Отчет об анализе ландшафта безопасности Web3 и AML за 2023 год

Авторы: Исследовательская группа Beosin Марио, Тянь Дася Донни

Эта статья является первой частью «Ситуация с безопасностью блокчейна Web3 в 2023 году, обзор анализа AML и краткое изложение ключевых политик регулирования в криптоиндустрии», в которой показана только часть отчета, посвященная ситуации с безопасностью, а нормативные политики и другой контент можно найти в «Глобальная политика регулирования индустрии виртуальных активов Web3 2023 года и наблюдение за событиями».

Введение

Этот исследовательский отчет, инициированный Blockchain Security Alliance и совместно созданный членами альянса Beosin, Web3 Law и Elven, направлен на всестороннее обсуждение глобального ландшафта безопасности блокчейна и ключевых политик регулирования в криптоиндустрии в 2023 году. Благодаря анализу и оценке текущего состояния безопасности блокчейна во всем мире, отчет раскроет текущие проблемы и угрозы безопасности, а также предоставит решения и лучшие практики. В то же время в отчете также будут рассмотрены позиции и политические рекомендации правительств и регулирующих органов в области регулирования криптоиндустрии, чтобы помочь читателям понять динамические изменения в нормативно-правовой среде и возможные последствия.

Благодаря этому отчету читатели смогут получить более полное представление о динамической эволюции ландшафта безопасности блокчейна Web3 и основных выводах регуляторной политики. Это поможет читателям оценить и решить проблемы безопасности, стоящие перед пространством блокчейна, и способствовать устойчивому развитию отрасли при соблюдении нормативных требований. Кроме того, читатели также могут получить полезные советы из отчета о мерах безопасности, требованиях соответствия и направлении развития отрасли, которые помогут им принимать обоснованные решения и действия в этой новой области. Безопасность и регулирование блокчейна являются ключевыми вопросами в развитии эпохи Web3. Благодаря углубленным исследованиям и обсуждениям мы можем лучше понять и ответить на эти вызовы, а также способствовать безопасности и устойчивому развитию технологии блокчейн.

1, обзор ландшафта безопасности блокчейна Web3 на 2023 год

По данным платформы EagleEye компании Beosin, занимающейся аудитом безопасности блокчейна, общий убыток в секторе Web3 из-за хакерских атак, фишинговых афер и Rug Pull достиг $2,02 млрд в 2023 году. **Среди них 191 атака с общим ущербом около $1,397 млрд, 267 инцидентов Rug Pull с общим ущербом около $388 млн и общий убыток около $238 млн от фишинговых афер.

** В 2023 году количество хакерских атак, фишинговых атак и инцидентов Rug Pull значительно снизилось по сравнению с 2022 годом, составив в общей сложности 53,9%. **Среди них больше всего упали хакерские атаки — с $3,6 млрд в 2022 году до $1,397 млрд в 2023 году, то есть примерно на 61,2%. Потери от фишингового мошенничества снизились на 33,2% по сравнению с 2022 годом, а убытки от Rug Pull снизились на 8,8% по сравнению с 2022 годом.

В 2023 году будет 4 атаки с убытками более 100 миллионов долларов США, и 17 атак с убытками в диапазоне от 10 миллионов долларов США до 100 миллионов долларов США. ** На 10 крупнейших инцидентов безопасности пришлось около 1 млрд долларов США общего ущерба, что составляет 71,5% от общего годового числа инцидентов. **

**Типы проектов, атакованных в 2023 году, более обширны, чем в 2022 году, включая децентрализованные финансы, CEX, DEX, публичные цепочки, мосты межсетевого взаимодействия, кошельки, платежные платформы, игровые платформы, криптоброкеры, инфраструктуру, менеджеры паролей, инструменты разработки, MEV-боты, TG-боты и многое другое. ** Децентрализованные финансы — это тип проектов с наибольшей частотой атак и суммами убытков: 130 атак на децентрализованные финансы привели к общему убытку около 408 миллионов долларов.

