Новая эра атак на DeFi: $35,5 млн украдено без единой ошибки в коде — только через ключи
Рынок DeFi столкнулся с тревожным сигналом: за один день три протокола — AFX, B² Network и Verus — потеряли в совокупности $35,5 млн. Примечательно, что ни одна из атак не была связана с эксплуатацией ошибок в смарт-контрактах. Вместо этого злоумышленники сосредоточились на захвате контроля через ключи доступа и административные привилегии.
Три удара за сутки
Крупнейший удар пришёлся на протокол AFX в сети Arbitrum. Потери составили около $24 млн в USDC. Злоумышленник получил доступ к ключам валидатора моста, перевёл средства на Ethereum и конвертировал их в 12 467,5 ETH, которые осели на одном адресе.
Второй жертвой стал B² Network на BNB Chain. Хакер перехватил право на обновление стейкинг-контракта и похитил 8,591 млн токенов B2 на сумму около $3,86 млн. Активы были обменяны на более чем 5000 WBNB, затем на 1128 ETH и выведены через NEAR Intents. После атаки нативный токен B2 потерял 15% стоимости.
Третьим стал мост Verus. Атака была проведена через доверенный путь моста — причём это уже второй случай эксплуатации той же самой уязвимости. Ethereum-мост Verus потерял около $7,5 млн, а злоумышленник немедленно начал отмывать средства через Tornado Cash.
Ключи — новое слабое звено
Все три случая демонстрируют фундаментальный сдвиг в тактике хакеров. Раньше основным вектором атак были ошибки в коде, которые находили и эксплуатировали. Сегодня, когда большая часть контрактов проходит тщательный аудит, дыр в логике становится всё меньше. Злоумышленники переключились на другой уровень — они атакуют не код, а доступ к нему.
Компрометация ключей валидатора, захват прав на обновление контракта, использование доверенных путей — всё это указывает на то, что слабым местом становятся не сами мосты, а их защита. По данным аналитиков, в 2026 году около 40% всей похищенной криптовалюты пришлось на компрометацию ключей, а не на взломы смарт-контрактов.
Мнение эксперта: Эта тенденция требует пересмотра подходов к безопасности. Протоколы должны внедрять многофакторную аутентификацию для административных действий и регулярно ротировать ключи. Иначе, как показывает практика, даже самый совершенный код не спасёт, если ключи от него лежат под ковриком.