Hacken称三季度黑客造成11.8亿美元损失，加密审计让投资者产生虚假安全感

区块链安全公司Hacken表示，加密投资者可能过于信任安全审计，而这些审计并未覆盖黑客实际瞄准的系统。 Hacken在周四发布的报告中称，第三季度共发生107起事件，黑客窃取11.8亿美元，较上一季度增加55%。其中，9.068亿美元损失源于供应商或开发者工具被攻破、已公开的安全修复补丁未安装，或相关组件被排除在最近一次安全审查之外。 “问题始终出在审计范围上。”公司联合创始人兼董事会成员Andrii Matiukhin在接受CoinDesk采访时表示，“要让审计范围覆盖所有与资金交互或影响经济机制的组件，成本很高，因此团队会偷工减料，只审计服务的关键部分。” 这些发现令人质疑：对于那些标榜已通过审计的加密项目，投资者究竟能期待多少保护。Hacken表示，客户往往以为审计覆盖整个平台，但实际上审计可能只检查特定智能合约，钱包、签名系统和第三方软件都被排除在范围之外。 Matiukhin说：“通常，客户看到一个项目时，会看到审计标识，便以为整个系统都受到覆盖，最终却因为一个密钥、一个供应商或一个从未被测试的设置而蒙受损失。” 报告称，本季度最大事件是9月对加密交易所Bitget的攻击。黑客利用第三方安全产品中的漏洞进入其提款基础设施，导致Bitget至少损失3.52亿美元。 风险并不局限于交易所。就在本周，硬件钱包制造商Ledger表示，其在东南亚经销商CryptoBilis出售的一款设备中发现了未经授权的硬件“间谍”植入装置，造成约9300万美元损失。 Hacken称，7月，三个加密桥和跨链协议在持续六小时的漏洞利用事件中损失逾3500万美元。其中AFX Trade占2400万美元，原因是攻击者控制了其验证者密钥。其他攻击还从Liquid Network窃取3.19亿美元，从Tectonic窃取至少7500万美元，并从Coldcard钱包软件窃取约1.14亿美元。 Hacken还审查了12家衍生品交易所和预测市场，发现两家主要平台逾7亿美元的受保护资产依赖于四把密钥中需三把签名的安排，或依赖于持有人未公开身份的管理密钥。 Matiukhin在报告发布前拒绝透露这些平台的名称，也拒绝提供详细评估。他表示，Hacken未发现存在活跃漏洞的证据，但考虑到涉及金额，认为部分安排并不充分。 Matiukhin说：“我们不知道任何受审平台系统中存在活跃漏洞。相反，我们发现的问题在于，鉴于受审平台的规模，其密钥配置安排不够安全。” Matiukhin表示，修复已知漏洞的延迟是另一项担忧，尤其是当多条区块链依赖同一软件、却在不同时间更新时。 Matiukhin说：“有时，一个关键漏洞会被团队归类为低风险，导致修复措施的实施被推迟甚至被拒绝。” Hacken表示，责任最终落在持有客户资金的公司身上。这些公司必须跟踪漏洞并及时安装修复，而不是依赖数月甚至数年前完成的一次审计。