В 2023 году типы публичных цепочек с атаками будут встречаться чаще, и в нескольких цепочках будет похищено несколько инцидентов безопасности. Ethereum по-прежнему остается самой убыточной публичной цепочкой: 71 атака на Ethereum привела к убыткам в размере 766 миллионов долларов, что составляет 54,9% от общих потерь за год.

С точки зрения методов атаки, 30 утечек закрытых ключей привели к убыткам на общую сумму около $627 млн, что составляет 44,9% от общего количества потерь, что является самым дорогостоящим методом атаки. Наиболее частым методом атак является эксплуатация контрактных уязвимостей: 99 из 191 инцидента атаки приходится на эксплуатацию контрактных уязвимостей, что составляет 51,8%.

** За год было возвращено украденных средств на сумму около 295 миллионов долларов, что составляет примерно 21,1%, что значительно больше, чем в 2022 году. ** В течение года миксерам было переведено около 330 миллионов долларов украденных средств, что составляет 23,6% от общего объема украденных средств.

В отличие от ончейн-хакерских атак, фишинговых афер и значительного снижения количества Rug Pull, в 2023 году данные о криптопреступлениях вне сети значительно увеличатся. В 2023 году глобальная преступность в криптоиндустрии достигла ошеломляющих 65,688 миллиарда долларов, что примерно на 377% больше, чем 13,76 миллиарда долларов в 2022 году. ** Тремя основными типами преступлений, связанных с деньгами, являются азартные игры в Интернете, отмывание денег и мошенничество. **

2. Топ-10 событий безопасности в экосистеме Web3 в 2023 году

В 2023 году произошло четыре атаки, которые потеряли более $100 млн: Mixin Network ($200 млн), Euler Finance ($197 млн), Poloniex ($126 млн) и HTX & Heco Bridge ($110 млн). На 10 крупнейших инцидентов безопасности пришлось около $1 млрд общих потерь, или 71,5% от общего годового числа инцидентов.

No.1MixinNetwork

Сумма ущерба: $200 млн

Метод атаки: атака на базу данных поставщика облачных услуг

Ранним утром 23 сентября была взломана база данных поставщика облачных услуг Mixin Network, что привело к потере некоторых активов в основной сети на сумму около 200 миллионов долларов. 25 сентября основатель Mixin публично объяснил инцидент в прямом эфире, заявив, что поврежденные активы были в основном основными активами биткоина, а такие активы, как BOX и XIN, не были серьезно украдены, а конкретная ситуация атаки не может быть раскрыта.

No2****EulerFinance

Сумма убытка: $197 млн

Метод атаки: уязвимость контракта - проблема бизнес-логики

13 марта был атакован протокол кредитования децентрализованных финансов Euler Finance, в результате чего был нанесен ущерб в размере около 197 миллионов долларов. Основная причина атаки заключается в том, что контракт не проверяет должным образом количество токенов, фактически принадлежащих пользователю, и состояние работоспособности реестра пользователя после пожертвования. Все средства, похищенные в результате инцидента, были возвращены злоумышленниками.

No3****Poloniex

Сумма ущерба: $126 млн

Метод атаки: утечка закрытого ключа / атака APT

10 ноября биржа Джастина Сана Address, связанная с Poloniex, продолжила переводить крупные суммы активов, подозреваемых в краже. Сразу после этого Сунь Юйчэнь и Poloniex опубликовали объявление в социальных сетях, чтобы подтвердить кражу. Согласно отслеживанию Beosin Security Team с помощью Beosin Trace, было накоплено около 126 миллионов долларов украденных активов с Poloniex.

No4****HTX&HecoBridge

Сумма ущерба: $110 млн

Метод атаки: Утечка закрытого ключа

22 ноября биржа Джастина Сана HTX и мост кроссчейн-взаимодействия Heco Bridge были взломаны, общий ущерб составил $110 млн, в том числе $86,6 млн у Heco Bridge и около $23,4 млн у HTX.

