Beosin Blockbuster | Análise do cenário de segurança de blockchain Web3 no primeiro semestre de 2025
*Este relatório é produzido em conjunto pela Beosin e pela Footprint Analytics
1. Visão geral do cenário de segurança de blockchain Web3 no primeiro semestre de 2025
De acordo com o Beosin Alert, a perda total causada por hacking, golpes de phishing e Rug Pull no campo Web3 no primeiro semestre de 2025 será de cerca de US$ 2,138 bilhões. Entre eles, houve 90 grandes ataques, com uma perda total de cerca de US$ 2,093 bilhões; As perdas totais da Rug Pull totalizaram aproximadamente US$ 3,2 milhões; A perda total de golpes de phishing foi de cerca de US$ 41,38 milhões.
Do ponto de vista dos tipos de projetos atacados, as bolsas tornaram-se o tipo de projetos com maior quantidade de perdas. Os seis ataques à plataforma de câmbio causaram um total de mais de US$ 1,591 bilhão em danos, representando 74,4% de todas as perdas de ataque.
Em termos da quantidade de perdas de cada cadeia, o Ethereum ainda é a cadeia com a maior quantidade de perdas e o maior número de eventos de ataque. Os 81 ataques ao Ethereum causaram US$ 1,739 bilhão em danos, ou 81,3% das perdas totais. Sui perdeu cerca de US$ 224 milhões devido ao incidente do Protocolo Cetus, ocupando o segundo lugar.
Em termos de métodos de ataque, o primeiro semestre do ano viu os ataques mais frequentes que exploraram vulnerabilidades contratuais, com um total de 63 ataques, resultando em perdas de US$ 408 milhões. Bybit foi o tipo de ataque com a maior percentagem de perdas devido a 1,44 mil milhões de dólares roubados devido a uma falha na infraestrutura da carteira, representando 67,4% do total de perdas de ataque.
Em termos de fluxos de fundos, apenas uma pequena parte (cerca de US$ 238 milhões) dos fundos roubados foram congelados ou recuperados no primeiro semestre do ano, e cerca de 71,2% dos fundos roubados ainda estão circulando em carteiras on-chain e não fluíram para exchanges ou mixers.
2. Panorama dos ataques no primeiro semestre de 2025
Os 90 grandes ataques resultaram em um total de US$ 2,093 bilhões em danos
No primeiro semestre de 2025, o Beosin Alert detetou um total de 90 grandes ataques no espaço Web3, com uma perda total de US$ 2,093 bilhões. Entre eles, houve 2 incidentes de segurança com perdas de mais de US$ 100 milhões, 7 incidentes com perdas na faixa de US$ 10 milhões a US$ 100 milhões e 18 incidentes com perdas na faixa de US$ 1 milhão a US$ 10 milhões.
Ataques com perdas superiores a $10 milhões (por ordem alfabética):
● Bybit - US$ 1,44 bilhão
Método de ataque: front-end de carteira segura é adulterado Plataforma Chain: Ethereum
Em 21 de fevereiro, a exchange de criptomoedas Bybit foi atacada, e cerca de US$ 1,44 bilhão em fundos foram roubados de sua carteira multisig Safe. Ao invadir os servidores da Safe, os hackers plantaram código malicioso que substituiu as solicitações normais de transação, fazendo com que o signatário assinasse a transação adulterada sem o seu conhecimento.
● Protocolo Cetus - $224 milhões
Método de ataque: vulnerabilidade contratual Plataforma em cadeia: Sui
Em 22 de maio, o Protocolo DEX Cetus no ecossistema Sui foi atacado, e sua vulnerabilidade se originou de um erro de implementação da operação shift-left no código da biblioteca de código aberto. Posteriormente, com a cooperação da Fundação Sui e outros projetos ecológicos, US$ 162 milhões em fundos roubados em Sui foram congelados com sucesso.
● Nobitex - $90 milhões
Método de ataque: ainda não está claro Plataforma Chain: multi-chain
Em 18 de junho, a Nobitex, a maior exchange de criptomoedas do Irã, anunciou que havia sido hackeada e perdido mais de US$ 90 milhões, envolvendo uma variedade de criptomoedas como BTC, ETH, Doge, XRP, SOL, TRX e TON. Um grupo pró-Israel chamado "Gonjeshke Darande" reivindicou a responsabilidade pelo ataque e o caracterizou como um ataque contra a infraestrutura cripto do Irã.
● Phemex - $70 milhões
Método de ataque: fuga de chave privada Plataforma de cadeia: multi-cadeia
Em 23 de janeiro, cerca de US$ 70 milhões em criptoativos foram roubados da Phemex hot wallet, uma bolsa de criptomoedas com sede em Cingapura, envolvendo vários criptoativos como ETH, SOL, BTC, BNB, USDT e muito mais.
