DefiLlama зафіксувала 518 криптозламів і понад $17 млрд збитків за 10 років, причому зловмисники переключаються зі смарт-контрактів на ключі, мости та гаманці, тоді як rsETH втрачає близько $290 млн.
За даними DefiLlama, які цитує Cointelegraph, рахунок за безпеку криптосфери за останнє десятиліття непомітно перевалив за $17 мільярдів, принаймні 518 задокументованих зламів та експлойтів вразили біржі, протоколи DeFi, мости та гаманці з 2014 року. Ця цифра охоплює все, від ранніх крахів бірж до сьогоднішніх складних кросчейн-атак, і це відбувається навіть на тлі того, що загальний темп великих ончейн-експлойтів сповільнився порівняно з піковими роками манії, такими як 2021–2022.
Однак під поверхнею склад цих втрат змінюється. Якщо ранні DeFi-злами часто залежали від помилок у смарт-контрактах та неконтрольованої логіки флеш-кредитів, то останні інциденти показують, що зловмисники все частіше націлюються на "м'які місця" навколо криптосфери — приватні ключі, інфраструктуру підписання та пристрої користувачів — за допомогою крадіжки облікових даних, соціальної інженерії та атак типу SIM-своп. Фірми з безпеки повідомили Cointelegraph, що очікують, що 2026 рік принесе більш просунутий фішинг та шахрайство за допомогою ШІ, здатне обманути навіть технічно підкованих користувачів, змусивши їх підписувати зловмисні транзакції або розкривати початкові фрази.
Інфраструктура мостів була особливо вразливим місцем. Панель моніторингу зламів DefiLlama показує, що мости становлять майже $3 мільярди з приблизно $11,8 мільярдів, які вона класифікує як "загальну суму викрадених коштів", причому великі окремі інциденти, такі як експлойти Ronin, Wormhole та Multichain, задають тон кросчейн-ризику. Останнім доповненням до цього списку є кросчейн-міст rsETH Kelp DAO, який був атакований 18 квітня після того, як зловмисник підробив кросчейн-повідомлення за посиланням на базі LayerZero і емітував або випустив 116 500 rsETH на адресу, контрольовану зловмисником.
Ці токени — що представляють "рестейкнутий" Ефір — на той час коштували близько $290–293 мільйони, або приблизно 18% від загальної пропозиції rsETH, і були названі найбільшим DeFi-експлойтом 2026 року на сьогоднішній день виданнями, включаючи Bloomberg. Інцидент змусив Kelp DAO призупинити роботу мосту, координувати екстрені заходи з біржами та протоколами, і викликав суперечки щодо конфігурації LayerZero з одним валідатором за замовчуванням, яку критики вважають такою, що залишила систему фактично за один ключ від катастрофічної емісії.
Навіть без гучних експлойтів, щоденні компрометації облікових даних продовжують завдавати шкоди. Дані DefiLlama, цитовані Cointelegraph, показують, що лише в першому кварталі 2026 року хакери викрали близько $168,6 мільйона з 34 протоколів DeFi, причому найбільший окремий удар — крадіжка $40 мільйонів зі Step Finance — був відстежений до компрометації приватного ключа, а не до чистої помилки в коді. Ця тенденція свідчить про те, що безпека смарт-контрактів DeFi повільно зміцнюється, тоді як зловмисники у відповідь рухаються вгору за течією, до інструментів та людських процесів, які знаходяться між гаманцями та протоколами.
Для користувачів і команд урок жорстокий, але зрозумілий: аудити та формальна верифікація необхідні, але недостатні. Апаратні ключі, схеми мультипідпису, ізольовані пристрої для підписання, суворі політики управління ключами та безперервна гігієна проти фішингу тепер настільки ж критично важливі для захисту криптоактивів, як оптимізації газу та винагороди за виявлення помилок — тому що достатньо лише однієї скомпрометованої облікової інформації, щоб перетворити черговий рядок у базі даних зламів DefiLlama на дев'ятизначну суму збитків.
