes étaient Ethereum, Bitcoin, Arbitrum, Ripple et Blast.
Les six principales chaînes par le nombre d'événements d'attaque étaient :
Ethereum, BNB Chain, Arbitrum, Autres, Base et Solana.
En 2023, Ethereum est resté la chaîne avec le montant de perte le plus élevé. Soixante-six attaques sur Ethereum ont causé environ 844 millions de dollars de pertes, soit 33,59% de la perte annuelle totale.
Note : Les données de perte totale n'incluent pas les pertes de hameçonnage on-chain et certaines pertes de portefeuille chaud CEX. Les pertes du réseau Bitcoin ont été classées au deuxième rang, avec un incident de sécurité unique entraînant une perte de 238 millions de dollars. Arbitrum s'est classé troisième, avec une perte totale d'environ 114 millions de dollars.
Les méthodes d'attaque en 2024 étaient très diversifiées. En plus des attaques courantes de vulnérabilité de contrat, plusieurs autres méthodes ont été utilisées, notamment les attaques d'approvisionnement, les attaques de fournisseurs de services tiers, les attaques de l'homme du milieu, les attaques DNS et les attaques de front-end.
En 2024, 35 incidents de fuite de clé privée ont entraîné une perte totale de 1,306 milliard de dollars, soit 51,96% de la perte totale, ce qui en fait la méthode d'attaque la plus dommageable. Les incidents de fuite de clé privée notables comprenaient: DMM Bitcoin (304 millions de dollars), PlayDapp (290 millions de dollars), le co-fondateur de Ripple Chris Larsen (112 millions de dollars), BTCTurk (55 millions de dollars), Radiant Capital (53 millions de dollars), BingX (44,7 millions de dollars) et DEXX (21 millions de dollars).
L'exploitation de vulnérabilités contractuelles était la méthode d'attaque la plus fréquente. Sur les 131 incidents d'attaque, 76 étaient dus à des vulnérabilités contractuelles, représentant 58,02% du total. La perte totale due aux vulnérabilités contractuelles s'élevait à environ 321 millions de dollars, se classant troisième en termes de montant de perte.
En termes de vulnérabilités spécifiques, les incidents les plus fréquents et les plus importants en termes de pertes étaient dus à des vulnérabilités de la logique métier. Environ 53,95 % des pertes dues à des vulnérabilités contractuelles étaient causées par des défauts de logique métier, entraînant une perte d'environ 158 millions de dollars.
Le 17 novembre 2024, la surveillance Beosin Alert a détecté une attaque sur Polter Finance, un protocole de prêt sur la chaîne FTM. L'attaquant a manipulé le prix du jeton dans le contrat du projet pour réaliser des bénéfices en utilisant un prêt flash.
Le contrat LendingPool attaqué (0xd47ae558623638f676c1e38dad71b53054f54273) a utilisé 0x6808b5ce79d44e89883c5393b487c4296abb69fe comme oracle. Cet oracle a utilisé un contrat de price-feed récemment déployé (0x80663edff11e99e8e0b34cb9c3e1ff32e82a80fe), qui calcule les prix en fonction des réserves de jetons dans le contrat uniswapV2_pair (0xEc71), un contrat vulnérable aux attaques de flash loan.
L'attaquant a utilisé un prêt éclair pour gonfler artificiellement le prix du jeton $BOO et emprunter d'autres actifs cryptographiques. Les fonds volés ont ensuite été convertis en jetons FTM et croisés à la chaîne ETH, où tous les fonds étaient stockés. Ci-dessous se trouve un diagramme de flux illustrant le mouvement des fonds sur les chaînes ARB et ETH:
Le 20 novembre, l'attaquant a continué de transférer plus de 2 625 ETH vers Tornado Cash, comme le montre le diagramme ci-dessous :
Le 23 février 2024, l'enquêteur blockchain bien connu ZachXBT a révélé via son outil d'analyse que le portefeuille chaud de BitForex a connu une sortie de 56,5 millions de dollars et que la plateforme a suspendu les services de retrait pendant ce processus.
L'équipe de sécurité de Beosin a mené un suivi et une analyse approfondis de l'incident BitForex à l'aide de Trace :
Ethereum
Le 24 février 2024, à 6h11 (UTC+8), BitForex a commencé le transfert de 40 771 USDT, 258 700 USDC, 148,01 ETH et 471 405 TRB vers une adresse de sortie Ethereum (0xdcacd7eb6692b816b6957f8898c1c4b63d1fc01f).
Le 9 août, l'adresse de sortie a transféré tous les jetons, sauf TRB, de retour au compte de BitForex (0xcce7300829f49b8f2e4aee6123b12da64662a8b8).
