Кілттер, код емес: үш DeFi-көпірі бір тәулік ішінде қолжетімділіктің бұзылуы салдарынан $35,5 млн жоғалтты
Бір күн ішінде үш DeFi-протокол — AFX, B² Network және Verus — жиынтығы $35,5 млн жоғалтты. Айта кетерлігі, шабуылдардың ешқайсысы смарт-контракттардағы осалдықтармен байланысты емес. Бұзушылар одан да нәзік әрекет етті: олар кодтағы қателерді пайдаланбай, кілттер мен әкімшілік артықшылықтарды бақылауға алды.
Әр шабуылдың мәліметтері
Ең үлкен соққы Arbitrum желісіндегі AFX протоколына тиді: зиянкестер көпірдің бұзылған валидатор кілттерін пайдаланып, шамамен $24 млн USDC ұрлады. Қаражат Ethereum-ға аударылып, хакер оны 12 467,5 ETH-ге айырбастап, бір мекенжайға шоғырландырды.
Екінші нысана BNB Chain-дегі B² Network болды. Шабуылдаушы стейкинг-контрактты жаңарту құқығын иемденіп, 8,591 млн B2 токенін (~$3,86 млн) шығаруға мүмкіндік алды. Ұрланған қаражат WBNB-ге, содан кейін ETH-ге айырбасталып, NEAR Intents арқылы шығарылды. Жобаның жергілікті токені оқиғадан кейін бірден 15%-ға құлдырады.
Үшінші құрбан — Verus көпірі. Мұнда хакер көпірдің сенімді жолын пайдаланды, әрі сол осалдықты екінші рет қолданды. Шығын шамамен $7,5 млн құрады, содан кейін зиянкес Tornado Cash арқылы қаражатты жууға кірісті.
Парадигманың өзгеруі: багтардан кілттерге
Деректер көрсеткендей, 2026 жылы ұрланған криптовалютаның шамамен 40%-ы смарт-контракттарды бұзуға емес, кілттердің бұзылуына тиесілі болды. Бұл заңды нәтиже: контракттар жиі аудиттен өтіп, логикадағы олқылықтар азаюда. Хакерлер бейімделуде — олар кілттерге, әкімшілік панельдерге және контракттарды жаңарту құқықтарына шабуыл жасап, қолжетімділік деңгейіне көшуде.
Сарапшының пікірі: Көпірлер технология ретінде кодқа тікелей шабуылдарға төзімділігін дәлелдеді. Бірақ олардың «Ахиллес өкшесі» — бұл қолжетімділікті басқару жүйелері. Индустрия аппараттық қауіпсіздік модульдерін (HSM) және операциялық кілттер деңгейінде мультиқолтаңбаны енгізбейінше, мұндай оқиғалар қайталана береді. Қазіргі жағдай — кодтың осалдығы емес, артықшылықтарды басқару дағдарысы.