$35,5 млн за день: три DeFi-протокола пали жертвами атаки на ключи доступа, а не на код
За минувшие 24 часа три DeFi-протокола — AFX, B² Network и Verus — совокупно потеряли $35,5 млн. Примечательно, что ни один из этих инцидентов не был связан с уязвимостями в смарт-контрактах. Атакующие действовали по новой схеме: вместо поиска багов в коде они захватывали контроль над административными ключами и правами управления.
Крупнейший удар по AFX
Самый значительный ущерб понес протокол AFX на сети Arbitrum — около $24 млн в USDC. Злоумышленник похитил ключи валидатора моста, перевел средства на Ethereum и конвертировал их в 12 467,5 ETH, которые осели на одном адресе. Это классический пример атаки на уровне доступа, а не на уровне логики контракта.
B² Network и Verus: повторение схемы
Второй целью стал мост B² на BNB Chain. Хакер перехватил право на обновление стейкинг-контракта и вывел 8,591 млн токенов B2 на сумму около $3,86 млн. Похищенные активы были обменяны на 5000 WBNB, затем на 1128 ETH и выведены через NEAR Intents. Нативный токен проекта B2 мгновенно подешевел на 15%.
Третьей жертвой стал Ethereum-мост Verus, потерявший около $7,5 млн. Злоумышленник использовал доверенный путь моста — причем во второй раз через ту же самую уязвимость. Средства были почти сразу отправлены на отмывку через Tornado Cash.
Смена парадигмы: код в безопасности, ключи — нет
Анализ этих трех инцидентов подтверждает тревожный тренд: хакеры смещают фокус с эксплойтов кода на компрометацию доступа. В 2026 году около 40% всех похищенных средств в криптовалюте пришлось на кражу ключей, а не на взлом смарт-контрактов. Сами мосты и протоколы могут быть безупречны с точки зрения кода, но их защита рушится, если злоумышленник получает контроль над ключами или административными привилегиями.
Комментарий эксперта: Рынок DeFi переживает болезненный переход от эпохи «найди баг» к эпохе «укради ключ». Проектам необходимо пересмотреть свои модели управления доступом: мультиподписи, временные задержки и аппаратные модули безопасности должны стать стандартом, а не опцией. Игнорирование этого урока будет стоить индустрии еще сотен миллионов долларов.