Los diez principales incidentes de seguridad de Web3 en 2024 causaron pérdidas de casi 2,5 mil millones de dólares, siendo DMM Bitcoin el más afectado con un ataque de 300 millones de dólares.
Resumen de los diez principales incidentes de seguridad en Web3 en 2024
En 2024, la industria de la blockchain enfrenta desafíos de seguridad cada vez más severos en el proceso de innovación tecnológica y expansión ecológica. Según los datos de la plataforma de monitoreo de seguridad, hasta la fecha, las pérdidas totales en el campo de Web3 en 2024 debido a ataques de hackers, fraudes de phishing y el abandono de proyectos alcanzan los 2.491 millones de dólares.
Estos eventos no solo expusieron las vulnerabilidades en la gestión de claves privadas y contratos inteligentes, sino que también destacaron los riesgos potenciales de los ataques de ingeniería social y la gestión interna. Este artículo revisará los diez eventos de seguridad más influyentes en el ámbito de Web3 en 2024, con la esperanza de que la industria pueda aprender de ellos y enfrentar mejor las amenazas de seguridad futuras.
1. DMM Bitcoin
Monto de la pérdida: 304 millones de dólares
Método de ataque: filtración de clave privada
El 31 de mayo de 2024, el conocido intercambio de criptomonedas japonés DMM Bitcoin sufrió un grave incidente de seguridad. Los atacantes utilizaron claves privadas filtradas para transferir directamente más de 300 millones de dólares en Bitcoin, y rápidamente dispersaron los fondos robados en más de 10 direcciones diferentes. Este incidente expuso las graves deficiencias del intercambio en la gestión de claves privadas y en la protección de múltiples capas de seguridad. A pesar de que el intercambio intentó rastrear a los hackers mediante la monitorización en cadena y el congelamiento de fondos, la recuperación enfrenta enormes desafíos debido a que los Bitcoins robados fueron rápidamente dispersados y lavados mediante herramientas de mezcla.
El 24 de diciembre, la policía japonesa confirmó que este ataque fue llevado a cabo por el grupo de hackers norcoreano Lazarus.
2. PlayDapp
Monto de pérdida: 290 millones de dólares
Método de ataque: filtración de clave privada
El 9 de febrero de 2024, PlayDapp sufrió un duro golpe. Los hackers, a través del robo de claves privadas, acuñaron 2 mil millones de tokens PLA, con un valor inicial de 36.5 millones de dólares. Debido a la falla en las negociaciones con los hackers, los atacantes acuñaron adicionalmente 15.9 mil millones de tokens PLA en un corto período de tiempo, con un valor de 253.9 millones de dólares. Parte de los tokens robados fluyeron hacia los intercambios, lo que llevó a PlayDapp a suspender el contrato de PLA y migrar a un nuevo contrato de token PDA. Este evento destaca las deficiencias de los proyectos de blockchain en la protección de claves privadas y la gestión de situaciones de emergencia.
3. Un intercambio de criptomonedas en India
Monto de la pérdida: 235 millones de dólares
Métodos de ataque: ataques en línea y phishing
El 18 de julio de 2024, la billetera multifirma Safe Wallet del mayor intercambio de criptomonedas de India fue objeto de un ataque preciso. Los atacantes utilizaron técnicas de ingeniería social para inducir a los firmantes de la multifirma a firmar una transacción de actualización de contrato, y luego utilizaron los permisos del contrato actualizado para vaciar los activos de la billetera. Este caso destaca los riesgos potenciales de las billeteras multifirma en la gestión de la configuración de permisos y la transparencia operativa, y ha suscitado una profunda reflexión en la industria sobre el control interno de proyectos y los mecanismos de seguridad.
4. Gala Games
Cantidad de pérdida: 216 millones de dólares
Método de ataque: vulnerabilidad de control de acceso
El 20 de mayo de 2024, una dirección privilegiada de Gala Games fue hackeada. Los atacantes mintieron 5 mil millones de tokens GALA de una sola vez al invocar la función mint en el contrato de tokens. Posteriormente, los hackers canjearon los tokens emitidos en varias partes por ETH, causando una pérdida directa de 216 millones de dólares. El equipo de Gala Games activó de manera urgente la función de lista negra para bloquear algunas cuentas de los hackers y recuperó parte de las pérdidas a través de medios legales.
5. La billetera personal del cofundador de Ripple fue robada
Monto de la pérdida: 112 millones de dólares
Método de ataque: filtración de clave privada
El 31 de enero de 2024, cuatro billeteras personales del cofundador de Ripple, Chris Larsen, fueron atacadas por hackers, lo que resultó en el robo de 112 millones de dólares en XRP. Estas billeteras se convirtieron en objetivo del ataque debido a la falta de protección de doble factor con dispositivos de hardware. Después del incidente, un intercambio logró congelar XRP por un valor de 4.2 millones de dólares y ayudó a Larsen a rastrear los activos robados, pero la mayor parte de los fondos ya había sido blanqueada a través de intercambios descentralizados y servicios de mezcla.
