رمزنگاری بلند و کوتاه: هک‌های 972 میلیون دلاری امسال در رمزنگاری چه چیزی در مورد امنیت به ما می‌گویند

سلام خوانندگان، به خبرنامه سازمانی ما، Crypto Long & Short خوش آمدید. این هفته: CoinDesk در اجلاس بازده دارایی‌های دیجیتال در سنگاپور در 6 اکتبر شرکت خواهد کرد. این یک کنفرانس سرمایه خصوصی فقط با دعوت است که بر دارایی‌های دیجیتال متمرکز است. اگر علاقه‌مند به پیوستن به ما در این رویداد هستید، بیشتر بیاموزید! با تشکر از همراهی شما! آنچه اعداد هک رمزنگاری نیمه اول سال واقعاً در مورد امنیت به ما می‌گویند توسط میچل آمادور، بنیانگذار و مدیرعامل Immunefi این ماه، یک مهاجم حدود 4 میلیون دلار خرج کرد تا تقریباً 20 میلیون دلار از خزانه BonkDAO خارج کند. هیچ قرارداد هوشمندی شکست نخورد. مهاجم به اندازه کافی توکن خرید تا یک پیشنهاد حاکمیتی را در رأی‌گیری با مشارکت کم تصویب کند و رأی دقیقاً همانطور که نوشته شده بود اجرا شد. خود قوانین آسیب‌پذیر بودند. همین داستان در ژوئن اما از زاویه‌ای دیگر تکرار شد: بزرگترین ضرر ماه، بیش از 30 میلیون دلار در Humanity Protocol، از یک کلید خصوصی به خطر افتاده روی دستگاه یک عضو تیم ناشی شد، در حالی که قرارداد untouched باقی ماند، طبق گزارش خود پروژه. این شکل بدترین ضررهای سال 2026 است، با از دست دادن حدود 972 میلیون دلار رمزنگاری تاکنون در سال جاری. تعداد حوادث همچنان در حال افزایش است و پول به طور فزاینده‌ای از طریق چیزی غیر از یک باگ قرارداد خارج می‌شود: یک کلید امضای دزدیده شده، یک تأییدکننده نادرست پیکربندی شده، یک خزانه که هر کسی می‌تواند به آن رأی دهد. اگر به تعداد خالص حوادث نگاه کنید، فکر می‌کنید صنعت در حال از دست دادن زمین است. اما اگر به میزان واقعی دزدیده شده نگاه کنید، یک الگوی باریک‌تر و ناراحت‌کننده‌تر ظاهر می‌شود. ما می‌توانیم در این مورد دقیق باشیم. در میان 425 هک که از 2021 تا 2025 مطالعه کردیم، سهم کوچکی از شکست‌های عملیاتی بیشتر ارزش از دست رفته را حمل می‌کند. در بازه 2024 تا 2025، 54.6٪ از کل ارزش از دست رفته، در 191 هک، به مصالحه‌های صرافی متمرکز قابل ردیابی است: کلیدها، نگهداری و امضایی که بالای قرارداد قرار دارند. با این حال، هیچ یک از اینها به این معنی نیست که لایه کد حل شده است. بحرانی‌ها همه جا در کد زنده هستند. 93.9٪ از برنامه‌هایی که پنج سال یا بیشتر اجرا می‌شوند، یک بحرانی تأیید شده را نشان می‌دهند و تقریباً یک از هر پنج گزارش تأیید شده بحرانی ارزیابی می‌شود. کد هرگز تمام نمی‌شود. هر ارتقاء سطح حمله جدیدی را ارسال می‌کند. آنچه تغییر کرده این است که بررسی مستمر و تشویق‌شده اکنون با مهاجمان روی آن کد همگام است، که دقیقاً به همین دلیل است که همان مدل باید بیشتر گسترش یابد. اینجاست که کتاب بازی استاندارد تمام می‌شود. یک حسابرسی کد را در یک لحظه از زمان تأیید می‌کند. هیچ چیز در مورد اینکه چه کسی اختیار امضا دارد، چگونه یک کلید ذخیره می‌شود یا وقتی یک لپ‌تاپ به خطر می‌افتد چه اتفاقی می‌افتد، نمی‌گوید. حسابرسی‌ها ضروری هستند و هر تیم جدی باید آنها را اجرا کند، اما «ما حسابرسی شدیم» هرگز به معنای «ما ایمن هستیم» نبود. یک پروتکل 11 بار حسابرسی شد و هنوز 128 میلیون دلار از دست داد. آنچه واقعاً کد قرارداد را سخت‌تر کرده است، فشار مستمر و تشویق‌شده است. از طریق برنامه‌های پاداش باگ زنده و یک مجموعه گسترده‌تر از نظارت و پاسخ سریع، محققان امنیتی برای یافتن آسیب‌پذیری قبل از مهاجم حقوق می‌گیرند. یک پاداش متوسط حدود 20,000 دلار به طور معمول از هکی جلوگیری می‌کند که به طور متوسط حدود 25 میلیون دلار هزینه دارد، و این پرداخت را به بالاترین بازده سرمایه‌گذاری امنیتی که یک پروتکل می‌تواند انجام دهد تبدیل می‌کند. این مدل دوام می‌آورد زیرا هرگز متوقف نمی‌شود.