ब्लॉकएड द्वारा 28 जुलाई को प्रकाशित H1 रिपोर्ट के अनुसार, 2026 की पहली छमाही के दौरान 212 सत्यापित घटनाओं में क्रिप्टो सुरक्षा घाटा $1.1 बिलियन तक पहुंच गया। 

ब्लॉकएड ने छह महीने की घटनाओं की संख्या को एक रिकॉर्ड बताया और कहा कि उसने 2025 की तुलना में H1 के दौरान अधिक एक्सप्लॉइट्स को सत्यापित किया।

परिचालन सुरक्षा हमलों के कारण चोरी किए गए मूल्य का 74% नुकसान हुआ, जबकि डेमोक्रेटिक पीपुल्स रिपब्लिक ऑफ कोरिया से जुड़े एक समूह ने 55% का योगदान दिया। ब्लॉकएड ने यह भी कहा कि घटनाओं की संख्या 2025 की कुल संख्या से 3.4 गुना अधिक थी, हालांकि सुरक्षा कंपनियाँ उद्योग के नुकसान के अनुमानों को संकलित करते समय विभिन्न परिभाषाओं और कवरेज विधियों का उपयोग करती हैं।

ब्लॉकएड का कहना है कि परिचालन विफलताओं के कारण क्रिप्टो सुरक्षा घाटा हुआ

ब्लॉकएड के आंकड़े उन हमलों से दूर एक बदलाव की ओर इशारा करते हैं जो केवल दोषपूर्ण स्मार्ट-कॉन्ट्रैक्ट कोड पर निर्भर करते हैं। समझौता किए गए डिवाइस, विशेषाधिकार प्राप्त क्रेडेंशियल, निजी कुंजियाँ, हस्ताक्षर प्रणालियाँ और ऑफ-चेन इन्फ्रास्ट्रक्चर ने अधिकांश मापे गए घाटे को जन्म दिया। ये हमले वैध दिखने वाले ब्लॉकचेन लेनदेन उत्पन्न कर सकते हैं क्योंकि अधिकृत क्रेडेंशियल उन्हें अनुमोदित करते हैं।

यह पैटर्न अकेले कोड ऑडिट द्वारा प्रदान की गई सुरक्षा को कम करता है। ऑडिट कॉन्ट्रैक्ट की खामियों की पहचान कर सकते हैं, लेकिन वे एक समझौता किए गए प्रशासक को दुर्भावनापूर्ण लेनदेन पर हस्ताक्षर करने से नहीं रोक सकते या एक ब्रिज सत्यापनकर्ता को दूषित इन्फ्रास्ट्रक्चर पर निर्भर होने से नहीं रोक सकते। ब्लॉकएड ने कहा कि H1 के दौरान हमले के नए तरीके सामने आए और चेतावनी दी कि कुछ दूसरी छमाही के दौरान फैल सकते हैं।

एथेरियम और सोलाना ने अलग-अलग हमले के पैटर्न का सामना किया

ब्लॉकएड की रिपोर्ट के अनुसार, एथेरियम-संबंधित परियोजनाओं को लगभग $332 मिलियन का नुकसान हुआ, जिसमें कोड कमजोरियाँ उस कुल का एक बड़ा हिस्सा थीं। सबसे बड़ा एथेरियम-संबंधित मामला KelpDAO का था, जहाँ हमलावरों ने एक स्रोत-चेन संदेश को गलत साबित करने के बाद एक ब्रिज कॉन्ट्रैक्ट से लगभग $292 मिलियन मूल्य के 116,500 rsETH जारी किए।

सोलाना-संबंधित परियोजनाओं को लगभग $326 मिलियन का नुकसान हुआ। ब्लॉकएड ने पाया कि 98% से अधिक समझौता की गई कुंजियों और हस्ताक्षर इन्फ्रास्ट्रक्चर से आए थे, न कि स्मार्ट-कॉन्ट्रैक्ट बग्स से। ड्रिफ्ट प्रोटोकॉल और स्टेप फाइनेंस ने उस राशि का अधिकांश हिस्सा बनाया, जबकि रेयडियम और वोलो सहित परियोजनाओं को छोटे कोड-संबंधित घटनाओं से प्रभावित किया गया।

नेटवर्क तुलना यह स्थापित नहीं करती है कि एक ब्लॉकचेन स्वाभाविक रूप से सुरक्षित है। इसके बजाय, यह दर्शाता है कि किन एप्लिकेशन पर हमला किया गया था और उनकी टीमों ने विशेषाधिकार प्राप्त पहुंच का प्रबंधन कैसे किया। एक एकल बड़ी घटना भी छह महीने के नेटवर्क के कुल योग पर हावी हो सकती है।

