Sucesso de bilheteria de Beosina | Análise do cenário de segurança da blockchain Web3 no primeiro semestre de 2025

*Este relatório é produzido em conjunto pela Beosin e Footprint Analytics

1. Visão geral do cenário de segurança da blockchain Web3 no primeiro semestre de 2025

De acordo com o Beosin Alert, a perda total causada por hackers, golpes de phishing e Rug Pull no campo Web3 no primeiro semestre de 2025 será de cerca de US$ 2,138 bilhões. Entre eles, houve 90 grandes ataques, com uma perda total de cerca de US$ 2,093 bilhões; As perdas totais da Rug Pull totalizaram aproximadamente US$ 3,2 milhões; A perda total de golpes de phishing foi de cerca de US$ 41,38 milhões.

Do ponto de vista dos tipos de projetos atacados, as exchanges se tornaram o tipo de projeto com a maior quantidade de perdas. Os seis ataques à plataforma de câmbio causaram um total de mais de US$ 1,591 bilhão em danos, representando 74,4% de todas as perdas por ataque.

Em termos de quantidade de perdas de cada cadeia, o Ethereum ainda é a cadeia com o maior valor de perda e o maior número de eventos de ataque. Os 81 ataques ao Ethereum causaram US$ 1,739 bilhão em danos, ou 81,3% das perdas totais. Sui perdeu cerca de US$ 224 milhões devido ao incidente do Protocolo Cetus, ficando em segundo lugar.

Em termos de métodos de ataque, o primeiro semestre do ano viu os ataques mais frequentes que exploraram vulnerabilidades de contrato, com um total de 63 ataques, resultando em perdas de US$ 408 milhões. A Bybit foi o tipo de ataque com maior percentual de perdas devido a US$ 1,44 bilhão roubados devido a uma falha na infraestrutura da carteira, respondendo por 67,4% do total de perdas por ataque.

Em termos de fluxos de fundos, apenas uma pequena parte (cerca de US$ 238 milhões) dos fundos roubados foi congelada ou recuperada no primeiro semestre do ano, e cerca de 71,2% dos fundos roubados ainda estão circulando em carteiras on-chain e não fluíram para exchanges ou mixers.

2. Visão geral dos ataques no primeiro semestre de 2025

Os 90 principais ataques resultaram em um total de US$ 2,093 bilhões em danos

No primeiro semestre de 2025, o Beosin Alert detectou um total de 90 grandes ataques no espaço Web3, com uma perda total de US$ 2,093 bilhões. Entre eles, houve 2 incidentes de segurança com perdas de mais de US$ 100 milhões, 7 incidentes com perdas na faixa de US$ 10 milhões a US$ 100 milhões e 18 incidentes com perdas na faixa de US$ 1 milhão a US$ 10 milhões.

Ataques com perdas superiores a US$ 10 milhões (em ordem alfabética):

● Bybit - US$ 1,44 bilhão

Método de ataque: front-end de carteira segura é adulterado Plataforma de cadeia: Ethereum

Em 21 de fevereiro, a exchange de criptomoedas Bybit foi atacada e cerca de US$ 1,44 bilhão em fundos foram roubados de sua carteira multisig Safe. Ao invadir os servidores da Safe, os hackers plantaram um código malicioso que substituiu as solicitações normais de transação, fazendo com que o signatário assinasse a transação adulterada sem o seu conhecimento.

● Cetus Protocol - US$ 224 milhões

Método de ataque: vulnerabilidade de contrato Plataforma de cadeia: Sui

Em 22 de maio, o protocolo DEX Cetus no ecossistema Sui foi atacado e sua vulnerabilidade se originou de um erro de implementação da operação shift-left no código da biblioteca de código aberto. Posteriormente, com a cooperação da Fundação Sui e outros projetos ecológicos, US $ 162 milhões em fundos roubados em Sui foram congelados com sucesso.

● Nobitex - US$ 90 milhões

Método de ataque: ainda não está claro Plataforma de cadeia: multi-cadeia

Em 18 de junho, a Nobitex, a maior exchange de criptomoedas do Irã, anunciou que havia sido hackeada e perdido mais de US$ 90 milhões, envolvendo uma variedade de criptomoedas como BTC, ETH, Doge, XRP, SOL, TRX e TON. Um grupo pró-Israel chamado "Gonjeshke Darande" reivindicou a responsabilidade pelo ataque e o caracterizou como um ataque contra a infraestrutura de criptomoedas do Irã.

● Phemex - US$ 70 milhões

Método de ataque: vazamento de chave privada Plataforma de cadeia: multi-cadeia

Em 23 de janeiro, cerca de US$ 70 milhões em criptoativos foram roubados da carteira quente da Phemex, uma exchange de criptomoedas com sede em Cingapura, envolvendo vários criptoativos, como ETH, SOL, BTC, BNB, USDT e muito mais.