No5****Curve/Vyper

Сумма ущерба: $73 млн

Метод атаки: повторный вход в контракт с уязвимостью

Ранним утром 31 июля язык программирования Ethereum Vyper написал в Твиттере, что версии Vyper 0.2.15, 0.2.16 и 0.3.0 имеют реентерабельные блокировки и уязвимости, плюс нативный ETH может настроить обратный вызов при передаче, в результате чего несколько пулов LP из этих и ETH групп могут быть атаками с повторным входом. Затем в официальном сообщении Curve в Twitter говорилось, что многие пулы стейблкоинов (alETH/msETH/pETH), использующие Vyper 0.2.15, были атакованы из-за сбоя в реентерабельной блокировке. Ущерб от этого инцидента составляет около 73 миллионов долларов.

No.6CoinEx

Сумма ущерба: $70 млн

Метод атаки: утечка закрытого ключа / атака APT

12 сентября криптобиржа CoinEX выпустила заявление, в котором говорилось, что система контроля рисков обнаружила подозрительно крупную активность по выводу средств в горячем кошельке, используемом для временного хранения торговых активов платформы, и была создана специальная команда, которая вмешалась в первый раз, и инцидент в основном касался активов Token, таких как ETH, TRON и Polygon, с украденной суммой около 70 миллионов долларов.

No7****AtomicWallet

Сумма ущерба: $67 млн

Метод атаки: утечка закрытого ключа / атака APT

По данным платформы мониторинга рисков безопасности, раннего предупреждения и блокировки EagleEye, Atomic Wallet был атакован в начале июня, и, по словам команды Beosin, ущерб, нанесенный атакой, составил не менее 67 миллионов долларов.

No.8Alphapo

Сумма ущерба: $60 млн

Метод атаки: утечка закрытого ключа / атака APT

23 июля был украден поставщик платежных услуг по криптоактивам Alphapo Hot Wallet, в результате чего он потерял в общей сложности 60 миллионов долларов. Инцидент был совершен северокорейской хакерской группировкой Lazarus.

No.9KyberSwap

Сумма убытка: $54,7 млн

Метод атаки: уязвимость контракта - проблема бизнес-логики

22 ноября был атакован DEX-проект KyberSwap, в результате чего общий ущерб составил около $54,7 млн. Kyber Network заявила, что хакерская атака была одной из самых изощренных в истории децентрализованных финансов, и злоумышленникам необходимо будет выполнить ряд точных операций в сети, чтобы использовать уязвимость.

No.10****Stake.com

Сумма ущерба: $41,3 млн

Метод атаки: утечка закрытого ключа / атака APT

4 сентября криптовалютная игровая платформа Stake.com подверглась хакерской атаке. После атаки Stake.com заявила, что несанкционированные транзакции Hot Wallet происходили на его ETH и BSC, что ведется расследование, и что депозиты и снятие средств будут возобновлены как можно скорее после того, как кошелек будет полностью защищен. Инцидент был совершен северокорейской хакерской группировкой Lazarus.

3. Тип проекта, который будет атакован

По сравнению с 2022 годом, типы атакованных проектов в 2023 году более обширны, а сумма потерь уже не концентрируется на определенных типах проектов. Помимо распространенных типов, таких как децентрализованные финансы, CEX, DEX, публичные цепочки, мосты межсетевого взаимодействия, кошельки и т. д., хакерские атаки в 2023 году также появились на платежные платформы, гемблинг-платформы, криптоброкеров, инфраструктуру, менеджеры паролей, инструменты разработки, MEV-боты, TG-боты и другие типы проектов.

**Из 191 атаки в 2023 году на проекты децентрализованных финансов пришлось 130 (около 68%), что делает их наиболее атакуемым типом проектов. **Общая сумма потерь от атак Decentralized Finance составляет около $408 млн, что составляет 29,2% от всех потерь, а также это тип проектов с наибольшей суммой потерь.

На втором месте по потерям оказалась CEX (централизованная биржа), потерявшая в общей сложности $275 млн от 9 атак. КРОМЕ ТОГО, 16 АТАК ПРОИЗОШЛИ В TYPE DEX (БИРЖА DEX) С ОБЩИМ УБЫТКОМ ОКОЛО $85,68 МЛН. В целом, в 2023 году типы бирж будут сталкиваться с частыми инцидентами безопасности, и безопасность бирж является второй по величине проблемой после безопасности децентрализованных финансов.

