DeFi шабуылдарының жаңа дәуірі: кодта бірде-бір қатесіз $35,5 млн ұрланды — кілттерді басып алу басты қауіпке айналуда
Соңғы тәулікте криптоқауымдастық алаңдатарлық үрдіске тап болды: үш DeFi-хаттама — AFX, B² Network және Verus — жиынтығында $35,5 млн жоғалтты. Алайда бұл оқиғалардың негізгі ерекшелігі шығын сомасында емес, шабуыл әдісінде. Ешбір бұзу смарт-келісімшарттардағы осалдықтарды пайдалануға байланысты болмады. Зұлымдық жасаушылар неғұрлым нәзік әрекет етті: олар кодты қорғауды айналып өтіп, әкімшілік кілттер мен қолжетімділік құқықтарын бақылауға алды.
Бір күнде үш соққы
Ең үлкен соққы Arbitrum желісінде жұмыс істейтін AFX хаттамасына келді. Шығын шамамен $24 млн USDC құрады. Хакер көпірдің валидаторлық кілттеріне қол жеткізіп, қаражатты Ethereum-ға аударып, оларды 12 467,5 ETH-ге айырбастады, олар бір ғана мекенжайда қалды. Бұл келісімшарттар логикасына емес, инфрақұрылымдық деңгейге шабуылдың классикалық мысалы.
Екінші құрбан BNB Chain-дегі B² хаттамасы болды. Мұнда зұлымдық жасаушы стейкинг-келісімшартын жаңарту құқығын иеленді. Нәтижесінде шамамен $3,86 млн сомасында 8,591 млн B2 токені ұрланды. Ұрланған активтер 5000 WBNB-ге, содан кейін 1128 ETH-ге айырбасталып, NEAR Intents платформасы арқылы шығарылды. B2 жобасының нативті токені бірден 15% құнын жоғалтты, бұл экожүйелердің мұндай шабуылдарға осалдығын көрсетеді.
Үшіншісі Verus көпірі болды. Хакер көпірдің сенімді жолын пайдаланды, бұл сол осалдық арқылы екінші шабуыл еді. Verus Ethereum көпірі шамамен $7,5 млн жоғалтты. Зұлымдық жасаушы дереу Tornado Cash арқылы ақшаны жуа бастады, бұл жоғары кәсіби деңгейді көрсетеді.
Кодтың орнына кілттер: қауіптер парадигмасының өзгеруі
Бұл үш жағдай — кездейсоқтық емес, хакерлер тактикасындағы жаһандық өзгерістің көрінісі. Бұрын шабуылдар смарт-келісімшарттардағы логикалық қателерге бағытталған еді. Қазір, кодтың көп бөлігі қатаң аудиттен өткенде, зұлымдық жасаушылар «адам факторына» және инфрақұрылымға ауысты. Олар код арқылы емес, кілттер, әкімшілік артықшылықтар және келісімшарттарды жаңарту құқықтары арқылы бақылауды иеленеді.
Мәселенің ауқымы статистикамен расталады: 2026 жылы ұрланған криптовалютаның шамамен 40% смарт-келісімшарттарды бұзуға емес, кілттердің бұзылуына келді. Қорытынды анық: көпірлердің өзі техникалық тұрғыдан сенімді болуы мүмкін, бірақ қолжетімділік кілттері бұзылса, олардың қорғанысы күйрейді.
Менің сараптамалық пікірім: DeFi-жобалар өздерінің қауіпсіздік модельдерін шұғыл қайта қарауы қажет. Назар код аудитінен кілттерді басқаруға, көпфакторлы аутентификацияға және суық әмияндармен мультиқолтаңбаларды пайдалануға ауысуы керек. Әйтпесе, біз бұл шабуылдардың одан да үлкен ауқымда қайталануын көру қаупіне тап боламыз.