Leia a cobertura de incidentes uma reportagem por vez e todo evento parece inédito. Leia um rastreador e os mesmos formatos voltam. O valor de um registro estruturado é tornar a repetição visível.
Quase nada disso é criptografia quebrada. Na esmagadora maioria, as falhas dizem respeito a quem podia autorizar o quê.
Comprometimento de chaves
Alguém obteve uma chave capaz de movimentar fundos. Não uma quebra matemática — uma máquina comprometida, uma dependência maliciosa, uma pessoa visada, ou uma chave que já foi gerada de forma fraca. Esta é a maior classe dos nossos registros por uma boa margem; o Rastreador de Incidentes permite filtrá-la diretamente.
Comprometimento da interface de assinatura
A chave nunca foi roubada. Ao seu detentor foi mostrada uma coisa e ele assinou outra. Este é o modo de falha que faz a assinatura às cegas importar, e é por isso que o que um dispositivo de assinatura exibe é uma afirmação separada do que a interface exibe.
Autorização e controle de acesso
Uma função que deveria estar restrita estava acessível, ou uma lista de permissões foi mal configurada, ou uma etapa de inicialização deixou um papel sem definição. Os registros de pontes se concentram aqui, porque uma ponte é, em grande medida, um mecanismo para decidir se uma liberação está autorizada — veja conjunto de validadores.
Entrada confiável
O sistema acreditou em algo que deveria ter verificado: um preço que não conseguia defender, um peso de voto que podia ser alugado por um bloco, uma mensagem que já havia processado. Manipulação de oráculos, ataques de governança e ataques de repetição têm todos esse formato.
Cadeia de suprimentos
O comprometimento estava a montante, em algo de que o projeto dependia, e não no projeto. Um ataque à cadeia de suprimentos alcança todos os usuários da dependência de uma vez, razão pela qual essa classe produz incidentes excepcionalmente amplos em relação ao esforço envolvido.
Por que a classificação é útil
Porque ela diz o que um determinado controle de fato compra. Uma carteira de hardware trata do armazenamento da chave; não trata de você receber a transação errada na tela. Uma auditoria trata da lógica do contrato; não trata de quem detém a chave de atualização. Casar uma defesa com a classe contra a qual ela defende é a maior parte da segurança prática, e é muito difícil de fazer pensando um incidente por vez.
Todo registro do nosso rastreador é marcado com sua classe de ataque, de modo que você pode ler uma classe em vez de uma cronologia.
Não é aconselhamento. A Conisec publica apenas para fins informativos. Nada neste artigo é orientação financeira, jurídica, tributária ou de segurança. Confira nas fontes primárias linkadas acima antes de agir com base em qualquer coisa.