Третьей по величине потерей стала публичная сеть с убытками в размере около 208 миллионов долларов, в основном из-за кражи Mixin Network на 200 миллионов долларов.

**В 2023 году потери от кроссчейн-взаимодействия занимают 4-е место, на их долю приходится около 7% всех потерь. **В 2022 году 12 инцидентов безопасности межсетевого взаимодействия привели к убыткам на сумму около 1,89 млрд долларов, что составляет 52,5% от общего объема потерь в том году. В 2023 году произойдет значительное сокращение инцидентов безопасности Cross-Chain Interaction.

На пятом месте находится криптовалютная платежная платформа, с общим убытком около $97,3 млн в 2 инцидентах безопасности (Alphapo и CoinsPaid), оба из которых хакер указывает на северокорейскую APT организацию Lazarus.

4. Сумма убытка каждой цепочки

**По сравнению с 2022 годом, типы публичных цепочек с атаками в 2023 году также более обширны, в основном из-за множественных утечек приватных ключей CEX в 2023 году с потерями на нескольких цепочках. **В пятерку лидеров по количеству повреждений входят Ethereum, Mixin, HECO, BNB Chain, TRON; в пятерку лидеров по количеству атак входят BNB Chain, Ethereum, Arbitrum, Polygon, Optimism и Avalanche (5-е место).

Как и в 2022 году, Ethereum по-прежнему остается публичной цепочкой с наибольшим количеством убытков. 71 атака на Ethereum нанесла ущерб в размере $766 млн, или 54,9% от общих потерь за год.

Сеть Mixin заняла второе место по убыткам, потеряв 200 миллионов долларов из-за одного инцидента безопасности. На третьем месте оказалась компания HECO с убытком около $92,6 млн.

На BNB Chain было совершено 76 атак, что составляет 39,8% от общего числа атак, что является самым высоким показателем среди всех платформ Chain. Общий убыток на BNB Chain составил около $70,81 млн, при этом подавляющее большинство инцидентов (88%) сконцентрировалось ниже $1 млн.

5. Анализ методов атак

По сравнению с 2022 годом, методы атак в 2023 году стали более разнообразными, особенно добавив разнообразные методы атак Web2, в том числе: атаки на базы данных, атаки на цепочку поставок, атаки на сторонних поставщиков услуг, атаки «человек посередине», атаки DNS, атаки на фронтенд и т. д. **

В 2023 году 30 утечек закрытых ключей привели к убыткам на общую сумму 627 миллионов долларов, что составляет 44,9% от общего объема потерь, что делает их самыми дорогостоящими методами атаки. Утечки приватных ключей, которые привели к большим убыткам, были: Poloniex ($126 млн), HTX & Heco Bridge ($110 млн), CoinEx ($70 млн), Atomic Wallet ($67 млн) и Alphapo ($60 млн). ** Большинство этих событий связаны с Lazarus, северокорейской APT группировкой. **

Наиболее частым методом атак является эксплуатация контрактных уязвимостей: 99 из 191 инцидента атаки приходится на эксплуатацию контрактных уязвимостей, что составляет 51,8%. Общий убыток из-за разрыва контракта составил $430 млн, что стало второй по величине суммой убытка.

На уязвимости бизнес-логики приходится около 72,7% потерь, вызванных уязвимостями контрактов, в результате чего общий ущерб составил около $313 млн. Второй по величине уязвимостью контракта стал повторный вход: 13 уязвимостей повторного входа привели к убыткам на сумму около 93,47 миллиона долларов.

6. Анализ методов атак в типичных случаях

6.1 Сводка событий инцидента безопасности EulerFinance

13 марта Euler Finance, кредитный проект на блокчейне Ethereum, подвергся атаке флэш-кредитов, убытки которого достигли $197 млн.

16 марта Фонд Эйлера предложил вознаграждение в размере 1 миллиона долларов за информацию, которая может помочь задержать хакера и вернуть украденные средства.

17 марта Майкл Бентли, генеральный директор Euler Labs, написал в Твиттере, что Euler «всегда был проектом, заботящимся о безопасности». С мая 2021 года по сентябрь 2022 года Euler Finance 10 раз проверяли 6 компаний, занимающихся безопасностью блокчейна, включая Halborn, Solidified, ZK Labs, Certora, Sherlock и Omnisica.

