DeFi-ге шабуылдардың жаңа дәуірі: хакерлер бір жол кодты өзгертпей, $35,5 млн ұрлап кетті
Бір күн ішінде үш DeFi-протоколы жалпы $35,5 млн жоғалтты. Бұл шабуылдардың ешқайсысы смарт-контракт кодындағы қателіктерге байланысты болмады. Біз парадигманың өзгеруін байқап отырмыз: хакерлер енді логикадағы осалдықтарды іздемейді — олар кілттер мен әкімшілік құқықтар арқылы протоколдарды бақылауға алады.
AFX, B² Network және Verus жобалары құрбан болды. Әрбір оқиға әлсіз буын көпірлердің өзі емес, оларды қорғайтын кілттер екенін көрсетті. Бұл индустриядан қауіпсіздікке деген көзқарасты қайта қарауды талап ететін түбегейлі жаңа қауіп векторы.
Бір күнде үш соққы
Ең үлкен шығын Arbitrum желісіндегі AFX протоколына тиді — шамамен $24 млн. Себебі көпірдің валидатор кілттерінің ұрлануы болды. Зиянкес ұрланған қаражатты Arbitrum-нан Ethereum-ға аударып, оларды 12 467,5 ETH-ге айырбастады, олар бір мекенжайда қалды.
Екінші шабуыл BNB Chain-дегі B² протоколына жасалды. Хакер стейкинг-контрактын жаңарту құқығын иеленді. Жоба 8,591 млн B2 токенінен ($3,86 млн) айырылды. Зиянкестер ұрланған активтерді 5000 WBNB-ден астамға, содан кейін 1128 ETH-ге айырбастап, NEAR Intents арқылы шығарды. Жобаның нативті B2 токені бірден 15%-ға арзандады.
Үшінші құрбан Verus көпірі болды. Шабуылдаушы көпірдің сенімді жолын пайдаланды, әрі бір осалдық арқылы екінші рет. Verus Ethereum көпірі шамамен $7,5 млн жоғалтты. Зиянкес ұрланған қаражатты Tornado Cash арқылы бірден жуа бастады.
Кілттер — жаңа шайқас алаңы
Үш жағдайдың барлығы хакерлердің шабуылдарға деген көзқарасының өзгеруін көрсетеді. Бұрын кодтың өзіндегі қателер пайдаланылса, қазір әзірлеушілер контрактардың көп бөлігін AI-аудитпен тексереді, сондықтан логикадағы олқылықтар азайды.
Сондықтан зиянкестер кодты басқа жолдармен — кілттер, әкімшілік құқықтар және контрактарды жаңарту өкілеттіктері арқылы бақылауға алады. Шабуылдардың басымдығы осалдық деңгейінен қолжетімділік деңгейіне ауысады.
Мәселенің ауқымы статистикамен расталады: 2026 жылы ұрланған криптовалютаның шамамен 40%-ы смарт-контрактарды бұзуға емес, кілттердің бұзылуына тиесілі болды. Негізгі қорытынды: көпірлердің өзі шабуылдарға төтеп береді, бірақ олардың қорғанысы — қолжетімділік кілттері сынады.
Сарапшының пікірі: Индустрия код қауіпсіздігіне орасан зор ресурстар салды, бірақ ең негізгі элементті — кілттерді басқаруды ұмытты. DeFi-жобалар критикалық операциялар үшін көпфакторлы аутентификацияны, мультиқолтаңбаны және аппараттық қауіпсіздік модульдерін (HSM) енгізбейінше, біз мұндай оқиғаларды қайта-қайта көретін боламыз. Бұл кездейсоқтықтар тізбегі емес, жүйелік мәселе.