DeFi-проекты потеряли $1,3 млрд из-за взломов в 2026 году из-за утечек приватных ключей
За первые восемь месяцев 2026 года протоколы DeFi лишились как минимум 1,3 миллиарда долларов в результате хакерских атак. Главное изменение по сравнению с прошлыми годами — это не сумма ущерба, а сам характер атак. Впервые утечки приватных ключей и админ-доступов обогнали уязвимости в смарт-контрактах и стали основной причиной потерь. Хакеры перестали ломать код (он успешно проходил все аудиты) и вместо этого взламывали людей с помощью социальной инженерии, перехватывали сессии, крали ключи валидаторов и захватывали управление протоколами.
Значительную часть похищенных средств связывают с северокорейской Lazarus Group, а именно с ее подразделением TraderTraitor. На счету группировки — как минимум 575 млн долларов, то есть около 44% от общей суммы потерь за год.
Ключевым эпизодом года стал период с 1 по 18 апреля. 1 апреля хакеры за 128 секунд вывели 285 млн долларов из Drift Protocol. Атака не затронула ни одной строки кода. Злоумышленники месяцами завоевывали доверие: выдавали себя за квантовый трейдинговый фонд, посещали конференции и лично встречались с разработчиками протокола. В итоге они получили заранее подписанные полномочия от совета безопасности Drift, добавили в список поддерживаемых токенов фиктивный актив с подконтрольным им оракулом, внесли его как залог и вывели реальные средства. Примечательно, что аудит 2024 года уже выявил этот уязвимый механизм, но риск оценили как незначительный, ведь вызвать функцию мог только администратор. Спустя два года после аудита ключ администратора оказался в чужих руках.
Через 17 дней, 18 апреля, был взломан мост протокола KelpDAO, потери составили около 290 млн долларов. Здесь схема была иной: злоумышленники применили социальную инженерию против разработчика LayerZero, получили доступ к его сессионным ключам и с их помощью скомпрометировали RPC-инфраструктуру. Внешние узлы были подавлены DDoS-атакой, а оставшиеся скомпрометированные узлы подтвердили поддельное межсетевое сообщение, что позволило выпустить необеспеченные токены rsETH. Похищенные токены заложили в Aave и под их залог заняли реальные средства. За 48 часов совокупная заблокированная стоимость (TVL) Aave упала на 6,28 млрд долларов, девять протоколов приостановили работу рынков.
Оба протокола прошли аудиты и соответствовали стандартным практикам безопасности — но все решил один скомпрометированный ключ.
Кроме Kelp DAO, в 2026 году пострадали и другие межсетевые мосты: AFX Trade (24,15 млн долларов из-за компрометации пяти подписей валидаторов), VerusCoin (19,14 млн долларов в результате двух отдельных атак на один и тот же мост), а также цепочка эксплоитов на базе уязвимости Cosmos EVM, затронувшая сети MANTRA, TAC и KiiChain (в сумме 20,8 млн долларов). Во всех случаях проблема одна: мосты полагаются на небольшую группу подписантов или узлов-валидаторов, и компрометации этой группы достаточно, чтобы мост «законно» выпустил средства по поддельному запросу.
Решение известно давно — использовать несколько независимых сетей верификации вместо одной. LayerZero поддерживает такую схему, но, по данным Dune, около 47% всех приложений на базе LayerZero — более 1200 — по-прежнему используют схему с единственным верификатором.