С 18 марта по 4 апреля злоумышленники один за другим начали возвращать средства. В течение этого периода злоумышленник извинялся через ончейн-сообщения, говоря, что он «испортил чужие деньги, чужие рабочие места и чужие жизни», и просил у всех прощения.

4 апреля Euler Labs написала в Twitter, что злоумышленники вернули все украденные средства после успешных переговоров.

Анализ уязвимостей

В этой атаке функция donateToReserve контракта Etoken не проверяла должным образом количество токенов, фактически принадлежащих пользователю, и состояние работоспособности реестра пользователя после пожертвования. Злоумышленник воспользовался этой уязвимостью и пожертвовал 100 миллионов eDAI, хотя на самом деле злоумышленник поставил в стейкинг только 30 миллионов DAI.

Поскольку состояние работоспособности реестра пользователя соответствует условиям ликвидации после пожертвования, кредитный договор запускается для ликвидации. В процессе ликвидации eDAI и dDAI переносятся в договор о ликвидации. Однако, в связи с очень большим количеством безнадежных долгов, в ликвидационном договоре будет применяться максимальный дисконт для ликвидации. На момент ликвидации в ликвидационном контракте значатся 310,93 млн eDAI и 259,31 млн dDAI.

На этом этапе состояние работоспособности реестра пользователя восстановлено, и пользователь может выводить средства. Сумма, которую можно снять, равна разнице между eDAI и dDAI. Но на самом деле в пуле всего 38,9 млн DAI, поэтому пользователи могут выводить только эту сумму.

6.2События безопасности Vyper/Curve

Итоги мероприятия

31 июля язык программирования Ethereum Vyper написал в Твиттере, что версии Vyper 0.2.15, 0.2.16 и 0.3.0 имеют реентерабельные блокировки и уязвимости. Curve сообщила, что несколько пулов стейблкоинов (CRV/alETH/msETH/pETH) с использованием Vyper 0.2.15 были атакованы, при этом общие убытки составили $73 млн, а около $52,3 млн позже были возвращены Hacker.

Анализ уязвимостей

Эта атака в основном вызвана сбоем антиреентерабельной блокировки Vyper 0.2.15, злоумышленник добавил Ликвидность функцией re-entrancy add_liquidity при вызове функции remove_liquidity соответствующего пула ликвидности для удаления Ликвидности, потому что обновление баланса предшествует функции re-entrant add_liquidity, что приводит к ошибке в расчете цены.

7. Анализ и обзор типичных AML-событий

7.1 Случай кражи кошелька AtomicWallet

По данным платформы мониторинга рисков безопасности EagleEye, Atomic Wallet был атакован в начале июня этого года, и, по словам команды Beosin, ущерб, нанесенный атакой, составил не менее 67 миллионов долларов.

Согласно анализу, проведенному командой Beosin, цепочка, вовлеченная в кражу, на данный момент включает в себя в общей сложности 21 цепочку, в том числе BTC, ETH и TRX. Украденные средства в основном сосредоточены в цепочке Ethereum. Где:

Блокчейн Ethereum идентифицировал Vitual Money на сумму 16 262 ETH, что составляет около 30 миллионов долларов.

ИЗВЕСТНО, ЧТО TRON CHAINTRON CHAIN УКРАЛА СРЕДСТВА В РАЗМЕРЕ 251335387.3208 TRX СУММУ ОКОЛО 17 МИЛЛИОНОВ ДОЛЛАРОВ.

BTC Chain Известные украденные средства сети BTC составляют 420 882 BTC Vitual Money, что эквивалентно 12,6 миллиона долларов.

BSC Chain Известно, что BSC Chain украла средства на сумму 40,206266 BNB Vitual Money.

