The Audit Gap in Blockchain Security: A Four-Year Empirical Study of Public Audit Findings and Real-World Exploit Incidents
Deze empirische studie naar Web3-beveiliging van 2022 tot 2026 onthult een kritieke discrepantie tussen stabiele auditbevindingen en de werkelijke verliezen door exploits, wat aantoont dat hoewel audits zich richten op technische kwetsbaarheden, het merendeel van de financiële schade voortkomt uit niet-technische vectoren zoals social engineering en een extreme concentratie vertoont in enkele massale incidenten.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je de wereld van Web3 (blockchain en cryptocurrency) voor als een enorme, bruisende stad waar mensen digitale banken, bruggen en kluizen bouwen om hun geld te bewaren. Dit paper is als een vier jaar lang onderzoek naar de vraag waarom er, ondanks het inhuren van de beste beveiligers (auditors) om de blauwdrukken van deze gebouwen te controleren, de stad nog steeds miljarden dollars verliest aan dieven.
Hier is het verhaal van het onderzoek, opgedeeld in eenvoudige delen:
1. De twee verschillende werelden
De onderzoekers keken naar twee zeer verschillende lijsten met gegevens:
- De "Blauwdruk Controle" Lijst: Deze bevat 23.818 aantekeningen van beveiligingsfirma's die de code hebben beoordeeld. Ze vonden zaken als "deze deurklink is zwak" of "deze muur is gemaakt van flimsig materiaal."
- De "Overval" Lijst: Deze bevat 218 echte verhalen over gestolen geld, wat in totaal ongeveer $7,76 miljard bedraagt.
De grote vraag was: Komen de zaken waar de beveiligers voor waarschuwen overeen met de zaken die daadwerkelijk worden gestolen?
2. De Grote Mismatch (de "Audit Gap")
Het antwoord is een luid nee. De twee lijsten zien er volkomen verschillend uit, zoals het vergelijken van een lijst van "dingen die kapot kunnen gaan in een automotor" met een lijst van "redenen waarom mensen daadwerkelijk betrokken raken bij auto-ongelukken."
- Wat de Auditors Vonden: De beveiligers besteedden de meeste tijd aan het vinden van kleine, technische foutjes in de code zelf. Ze maakten zich zorgen over zaken als "logische fouten" (de code die de verkeerde berekening maakt) of "toegangscontrole" (wie heeft de sleutel). Deze vormden het overgrote deel van hun rapporten.
- Wat Er Daadwerkelijk Gebeurde: De dieven gaven niets om de wiskunde van de code. Ze stalen het geld voornamelijk door:
- Mensen te misleiden: Phishing-e-mails of social engineering (zich voordoen als iemand anders).
- Sleutels te stelen: Het grijpen van de privé-wachtwoorden die de kluizen beheren.
- De supply chain te hacken: De tools stelen die worden gebruikt om de kluis te bouwen, in plaats van de kluis zelf te breken.
De Analogie: Stel je voor dat een bank een team inhuurt om het staal van de kluisdeur te controleren. Het team besteedt maanden aan het vinden van minuscule barstjes in het staal (de audit). Maar de dieven breken de deur niet; ze wachten tot een bewaker naar buiten loopt, misleiden hem om de sleutel te geven, of stelen de blauwdrukken van de tekentafel van de architect. De audit was perfect voor de deur, maar keek niet naar de bewaker of het bureau.
3. Het "Superstorm"-effect
Het paper ontdekte ook dat geldverliezen in deze wereld niet gelijkmatig voorkomen. Het is niet zoals regen die elke dag zachtjes valt. Het is meer als een orkaan.
- De 80/20-regel op Steroïden: Slechts 8 enorme overvallen waren verantwoordelijk voor meer dan de helft van al het verloren geld in vier jaar.
- Het "Gemiddelde" is een Leugen: Als je het risico probeert in te schatten door naar de "gemiddelde" diefstal te kijken, zul je het fout hebben. De meeste diefstallen zijn klein, maar een paar zijn zo enorm dat ze de rest volledig wegvagen. Het paper waarschuwt dat plannen voor het "gemiddelde" is als plannen voor een zonnige dag terwijl er een tsunami aankomt.
4. De "Menselijke" Factor
De meest verrassende bevinding is dat de grootste verliezen voortkomen uit menselijke fouten, niet uit computerbugs.
- In de afgelopen jaren kwam meer dan de helft van al het verloren geld door mensen die werden misleid, sleutels die werden gestolen, of slecht beheer.
- De beveiligingsaudits controleerden voornamelijk de code, maar controleerden zelden de mensen die de sleutels vasthouden of de computers die de mensen gebruikten om transacties te ondertekenen.
5. De Conclusie: We Hebben Twee Soorten Beveiliging Nodig
Het paper concludeert dat we niet alleen op één type beveiliging kunnen vertrouwen.
- De Code Auditors zijn geweldig in het vinden van bugs in de software (de "blauwdruk").
- De Operationele Bewakers zijn nodig om de mensen, de sleutels en de processen te beschermen (het "beveiligingsuniform en de geest van de bewaker").
De studie stelt dat de sector momenteel heel goed is in het controleren van de blauwdrukken, maar heel slecht in het beschermen van de mensen die de sleutels vasthouden. Om te voorkomen dat er miljarden verloren gaan, moeten we deze twee taken als partners behandelen, niet als vervangers. We moeten de code controleren en het menselijk gedrag controleren.
Kortom: De beveiligingsexperts kijken onder de straatlantaarn naar verloren sleutels omdat het licht daar goed is (de code), maar de dieven pakken de sleutels uit de donkere steeg (de mensen en processen) waar niemand kijkt.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.