Новости криптомира

В июле 2026 года код BonkDAO — управляющей организации мемкоина на Solana — отработал безупречно. Несмотря на это, порядка $20 млн были выведены из казны. Никто ничего не взламывал в привычном смысле слова: голосование было настоящим.

Атака на децентрализацию

6 июля 2026 года BonkDAO столкнулась с захватом децентрализованного управления, в результате которого из казначейства было похищено около 4,43 трлн токенов BONK. Злоумышленник использовал фундаментальные слабости в архитектуре ДАО и пассивность сообщества, осуществив легальную с точки зрения кода транзакцию.

Схема атаки была такой: под видом рутинной инициативы Bonk Improvement Proposal #76, предполагавшей вознаграждение участников голосования, хакер добавил вредоносную функцию, которая предусматривала перевод средств из казны на его адрес. Для успешного голосования атаковавший потратил около $4,4 млн на централизованных биржах, скупив необходимый для достижения кворума один процент от всей эмиссии BONK. На фоне крайне низкой явки этих средств хватило, чтобы контролировать почти 100% голосов. По истечении шести дней предложение выполнилось автоматически.

Успешная атака выявила критические уязвимости в системе управления ДАО. В ней не было механизма временной задержки исполнения решений, который дал бы разработчикам время отменить аномальную транзакцию. Кроме того, кворум для распоряжения колоссальными суммами оказался слишком низким, а у команды не было экстренных прав вето.

Это не первый подобный случай. Годом ранее похожую попытку предприняли против ДАО протокола Compound. В июле 2024-го злоумышленники попытались вывести 499 000 токенов COMP (около $24,1 млн по курсу на момент инцидента) из казны протокола с помощью вредоносного предложения об улучшении. При обычной явке в организации в 4–5% от общего предложения токенов такого пакета оказалось достаточно, чтобы получить контроль над голосованием. В отличие от случая с Bonk, ту атаку удалось заметить и отразить, но уже после принятия предложения — путем переговоров.

Аудит не показатель?

Пока в ДАО-управлении ищут дыры без единой строчки эксплойта, с кодом проблемы противоположные: баги в нем технические, давно известные — просто почему-то о них не предупредили заранее. По данным аналитиков Kerberus, 90% смарт-контрактов, взломанных в 2025 году, успешно проходили аудит. Большинство успешных атак не требовало поиска сложных уязвимостей нулевого дня — злоумышленники использовали методы, известные индустрии годами:

• ошибки повторного входа (reentrancy) — еще один запуск функции до завершения предыдущего вызова;
• ошибки контроля доступа — когда критически важная с точки зрения безопасности функция доступна большему кругу лиц, чем положено;
• манипуляции с оракулами — искажение данных о цене актива, на которые полагается смарт-контракт;
• логические ошибки в самой бизнес-системе протокола, которые не обнаруживают сканеры.

Протоколы кроссчейн-мостов больше других нуждаются в качественных проверках кода. По данным Phemex на апрель 2026 года, начиная с 2022 года мосты в совокупности потеряли свыше $2,8 млрд — около 40% всех похищенных средств в Web3. Дело в том, что сложность кроссчейн-сообщений создает широкую поверхность атаки, которую специалистам физически сложно оценить целиком: большое количество независимых компонентов должно работать параллельно, и достаточно ошибиться в одном из них.

Промпт вместо аудитора

Пока специалисты исследовали повторяющиеся паттерны уязвимостей, у них появился противник, для которого такой анализ — рутинная задача, решаемая на скорости, недоступной ни одной команде живых экспертов. 1 декабря 2025 года Anthropic объявила о применении ИИ-моделей для поиска брешей в смарт-контрактах и обнаружила новые эксплойты на общую сумму $4,6 млн. Для проверки программисты собрали бенчмарк SCONE-bench, состоящий из 405 смарт-контрактов, реально взломанных в период с 2020 по 2025 год. В ходе симуляции нейросети смогли успешно атаковать 207 из них, выведя в общей сложности $550,1 млн.

На практике это уже происходит. В июне специалисты Chainalysis сообщили, что зафиксировали аномальную активность в сетях — множественные почти идентичные попытки взлома разных контрактов одновременно, что указывает на автоматизированный перебор уязвимостей, а не на ручную работу отдельного хакера.

Ключ важнее контракта

Ни один аудит смарт-контракта не смог бы предотвратить крупнейшие хищения последних двух лет. По данным отчета Chainalysis за 2024 год, кража приватных ключей стала причиной около 40% похищенных средств — это больше, чем любой другой отдельный вектор атаки, включая уязвимости смарт-контрактов.

Показателен в этом смысле взлом Bybit. 21 февраля 2025 года биржа потеряла $1,46 млрд в ETH, что стало крупнейшей единовременной кражей в истории криптоиндустрии. Злоумышленники вмешались в процесс обычного перевода средств с холодного кошелька на горячий: в интерфейсе Safe подписанты увидели подмененные данные и одобрили внешне корректную транзакцию, которая на деле передавала контроль над кошельком киберпреступникам. В июне 2026 года похожим образом пострадал Humanity Protocol: взломщики получили доступ к ключам через резервную копию, которая хранилась на компьютере разработчика, зараженном вредоносным ПО. Потери составили около $31 млн.

Что же работает?

Когда взламывают не код, а процесс принятия решения, одних аудитов смарт-контрактов уже недостаточно. Поэтому индустрия меняет и инструменты, и сам подход к хранению и подтверждению операций: MPC-кошельки, абстракция учетной записи с механизмом социального восстановления доступа, passkey-аутентификация, использование аппаратных и холодных криптокошельков. Защита постепенно смещается от разовых проверок к динамическому мониторингу угроз в реальном времени. Проекты внедряют автоматизированные системы вроде Forta Network и Hypernative, которые отслеживают аномальную активность в мемпуле еще до того, как вредоносная транзакция будет включена в блок.

Модель превентивного реагирования уже показала работоспособность на практике. 2 сентября 2025 года, когда злоумышленники попытались атаковать лендинговый протокол Venus, система мониторинга Hexagate от Chainalysis зафиксировала развертывание подозрительного смарт-контракта и аномальную активность за 18 часов до основной фазы атаки. За 20 минут до финальной транзакции, которая должна была опустошить пулы, протокол автоматически встал на паузу. Средства остались в безопасности, а хакеры впустую потратили ресурсы на оплату газа.

Архитектура Web3 изначально проектировалась с радикальной целью — полностью исключить доверие к человеку, передав управление непреложной математике. Статистика взломов последних лет демонстрирует обратный эффект. Идеально написанный и дважды проверенный код оказывается абсолютно бессилен, если разработчик открывает фишинговую ссылку, а децентрализованное сообщество спит во время захвата ДАО. Возможно, главная системная уязвимость блокчейн-экономики кроется вовсе не в алгоритмах, а в том, что на обоих концах провода по-прежнему находятся люди?

Мой вывод: индустрия переживает фундаментальный сдвиг парадигмы. Мы привыкли доверять коду, но реальность такова, что самые дорогостоящие ошибки совершаются за пределами блокчейна — в интерфейсах, процессах и человеческих решениях. Пока проекты не интегрируют многоуровневую защиту, включающую мониторинг в реальном времени и аппаратные решения, уязвимость будет сохраняться. Это не вопрос "если", а вопрос "когда" произойдет следующая крупная кража.