Остальная часть цепочки XRP: 1676015 XRP, около $840 000 LTC: 2839,873689 LTC, около $220 000 DOGE: 800575,67369797 DOGE, около $50 000

Возьмем пример отмывания денег в цепочке Ethereum

В операции Хакера с украденными деньгами есть два основных способа атаки на Ethereum:

Avalanche Cross-Chain InteractionОтмывание денег после расхождения через контракты

Согласно анализу команды Beosin, Хакер сначала обменяет ценные монеты в Кошельке на основную валюту публичной сети, а затем соберет их через два контракта.

Пакет адресов контракта ETH в WETH через двухуровневый транзит, а затем передает WETH в контракт, используемый для расхождения ETH, и передает его в WalletAddress Avalanche для Cross Bridge через до пяти уровней обмена для операций межцепочечного взаимодействия, межсетевого взаимодействия, которое не осуществляется с использованием контракта и относится к типу внутренней бухгалтерской транзакции Avalanche.

Схема связей Ethereum выглядит следующим образом:

Контракт на конвергенцию 1:

0xe07e2153542eb4b768b4d73081143c90d25f1d58 Всего было задействовано 3357,0201 ETH

Своп на WETH и перевод на контрактную 0x3c3ed2597b140f31241281523952e936037cbed3

Подробная карта маршрута кражи выглядит следующим образом:

Контракт на конвергенцию 2:0x7417b428f597648d1472945ff434c395cca73245 включал в общей сложности 3009,8874 ETH

Хакер конвертирован в WETH и переведен на контрактную 0x20deb1f8e842fb42e7af4c1e8e6ebfa9d6fde5a0

Подробная карта маршрута кражи выглядит следующим образом:

Два контракта конвергенции подтверждаются согласованием источника комиссии, и в некоторых из них не скрыт адрес транзакции. Путь оплаты следующий:

Кроме того, в цепочке Ethereum хакер также отмывает деньги через различные протоколы мостов межцепочечного взаимодействия и биржи, и эта часть в настоящее время считается как 9896 ETH, и эта часть будет собираться через множественный адрес агрегации.

В целом, существует множество каналов отмывания хакерских денег, в основном через различные биржевые счета для отмывания денег, а также есть прямые поступления в бридж-контракты межсетевого взаимодействия.

8. Анализ движения средств похищенных активов

Около $723 млн украденных средств за весь 2023 год остались в HackerAddress (включая переводы через кроссчейн-взаимодействие и рассредоточение по нескольким адресам), что составляет 51,8% от общего объема украденных средств. В этом году хакер более склонен использовать несколько кроссчейн-взаимодействий для отмывания денег и распределять украденные средства по множеству адресов, чем в прошлом году. Увеличение количества адресов и усложнение путей отмывания денег, несомненно, усложнили проведение расследований для участников проекта и регулирующих органов.

Было возвращено около $295 млн украденных средств, что составляет около 21,1%. В 2022 году было возвращено только 8% средств. Возврат украденных средств в 2023 году значительно лучше, чем в 2022 году, при этом большая часть приходится на возвраты, согласованные в сети.

В течение года миксерам было переведено около $330 млн украденных средств (примерно $71,16 млн — Tornado Cash и еще $259 млн — другим микшерным платформам), что составляет 23,6% от общего объема украденных средств. Это существенное снижение по сравнению с 38,7% в прошлом году. С тех пор, как в августе 2022 года Управление по контролю за иностранными активами США ввело санкции против Tornado Cash, сумма украденных средств, переведенных в Tornado Cash, значительно снизилась и была заменена увеличением использования других платформ для смешивания, таких как Sinbad, FixedFloat и т. д. В ноябре 2023 года Управление по делам беженцев США внесло «Синдбада» в свой санкционный список, назвав его «главным средством отмывания денег северокорейской организации Lazarus».

Кроме того, на биржу было переведено небольшое количество украденных средств ($12,79 млн), а небольшое количество украденных средств ($10,9 млн) было заморожено.

9. Анализ аудита проекта

Из 191 атаки 79 не были проверены, а 101 — проверена. Доля аудированных проектов в этом году несколько выше, чем в прошлом году (доля аудированных/неаудированных проектов в прошлом году была примерно такой же).

