Адам факторы: криптоиндустрияның басты осал тұсы, оны кодпен түзету мүмкін емес
2026 жылдың шілдесінде BonkDAO коды — Solana негізіндегі мемкоиннің басқару құрылымы — мінсіз жұмыс істеді, бірде-бір ақаусыз. Алайда бұл злоумышленниктерге ұйым қазынасынан шамамен $20 млн шығаруға кедергі болмады. Классикалық мағынада ешқандай шабуыл болған жоқ: дауыс беру заңды түрде өтті, ал транзакция код тұрғысынан толық жарамды болды.
Басқаруға шабуыл: код көмектеспеген кезде
BonkDAO оқиғасы — орталықтандырылмаған басқаруға жасалған шабуылдың жарқын мысалы. 2026 жылдың 6 шілдесінде ұйым ДАО-ны басып алуға тап болды, нәтижесінде шамамен 4,43 трлн BONK токені ұрланды. Злоумышленник архитектураның іргелі әлсіздіктері мен қауымдастықтың пассивтілігін пайдаланды.
Схема ұсақ-түйегіне дейін ойластырылған: қатысушыларға сыйақы беруді көздеген Bonk Improvement Proposal #76 әдеттегі ұсынысының атымен хакер қаражат аударудың зиянды функциясын қосты. Кворумға жету үшін ол орталықтандырылған биржаларда шамамен $4,4 млн жұмсап, BONK эмиссиясының 1%-ын сатып алды. Өте төмен қатысу кезінде бұл дауыстардың шамамен 100%-ын бақылауға жетті. Алты күннен кейін ұсыныс автоматты түрде орындалды.
Бұл оқиға маңызды кемшіліктерді ашты: шешімдерді орындаудың уақытша кідірісінің болмауы, кворумның төмен шегі және команданың шұғыл вето құқығының жоқтығы. Бір жыл бұрын Compound протоколының ДАО-сына ұқсас әрекет жасалған еді, бірақ ол шабуылды келіссөздер арқылы тойтару мүмкін болды. Мәселе код қателерінде емес, Виталик Бутерин «өнімсіз және әлсіз» деп атаған Web3 орталықтандырылмау механизмдерінің өзінде.
Аудит — панацея емес
2025 жылғы статистика алаңдатарлық үрдісті көрсетеді: Kerberus сарапшыларының мәліметінше, бұзылған смарт-контрактілердің 90%-ы аудиттен сәтті өткен. Злоумышленниктер бұрыннан белгілі әдістерді қолданады: қайта кіру қателері, қол жеткізуді бақылау мәселелері, оракулдармен манипуляциялар және бизнес-логиканың логикалық қателері.
Кроссчейн-көпірлер ерекше қауіп төндіреді: 2022 жылдан бастап олар жиынтықта $2,8 млрд-тан астам жоғалтты — бұл Web3-те ұрланған барлық қаражаттың шамамен 40%-ы. Мұндай жүйелердің күрделілігі шабуылдың кең алаңын жасайды, оны толық бағалау қиын. 2026 жылғы оқиғалар көрсеткіш болып табылады: бүтін сандық типтің толып кетуіне байланысты Truebit-тің $26,4 млн-ға бұзылуы, валидатордың жеке кілтінің бұзылуы арқылы IoTeX көпіріне шабуыл және жылдағы ең ірі эксплойт — жалғыз кроссчейн-хабарлама валидаторына байланысты Kelp протоколының $292 млн-ға бұзылуы.
ЖИ: жаңа қауіп және қорғаныс құралы
2025 жылдың желтоқсанында Anthropic осалдықтарды іздеу үшін ЖИ-модельдерін қолдануды жариялады. 405 нақты бұзылған контрактіні қамтитын SCONE-bench бенчмаркіндегі симуляция барысында нейрожелілер олардың 207-сіне сәтті шабуыл жасап, $550,1 млн шығарды. Бұл хакерлікке кіру шегінің тез төмендеп бара жатқанын білдіреді: типтік шабуылдар үшін енді Solidity бойынша сарапшы болу емес, сұранысты дұрыс тұжырымдау жеткілікті.
Кілт контрактіден маңызды
Бірде-бір аудит соңғы жылдардағы ең ірі ұрлықтардың алдын алмас еді. Chainalysis мәліметтері бойынша, жеке кілттердің ұрлануы ұрланған қаражаттың шамамен 40%-ының себебі болды. 2025 жылдың ақпанындағы Bybit-тің $1,46 млрд-қа бұзылуы — жарқын мысал: қол қоюшылар Safe интерфейсінде ауыстырылған транзакцияны мақұлдады. Сол сияқты Humanity Protocol 2026 жылдың маусымында зардап шекті, әзірлеушінің компьютеріндегі зиянды бағдарламаға байланысты $31 млн жоғалтты.
Не жұмыс істейді?
Индустрия нақты уақыттағы динамикалық қауіп мониторингіне қарай жылжуда. Forta Network және Hypernative сияқты жүйелер транзакция блокқа қосылғанға дейін мемпулдағы аномальды белсенділікті бақылайды. Venus Protocol мысалы мұндай тәсілдің тиімділігін көрсетті: соңғы транзакцияға 20 минут қалғанда автоматты пауза қаражатты сақтап қалды.
Web3 архитектурасы адамға деген сенімді жою үшін жасалған еді, бірақ статистика керісінше көрсетеді: мінсіз код фишингтік сілтеме немесе ұйықтап жатқан ДАО қауымдастығы алдында дәрменсіз. Мүмкін, блокчейн-экономиканың басты жүйелік осалдығы алгоритмдерде емес, сымның екі ұшында да әлі күнге дейін адамдар тұрғанында.
Менің қорытындым: индустрияға бір реттік аудиттерге сенуді тоқтатып, техникалық шаралар пайдаланушыларды оқытумен және жылдам әрекет ету механизмдерімен ұштасатын кешенді қауіпсіздік моделіне көшу қажет. Әйтпесе, адам факторы ешбір смарт-контрактімен жамау мүмкін емес сол «тесік» болып қала береді.