Аудит не гарантирует безопасности: Hacken подсчитала потери Q3 в $1,18 млрд

Компания Hacken подсчитала, что за третий квартал хакеры украли из крипто-проектов $1,18 млрд в 107 инцидентах, на 55% больше, чем во втором. Причина не только в ошибках кода: аудит, которым так любят хвалиться проекты, чаще всего охватывает лишь часть системы.

Что именно показал отчёт Hacken?

Отчёт вышел в четверг, и CoinDesk пересказал его главные цифры. Из $1,18 млрд примерно $906,8 млн (это 77%) пропало из-за трёх вещей: взломанных поставщиков или инструментов разработчиков, публичных исправлений безопасности, которые никто не установил, и компонентов, выпавших из последней проверки.

Самый крупный случай квартала это сентябрьский взлом биржи Bitget, где исчезло как минимум $352 млн. Хакеры воспользовались уязвимостью в стороннем защитном продукте и добрались до инфраструктуры вывода средств. Собственный код биржи слабым местом не был.

Почему аудит не закрывает всего?

Аудит это независимая проверка кода, и смотрит она только на то, что ей показали. Перечень проверенных частей называют объёмом, по-английски scope. Чем шире объём, тем дороже проверка, поэтому команды часто платят за минимум.

"Проблема всегда в объёме. Дорого проверять все компоненты, которые взаимодействуют со средствами или влияют на экономику, и команды экономят, проверяя только критичные части сервиса."

Андрей Матюхин, сооснователь и член совета директоров Hacken, из интервью CoinDesk

По словам Hacken, пользователь видит значок аудита и считает, что защищено всё. Потом деньги исчезают из-за ключа, поставщика или настройки, которые никто не тестировал. Кошельки, системы подписи и сторонний софт нередко остаются за рамками отчёта.

Как потери возникают за пределами проверки?

Чтобы понять механику, полезно разложить типичные пути, которые назвали в Hacken.

• Поставщик: хакеры заходят не через сам проект, а через сервис или библиотеку, которыми он пользуется.
• Исправление уже вышло, но команда его не поставила, потому что оценила угрозу как низкую. По словам Матюхина, критическую уязвимость иногда действительно так классифицируют, и исправление откладывают или отклоняют.
• Одно программное обеспечение работает на нескольких блокчейнах, которые обновляются в разное время, поэтому между обновлениями остаётся окно.
• Ключи подписи хранятся так, что взломать их проще, чем обойти код.

Отдельно Hacken проверила 12 бирж деривативов и рынков прогнозов. На двух крупных площадках более $700 млн зависели от схемы подписи, где нужны три подписи из четырёх ключей, либо от административных ключей, чьих владельцев публично не называют. Матюхин не раскрыл названий и добавил, что живой уязвимости не нашли. Однако для таких сумм настройки он считает недостаточными.

В июле за шесть часов три крипто-моста и межсетевых протокола потеряли более $35 млн. Из них $24 млн пришлись на AFX Trade, где злоумышленники получили ключи валидаторов. Среди других атак квартал запомнился $319 млн в Liquid Network, минимум $75 млн в Tectonic и примерно $114 млн в программе для кошелька Coldcard, работающего с Bitcoin.

А что с кошельками, которые пользователь держит сам?

Аппаратный кошелёк хранит ключи офлайн, и долго это считали надёжной схемой. На этой неделе производитель Ledger сообщил, что нашёл в устройстве, проданном реселлером CryptoBilis из Юго-Восточной Азии, скрытый шпионский имплант. Ущерб составил около $93 млн.

Здесь уязвимое место не код и не биржа, а путь, которым устройство дошло до владельца. Никакой аудит смарт-контрактов такого не видит.

На что смотреть вместо значка аудита?

Hacken считает, что ответственность лежит на компаниях, которые держат деньги клиентов. Они должны следить за уязвимостями и ставить исправления сразу, а не полагаться на проверку, сделанную месяцы или годы назад.

Пользователю это даёт простые вопросы к любому сервису. Что именно входило в объём аудита? Когда его проводили? Известно ли, кто держит административные ключи? Если ответа нет, значок на сайте мало что говорит о реальном риске.