T2 2023 : arnaques et piratages Web3 et DeFi : 265 millions de dollars volés

Les univers de la finance décentralisée (DeFi) et du Web3 sont devenus un champ de bataille aux enjeux considérables, où pirates informatiques et escrocs élaborent sans cesse des stratégies pour exploiter cet écosystème en constante expansion. Le deuxième trimestre 2023 a de nouveau été marqué par son lot d'attaques et de vols, entraînant des pertes importantes pour les investisseurs en cryptomonnaies, totalisant plus de 330 millions de dollars, dont 265 millions de dollars pour le secteur du Web3.

C'est ce qui ressort des conclusions du deuxième trimestre 2023 d'Immunefi, une plateforme leader de services de sécurité et de bug bounty qui protège 60 milliards de dollars de cryptoactifs, dont nous parlerons plus en détail ci-dessous. De plus, nous avons ajouté des informations tirées des nouveaux rapports de sécurité Web3 du deuxième trimestre 2023 de Certik et Beosin , tous publiés en juillet 2023, qui offrent une perspective plus large sur l'ampleur et la nature des pertes subies par l'écosystème Web3.

Aperçu des pertes de cryptomonnaies au deuxième trimestre 2023

Immunifi rapporte qu'au deuxième trimestre 2023, un montant inquiétant de 265,5 millions de dollars a été détourné de l'écosystème Web3. Cependant, le rapport de Certik indique que plus de 313 millions de dollars ont été volés dans des projets cryptographiques entre avril et juin 2023. La plupart des pertes sont dues à des incidents de piratage informatique : quatre attaques sur cinq, d'une valeur de 220,5 millions de dollars, ont été recensées dans 63 incidents spécifiques.

Selon le rapport Beosin, au premier semestre 2023, l'industrie du Web3 a perdu environ 656 millions de dollars à cause des pirates informatiques, des escroqueries par hameçonnage et des arnaques. Environ 471 millions de dollars sont attribués aux seuls piratages, notamment celui d'Euler en mars, perpétré par les pirates nord-coréens Lazarus, qui auraient également détruit Atomic Wallet en juin de cette année.

Source : rapport du deuxième trimestre de Certik

La fraude, bien que moins fréquente, a représenté un cas sur six, pour une valeur d'environ 45 millions de dollars répartis sur 18 incidents. Bien que ces chiffres soient alarmants, il convient de noter un point positif : cela représente une baisse de 60 % des pertes par rapport au deuxième trimestre 2022, ce qui suggère une amélioration des mesures de sécurité.

Deux projets ont été les plus touchés par ces attaques : le piratage de 100 millions de dollars d'Atomic Wallet , que nous avons déjà évoqué, et leretrait de Fintoch , la plateforme financière basée sur la blockchain prétendument construite par Morgan Stanley.

Ensemble, ils ont été responsables de près de la moitié des pertes, avec 131,6 millions de dollars engloutis dans le cyberespace. Si cela témoigne peut-être du niveau de sophistication des pirates, cela soulève également des questions quant aux vulnérabilités inhérentes à ces projets et à la diligence requise en matière de sécurité.

Principaux exploits : Atomic Wallet et Fintoch

Les deux pertes les plus importantes du deuxième trimestre 2023 méritent d'être examinées de près. Le portefeuille décentralisé Atomic Wallet a perdu 100 millions de dollars suite à une attaque attribuée au groupe Lazarus, un groupe de hackers soutenu par l'État nord-coréen. Ce groupe a déjà été associé à d'autres exploits de grande ampleur, notamment le piratage du pont Harmony, d'un montant de 100 millions de dollars, en juin 2022.

Fintoch, quant à elle, a été victime d'une prétendue « arnaque interne », d'un montant de 31,6 millions de dollars. L'équipe a été accusée d'avoir transféré les actifs volés vers d'autres blockchains, notamment Tron et Ethereum, empêchant ainsi les utilisateurs d'accéder à leurs fonds.

Le piratage des cryptomonnaies a diminué, mais la fraude a augmenté de 200 %

Source : rapport Immunefi T2 2023

En matière de pertes liées aux cryptomonnaies, les incidents de piratage éclipsent systématiquement les fraudes, les escroqueries et les arnaques. Cette tendance s'est poursuivie au deuxième trimestre 2023, les pertes liées aux piratages dépassant largement celles liées à la fraude.

• Certik a identifié environ 212 cas de failles de sécurité, avec une perte moyenne par cas de 1,4 million de dollars.
• Les pertes liées aux escroqueries à la sortie ont doublé pour atteindre plus de 70 millions de dollars après qu'environ 98 cas ont été identifiés.
• Malgré une baisse de 60,4 % des pertes totales par rapport au deuxième trimestre 2022, le nombre d'incidents isolés a augmenté de 65,3 % en glissement annuel.

La DeFi continue d'être déclassée

La finance décentralisée (DeFi) a représenté la part du lion des exploits réussis au deuxième trimestre 2023, représentant 86 % des pertes totales. En revanche, la finance centralisée (CeFi) n'a représenté que 14 %, un changement bienvenu après les horreurs de 2024, lorsque FTX, 3AC et Celsius ont fait perdre des milliards de dollars aux investisseurs. Cependant, les pertes de la CeFi ont augmenté de 37 millions de dollars sur un an.

Le rapport Beosin a montré que pour le premier semestre 2023, la vulnérabilité des contrats était le plus grand vecteur de piratage dans 60 attaques drainant plus de 53 millions de dollars.

