$35,5 млн тәулігіне: хакерлер DeFi-көпірлеріне код арқылы емес, кілттер арқылы шабуыл жасайды
Бір күн ішінде үш DeFi-протокол — AFX, B² Network және Verus — жалпы сомасы $35,5 млн жоғалтты. Бұл бұзушылықтардың ешқайсысы смарт-контракт кодындағы қатеге байланысты болған жоқ. Бұл кездейсоқтық емес, шабуылдар векторының өзгергенінің нақты белгісі.
Менің деректерім бойынша, ең үлкен соққы AFX протоколына тиді, ол Arbitrum желісіндегі USDC-де шамамен $24 млн жоғалтты. Зұлымдық жасаушы көпірдің валидатор кілттерін бұзып, қаражатты Ethereum-ға аударып, 12 467,5 ETH-ге айырбастап, бір мекенжайда бекітті. Екінші нысана BNB Chain-дегі B² көпірі болды: хакер стейкинг-контрактты жаңарту құқығын ұстап алып, шамамен $3,86 млн сомасындағы 8,591 млн B2 токенін шығарып алды. Ұрланған активтер 5000 WBNB-ге, содан кейін 1128 ETH-ге айырбасталып, NEAR Intents арқылы шығарылды. B2 токені бірден 15%-ға құлдырады. Үшінші құрбан Verus көпірі болды, ол шамамен $7,5 млн жоғалтты — әрі шабуыл бұрынғыдай көпірдің сенімді жол осалдығы арқылы жасалды. Қаражат бірден Tornado Cash арқылы жуыла бастады.
Кодтың орнына кілттер: шабуылдардың жаңа дәуірі
Үш жағдайдың барлығы түбегейлі жаңа тактиканы көрсетеді. Бұрын хакерлер смарт-контракт логикасындағы олқылықтарды іздесе, бүгінде код аудиті стандартқа айналды және мұндай осалдықтар азаюда. Оның орнына зұлымдық жасаушылар басқару механизмінің өзін — кілттерді, әкімшілік құқықтарды және контракттарды жаңарту өкілеттіктерін бақылауға алады.
Мәселенің ауқымы статистикамен расталады: 2026 жылы криптовалютадағы ұрланған қаражаттың шамамен 40%-ы кодты бұзуға емес, кілттердің бұзылуына байланысты болды. Көпірлер әлі де контракт деңгейіндегі шабуылдарға төтеп береді, бірақ қол жеткізу кілттері соққыға ұшырағанда олардың қорғанысы күйрейді.
Менің қорытындым: индустрия кодтың қауіпсіздігін асыра бағалап, қол жеткізуді басқаруды бағаламады. DeFi-протокол командалары кілттерді көпфакторлы қорғауды және әкімшілік артықшылықтарды ауыстыруды енгізбегенше, мұндай шабуылдар толқыны тек өсе береді.