6. Munchables
Monto de la pérdida: 62.5 millones de dólares
Método de ataque: ataque de ingeniería social
El 26 de marzo de 2024, la plataforma de juegos Web3 Munchables basada en Blast sufrió un raro ataque de infiltración interna. El atacante era un hacker disfrazado de desarrollador de blockchain, que obtuvo el código fuente y las claves sensibles tras una larga infiltración. A pesar de que el ataque causó enormes pérdidas, bajo la presión de la comunidad y del equipo, el hacker finalmente devolvió todos los fondos robados. Este evento revela la importancia de la seguridad de la cadena de suministro, especialmente para los proyectos de blockchain que dependen de desarrolladores de terceros.
7. Un intercambio de criptomonedas turco
Cantidad de pérdida: 55 millones de dólares
Método de ataque: filtración de clave privada
El 22 de junio de 2024, la mayor bolsa de criptomonedas de Turquía sufrió un ataque por filtración de claves privadas, con pérdidas de más de 55 millones de dólares en activos criptográficos. Con la ayuda del equipo de un determinado intercambio, se congelaron con éxito 5.3 millones de dólares de los fondos robados, pero otros activos aún no han sido recuperados. Este evento ha profundizado las preocupaciones del mercado sobre la gestión de claves privadas en los intercambios centralizados.
8. Radiant Capital
Monto de la pérdida: 53 millones de dólares
Método de ataque: filtración de clave privada
El 17 de octubre de 2024, la billetera multisig de Radiant Capital fue hackeada. Debido a que utiliza un modelo de verificación de firma de 3/11 de bajo umbral, el hacker logró obtener las claves privadas de 3 firmantes y realizó una firma fuera de la cadena, transfiriendo la propiedad del contrato de la billetera a una dirección maliciosa, lo que resultó en el robo de 53 millones de dólares. Este ataque ha provocado una reflexión en la industria sobre el diseño y los mecanismos de gobernanza de las billeteras multisig.
Es notable que Radiant Capital ya había perdido 4.5 millones de dólares debido a una vulnerabilidad en el contrato antes de este ataque, con más de 1900 ETH robados. Esto subraya nuevamente la necesidad de que los proyectos de Web3 aumenten su enfoque en la seguridad.
9. Hedgey Finance
Monto de la pérdida: 44.7 millones de dólares
Método de ataque: vulnerabilidad del contrato
El 19 de abril de 2024, Hedgey Finance sufrió un ataque dirigido a múltiples contratos en cadena. Los hackers aprovecharon una vulnerabilidad de aprobación en su contrato ClaimCampaigns, extrayendo con éxito tokens en las cadenas Ethereum y Arbitrum, con una pérdida total de 44.7 millones de dólares. Este evento destaca la importancia de la auditoría de código, especialmente la verificación rigurosa de la lógica de aprobación de tokens.
10. La billetera caliente de un intercambio de criptomonedas fue robada
Monto de la pérdida: 44.7 millones de dólares
Método de ataque: filtración de clave privada
El 19 de septiembre de 2024, el monedero caliente de un intercambio de criptomonedas fue hackeado, involucrando cadenas como Ethereum, BNB Chain, Tron y otras múltiples cadenas públicas. A pesar de que el intercambio activó rápidamente los mecanismos de transferencia de activos y congelación de retiros, los hackers lograron extraer activos por un valor de 44.7 millones de dólares. Este ataque refleja la alta riesgo de gestión de monederos calientes en intercambios centralizados y empuja aún más a la industria a explorar soluciones de almacenamiento de activos más seguras.
Los frecuentes incidentes de ataques de seguridad en 2024 nos recuerdan una vez más que el desarrollo de la industria blockchain no puede prescindir de la protección de la seguridad. Desde la filtración de claves privadas hasta las vulnerabilidades de los contratos, desde las negligencias en la gestión interna hasta la evolución de las técnicas de ataque externas, cada incidente ha traído lecciones profundas. Para enfrentar las amenazas de ataque cada vez más complejas, todas las partes de la industria necesitan seguir aumentando la inversión en investigación y desarrollo tecnológico, normas de gestión y prevención de riesgos. En el futuro, esperamos que a través de la colaboración de la industria y la innovación tecnológica, podamos establecer juntos un ecosistema blockchain más seguro, proporcionando una protección más confiable a los usuarios e inversores.