● UPCX - US$ 70 milhões

Método de ataque: vulnerabilidade de controle de acesso Plataforma de cadeia: Ethereum

Em 1º de abril, a UPCX perdeu cerca de US$ 70 milhões em tokens devido ao acesso não autorizado. Os hackers atualizaram o contrato ProxyAdmin da UPCX e, posteriormente, executaram um recurso que permitia aos administradores sacar fundos, resultando na transferência de fundos de três contas de gerenciamento diferentes.

● Infini - US$ 49,5 milhões

Método de ataque: vulnerabilidade de gerenciamento de permissões Plataforma da cadeia: Ethereum

Em 24 de fevereiro, US$ 49,5 milhões foram roubados da Infini depois que um desenvolvedor interno roubou fundos atualizando o contrato, enganando a equipe para reter secretamente os privilégios de gerenciamento de contratos.

● Abracadabra Finance - US$ 13 milhões

Método de ataque: vulnerabilidade do contrato Plataforma da cadeia: Ethereum

Em 25 de março, o Abracadabra Finance, um protocolo de empréstimo descentralizado, perdeu cerca de US$ 13 milhões ao roubar cerca de 6.262 ETH devido a uma brecha no contrato.

● Cork Protocol - US$ 12 milhões

Método de ataque: vulnerabilidade do contrato Plataforma da cadeia: Ethereum

Em 28 de maio, o Cork Protocol, um protocolo de ativos âncora na cadeia Ether, foi atacado e o invasor obteve um lucro de US$ 12 milhões por meio de uma vulnerabilidade lógica no contrato do projeto (os principais parâmetros não foram verificados).

● BitoPro - US$ 11,5 milhões

Método de ataque: vazamento de chave privada Plataforma de cadeia: multi-cadeia

Em 2 de junho, a exchange de criptomoedas BitoPro emitiu um anúncio confirmando o ataque, dizendo que sua carteira quente foi atacada por hackers durante a recente atualização do sistema de carteira e transferência de ativos criptográficos, e a saída anormal de fundos de várias carteiras quentes on-chain foi de cerca de US$ 11,5 milhões.

3. O tipo de projeto a ser atacado

CEX é o tipo de projeto com maior perda

O tipo de projeto com maiores perdas no primeiro semestre do ano foram as exchanges centralizadas, com seis ataques a exchanges centralizadas causando um total de mais de US$ 1,591 bilhão em perdas, das quais a maior perda foi a Bybit, com uma perda de cerca de US$ 1,44 bilhão. O restante das maiores perdas foram Nobitex (cerca de US$ 90 milhões em perdas), Phemex (cerca de US$ 70 milhões em perdas) e Noones, BitoPro e Coinbase também foram atacados.

O segundo tipo mais atacado é o DeFi. Entre eles, cerca de US$ 224 milhões foram roubados do Cetus Protocol, representando 69,1% dos fundos roubados em DeFi, e o restante dos projetos DeFi com maiores perdas foram Abracadabra Finance (US$ 13 milhões), Cork Protocol (cerca de US$ 12 milhões), Resupply (cerca de US$ 9,6 milhões), zkLend (cerca de US$ 9,5 milhões), Ionic (cerca de US$ 8,8 milhões), Alex Protocolo (aproximadamente US$ 8,37 milhões).

Além disso, ocorreram 2 incidentes de segurança no espaço de pagamentos criptográficos, com uma perda de cerca de US$ 120 milhões, ocupando o terceiro lugar entre todos os tipos de projetos. Outros tipos de projetos que foram atacados incluem: navegadores, contratos de token, pontes de cadeia cruzada, plataformas de lançamento de Memecoin, etc.

4. A quantidade de perda de cada cadeia

Ethereum é a cadeia com a maior quantidade de perdas e mais ataques

Como nos anos anteriores, o Ethereum ainda é a cadeia pública com a maior quantidade de perdas. Os 81 ataques ao Ethereum causaram US$ 1,739 bilhão em danos, ou 81,3% das perdas totais.

A cadeia pública com o segundo maior número de ataques é a BNB Chain, com 33 ataques causando uma perda total de cerca de US$ 42,53 milhões. A BNB Chain tem um grande número de ataques on-chain e perdas relativamente pequenas, mas em comparação com o mesmo período do ano passado, o número de ataques e a quantidade de perdas aumentaram significativamente, e a quantidade de perdas aumentou 357%.

A Arbitrum e a Base ficaram em terceiro e quarto lugar, respectivamente, com perdas de US$ 21,2 milhões e US$ 13,05 milhões, respectivamente. Em comparação com o mesmo período do ano passado, o número de ataques à rede Arbitrum aumentou, mas a quantidade de perdas diminuiu 71,8%; O número de ataques em cadeia de base e a quantidade de perdas aumentaram significativamente, e a quantidade de perdas aumentou 294%.