** Из 79 неаудированных проектов (59,5%) уязвимости контрактов составили 47 из 79 проверок. Это говорит о том, что проекты, которые не проходили аудит, с большей вероятностью будут иметь потенциальные риски безопасности. ** Для сравнения, в 51 (50,5%) из 101 аудированного проекта были зафиксированы инциденты, связанные с уязвимостями контрактов. Это говорит о том, что аудиты могут в определенной степени повысить безопасность проекта.

Однако из-за отсутствия устоявшихся нормативных стандартов на рынке Web3 качество аудитов было неравномерным, а конечные результаты не оправдали ожиданий. Для того, чтобы эффективно обеспечить безопасность активов, рекомендуется найти профессиональную охранную компанию для проведения аудита перед запуском проекта. **

10. Анализ RugPull

В 2023 году платформа Beosin EagleEye будет отслеживать в общей сложности 267 инцидентов Rug Pull в экосистеме Web3 на общую сумму около 388 миллионов долларов, что примерно на 8,7% меньше, чем в 2022 году.

В стоимостном выражении 233 (87%) из 267 инцидентов Rug Pull были менее 1 миллиона долларов, что примерно соответствует уровню 2022 года. Всего было задействовано 4 проекта на сумму более 10 млн долларов США, в том числе Multichain (210 млн долларов США), Fintoch (31,6 млн долларов США), BALD (23 млн долларов США) и PEPE (15,5 млн долларов США).

Проекты Rug Pull на BNB Chain и Ethereum составили 92,3% от общего числа, 159 и 81 соответственно. Небольшое количество событий Rug Pull также произошло в других публичных цепочках, в том числе: Arbitrum, BASE, Sui, zkSync и т. д.

11, 2023 Глобальные данные о преступности в криптоиндустрии

В 2023 году глобальная преступность в криптоиндустрии достигла ошеломляющих 65,688 миллиарда долларов, что примерно на 377% больше, чем 13,76 миллиарда долларов в 2022 году. В то время как количество хакерских атак в сети значительно сократилось, преступность в других областях криптоактивов значительно возросла. Наибольший рост пришелся на онлайн-гемблинг — 54,9 миллиарда долларов. На очереди отмывание денег (около $4 млрд), мошенничество (около $2,05 млрд), финансовые пирамиды (около $1,43 млрд) и хакерские атаки (около $1,39 млрд).

С улучшением глобальной системы регулирования криптовалют и углублением борьбы с преступлениями, связанными с криптоактивами, в 2023 году глобальная полиция раскроет ряд крупных дел на сотни миллионов долларов. Вот обзор некоторых типичных случаев:

No1В июле 2023 года китайская полиция провинции Хубэй раскрыла «первое в стране дело о Vitual Money», в котором фигурировало 400 млрд юаней (около 54,9 млрд долларов США). Более 50 000 человек были вовлечены в это дело об онлайн-гемблинге, сервер находился за пределами Китая, а главный виновник Цю Моуму и другие были отправлены под суд в соответствии с законом.

No2 В августе 2023 года власти Сингапура расследовали крупнейшее в истории дело об отмывании денег на сумму 2,8 миллиарда сингапурских долларов, в основном через Vitual Money.

No3 В марте 2023 года полиция провинции Цзянсу, Китай, возбудила уголовное дело против аферы Ubank «Торговля криптовалютой», в которой участвовала финансовая пирамида с объемом торгов более 10 млрд юаней (около 1,4 млрд долларов США).

No4В декабре 2023 года, согласно заявлению прокуратуры США по Восточному округу Нью-Йорка, соучредитель биржи Vitual Money Bitzlato признал себя виновным по обвинениям в отмывании денег на сумму 700 миллионов долларов.

No5 В июле 2023 года Федеральная полиция Бразилии ликвидировала две преступные группировки, занимающиеся незаконным оборотом наркотиков, переведя в общей сложности более 417 миллионов долларов и предоставив услуги по отмыванию денег через криптоактивы.

No 6 В феврале 2023 года основателю Forsage было предъявлено обвинение в предполагаемой финансовой пирамиде децентрализованных финансов на сумму 340 миллионов долларов, согласно обвинительному заключению американского штата Орегон.

