Криптоплатформи втратили 3,63 мільярда доларів унаслідок 245 задокументованих інцидентів безпеки в період з січня 2025 року по липень 2026 року, згідно зі звітом CoinGecko «State of Crypto Security Report», опублікованим 27 серпня.
Втрати були сильно сконцентровані. Десять найбільших атак склали понад 72,5% від загальної викраденої суми, тоді як компрометації інфраструктури та ланцюгів постачання спричинили понад 1,8 мільярда доларів збитків.
CoinGecko визначила компрометацію приватних ключів як основний ризик для централізованих бірж. Децентралізовані додатки втратили приблизно 546 мільйонів доларів через експлойти смарт-контрактів, тоді як обидві категорії платформ також зіткнулися з маніпуляціями оракулів та збоями внутрішніх механізмів.
Ці цифри представляють набір даних про інциденти від CoinGecko. Опублікований звіт не уточнює, чи були відняті всі відновлені або заморожені активи, тому суму в 3,63 мільярда доларів слід розглядати як оцінку заявлених втрат, а не як остаточну чисту суму збитків.
Злам Bybit у лютому 2025 року був найбільшим інцидентом, що увійшов до звіту, склавши приблизно 1,44 мільярда доларів. Атака включала компрометацію інфраструктури для підписання транзакцій, а не дефект у смарт-контракті біржі.
Серед інших значних інцидентів були злам KelpDAO на 292 мільйони доларів, атака на Drift Protocol на 285 мільйонів доларів та експлойт Cetus на 223 мільйони доларів. Їхні різні методи показують, чому один засіб безпеки не може охопити повну поверхню атаки галузі.
Атаки на інфраструктуру можуть бути спрямовані на приватні ключі, пристрої співробітників, фронтенд-інтерфейси, програмні залежності та операторів мостів. Ці компоненти часто знаходяться поза межами смарт-контрактів, що перевіряються під час звичайних аудитів.
Угруповання, підтримувані державою, також застосовували довші та складніші операції. Як повідомлялося раніше, дві атаки, пов'язані з Північною Кореєю, вивели приблизно 577 мільйонів доларів через соціальну інженерію та компрометацію інфраструктури мостів, а не через звичайні недоліки в контрактах.
CoinGecko виявила, що 147 з 245 постраждалих платформ, або близько 60%, завершили незалежний аудит безпеки до того, як зазнали атаки. Ці платформи становили 88,44% від зафіксованих втрат.
Це відкриття не доводить, що аудитори схвалили вразливий компонент. CoinGecko зазначила, що лише близько 11% інцидентів стосувалися недоліків, які підпадали під сферу стандартних аудитів смарт-контрактів.
Ці виявлені недоліки все ще спричинили близько 396 мільйонів доларів збитків. Більшість інших інцидентів включали зовнішню інфраструктуру, неаудовані оновлення програмного забезпечення, скомпрометовані облікові дані або механізми управління, які аудит не оцінював.
Аудит також є знімком певної версії коду. Зміни, внесені після перевірки, можуть призвести до появи нових вразливостей. Його ефективність залежить від обсягу, методології, досвіду аудитора та того, чи розробники усунули виявлені недоліки.
У супутніх матеріалах, перевірка безпеки Ripple виявила 96 проблем до того, як уражений код дійшов до користувачів, демонструючи, що аудити можуть запобігти втратам, якщо висновки з'являються до активації. Вони не можуть замінити безперервний моніторинг та операційну безпеку.
Активне покриття провідних ончейн-страхових протоколів знизилося на 20,2%, зі 163,2 мільйона доларів до 130,2 мільйона доларів. Сукупні виплати залишалися на рівні близько 33 мільйонів доларів, за даними CoinGecko.
П'ять із дев'яти відстежуваних протоколів стали неактивними або перейшли в інші сфери діяльності до серпня 2026 року. CoinGecko пояснила цей відступ частково підвищеним ризиком, дорогими преміями та труднощами із залученням постачальників капіталу.
Суму покриття в 130,2 мільйона доларів не слід прямо порівнювати з 3,63 мільярда доларів як офіційний коефіцієнт покриття. Перша є показником на певний момент часу, тоді як друга охоплює сукупні інциденти протягом 19 місяців.
Поліси також містять вузькі визначення. Деякі покривають перевірені збої смарт-контрактів, але виключають фішинг, крадіжку приватних ключів, помилки співробітників, волатильність ринку та втрати, пов'язані з непідтримуваними блокчейнами.
Централізовані біржі все частіше створюють фонди захисту інвесторів замість того, щоб купувати повне зовнішнє страхування. Ці резерви можуть забезпечити швидше відшкодування після зламу.
Однак, фонд захисту не є автоматично еквівалентом регульованого страхування. Покриття залежить від умов біржі, зберігання резервів, складу активів та її розсуду щодо кваліфікуючих подій.
Атестації підтвердження резервів вирішують іншу проблему, демонструючи, що біржа контролює активи, які відповідають балансам клієнтів. Вони не встановлюють безпечне управління ключами або не доводять, що всі зобов'язання були розкриті.
Наступним випробуванням для звіту буде питання, чи розширять платформи аудити за межі смарт-контрактів на операційні системи, мости та програмні залежності. Страхові провайдери також повинні визначити, чи можна запропонувати ширший захист, не роблячи премії недоступними.
ETH
BTC