KelpDAO और Drift ने H1 की चोरी पर हावी रहे

चेनैलिसिस ने 18 अप्रैल के KelpDAO हमले को उत्तर कोरिया के Lazarus Group से जोड़ा। उसकी जांच में पाया गया कि हमलावरों ने आंतरिक RPC नोड्स से समझौता किया और बाहरी नोड्स को बाधित किया, जिससे एक एकल-सत्यापनकर्ता प्रणाली को एक गलत बर्न घटना को स्वीकार करने के लिए मजबूर होना पड़ा। एथेरियम-साइड ब्रिज ने rsETH जारी किया, भले ही स्रोत चेन पर कोई संबंधित टोकन नष्ट नहीं हुए थे।

जैसा कि crypto.news ने रिपोर्ट किया, KelpDAO ने 25 मई को अपनी रिकवरी योजना के परिचालन चरण को पूरा किया, जिसके बाद उसने अंतिम 20,373.72 rsETH ट्रेंच को अपने ब्रिज एडाप्टर में स्थानांतरित कर दिया। मिंटिंग, रिडेम्पशन और रिवॉर्ड फिर से शुरू हो गए, हालांकि फ्रीज किए गए फंड से जुड़े मुकदमेबाजी और विवादित दावे अनसुलझे रहे।

ड्रिफ्ट को 1 अप्रैल को एक अलग विशेषाधिकार प्राप्त-पहुंच हमले का सामना करना पड़ा। चेनैलिसिस ने कहा कि हमलावरों ने प्रशासनिक नियंत्रण हासिल करने के लिए महीनों की सोशल इंजीनियरिंग और पूर्व-हस्ताक्षरित टिकाऊ-नॉनस लेनदेन का इस्तेमाल किया। ड्रिफ्ट के 16 अप्रैल के रिकवरी अपडेट में चोरी की गई संपत्ति का मूल्य $295.7 मिलियन आंका गया, जो ब्लॉकएड और कई जांचकर्ताओं द्वारा उपयोग किए गए लगभग $285 मिलियन के शुरुआती अनुमान से अधिक था।

संबंधित कवरेज में, crypto.news ने रिपोर्ट किया कि स्टेप फाइनेंस बंद हो गया जब हमलावरों ने कार्यकारी डिवाइसों से समझौता किया और ट्रेजरी-नियंत्रित संपत्ति से $40 मिलियन तक निकाल लिए। कंपनी ने लगभग $4.7 मिलियन बरामद किए लेकिन कहा कि वित्तपोषण और अधिग्रहण वार्ता से आगे बढ़ने का कोई स्थायी रास्ता नहीं मिला।

चोरी किए गए फंड सक्रिय रहते हुए रिकवरी जारी है

ड्रिफ्ट ने एक्सचेंज राजस्व, टीथर और अन्य भागीदारों द्वारा समर्थित एक रिकवरी पूल का प्रस्ताव दिया। इसकी योजना में टीथर से $127.5 मिलियन तक का प्रस्तावित समर्थन, अन्य भागीदारों से $20 मिलियन और एक अलग हस्तांतरणीय रिकवरी टोकन शामिल था। प्रोटोकॉल ने कहा कि इसके पुनः लॉन्च के लिए ओटरसेक और एसिमेट्रिक द्वारा ऑडिट, समर्पित हस्ताक्षर डिवाइस, टाइमलॉक और एक रीडिज़ाइन किए गए मल्टीसिग की आवश्यकता होगी।

यह चोरी एक सक्रिय ऑन-चेन मामला बना हुआ है। जैसा कि पहले रिपोर्ट किया गया था, ड्रिफ्ट एक्सप्लॉइटर से जुड़े एक वॉलेट ने लगभग तीन महीने की निष्क्रियता के बाद 23 और 24 जुलाई के बीच 23,095.1 ईथर, जिसकी कीमत लगभग $44.4 मिलियन थी, टॉरनेडो कैश में स्थानांतरित कर दी।

ब्लॉकएड को उम्मीद है कि टीमें लेनदेन-इरादा जांच, अलग-थलग हस्ताक्षर डिवाइस, कुंजी अलगाव और ब्रिज और इन्फ्रास्ट्रक्चर में निगरानी पर अधिक ध्यान केंद्रित करेंगी। ये उपाय कंपनी की सिफारिशें हैं, गारंटी नहीं।

अगले सत्यापित अपडेट ड्रिफ्ट के रिकवरी-टोकन शर्तों और पुनः लॉन्च अनुसूची, स्टेप फाइनेंस की शेष दावा प्रक्रिया, फ्रीज किए गए KelpDAO फंड से जुड़ी अदालती कार्यवाही और कानून प्रवर्तन एजेंसियों द्वारा घोषित किसी भी संपत्ति की ज़ब्ती से आएंगे।