Lĩnh vực crypto đã thiệt hại 572 triệu USD trong quý 2 do các vụ hack/gian lận, trong đó 70% tổng tiền lại xuất phát từ hai sàn CeFi là DMM Bitcoin và BtcTurk.
Theo báo cáo mới nhất từ nền tảng bug bounty Web3 kiêm dịch vụ bảo mật Immunefi, ngành tiền mã hóa đã thiệt hại 572,7 triệu USD do hack và gian lận trong quý 2 năm nay với 72 sự cố tấn công xảy ra.
Con số tổn thất này tăng 70,3% so với 336,3 triệu USD bị khai thác trong quý 1 và tăng 112% so với quý 2 năm 2023, khi hacker và kẻ lừa đảo đánh cắp 265,5 triệu USD.
Trong tổng 572,7 triệu USD, hack là nguyên nhân chính gây ra thiệt hại trong quý 2 khi chiếm 98,5% (564,2 triệu USD) từ 53 sự cố, so với các trường hợp gian lận, lừa đảo và rug pull chỉ chiếm 1,5% (8,5 triệu USD) thông qua 19 sự việc.
Dữ liệu của Immunefi tổng hợp kể từ đầu năm đến nay, tổng cộng có hơn 900 triệu USD đã bị đánh cắp thông qua các vụ hack và gian lận, tương đương mức tăng 40% so với con số 656 triệu USD ghi nhận cùng thời điểm năm ngoái.
Trái ngược với “thông lệ” thường thấy ở những báo cáo trước ghi nhận DeFi là mảng được hacker “ưa thích”, lần này tài chính tập trung (CeFi) lại trở thành mục tiêu được nhắm đến nhiều nhất – chiếm 70% (401,4 triệu USD) thiệt hại trong quý 2 so với 30% (171,3 triệu USD) của DeFi.
Đáng chú ý hơn, 62,8% trong tổng con số 401,4 triệu USD thiệt hại trên CeFi lại chỉ xuất phát từ hai vụ tấn công:
- Vụ tấn công có giá trị lớn nhất thuộc về sàn giao dịch tiền mã hóa của Nhật Bản DMM Bitcoin, họ đã mất 48,2 tỷ Yên Bitcoin (tương đương 4.502,9 BTC trị giá 305 triệu USD tại thời điểm thông báo). Mặc dù sàn giao dịch đã lên kế hoạch “xoay tiền” đền bù thiệt hại cho nạn nhân, nhưng đây được xem là vụ trộm tiền mã hóa lớn thứ 8 mọi thời đại, với giá trị thất thoát lớn thứ ba tại Nhật Bản.
- Tiếp theo là 55 triệu USD bị đánh cắp từ sàn giao dịch crypto Thổ Nhĩ Kỳ có tên “BtcTurk” vào ngày 23 tháng 6 – chưa đầy 1 tháng sau sự cố hack 305 triệu USD của sàn DMM Bitcoin và tranh cãi mới nhất giữa sàn Kraken và đơn vị thẩm định bảo mật CertiK.
Lý giải cho việc hacker chuyển đổi “sở thích” sang CeFi, nhà sáng lập kiêm CEO của Immunefi Mitchell Amador cho biết, phần lớn bắt nguồn từ “các lỗ hổng cơ sở hạ tầng, bởi chỉ cần một lỗ hổng nhỏ từ đây cũng có thể dẫn đến thất thoát hàng triệu đô la thiệt hại. Lĩnh vực này cần thêm những biện pháp bảo mật mạnh mẽ để tăng cường khả năng bảo vệ”.
Nửa đầu năm 2024 cũng chứng kiến tháng 5 có mức thiệt hại cao nhất trong quý 2 với con số lên đến 358,5 triệu USD, vượt xa con số 72,6 triệu USD ghi nhận vào tháng 4 – khoảng thời gian mà công ty bảo mật CertiK cho rằng tổn thất các vụ hack của ngành tiền mã hóa đạt mức thấp nhất kể từ năm 2021.
Ethereum và BNB Chain tiếp tục là các blockchain được nhắm mục tiêu hàng đầu bởi những hacker, tương tự như trong quý 1, chiếm 71% tổng thiệt hại, trong đó:
- Ethereum chịu tổn thất nhiều nhất với 34 vụ tấn công, chiếm 46,6% tổn thất trên các chuỗi.
- Theo sau là BNB Chain với 18 vụ, chiếm 24,7%.
- Arbitrum là mạng được nhắm mục tiêu nhiều thứ ba, chịu 4 sự cố và có tổn thất chiếm 5,5% tổng số.
- Blast và Optimism có 3 sự cố mỗi mạng.
- Solana, Polygon, Fantom, Linea, Mantle, và TON không có nhiều hơn một sự cố bảo mật, chiếm 15% tổng thiệt hại.
Trong bản báo cáo đầy rẫy những con số thể hiện sự “tiêu cực”, thì có tín hiệu tích cực là một vài vụ tấn công bị đánh cắp trong quý 2 cũng đã được các nhà nghiên cứu bảo mật thu hồi.
Tổng cộng 26,7 triệu USD (5%) trên số tiền bị đánh cắp trong quý 2 từ 4 vụ khai thác là Bloom, ALEX Lab, YOLO Games và Gala Games.
Cũng trong báo cáo, Immunefi tự hào cho biết đầu tháng vừa qua đã vượt qua cột mốc 100 triệu USD tiền thưởng cho các hacker mũ trắng và nhà nghiên cứu bảo mật. Số tiền thưởng này sẽ được trải dài trong ba năm và là kết quả từ hơn 3,000 báo cáo bug bounty.
Immunefi tuyên bố điều hành cộng đồng bảo mật blockchain lớn nhất với hơn 45.000 nhà nghiên cứu, giúp thu hồi và hỗ trợ được hơn 25 tỷ USD tiền quỹ người dùng khỏi bị đánh cắp qua các giao thức như Polygon, Optimism, Chainlink, The Graph, Synthetix, và MakerDAO.
Khoản tiền thưởng cao nhất mà Immunefi từng trả là vào năm 2022, với 10 triệu USD cho một lỗ hổng giao thức được phát hiện trong cross-chain Wormhole. Chỉ riêng phần thưởng này đã lớn hơn tổng số 8,7 triệu USD mà các chương trình bug bounty của Google đã chi vào năm 2021. Một khoản thưởng lớn khác được Immunefi trao tặng giá trị 6 triệu USD cho một lỗ hổng nghiêm trọng được phát hiện trong Aurora Labs.