Более $1 млрд за полгода: криптопроекты стали чаще терять деньги из-за взломов
Масштабы и основные причины хакерских атак
За первые шесть месяцев 2026 года криптопроекты потеряли в результате хакерских атак около $1,1 млрд. За этот период было зафиксировано 212 инцидентов — рекордное количество для одного полугодия за всю историю наблюдений, говорится в отчете компании Blockaid.
Если разделить общую сумму потерь на количество зафиксированных инцидентов, средний ущерб составит около $5,2 млн на одну атаку. Однако этот показатель не отражает реального распределения потерь: основную часть средств похитили в рамках нескольких крупнейших взломов, тогда как ущерб от большинства остальных инцидентов был значительно меньше.
Эксперты назвали январь–июнь 2026 года самым насыщенным хакерскими атаками полугодием. При этом речь идет именно о количестве взломов, а не об общей сумме похищенных активов.
Рост числа инцидентов показывает, что атаки становятся более массовыми, но не обязательно более прибыльными для злоумышленников. Одновременно на рынке сохраняется высокая концентрация ущерба: единичный взлом крупного сервиса может оказаться сопоставим по масштабам с десятками атак на небольшие проекты.
Основной причиной финансовых потерь стал человеческий фактор. Около 74% украденных средств, или $789 млн, пришлось на атаки, в ходе которых злоумышленники получали доступ к приватным ключам либо административным правам криптопроектов.
Подобных инцидентов было относительно немного, однако каждый из них мог приводить к ущербу в сотни миллионов долларов. В частности, в результате взлома Drift — децентрализованной биржи для торговли фьючерсами* в сети Solana — было похищено $285 млн, а потери KelpDAO, протокола ликвидного рестейкинга* активов на базе Ethereum, составили $292 млн.
Совокупный ущерб от этих двух атак достиг $577 млн — более половины всех потерь, зафиксированных за полугодие. Это наглядно показывает, почему небольшое число успешных атак на ключевую инфраструктуру может сильнее повлиять на общую статистику, чем многочисленные взломы менее крупных сервисов.
* Фьючерсы — производные финансовые инструменты, представляющие собой договор между сторонами о покупке или продаже базового актива по заранее согласованной цене. Расчеты по такому контракту производятся в установленный момент в будущем либо непрерывно, если речь идет о бессрочных фьючерсах. В криптоиндустрии фьючерсы используются для получения прибыли на изменении стоимости цифровых активов, хеджирования ценовых рисков и торговли с кредитным плечом.
* Ликвидный рестейкинг — механизм повторного использования цифровых активов, уже заблокированных в стейкинге для поддержания безопасности базовой блокчейн-сети. Пользователь передает такие активы специализированному протоколу, который направляет их на обеспечение дополнительных сервисов, приложений или инфраструктурных компонентов. Взамен пользователь получает ликвидный токен, отражающий его долю в размещенных активах и право на накопленное вознаграждение. Этот токен можно передавать, обменивать, использовать в качестве залога или размещать в других DeFi-протоколах.
По количеству атак первое место заняли уязвимости и ошибки в коде смарт-контрактов. Однако совокупный ущерб от таких инцидентов оказался значительно ниже. Это связано с тем, что злоумышленники чаще выбирали небольшие протоколы, располагающие ограниченными объемами активов.
К типичным уязвимостям смарт-контрактов относятся ошибки при проверке прав доступа, некорректные расчеты, манипулирование ценовыми оракулами*, повторный вызов функций и возможность использования мгновенных займов для изменения состояния протокола.
* Оракул — сервис, который передает смарт-контракту информацию из внешнего мира, недоступную непосредственно внутри блокчейна. Это могут быть цены активов, курсы валют, результаты событий, сведения о платежах, погодные данные и другая информация. Получив эти сведения, смарт-контракт автоматически выполняет предусмотренное действие. Надежность оракула критически важна: если переданные данные окажутся ошибочными или будут намеренно искажены, контракт может провести неправильный расчет, необоснованно ликвидировать залог или перевести средства злоумышленнику.
Аудит смарт-контракта снижает вероятность взлома, но не гарантирует полной безопасности. Проверка обычно охватывает определенную версию кода и конкретный набор сценариев. После обновления контракта, интеграции со сторонним протоколом или изменения административных настроек могут появиться уязвимости, которых не было во время первоначального аудита.
Кто стоит за крупнейшими взломами
По оценке Blockaid, крупнейшая доля похищенных средств пришлась на хакерские группы, связанные с КНДР. Такой вывод эксперты сделали на основании анализа применявшихся злоумышленниками методов, движения украденных активов и других цифровых следов. В частности, северокорейским группировкам приписывают две крупнейшие атаки первого полугодия — взломы Drift и KelpDAO, которые вместе обеспечили более половины общего ущерба.
