Ang mga crypto platform ay nawalan ng $3.63 bilyon sa 245 na dokumentadong insidente ng seguridad sa pagitan ng Enero 2025 at Hulyo 2026, ayon sa CoinGecko’s State of Crypto Security Report na inilabas noong Agosto 27.

Lubhang nakakonsentra ang mga pagkalugi. Ang sampung pinakamalaking pag-atake ay bumubuo ng higit sa 72.5% ng kabuuang halaga na ninakaw, habang ang mga kompromiso sa imprastraktura at supply-chain ay nagdulot ng higit sa $1.8 bilyon sa mga pagkalugi.

Tinukoy ng CoinGecko ang kompromiso sa pribadong key bilang pangunahing panganib para sa mga sentralisadong palitan (centralized exchanges). Ang mga desentralisadong aplikasyon (decentralized applications) ay nawalan ng humigit-kumulang $546 milyon sa pamamagitan ng mga smart-contract exploit, habang ang parehong kategorya ng platform ay naharap din sa manipulasyon ng oracle at pagkabigo ng panloob na mekanismo.

Ang mga datos ay kumakatawan sa dataset ng insidente ng CoinGecko. Hindi malinaw na sinasabi ng inilathalang buod kung ang bawat nabawi o na-freeze na asset ay ibinawas, kaya ang $3.63 bilyon ay dapat ituring bilang tinatayang pagkalugi na iniulat nito sa halip na isang huling kabuuang netong pagkalugi.

Ang pagkalugi sa seguridad ng Crypto ay nakakonsentra sa mga pangunahing pag-atake

Ang paglabag sa Bybit noong Pebrero 2025 ang pinakamalaking insidente na kasama, na nagkakahalaga ng humigit-kumulang $1.44 bilyon. Ang pag-atake ay kinasangkutan ng nakompromisong imprastraktura ng pagpirma ng transaksyon sa halip na isang depekto sa isang smart contract ng palitan (exchange).

Kasama sa iba pang pangunahing insidente ang $292 milyong paglabag sa KelpDAO, ang $285 milyong pag-atake sa Drift Protocol, at ang $223 milyong Cetus exploit. Ang kanilang iba't ibang pamamaraan ay nagpapakita kung bakit hindi kayang sakupin ng isang kontrol sa seguridad ang kumpletong 'attack surface' ng industriya.

Ang mga pag-atake sa imprastraktura ay maaaring puntiryahin ang mga pribadong key, device ng empleyado, front-end interface, software dependencies, at mga operator ng tulay (bridge operators). Ang mga bahaging ito ay kadalasang nasa labas ng mga smart contract na sinusuri sa panahon ng mga kumbensyonal na audit.

Ang mga grupong sinusuportahan ng estado ay gumamit din ng mas mahaba at mas kumplikadong operasyon. Gaya ng naunang naiulat, dalawang pag-atake na may kaugnayan sa North Korea ang nakapaglabas ng humigit-kumulang $577 milyon sa pamamagitan ng social engineering at kompromiso sa imprastraktura ng tulay sa halip na karaniwang mga depekto sa kontrata.

Sinaklaw lamang ng mga audit ang minorya ng mga napagsamantalahang kahinaan

Natuklasan ng CoinGecko na 147 sa 245 na apektadong platform, o humigit-kumulang 60%, ang nakakumpleto ng isang malayang audit sa seguridad bago sila inatake. Ang mga platform na iyon ay bumubuo ng 88.44% ng naitalang pagkalugi.

Ang natuklasang iyon ay hindi nagpapatunay na inaprubahan ng mga auditor ang mahinang bahagi (vulnerable component). Sinabi ng CoinGecko na humigit-kumulang 11% lamang ng mga insidente ang kinasangkutan ng mga depekto na sakop ng karaniwang saklaw ng audit ng smart contract.

