The Audit Gap in Blockchain Security: A Four-Year Empirical Study of Public Audit Findings and Real-World Exploit Incidents
Diese empirische Studie zur Web3-Sicherheit von 2022 bis 2026 offenbart eine kritische Diskrepanz zwischen stabilen Audit-Ergebnissen und realen Exploit-Verlusten, was zeigt, dass Audits sich zwar auf technische Schwachstellen konzentrieren, der Großteil der finanziellen Schäden jedoch aus nicht-technischen Vektoren wie Social Engineering resultiert und eine extreme Konzentration auf wenige massive Vorfälle aufweist.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich die Welt von Web3 (Blockchain und Kryptowährungen) als eine riesige, geschäftige Stadt vor, in der Menschen digitale Banken, Brücken und Tresore bauen, um ihr Geld aufzubewahren. Dieses Papier ist wie eine vierjährige Untersuchung darüber, warum die Stadt trotz der Einstellung der besten Sicherheitskräfte (Auditoren), die die Baupläne dieser Gebäude prüfen, immer noch Milliarden von Dollar an Diebe verliert.
Hier ist die Geschichte der Untersuchung, unterteilt in einfache Teile:
1. Zwei verschiedene Welte
Die Forscher untersuchten zwei sehr unterschiedliche Datensätze:
- Die „Bauplan-Prüf“-Liste: Diese enthält 23.818 Notizen von Sicherheitsfirmen, die den Code überprüft haben. Sie fanden Dinge wie „dieser Türgriff ist schwach“ oder „diese Wand besteht aus minderwertigem Material“.
- Die „Raub“-Liste: Diese enthält 218 reale Geschichten über gestohlenes Geld in einer Gesamthöhe von etwa 7,76 Milliarden Dollar.
Die große Frage war: Passen die Dinge, vor denen die Sicherheitskräfte warnen, zu den Dingen, die tatsächlich gestohlen werden?
2. Das große Missverhältnis (Die „Audit-Lücke“)
Die Antwort ist ein lautes Nein. Die beiden Listen sehen völlig unterschiedlich aus, als würde man eine Liste von „Dingen, die an einem Automotor kaputtgehen könnten“ mit einer Liste von „Gründen, warum Menschen tatsächlich Autounfälle haben“ vergleichen.
- Was die Auditoren fanden: Die Sicherheitskräfte verbrachten die meiste Zeit damit, winzige, technische Fehler im Code selbst zu finden. Sie sorgten sich um Dinge wie „Logikfehler“ (der Code macht die falsche Rechnung) oder „Zugriffskontrolle“ (wer hat den Schlüssel). Diese machten den weitaen Teil ihrer Berichte aus.
- Was tatsächlich geschah: Die Diebe kümmerten sich nicht um die Mathematik des Codes. Sie stahlen das Geld hauptsächlich durch:
- Menschen täuschen: Phishing-E-Mails oder Social Engineering (sich als jemand anderes ausgeben).
- Schlüssel stehlen: Die privaten Passwörter entwenden, die die Tresore kontrollieren.
- Die Lieferkette hacken: Die Werkzeuge stehlen, die zum Bau des Tresors verwendet werden, anstatt den Tresor selbst zu brechen.
Die Analogie: Stellen Sie sich vor, eine Bank stellt ein Team ein, um den Stahl ihrer Tresortür zu prüfen. Das Team verbringt Monate damit, winzige Risse im Stahl zu finden (das Audit). Aber die Diebe brechen nicht die Tür auf; sie warten darauf, dass ein Wachmann hinausgeht, täuschen ihn, um den Schlüssel zu bekommen, oder stehlen die Baupläne vom Schreibtisch des Architekten. Das Audit war perfekt für die Tür, aber es hat weder den Wachmann noch den Schreibtisch betrachtet.
3. Der „Supersturm“-Effekt
Das Papier entdeckte auch, dass Geldverluste in dieser Welt nicht gleichmäßig auftreten. Es ist nicht wie Regen, der jeden Tag sanft fällt. Es ist eher wie ein Hurrikan.
- Die 80/20-Regel auf Steroiden: Nur 8 massive Raubüberfälle machten mehr als die Hälfte des gesamten in vier Jahren verlorenen Geldes aus.
- Der „Durchschnitt“ ist eine Lüge: Wenn Sie versuchen, das Risiko vorherzusagen, indem Sie sich am „Durchschnittsraub“ orientieren, werden Sie falsch liegen. Die meisten Diebstähle sind klein, aber einige wenige sind so gewaltig, dass sie alles andere in den Schatten stellen. Das Papier warnt davor, dass die Planung für den „Durchschnitt“ so ist, als würde man für einen sonnigen Tag planen, während ein Tsunami im Anmarsch ist.
4. Der „menschliche“ Faktor
Die überraschendste Erkenntnis ist, dass die größten Verluste durch menschliche Fehler entstehen, nicht durch Computerfehler.
- In den letzten Jahren war mehr als die Hälfte des gesamten Geldverlusts auf getäuschte Menschen, gestohlene Schlüssel oder schlechtes Management zurückzuführen.
- Die Sicherheitsaudits prüften hauptsächlich den Code, aber sie prüften selten die Menschen, die die Schlüssel halten, oder die Computer, die die Menschen zum Signieren von Transaktionen verwendeten.
5. Das Fazit: Wir brauchen zwei Arten von Sicherheit
Das Papier kommt zu dem Schluss, dass wir uns nicht nur auf eine Art von Sicherheitskraft verlassen können.
- Die Code-Auditoren sind großartig darin, Bugs in der Software (den „Bauplan“) zu finden.
- Die operativen Sicherheitskräfte werden benötigt, um die Menschen, die Schlüssel und die Prozesse (die „Sicherheitsuniform und den Verstand des Wachmanns“) zu schützen.
Die Studie besagt, dass die Branche derzeit sehr gut darin ist, die Baupläne zu prüfen, aber schrecklich darin, die Menschen zu schützen, die die Schlüssel halten. Um den Verlust von Milliarden zu stoppen, müssen wir diese beiden Aufgaben als Partner betrachten, nicht als Ersatz. Wir müssen den Code prüfen und das menschliche Verhalten prüfen.
Kurz gesagt: Die Sicherheitsexperten suchen unter der Straßenlaterne nach verlorenen Schlüsseln, weil das Licht dort gut ist (der Code), aber die Diebe nehmen die Schlüssel aus der dunklen Gasse (die Menschen und Prozesse), wo niemand hinsieht.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.