Esta página puede contener contenido de terceros, que se proporciona únicamente con fines informativos (sin garantías ni declaraciones) y no debe considerarse como un respaldo por parte de Gate a las opiniones expresadas ni como asesoramiento financiero o profesional. Consulte el Descargo de responsabilidad para obtener más detalles.
Los diez principales incidentes de seguridad de Web3 en 2024 causaron pérdidas de casi 2,5 mil millones de dólares, siendo DMM Bitcoin el más afectado con un ataque de 300 millones de dólares.
Resumen de los diez principales incidentes de seguridad en Web3 en 2024
En 2024, la industria de la blockchain enfrenta desafíos de seguridad cada vez más severos en el proceso de innovación tecnológica y expansión ecológica. Según los datos de la plataforma de monitoreo de seguridad, hasta la fecha, las pérdidas totales en el campo de Web3 en 2024 debido a ataques de hackers, fraudes de phishing y el abandono de proyectos alcanzan los 2.491 millones de dólares.
Estos eventos no solo expusieron las vulnerabilidades en la gestión de claves privadas y contratos inteligentes, sino que también destacaron los riesgos potenciales de los ataques de ingeniería social y la gestión interna. Este artículo revisará los diez eventos de seguridad más influyentes en el ámbito de Web3 en 2024, con la esperanza de que la industria pueda aprender de ellos y enfrentar mejor las amenazas de seguridad futuras.
1. DMM Bitcoin
Monto de la pérdida: 304 millones de dólares Método de ataque: filtración de clave privada
El 31 de mayo de 2024, el conocido intercambio de criptomonedas japonés DMM Bitcoin sufrió un grave incidente de seguridad. Los atacantes utilizaron claves privadas filtradas para transferir directamente más de 300 millones de dólares en Bitcoin, y rápidamente dispersaron los fondos robados en más de 10 direcciones diferentes. Este incidente expuso las graves deficiencias del intercambio en la gestión de claves privadas y en la protección de múltiples capas de seguridad. A pesar de que el intercambio intentó rastrear a los hackers mediante la monitorización en cadena y el congelamiento de fondos, la recuperación enfrenta enormes desafíos debido a que los Bitcoins robados fueron rápidamente dispersados y lavados mediante herramientas de mezcla.
El 24 de diciembre, la policía japonesa confirmó que este ataque fue llevado a cabo por el grupo de hackers norcoreano Lazarus.
2. PlayDapp
Monto de pérdida: 290 millones de dólares Método de ataque: filtración de clave privada
El 9 de febrero de 2024, PlayDapp sufrió un duro golpe. Los hackers, a través del robo de claves privadas, acuñaron 2 mil millones de tokens PLA, con un valor inicial de 36.5 millones de dólares. Debido a la falla en las negociaciones con los hackers, los atacantes acuñaron adicionalmente 15.9 mil millones de tokens PLA en un corto período de tiempo, con un valor de 253.9 millones de dólares. Parte de los tokens robados fluyeron hacia los intercambios, lo que llevó a PlayDapp a suspender el contrato de PLA y migrar a un nuevo contrato de token PDA. Este evento destaca las deficiencias de los proyectos de blockchain en la protección de claves privadas y la gestión de situaciones de emergencia.
3. Un intercambio de criptomonedas en India
Monto de la pérdida: 235 millones de dólares Métodos de ataque: ataques en línea y phishing
El 18 de julio de 2024, la billetera multifirma Safe Wallet del mayor intercambio de criptomonedas de India fue objeto de un ataque preciso. Los atacantes utilizaron técnicas de ingeniería social para inducir a los firmantes de la multifirma a firmar una transacción de actualización de contrato, y luego utilizaron los permisos del contrato actualizado para vaciar los activos de la billetera. Este caso destaca los riesgos potenciales de las billeteras multifirma en la gestión de la configuración de permisos y la transparencia operativa, y ha suscitado una profunda reflexión en la industria sobre el control interno de proyectos y los mecanismos de seguridad.
4. Gala Games
Cantidad de pérdida: 216 millones de dólares Método de ataque: vulnerabilidad de control de acceso
El 20 de mayo de 2024, una dirección privilegiada de Gala Games fue hackeada. Los atacantes mintieron 5 mil millones de tokens GALA de una sola vez al invocar la función mint en el contrato de tokens. Posteriormente, los hackers canjearon los tokens emitidos en varias partes por ETH, causando una pérdida directa de 216 millones de dólares. El equipo de Gala Games activó de manera urgente la función de lista negra para bloquear algunas cuentas de los hackers y recuperó parte de las pérdidas a través de medios legales.