Ang mga pagkabigong sakop ng saklaw na iyon ay nagdulot pa rin ng humigit-kumulang $396 milyon sa mga pagkalugi. Karamihan sa iba pang insidente ay kinasangkutan ng panlabas na imprastraktura, mga software update na hindi na-audit, nakompromisong kredensyal, o mga mekanismo ng pamamahala na hindi nasuri ng audit.

Ang isang audit ay isang snapshot din ng isang partikular na bersyon ng code. Ang mga pagbabago na ginawa pagkatapos ng pagsusuri ay maaaring magpakilala ng mga bagong kahinaan. Ang pagiging epektibo nito ay nakasalalay sa saklaw, metodolohiya, karanasan ng auditor, at kung nalutas ng mga developer ang mga natuklasan.

Sa kaugnay na saklaw, natukoy ng pagsusuri sa seguridad ng Ripple ang 96 isyu bago pa man makarating ang apektadong code sa mga user, na nagpapakita na ang mga audit ay maaaring maiwasan ang mga pagkalugi kapag ang mga natuklasan ay dumating bago ang pag-activate. Hindi nila kayang palitan ang patuloy na pagsubaybay at seguridad sa pagpapatakbo.

Bumaba ang kapasidad ng onchain insurance habang dumarami ang mga pag-atake

Bumaba ang aktibong coverage sa mga nangungunang onchain insurance protocol ng 20.2%, mula $163.2 milyon patungong $130.2 milyon. Ang pinagsamang mga payout ay nanatiling malapit sa $33 milyon, ayon sa CoinGecko.

Lima sa siyam na protocol na sinusubaybayan ay naging inactive o lumipat sa ibang bahagi ng negosyo pagsapit ng Agosto 2026. Ibinunsod ng CoinGecko ang pag-urong sa mataas na panganib, mamahaling premiums, at kahirapan sa pag-akit ng mga tagapagbigay ng kapital.

Ang $130.2 milyong pigura ng coverage ay hindi dapat direktang ihambing sa $3.63 bilyon bilang isang pormal na ratio ng coverage. Ang una ay isang 'point-in-time' na sukat, habang ang ikalawa ay sumasaklaw sa pinagsamang mga insidente sa loob ng 19 na buwan.

Naglalaman din ang mga patakaran ng makitid na depinisyon. Ang ilan ay sumasaklaw sa mga na-verify na pagkabigo ng smart contract ngunit hindi kasama ang phishing, pagnanakaw ng pribadong key, pagkakamali ng empleyado, pagkasumpungin ng merkado (market volatility), at pagkalugi na kinasasangkutan ng mga hindi suportadong chain.

Lalong umaasa ang mga palitan sa sariling pondo ng reserba

Ang mga sentralisadong palitan ay lalong nagtatatag ng mga pondo para sa proteksyon ng mamumuhunan sa halip na bumili ng buong panlabas na seguro. Ang mga reserbang ito ay makapagbibigay ng mas mabilis na pagbabayad (reimbursement) pagkatapos ng paglabag.

Gayunpaman, ang isang pondo ng proteksyon ay hindi awtomatikong katumbas ng reguladong seguro. Ang coverage ay nakasalalay sa mga termino ng palitan, pag-iingat ng reserba, komposisyon ng asset, at diskresyon sa mga kwalipikadong kaganapan.

Ang mga patunay ng reserba (Proof-of-reserves) na patunay ay sumasagot sa isa pang isyu sa pamamagitan ng pagpapakita na kontrolado ng isang palitan ang mga asset na tumutugma sa balanse ng mga customer. Hindi nila itinatatag ang ligtas na pamamahala ng key o patunay na ang lahat ng pananagutan ay naisiwalat.

Ang susunod na pagsubok ng ulat ay kung palalawigin ng mga platform ang mga audit na lampas sa mga smart contract patungo sa mga operational system, tulay, at software dependencies. Dapat ding tukuyin ng mga tagapagbigay ng seguro kung ang mas malawak na proteksyon ay maaaring ialok nang hindi ginagawang hindi abot-kaya ang mga premium.