Рынок децентрализованных финансов вошёл в 2026 год с рекордом: за первые четыре месяца хакеры вывели из криптопротоколов более $770 млн. Самым сложным месяцем стал апрель. За первые 18 дней месяца было зафиксировано около $606 млн потерь в 12 инцидентах, а дальнейшие подсчёты привели к тому, что по итогам апреля потери составили свыше $620 млн.
Две атаки сделали почти всю статистику месяца. 1 апреля взломали Drift Protocol — децентрализованную площадку деривативов в сети Solana. Ущерб оценили примерно в $285 млн. 18 апреля пострадал KelpDAO: через уязвимость в кроссчейн-инфраструктуре злоумышленники вывели около $292 млн. Вместе эти два инцидента дали примерно $577 млн потерь и превратили апрель в один из самых дорогих месяцев для DeFi за всю историю наблюдений.
Атака на Drift Protocol стала показательной. Расследователи описывают её как комбинацию социальной инженерии, манипуляций с ончейн-механикой и слабых настроек управления. Злоумышленники заранее выстроили доверие с участниками проекта, имитируя коммерческое взаимодействие. Затем использовали особенности Solana, связанные с отложенным подписанием транзакций.
В обычной ситуации транзакции в Solana быстро теряют актуальность, если не попадают в блок. Механизм durable nonce позволяет продлить срок действия заранее подписанной транзакции. Функция полезна для офлайн-подписания и аппаратных кошельков, но при плохом контроле превращается в риск: подпись можно получить раньше, а использовать позже, когда условия уже изменились.
В случае Drift атакующие также создали фиктивный токен CarbonVote и разогнали его видимую ликвидность. Система восприняла актив как допустимое обеспечение. После этого злоумышленники быстро провели серию выводов. Счёт шёл на минуты.
Второй крупный апрельский инцидент связан с KelpDAO и мостовой инфраструктурой LayerZero. Кроссчейн-мосты нужны для передачи активов между блокчейнами. Технически это один из самых сложных и рискованных элементов DeFi: система должна доказать, что событие в одной сети действительно произошло, и корректно отразить его в другой.
В атаке на KelpDAO ключевым слабым местом называют дизайн с единственным проверяющим элементом. Это опасная схема для инфраструктуры, которая отвечает за движение активов между сетями. Ошибка или компрометация такой точки контроля даёт злоумышленнику непропорционально значимый эффект.
Часть средств удалось заморозить в Arbitrum — речь шла примерно о $75 млн. Остальные активы начали переводить через цепочки обменов, включая THORChain. Такие маршруты усложняют отслеживание: средства быстро проходят через несколько сетей и меняют форму, например из ETH в BTC.
Проблема 2026 года в концентрации ущерба. Несколько крупных инцидентов дают большую часть потерь. Это меняет модель риска: протокол может выдерживать десятки мелких атак, но один сбой в управлении ключами, мосте или механизме подписания сразу превращается в девятизначные потери.
DefiLlama ведёт открытую базу взломов и эксплойтов. В ней уже накоплены данные о миллиардах долларов потерь за всю историю DeFi, отдельно учитываются мосты, инфраструктурные уязвимости, ошибки логики протоколов, манипуляции с оракулами и проблемы приватных ключей.
Главные слабые места DeFi в 2026 году
Кроссчейн-мосты. Они связывают несколько сетей и часто управляют крупной ликвидностью. Одна ошибка в проверке события, подписи или валидаторской схеме может затронуть сразу несколько экосистем.
Мультиподписи и комитеты безопасности. Мультиподпись нужна, чтобы деньги нельзя было вывести одним ключом. Но защита работает только при нормальных задержках исполнения, понятных правилах подписания и проверке контекста транзакции. Если подписанты утверждают операции вслепую, мультиподпись превращается в автоматическое одобрение.
Социальная инженерия. В криптоиндустрии всё чаще атакуют людей: разработчиков, администраторов, членов DAO, сотрудников команд и владельцев ключей. Поддельные партнёрства, фальшивые инвесторы, вредоносные документы, заражённые рабочие станции и давление через мессенджеры становятся частью одной цепочки атаки.
Оценка залогов и оракулы. DeFi-протокол должен понимать, сколько стоит актив, который пользователь приносит как обеспечение. Если систему можно убедить, что искусственно созданный токен стоит дорого, дальше начинается обычная математика: злоумышленник берёт реальные активы под фиктивный залог.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