● UPCX - $70 milhões
Método de ataque: vulnerabilidade de controle de acesso Plataforma em cadeia: Ethereum
Em 1º de abril, a UPCX perdeu cerca de US$ 70 milhões em tokens devido ao acesso não autorizado. Os hackers atualizaram o contrato ProxyAdmin da UPCX e, posteriormente, executaram um recurso que permitia aos administradores retirar fundos, resultando em fundos transferidos de três contas de gerenciamento diferentes.
● Infini - US$ 49,5 milhões
Método de ataque: vulnerabilidade de gerenciamento de permissões Plataforma em cadeia: Ethereum
Em 24 de fevereiro, US$ 49,5 milhões foram roubados da Infini depois que um desenvolvedor interno roubou fundos ao atualizar o contrato, enganando a equipe para manter secretamente os privilégios de gerenciamento de contratos.
● Abracadabra Finance - US$ 13 milhões
Método de ataque: vulnerabilidade contratual Plataforma em cadeia: Ethereum
Em 25 de março, a Abracadabra Finance, um protocolo de empréstimo descentralizado, perdeu cerca de US$ 13 milhões ao roubar cerca de 6.262 ETH devido a uma brecha no contrato.
● Protocolo Cork - $12 milhões
Método de ataque: vulnerabilidade contratual Plataforma em cadeia: Ethereum
Em 28 de maio, o Cork Protocol, um protocolo de ativos âncora na cadeia Ether, foi atacado, e o invasor obteve um lucro de US$ 12 milhões por meio de uma vulnerabilidade lógica no contrato do projeto (parâmetros-chave não foram verificados).
● BitoPro - $11,5 milhões
Método de ataque: fuga de chave privada Plataforma de cadeia: multi-cadeia
Em 2 de junho, a exchange de criptomoedas BitoPro emitiu um anúncio confirmando o ataque, dizendo que sua carteira quente foi atacada por hackers durante a recente atualização do sistema de carteira e transferência de criptoativos, e a saída anormal de fundos de várias carteiras quentes on-chain foi de cerca de US$ 11,5 milhões.
3. O tipo de projeto a atacar
CEX é o tipo de projeto com o maior montante de perda
O tipo de projeto com maiores perdas no primeiro semestre do ano foram as exchanges centralizadas, com seis ataques a exchanges centralizadas causando um total de mais de US$ 1,591 bilhão em perdas, das quais a maior perda foi a Bybit, com uma perda de cerca de US$ 1,44 bilhão. O resto das maiores perdas foram Nobitex (cerca de US $ 90 milhões em perdas), Phemex (cerca de US $ 70 milhões em perdas), e Noones, BitoPro e Coinbase também foram atacados.
O segundo tipo mais atacado é o DeFi. Entre eles, cerca de US$ 224 milhões foram roubados do Cetus Protocol, representando 69,1% dos fundos roubados em DeFi, e o resto dos projetos DeFi com maiores perdas foram Abracadabra Finance (US$ 13 milhões), Cork Protocol (cerca de US$ 12 milhões), Resupply (cerca de US$ 9,6 milhões), zkLend (cerca de US$ 9,5 milhões), Ionic (cerca de US$ 8,8 milhões), Alex Protocolo (aproximadamente US$ 8,37 milhões).
Além disso, 2 incidentes de segurança ocorreram no espaço de pagamentos cripto, com um prejuízo de cerca de US$ 120 milhões, ocupando o terceiro lugar entre todos os tipos de projetos. Outros tipos de projetos que foram atacados incluem: navegadores, contratos de token, pontes de cadeia cruzada, plataformas de lançamento Memecoin, etc.
4. A quantidade de perda de cada cadeia
Ethereum é a cadeia com a maior quantidade de perdas e o maior número de ataques
Como em anos anteriores, o Ethereum ainda é a cadeia pública com a maior quantidade de perdas. Os 81 ataques ao Ethereum causaram US$ 1,739 bilhão em danos, ou 81,3% das perdas totais.
A cadeia pública com o segundo maior número de ataques é a BNB Chain, com 33 ataques causando uma perda total de cerca de US$ 42,53 milhões. O BNB Chain tem um grande número de ataques on-chain e perdas relativamente pequenas, mas em comparação com o mesmo período do ano passado, o número de ataques e a quantidade de perdas aumentaram significativamente, e a quantidade de perdas aumentou em 357%.
Arbitrum e Base ficaram em terceiro e quarto lugar, respectivamente, com perdas de US$ 21,2 milhões e US$ 13,05 milhões, respectivamente. Em comparação com o mesmo período do ano passado, o número de ataques à cadeia Arbitrum aumentou, mas a quantidade de perdas diminuiu 71,8%; O número de ataques da cadeia de base e a quantidade de perdas aumentaram significativamente, e a quantidade de perdas aumentou em 294%.