5. Análise dos métodos de ataque

70% dos ataques vêm de vulnerabilidades de contratos

No primeiro semestre do ano, foram 63 ataques contra vulnerabilidades de contratos, resultando em perdas de US$ 408 milhões, o maior tipo de ataque, exceto o roubo da Bybit devido a uma falha na infraestrutura da carteira. No primeiro semestre deste ano, as perdas causadas pela violação da chave privada foram significativamente menores do que no mesmo período do ano passado, mas as perdas totais ainda foram superiores a US$ 102 milhões.

Divididas por vulnerabilidades de contrato, as três principais vulnerabilidades que causaram perdas foram: vulnerabilidades de lógica de negócios (US$ 356 milhões), falhas de algoritmo (US$ 21,37 milhões) e vulnerabilidades de validação (US$ 12,7 milhões). As três principais vulnerabilidades de contrato foram vulnerabilidades de lógica de negócios (45 vezes), vulnerabilidades de controle de acesso (7 vezes) e defeitos de algoritmo (5 vezes).

6. Análise do fluxo de fundos roubados

Apenas 11,1% dos ativos roubados foram congelados e recuperados

De acordo com a análise da plataforma de combate à lavagem de dinheiro da Beosin KYT, cerca de US$ 238 milhões dos fundos roubados no primeiro semestre de 2025 foram congelados ou recuperados, representando cerca de 11,1%.

Cerca de US$ 97,89 milhões em fundos roubados foram transferidos para exchanges, representando cerca de 4,6%. Um total de US$ 278 milhões (13,0%) foi para o mixer: cerca de US$ 19,46 milhões foram para o Tornado Cash; US$ 259 milhões foram transferidos para outros mixers. No primeiro semestre de 2025, houve um aumento significativo de fundos roubados por meio de mistura e lavagem de moedas em comparação com o ano passado.

7. Resumo da situação de segurança da blockchain Web3 no primeiro semestre de 2025

Em comparação com o primeiro semestre de 2024, as perdas totais causadas por hackers, golpes de phishing e Rug Pull no primeiro semestre deste ano aumentaram significativamente, chegando a US$ 2,138 bilhões. O número de ataques e perdas em exchanges e ecossistemas de cadeias públicas convencionais está aumentando como um todo, e a situação no campo da segurança Web3 ainda é muito séria.

O ataque mais prejudicial no primeiro semestre do ano foi o roubo da Bybit, que representou cerca de 67,4% do prejuízo. Do ponto de vista dos tipos de projetos, os ataques estão em todo o campo da Web3: exchanges, DeFi, carteiras pessoais, infraestrutura, contratos de token, plataformas de pagamento, navegadores, plataformas de lançamento de Memecoin, etc. Todo proprietário de projeto Web3/usuário individual precisa estar atento ao armazenamento de chaves privadas offline, usando várias assinaturas, usando serviços de terceiros com cautela e realizando atualizações regulares de permissão e treinamento de segurança para funcionários privilegiados.

Apenas uma pequena fração dos ativos foi congelada ou recuperada no primeiro semestre do ano, sugerindo que os esforços globais de regulamentação e combate à lavagem de dinheiro ainda precisam ser fortalecidos. No primeiro semestre do ano, a proporção de fundos roubados transferidos por hackers para a exchange diminuiu significativamente, o que está relacionado ao fortalecimento da exchange no combate à lavagem de dinheiro, identificação oportuna de comportamentos de hackers e cooperação ativa com agências de aplicação da lei e partes do projeto para congelar fundos e realizar verificações. Atualmente, a cooperação entre a exchange e as agências de aplicação da lei, partes do projeto e equipes de segurança alcançou resultados óbvios, portanto, é mais provável que os hackers tentem escolher uma variedade de misturadores de moedas para lavagem de fundos.

Entre os 90 ataques no primeiro semestre do ano, 63 ainda foram explorados por vulnerabilidades contratuais, e é recomendado que a equipe do projeto procure uma empresa de segurança profissional para realizar uma auditoria antes de entrar em operação. Como uma das primeiras empresas de segurança de blockchain do mundo envolvidas na verificação formal, a Beosin se concentra no negócio ecológico de "segurança + conformidade" e estabeleceu filiais em mais de 10 países e regiões ao redor do mundo, cobrindo produtos de conformidade de blockchain "one-stop" + serviços de segurança, como auditoria de segurança de código antes do lançamento do projeto, monitoramento e bloqueio de riscos de segurança durante o tempo de execução do projeto, recuperação de roubo, antilavagem de dinheiro de ativos virtuais (AML) e avaliação de conformidade de acordo com os requisitos regulatórios locais.