По оценкам экспертов ООН и американских правоохранительных и финансовых ведомств, связанные с КНДР хакерские группы используют кражи цифровых активов как один из способов получения иностранной валюты и обхода международных финансовых ограничений. Предполагается, что часть получаемых доходов направляется на поддержку государственных программ КНДР, в том числе разработки ядерного оружия и баллистических ракет.
В двух из четырех крупнейших инцидентов первого полугодия использовалась похожая схема социальной инженерии* через LinkedIn — деловую социальную сеть, предназначенную для поиска работы, сотрудников и профессионального общения. Злоумышленники выдавали себя за работодателей, партнеров или других представителей отрасли, вступали в контакт с сотрудниками криптопроектов и с помощью вредоносных файлов либо ссылок пытались получить доступ к приватным ключам и внутренним системам.
* Социальная инженерия — совокупность методов психологического воздействия, при которых злоумышленник получает доступ к информации, активам или защищенным системам не путем прямого технического взлома, а за счет манипулирования человеком. Для этого злоумышленник может выдавать себя за знакомого, родственника, сотрудника банка, представителя компании, службы поддержки, государственного органа или другого человека, которому жертва склонна доверять. Атакующие создают поддельные аккаунты и сайты, рассылают вредоносные ссылки и файлы, запрашивают конфиденциальные сведения либо под разными предлогами убеждают человека перевести деньги, сообщить код подтверждения или предоставить доступ к устройству. В отличие от массового фишинга, рассчитанного на широкий круг пользователей, сложные атаки социальной инженерии готовятся адресно с учетом личных данных, интересов, круга общения, привычек и текущих обстоятельств конкретного человека.
Какие блокчейны понесли наибольшие потери
Среди блокчейнов наибольшие потери понесли проекты, работающие в сетях Ethereum и Solana. В экосистеме Ethereum, которая остается крупнейшей платформой для децентрализованных приложений и смарт-контрактов, злоумышленники похитили около $332 млн. Проекты на базе Solana, популярной благодаря высокой скорости обработки операций и низким комиссиям, потеряли еще $326 млн. Значительный ущерб в этих сетях связан не с уязвимостью самих блокчейнов, а с большим количеством работающих на их базе DeFi-протоколов, бирж, кошельков и других сервисов, которые хранят и обрабатывают крупные объемы пользовательских активов.
Искусственный интеллект как новый объект атак
Одним из ключевых трендов в сфере кибербезопасности стали атаки, направленные на системы искусственного интеллекта. Речь идет прежде всего об ИИ-агентах — программах, которые могут самостоятельно анализировать информацию, взаимодействовать с другими сервисами и выполнять операции, в том числе подтверждать транзакции. Злоумышленники пытаются обмануть такие системы с помощью специально сформулированных команд, вредоносных сообщений или поддельных данных, чтобы заставить их совершить действие, не предусмотренное разработчиками.
Один из таких методов называется инъекцией промпта. Вредоносная инструкция может содержаться не только в прямом сообщении пользователя, но и внутри сайта, документа, электронного письма или результата, полученного от другого сервиса. ИИ-агент обрабатывает эти данные как часть рабочего контекста и может ошибочно воспринять скрытую команду как разрешенное указание.
В Blockaid выделили подобные атаки в отдельный и принципиально новый вектор угроз, поскольку традиционные проверки безопасности обычно сосредоточены на уязвимостях программного кода и действиях пользователей, но не учитывают возможность манипулирования решениями искусственного интеллекта.
В качестве примера приводится инцидент с Bankr — платформой, которая позволяет управлять цифровыми активами с помощью обычных текстовых команд. Ее ИИ-агенты могут самостоятельно работать с криптокошельками, совершать обмены, запускать токены, управлять DeFi-позициями и выполнять блокчейн-транзакции от имени пользователя. В случае с Bankr злоумышленники обманули ИИ-агента, заставив его подтвердить несанкционированную транзакцию на сумму $216 тыс.
Эксперты отмечают, что еще в 2025 году подобные сценарии практически не учитывались при стандартном аудите безопасности. Поэтому уязвимости ИИ-агентов могут представлять особенно серьезную угрозу для криптопроектов.
На фоне увеличения числа атак специалисты также обращают внимание на роль современных моделей искусственного интеллекта в поиске уязвимостей. По их мнению, ИИ уже способен выявлять слабые места в программном коде эффективнее человека, что создает дополнительные риски для всей индустрии децентрализованных финансов.