Новая эра атак на DeFi: $35,5 млн украдено без единой ошибки в коде — захват ключей, а не смарт-контрактов
За один день три DeFi-протокола — AFX, B² Network и Verus — потеряли в общей сложности $35,5 млн. Ключевая особенность этих инцидентов, которая заставляет пересмотреть подходы к безопасности в индустрии: ни одна из атак не была связана с уязвимостью в коде смарт-контрактов. Хакеры больше не ищут ошибки в логике — они захватывают контроль через административные ключи и права доступа.
Детали атак: от мостов к управлению
Крупнейшая потеря пришлась на протокол AFX в сети Arbitrum — около $24 млн в USDC. Причиной стала компрометация ключей валидатора моста. Злоумышленник оперативно переместил активы на Ethereum, конвертировав их в 12 467,5 ETH, которые сейчас сконцентрированы на одном адресе.
Второй целью стал протокол B² на BNB Chain. Хакер перехватил право на обновление стейкинг-контракта и вывел 8,591 млн токенов B2 на сумму около $3,86 млн. Украденные активы были обменяны на 5000 WBNB, затем на 1128 ETH и выведены через NEAR Intents. Нативный токен проекта B2 мгновенно подешевел на 15%.
Третьей жертвой стал мост Verus на Ethereum, потерявший около $7,5 млн. Примечательно, что атака была проведена через доверенный путь моста — и это уже второй случай использования одной и той же уязвимости. Хакер практически сразу начал отмывать средства через Tornado Cash.
Смена парадигмы: код безопасен, ключи — нет
Масштаб проблемы подтверждается статистикой: в 2026 году около 40% всех похищенных средств в криптовалюте пришлось на компрометацию ключей, а не на взломы смарт-контрактов. Это отражает фундаментальный сдвиг в тактике злоумышленников. Раньше атаки эксплуатировали логические ошибки в коде, но сейчас, когда большая часть контрактов проходит ИИ-аудит, таких дыр становится меньше. Хакеры берут код под контроль другими способами — через ключи, административные права и полномочия на обновление.
Мой анализ: Этот тренд — тревожный сигнал для всей DeFi-экосистемы. Сами по себе мосты и протоколы становятся всё более устойчивыми к прямым атакам, но их защита, построенная на централизованных ключах, остаётся ахиллесовой пятой. Индустрии срочно необходимо переходить к децентрализованным моделям управления и мультиподписным схемам с жёсткими временными задержками. Игнорирование этой угрозы сделает DeFi уязвимым не для ошибок кода, а для человеческого фактора и операционной безопасности.