5. Análise dos métodos de ataque
70% dos ataques vêm de vulnerabilidades contratuais
No primeiro semestre do ano, houve 63 ataques contra vulnerabilidades de contratos, resultando em perdas de US$ 408 milhões, o maior tipo de ataque, exceto o roubo da Bybit devido a uma falha na infraestrutura da carteira. No primeiro semestre deste ano, as perdas causadas pela quebra de chave privada foram significativamente menores do que no mesmo período do ano passado, mas as perdas totais ainda foram superiores a US$ 102 milhões.
Divididas por vulnerabilidades de contrato, as três principais vulnerabilidades que causaram perdas foram: vulnerabilidades de lógica de negócios (US$ 356 milhões), falhas de algoritmo (US$ 21,37 milhões) e vulnerabilidades de validação (US$ 12,7 milhões). As três principais vulnerabilidades contratuais foram vulnerabilidades de lógica de negócios (45 vezes), vulnerabilidades de controle de acesso (7 vezes) e defeitos de algoritmo (5 vezes).
6. Análise do fluxo de fundos roubados
Apenas 11,1% dos bens roubados foram congelados e recuperados
De acordo com a análise da plataforma antilavagem de dinheiro da Beosin KYT, cerca de US$ 238 milhões dos fundos roubados no primeiro semestre de 2025 foram congelados ou recuperados, representando cerca de 11,1%.
Cerca de US$ 97,89 milhões em fundos roubados foram transferidos para exchanges, representando cerca de 4,6%. Um total de US$ 278 milhões (13,0%) foi para a misturadora: cerca de US$ 19,46 milhões foram para a Tornado Cash; US$ 259 milhões foram transferidos para outras misturadoras. No primeiro semestre de 2025, houve um aumento significativo de fundos roubados por meio de mistura de moedas e lavagem em comparação com o ano passado.
7. Resumo da situação de segurança do blockchain Web3 no primeiro semestre de 2025
Em comparação com o primeiro semestre de 2024, as perdas totais causadas por hacking, golpes de phishing e Rug Pull no primeiro semestre deste ano aumentaram significativamente, atingindo US$ 2,138 bilhões. O número de ataques e perdas em exchanges e ecossistemas de cadeias públicas mainstream está aumentando como um todo, e a situação no campo da segurança Web3 ainda é muito grave.
O ataque mais danoso no primeiro semestre do ano foi o roubo Bybit, que representou cerca de 67,4% do prejuízo. Do ponto de vista dos tipos de projetos, os ataques estão em todo o campo Web3: exchanges, DeFi, carteiras pessoais, infraestrutura, contratos de token, plataformas de pagamento, navegadores, plataformas de lançamento Memecoin, etc. Todo proprietário de projeto Web3/usuário individual precisa estar atento ao armazenamento de chaves privadas offline, ao uso de várias assinaturas, ao uso de serviços de terceiros com cautela e à realização de atualizações regulares de permissão e treinamento de segurança para funcionários privilegiados.
Apenas uma pequena fração dos ativos foi congelada ou recuperada no primeiro semestre do ano, o que sugere que os esforços globais em matéria de regulamentação e de combate ao branqueamento de capitais ainda têm de ser reforçados. No primeiro semestre do ano, a proporção de fundos roubados transferidos por hackers para a bolsa diminuiu significativamente, o que está relacionado ao fortalecimento da bolsa de combate à lavagem de dinheiro, identificação oportuna de comportamentos de hackers e cooperação ativa com agências de aplicação da lei e partes do projeto para congelar fundos e realizar verificação. Atualmente, a cooperação entre as agências de câmbio e de aplicação da lei, as partes do projeto e as equipes de segurança alcançou resultados óbvios, de modo que os hackers são mais propensos a tentar escolher uma variedade de misturadores de moedas para lavagem de fundos.
Entre os 90 ataques no primeiro semestre, 63 ainda foram explorados por vulnerabilidades contratuais, e recomenda-se que a equipe do projeto procure uma empresa de segurança profissional para realizar uma auditoria antes de entrar em operação. Como uma das primeiras empresas de segurança de blockchain do mundo envolvidas em verificação formal, a Beosin se concentra no negócio ecológico de "segurança + conformidade" e estabeleceu filiais em mais de 10 países e regiões ao redor do mundo, cobrindo produtos de conformidade de blockchain "one-stop" + serviços de segurança, como auditoria de segurança de código antes do lançamento do projeto, monitoramento e bloqueio de risco de segurança durante o tempo de execução do projeto, recuperação de roubo, antilavagem de dinheiro de ativos virtuais (AML) e avaliação de conformidade de acordo com os requisitos regulatórios locais.