Du 9 novembre au 10 novembre, l'adresse de sortie a transféré 355 000 TRB à quatre adresses d'utilisateurs OKX différentes via sept transactions :
0x274c481bf400c2abfd2b5e648a0056ef34970b0a
0x45798ca76a589647acc21040c50562dcc33cf6bf
0x712d2fd67fe65510c5fad49d5a9181514d94183d
0xe8ec263ad9ee6947bf773837a2c86dff3a737bba
Par la suite, l'adresse de sortie a transféré les 116 414,93 TRB restants à une adresse intermédiaire (0xbb217bd37c6bf76c6d9a50fefc21caa8e2f2e82e), qui a ensuite été divisée en deux transactions et envoyée à deux adresses d'utilisateurs Binance différentes :
0x431c916ef45e660dae7cd7184e3226a72fa50c0c
0xe7b1fb77baaa3bba9326af2af3cd5857256519df
Chaîne BNB
Le 24 février, BitForex a retiré 166 ETH, 46 905 USDT et 57 810 USDC vers une adresse BNB Chain (0xdcacd7eb6692b816b6957f8898c1c4b63d1fc01f), où il reste.
Polygon
Le 24 février, BitForex a retiré 99 000 MATIC, 20 300 USDT et 1 700 USDC à une adresse de chaîne Polygon (0xdcacd7eb6692b816b6957f8898c1c4b63d1fc01f).
Sur les 99 000 MATIC, 8 000 ont été transférés à l'adresse 0xcce7300829f49b8f2e4aee6123b12da64662a8b8 le 9 août, où ils restent, et le reste des jetons USDT et USDC reste également.
TRON
Le 24 février, BitForex a retiré 44 000 TRX et 657 698 USDT vers une adresse de la chaîne TRON (TQcnqaU4NDTR86eA4FZneeKfJMiQi7i76o).
Le 9 août, ces jetons ont tous été transférés à nouveau à l'adresse de l'utilisateur de BitForex (TGiTEXjqx1C2Y2ywp7gTR8aYGv8rztn9uo).
Bitcoin
À partir du 24 février, 16 adresses BitForex ont commencé à transférer un total de 5,7 BTC vers une adresse de chaîne BTC (3DbbF7yxCR7ni94ANrRkfV12rJoxrmo1o2).
Le 9 août, les 5,7 BTC ont été entièrement transférés à l'adresse de BitForex (11dxPFQ8K9pJefffHE4HUwb2aprzLUqxz).
En résumé, le 24 février, BitForex a transféré 40 771 USDT, 258 700 USDC, 148,01 ETH et 471 405 TRB sur la chaîne Ethereum ; 44 000 TRX et 657 698 USDT sur la chaîne TRON ; 5,7 BTC sur la chaîne BTC ; 166 ETH, 46 905 USDT et 57 810 USDC sur la chaîne BNB ; et 99 000 MATIC, 20 300 USDT et 1 700 USDC sur la chaîne Polygon.
Le 9 août, tous les jetons de la chaîne BTC, de la chaîne TRON et de la chaîne Ethereum (à l'exception de TRB) ont été transférés à BitForex. Les 9 et 10 novembre, les 471 405 TRB ont été entièrement transférés sur quatre comptes OKX et deux comptes Binance.
Ainsi, tous les jetons sur les chaînes ETH, TRON et BTC ont été transférés, et sur BSC, il reste 166 ETH, 46 905 USDT et 57 810 USDC, tandis que sur POL, il reste 99 000 MATIC, 20 300 USDT et 1 700 USDC.
Adresse de dépôt d'échange TRB attachée :
En 2024, environ 1,312 milliard de dollars des fonds volés sont restés dans les adresses des hackers (y compris les fonds transférés entre les chaînes et dispersés vers de multiples adresses), ce qui représente 52,20% du total des fonds volés. Par rapport à l'année dernière, cette année, les hackers ont été plus enclins à blanchir les fonds à travers de multiples transactions entre chaînes et à disperser les actifs volés dans de nombreuses adresses, plutôt que d'utiliser directement des mélangeurs. L'augmentation du nombre d'adresses et de la complexité des chemins de blanchiment ajoute indéniablement à la difficulté pour les équipes de projet et les autorités de réglementation d'enquêter sur ces activités.
Environ 531 millions de dollars de fonds volés ont été récupérés, soit environ 21,13 %. En 2023, le montant des fonds récupérés était d'environ 295 millions de dollars.