No7 В ноябре 2023 года полиция штата Химачал-Прадеш, Индия, арестовала 18 человек в результате мошенничества с криптоактивами на сумму 300 миллионов долларов.

No8 В августе 2023 года израильская полиция обвинила бизнесмена Моше Хогега и его партнеров в обмане инвесторов на 290 миллионов долларов в криптоактивах.

No9 В июне 2023 года тайская полиция раскрыла дело о предполагаемом мошенничестве с криптовалютой, которое может быть связано с более чем 10 миллиардами бат (около 288 миллионов долларов).

В октябре 2023 года JPEX, платформа для торговли виртуальными активами в Гонконге, Китай, была заподозрена в мошенничестве, и полиция арестовала в общей сложности 66 человек на сумму около 1,6 миллиарда гонконгских долларов (около 205 миллионов долларов США).

2023 год — это год всплеска преступлений, связанных с криптоактивами. Частое возникновение мошенничества и финансовых пирамид также означает, что вероятность того, что обычные пользователи пострадают от потери активов, значительно возросла. Поэтому необходимо срочно усилить регулирование индустрии криптоактивов. Мы видим, что мировые регуляторы приложили много усилий для регулирования криптоактивов в этом году, но до полноценной, безопасной и позитивной экосистемы еще далеко. **

12. Обзор ландшафта безопасности блокчейна Web3 в 2023 году

В 2023 году количество хакерских атак в сети, фишинговых афер и инцидентов Rug Pull на стороне проекта значительно снизилось по сравнению с 2022 годом. Количество хакерских атак сократилось на 61,3%, а самый дорогостоящий способ атаки изменился с прошлогоднего контрактного эксплойта на утечку закрытого ключа в этом году. К основным причинам такого сдвига относятся:

1. После прошлогодней безудержной активности хакеров, в этом году вся экосистема Web3 уделила больше внимания безопасности, от участников проекта до охранных компаний, приложив усилия в различных аспектах, таких как ончейн-мониторинг в режиме реального времени, больше внимания к аудиту безопасности и активное извлечение уроков из прошлых инцидентов эксплуатации уязвимостей контрактов. Это усложнило хищение средств через лазейки в контрактах, чем это было в прошлом году. **

2. Усиление глобального регулирования и совершенствование технологии AML. Видно, что в 2023 году было возвращено 21,1% украденных средств, что значительно лучше, чем в 2022 году. ** В связи с тем, что такие платформы, как Tornado Cash, Sinbad и другие, находятся под санкциями Соединенных Штатов, путь отмывания денег для хакеров также становится сложным. В то же время мы также видели новости об аресте Хакера местной полицией, что оказывает определенное сдерживающее воздействие на Хакера. **

3. Влияние медвежьего рынка криптовалют в начале года. Hacker ожидаемые выгоды от возможности кражи активов из Web3-проектов снижаются, ослабляя хакерскую активность. Это также привело к тому, что хакер больше не ограничивается такими типами атак, как децентрализованные финансы, межсетевое взаимодействие, биржи и т. д., а обращается к платежным платформам, игровым платформам, криптоброкерам, инфраструктуре, менеджерам паролей, инструментам разработки, MEV-ботам, TG-ботам и другим типам.

В отличие от резкого снижения активности хакеров в сети, более скрытая преступная деятельность вне сети, такая как азартные игры в Интернете, отмывание денег, финансовые пирамиды и т. д., значительно возросла. Из-за анонимности криптоактивов все виды преступной деятельности более склонны использовать криптоактивы для транзакций. Тем не менее, было бы односторонне связывать рост случаев преступлений, связанных с Vitual Money, исключительно анонимностью и неадекватным регулированием криптоактивов. ** Основной причиной является рост глобальной преступной активности, и Vitual Money обеспечивает относительно скрытый и трудно отслеживаемый канал финансирования этой преступной деятельности. **В 2023 году существенное замедление темпов роста мировой экономики и ряд неопределенностей в политической обстановке способствовали всплеску глобальной преступной активности. ** Вопреки этим экономическим ожиданиям, ожидается, что в 2024 году глобальная преступная активность останется высокой, что станет серьезным испытанием для правоохранительных органов и регулирующих органов по всему миру. **