5. La billetera personal del cofundador de Ripple fue robada
Monto de la pérdida: 112 millones de dólares Método de ataque: filtración de clave privada
El 31 de enero de 2024, cuatro billeteras personales del cofundador de Ripple, Chris Larsen, fueron atacadas por hackers, lo que resultó en el robo de 112 millones de dólares en XRP. Estas billeteras se convirtieron en objetivo del ataque debido a la falta de protección de doble factor con dispositivos de hardware. Después del incidente, un intercambio logró congelar XRP por un valor de 4.2 millones de dólares y ayudó a Larsen a rastrear los activos robados, pero la mayor parte de los fondos ya había sido blanqueada a través de intercambios descentralizados y servicios de mezcla.
6. Munchables
Monto de la pérdida: 62.5 millones de dólares Método de ataque: ataque de ingeniería social
El 26 de marzo de 2024, la plataforma de juegos Web3 Munchables basada en Blast sufrió un raro ataque de infiltración interna. El atacante era un hacker disfrazado de desarrollador de blockchain, que obtuvo el código fuente y las claves sensibles tras una larga infiltración. A pesar de que el ataque causó enormes pérdidas, bajo la presión de la comunidad y del equipo, el hacker finalmente devolvió todos los fondos robados. Este evento revela la importancia de la seguridad de la cadena de suministro, especialmente para los proyectos de blockchain que dependen de desarrolladores de terceros.
7. Un intercambio de criptomonedas turco
Cantidad de pérdida: 55 millones de dólares Método de ataque: filtración de clave privada
El 22 de junio de 2024, la mayor bolsa de criptomonedas de Turquía sufrió un ataque por filtración de claves privadas, con pérdidas de más de 55 millones de dólares en activos criptográficos. Con la ayuda del equipo de un determinado intercambio, se congelaron con éxito 5.3 millones de dólares de los fondos robados, pero otros activos aún no han sido recuperados. Este evento ha profundizado las preocupaciones del mercado sobre la gestión de claves privadas en los intercambios centralizados.
8. Radiant Capital
Monto de la pérdida: 53 millones de dólares Método de ataque: filtración de clave privada
El 17 de octubre de 2024, la billetera multisig de Radiant Capital fue hackeada. Debido a que utiliza un modelo de verificación de firma de 3/11 de bajo umbral, el hacker logró obtener las claves privadas de 3 firmantes y realizó una firma fuera de la cadena, transfiriendo la propiedad del contrato de la billetera a una dirección maliciosa, lo que resultó en el robo de 53 millones de dólares. Este ataque ha provocado una reflexión en la industria sobre el diseño y los mecanismos de gobernanza de las billeteras multisig.
Es notable que Radiant Capital ya había perdido 4.5 millones de dólares debido a una vulnerabilidad en el contrato antes de este ataque, con más de 1900 ETH robados. Esto subraya nuevamente la necesidad de que los proyectos de Web3 aumenten su enfoque en la seguridad.
9. Hedgey Finance
Monto de la pérdida: 44.7 millones de dólares Método de ataque: vulnerabilidad del contrato
El 19 de abril de 2024, Hedgey Finance sufrió un ataque dirigido a múltiples contratos en cadena. Los hackers aprovecharon una vulnerabilidad de aprobación en su contrato ClaimCampaigns, extrayendo con éxito tokens en las cadenas Ethereum y Arbitrum, con una pérdida total de 44.7 millones de dólares. Este evento destaca la importancia de la auditoría de código, especialmente la verificación rigurosa de la lógica de aprobación de tokens.
10. La billetera caliente de un intercambio de criptomonedas fue robada
Monto de la pérdida: 44.7 millones de dólares Método de ataque: filtración de clave privada
El 19 de septiembre de 2024, el monedero caliente de un intercambio de criptomonedas fue hackeado, involucrando cadenas como Ethereum, BNB Chain, Tron y otras múltiples cadenas públicas. A pesar de que el intercambio activó rápidamente los mecanismos de transferencia de activos y congelación de retiros, los hackers lograron extraer activos por un valor de 44.7 millones de dólares. Este ataque refleja la alta riesgo de gestión de monederos calientes en intercambios centralizados y empuja aún más a la industria a explorar soluciones de almacenamiento de activos más seguras.
Los frecuentes incidentes de ataques de seguridad en 2024 nos recuerdan una vez más que el desarrollo de la industria blockchain no puede prescindir de la protección de la seguridad. Desde la filtración de claves privadas hasta las vulnerabilidades de los contratos, desde las negligencias en la gestión interna hasta la evolución de las técnicas de ataque externas, cada incidente ha traído lecciones profundas. Para enfrentar las amenazas de ataque cada vez más complejas, todas las partes de la industria necesitan seguir aumentando la inversión en investigación y desarrollo tecnológico, normas de gestión y prevención de riesgos. En el futuro, esperamos que a través de la colaboración de la industria y la innovación tecnológica, podamos establecer juntos un ecosistema blockchain más seguro, proporcionando una protección más confiable a los usuarios e inversores.