Tout au long de l'année, environ 109 millions de dollars de fonds volés ont été transférés dans des mélangeurs, ce qui représente environ 4,34% du total des fonds volés. Depuis que l'OFAC américain a sanctionné Tornado Cash en août 2022, le montant des fonds volés transférés dans Tornado Cash a considérablement diminué.
Parmi les 131 incidents d'attaque, 42 incidents concernaient des projets qui n'avaient pas fait l'objet d'une vérification, 78 incidents concernaient des projets qui avaient été vérifiés et 11 incidents avaient un statut de vérification flou.
Parmi les 42 projets qui n'avaient pas été audités, 30 incidents (environ 71,43%) étaient liés à des vulnérabilités contractuelles. Cela indique que les projets non audités sont plus susceptibles de présenter des risques de sécurité potentiels. En revanche, parmi les 78 projets audités, 49 incidents (environ 62,82%) étaient liés à des vulnérabilités contractuelles. Cela suggère que les audits peuvent améliorer la sécurité des projets dans une certaine mesure.
Cependant, en raison du manque de normes globales sur le marché Web3, la qualité des audits est inégale et les résultats sont souvent en deçà des attentes. Pour protéger efficacement la sécurité des actifs, il est recommandé que les projets fassent appel à des sociétés de sécurité professionnelles pour effectuer des audits avant le lancement.
En 2024, la plate-forme Beosin Alert a surveillé un total de 68 incidents majeurs de Rug Pull dans l'écosystème Web3, d'une valeur totale d'environ 148 millions de dollars. Cela représente une baisse significative par rapport à 388 millions de dollars en 2023.
En termes de valeur, parmi les 68 incidents de Rug Pull, 9 projets ont subi des pertes dépassant 1 million de dollars. Il s'agit de : Essence Finance (20 millions de dollars), Shido Global (2,4 millions de dollars), ETHTrustFund (2,2 millions de dollars), Nexera (1,8 million de dollars), Grand Base (1,7 million de dollars), SAGA Token (1,6 million de dollars), OrdiZK (1,4 million de dollars), MangoFarmSOL (1,29 million de dollars) et RiskOnBlast (1,25 million de dollars). La perte totale pour ces 9 incidents s'est élevée à 33,64 millions de dollars, soit 22,73% de la perte totale de tous les incidents de Rug Pull.
Les projets Rug Pull sur Ethereum et BNB Chain représentaient 82,35 % du total, avec 24 incidents sur Ethereum et 32 sur BNB Chain. De plus, un incident de plus de 20 millions de dollars s'est produit sur Scroll. D'autres blockchains publiques, notamment Polygon, BASE et Solana, ont également connu un petit nombre d'événements Rug Pull.
En 2024, les activités de piratage on-chain et les incidents de Rug Pull dans l'écosystème Web3 ont considérablement diminué par rapport à 2023. Cependant, le montant des pertes a continué d'augmenter et les attaques de phishing sont devenues plus fréquentes. La méthode d'attaque causant le plus de pertes est restée les fuites de clé privée. Les principales raisons de ce changement sont les suivantes :
Après les activités de piratage débridées de l'année dernière, l'ensemble de l'écosystème Web3 s'est davantage concentré sur la sécurité en 2024. Des efforts ont été déployés par les équipes de projet et les entreprises de sécurité dans divers aspects, tels que la surveillance en temps réel sur la chaîne, une attention accrue aux audits de sécurité et l'apprentissage actif des exploits de vulnérabilité de contrat passés. Cela rend plus difficile aux pirates de voler des fonds grâce à des vulnérabilités de contrat par rapport à l'année dernière. Cependant, les équipes de projet doivent encore renforcer leur conscience de la gestion des clés privées et de la sécurité opérationnelle.
Avec l'intégration du marché des crypto-monnaies et des marchés traditionnels, les pirates ne se limitent plus à attaquer les projets DeFi, les ponts inter-chaînes, les plateformes d'échange, etc., mais se tournent vers les plateformes de paiement, les plateformes de jeu, les courtiers en crypto-monnaies, l'infrastructure, les gestionnaires de mots de passe, les outils de développement, les bots MEV, les bots TG et d'autres cibles diverses.
En 2024-2025, alors que le marché des cryptomonnaies entre dans un marché haussier et que les fonds on-chain deviennent plus actifs, cela attirera davantage d'attaques de hackers. De plus, les réglementations régionales sur les actifs cryptographiques s'améliorent progressivement pour lutter contre les crimes impliquant des actifs cryptographiques. Dans cette tendance, les activités des hackers devraient rester élevées en 2025, et les agences d'application de la loi et les organismes de réglementation mondiaux continueront de faire face à des défis importants.