Cette nouvelle focalisation sur DeFi pourrait être due à sa transparence et à son accessibilité inhérentes, ce qui en fait une cible attrayante pour les pirates informatiques black hat cherchant à capitaliser sur les faibles mesures de sécurité des projets et de leurs utilisateurs.

La chaîne BNB et Ethereum sont les plus ciblées

Avec autant de valeur bloquée dans leurs écosystèmes, il n'est pas surprenant que BNB Chain et Ethereum aient été les plus ciblés au deuxième trimestre 2023, BNB Chain ayant subi 36 incidents et Ethereum 26. Ensemble, ils ont représenté plus de 75 % de toutes les pertes de chaîne sur cette période. Arbitrum , la chaîne Ethereum de couche 2, qui a finalement lancé son jeton fin mars 2023, est arrivée troisième avec 10 incidents, après n'en avoir subi aucun il y a un an, suivie de Polygon et ZKSync avec deux chacun.

Et bien sûr, les escrocs continueront de commettre des escroqueries. Au premier semestre 2023, Beosin a signalé 80 retraits de jetons sur la chaîne BNB, moins chère à utiliser, suivie d'Ethereum, ce qui indique que les utilisateurs doivent être particulièrement vigilants lorsqu'ils utilisent des protocoles DeFi et effectuer des recherches supplémentaires sur les équipes.

Seulement 4 % des fonds volés au deuxième trimestre ont été récupérés

Source : Immunefi

La récupération des fonds volés demeure un défi de taille. Sur les pertes totales, seulement 10,45 millions de dollars ont été récupérés lors de huit incidents, soit seulement 4 % du total. Bien que nettement inférieures aux pertes, chaque réussite en matière de récupération constitue un pas dans la bonne direction.

Dans le contexte plus large du deuxième trimestre 2022 par rapport au deuxième trimestre 2023, les pertes DeFi et les pertes liées au piratage ont diminué d'environ 66 %, tandis que les pertes liées à la fraude ont augmenté de 225 %, car les escroqueries par phishing deviennent plus sophistiquées et ciblent les utilisateurs de portefeuilles non dépositaires.

Les draineurs de cryptomonnaies sont en hausse

La plateforme anti-arnaque Web3, Scam Sniffer, a également révélé que 66 millions de dollars avaient été volés cette année par des « crypto-draineurs » ou « sweepers », des logiciels malveillants basés sur des contrats intelligents qui incitent l'utilisateur, par hameçonnage, à accepter une transaction malveillante transférant tout ou partie des fonds d'un portefeuille une fois signé. Les utilisateurs de DeFi et de Web3 doivent redoubler de prudence lorsqu'ils signent ou approuvent une transaction à l'aveugle et ne doivent cliquer sur aucun lien suspect.

Le robot MEV exploité et le MPC sous surveillance

Le rapport de Certik détaille également un exploit inquiétant de bot MEV sur Ethereum par un validateur malveillant pour 25 millions de dollars (MEV fait référence aux récompenses qu'un validateur ETH peut faire) et une prime pour une vulnérabilité de calcul multipartite (MPC) sur ZenGo qui aurait pu entraîner des pertes plus dévastatrices.

Bien que la sécurité informatique multipartite soit privilégiée par les investisseurs institutionnels et trouve de nombreuses applications dans le Web3, la mise en œuvre de nouvelles solutions MPC complexifie la conception des portefeuilles cryptographiques, ce qui pourrait engendrer de nouvelles menaces de sécurité et nécessite un audit et une surveillance rigoureux, selon Kang Li, son responsable de la sécurité. Il s'ensuit que s'assurer que son dépositaire utilise les meilleures mesures de sécurité MPC devrait être une priorité absolue pour tout investisseur.

Réflexions finales

En conclusion, si l'écosystème DeFi et web3 continue de croître et d'offrir des opportunités inégalées, il demeure un terreau fertile pour les activités malveillantes. Comme l'a si bien dit Mitchell Amador, fondateur et PDG d'Immunefi, « les utilisateurs doivent évaluer minutieusement les projets », car « les acteurs malveillants continuent de développer leurs activités malveillantes et d'utiliser des arnaques de plus en plus sophistiquées ».

Par conséquent, les parties prenantes doivent être proactives et vigilantes et adopter des mesures de sécurité strictes pour minimiser le risque de tels exploits.

CoolWallet : votre bouclier contre les piratages et les arnaques sur Web3

Le moyen le plus sûr d'accéder aux cryptomonnaies au quotidien - CoolWallet

Alors que les projets Web3 et DeFi continuent de développer leurs écosystèmes, utiliser un portefeuille matériel Web3 réputé et éprouvé comme CoolWallet Pro est le choix judicieux pour contourner les dangers liés aux contrats intelligents et à l'auto-conservation. Son élément sécurisé EAL6+, sa communication Bluetooth chiffrée de niveau militaire et des mesures supplémentaires comme la vérification biométrique 2+1 FA garantissent qu'aucune transaction ne peut être autorisée sans votre approbation physique par simple pression sur un bouton.

Avec la nouvelle intégration de l'application CoolWallet avec les analyses de blockchain Web3 en temps réel et les évaluations de contrats intelligents de Kekkai , vous pouvez désormais interagir plus en toute sécurité que jamais avec vos Dapps préférées sur vos chaînes préférées.