110 triệu USD thiệt hại hack tháng 7, báo cáo lỗi bảo mật tăng 18%

Ngành công nghiệp tiền mã hóa thiệt hại khoảng 110 triệu USD vì các vụ hack xảy ra trong tháng 7. Cùng kỳ, số báo cáo lỗi bảo mật được xác nhận và trả thưởng qua chương trình bug bounty tăng 18% so với tháng trước.

Nền tảng an ninh mạng Immunefi công bố số liệu này trong một tuyên bố ngày 10/8 (giờ địa phương), theo The Block đưa tin. Immunefi cho biết đã chi 2,32 triệu USD tiền thưởng cho các nhà nghiên cứu bảo mật với những báo cáo lỗi được xác nhận trong tháng 7.

Theo Immunefi, các chương trình bug bounty đã giúp ngăn chặn trước 374 mối đe dọa trong tháng 7, cao hơn con số 339 của tháng 5 và 317 của tháng 6.

Tổng số tiền thưởng lũy kế dành cho các nhà nghiên cứu tăng từ 140,8 triệu USD trong tháng 6 lên 143,1 triệu USD trong tháng 7, tương đương mức tăng 2,3 triệu USD chỉ trong một tháng.

Bug bounty là cơ chế cho phép các nhà nghiên cứu bảo mật phát hiện lỗ hổng trong dịch vụ hoặc mã nguồn, báo cho đơn vị vận hành và nhận thưởng nếu lỗ hổng được xác nhận là có thật. Mô hình này khuyến khích cộng đồng nghiên cứu độc lập tìm ra điểm yếu trước khi kẻ tấn công kịp khai thác.

Immunefi cũng so sánh hiệu quả phát hiện lỗ hổng giữa các hình thức kiểm toán khác nhau. Trong 1.178 cuộc kiểm toán hạng nhất (Tier-1) được xem xét, số lỗi nghiêm trọng hoặc mức độ cao ở giá trị trung vị là 0.

Ngược lại, 58 cuộc thi kiểm toán (audit competition) do Immunefi tổ chức phát hiện trung bình 6,2 lỗi nghiêm trọng mỗi cuộc, cao gấp hơn 4 lần so với mức trung bình 1,5 lỗi của kiểm toán hạng nhất.

Tuy nhiên, kết quả kiểm toán hạng nhất được công bố kèm cả giá trị trung vị lẫn trung bình, trong khi kết quả các cuộc thi kiểm toán chỉ công bố giá trị trung bình. Khi so sánh hiệu quả giữa hai hình thức, cần lưu ý cỡ mẫu và tiêu chuẩn thống kê không giống nhau.

Cuộc thi kiểm toán là hình thức nhiều nhà nghiên cứu bảo mật cùng rà soát mã nguồn trong một khoảng thời gian nhất định, sau đó chia nhau quỹ thưởng theo mức độ đóng góp. Cơ chế nhiều người tham gia đồng thời trong thời gian giới hạn khiến hình thức này khác biệt so với kiểm toán cá nhân thông thường.

Chi phí để tìm ra một lỗ hổng cũng chênh lệch đáng kể giữa các phương thức. Immunefi cho biết chi phí trung bình để phát hiện một lỗi nghiêm trọng qua cuộc thi kiểm toán là 6.548 USD.

Trong khi đó, chi phí tìm một lỗi nghiêm trọng qua kiểm toán hạng nhất tư nhân vào khoảng 66.000 USD. Nếu kẻ tấn công là bên phát hiện lỗ hổng trước, chi phí thiệt hại phát sinh lên tới 24,5 triệu USD.

Báo cáo lần này có ý nghĩa vì không chỉ đưa ra thiệt hại do hack mà còn công bố số tiền thưởng và số vụ được ngăn chặn nhờ phát hiện lỗ hổng trước khi bị khai thác. Qua đó, chi phí bảo mật được so sánh không chỉ ở khía cạnh thiệt hại sau sự cố mà còn ở chi phí phát hiện trước khi tấn công xảy ra.

Quy mô thiệt hại do hack trong tháng 7 được các tổ chức thống kê khác nhau đưa ra không đồng nhất. TokenPost từng đưa tin PeckShield thống kê thiệt hại từ 30 vụ hack lớn trong tháng lên tới 210,3 triệu USD, chênh lệch tới 100,3 triệu USD so với con số 110 triệu USD mà Immunefi đưa ra lần này.

Xét theo xu hướng nửa đầu năm, số liệu thiệt hại và số vụ tấn công cũng không thống nhất giữa các nguồn. TRM Labs từng thống kê thiệt hại do hack trong nửa đầu năm đạt 972 triệu USD, với số vụ tấn công lên tới 207 vụ, mức cao kỷ lục. Trong khi đó, dữ liệu tháng 7 của Immunefi cho thấy cả tiền thưởng bug bounty lẫn số vụ được ngăn chặn (374 vụ) đều tăng so với các tháng trước.