Криптоіндустрія стикається з новою реальністю: разові аудити смарт-контрактів, проведені під час запуску, стрімко втрачають актуальність. Штучний інтелект радикально прискорює пошук вразливостей, перетворюючи старі, «перевірені» контракти на привабливі цілі для зловмисників. Це вимагає від проєктів фундаментального перегляду підходу до безпеки.
Аналітика за перше півріччя 2025 року малює тривожну картину. За даними CertiK, втрати Web3-сектору склали близько $1,32 млрд в результаті 344 інцидентів, а чистий збиток з урахуванням повернень оцінюється в $1,2 млрд. Ключовим вектором атак залишаються вразливості в коді — 204 випадки на $151,6 млн. Однак найбільш тривожний сигнал — систематичне зростання атак на контракти старше одного року. Зловмисники цілеспрямовано повертаються до старих баз коду, а не лише полюють за свіжими проєктами.
Чому «одноразова перевірка» більше не працює
Смарт-контракт може залишатися активним роками. За цей час еволюціонують інструменти для пошуку багів, з'являються нові техніки експлуатації, а команди підтримки старих протоколів нерідко втрачають фокус на безпеці. Вікно максимальної вразливості, всупереч поширеній думці, не закривається після запуску. Повторний аудит має стати не винятком, а регулярною операційною вимогою. При цьому, як показують дані, цей тренд підживлюється саме покращенням автоматизованих ІІ-інструментів, здатних знаходити приховані дефекти у величезних обсягах коду.
Окремої уваги заслуговує статистика TRM Labs: за півроку зафіксовано рекордну кількість атак — 207. Хоча загальний збиток у $972 млн нижчий за показники попереднього року, структура цих атак показова. Основна маса інцидентів (125 із 207) припадає на експлойти смарт-контрактів, але головні фінансові втрати (близько 76% вкрадених активів) спричинені інфраструктурними компрометаціями — атаками на ключі, підписи та системи управління. Це підкреслює, що безпека не обмежується лише кодом контракту.
Активність хакерських угруповань, пов'язаних із КНДР, залишається критичним фактором. За оцінками, вони викрали близько $643 млн, або дві третини всіх вкрадених коштів, причому майже весь цей збиток припав на дві квітневі атаки проти Drift Protocol та KelpDAO.
ІІ як інструмент хакера: від теорії до практики
Дослідження Anthropic на бенчмарку SCONE-bench демонструють лякаючу динаміку. ІІ-агенти, що перевіряють реально зламані контракти, за рік покращили свій результат із 2% до 55,88% у пошуку вразливостей. Вартість успішно змодельованих експлойтів зросла з $5,000 до $4,6 млн. При цьому середня вартість повного сканування одного контракту становить лише $1,22. У міру зниження цієї ціни та зростання можливостей агентів, часовий проміжок між появою дефектного коду та його експлуатацією буде невблаганно скорочуватися.
Показовим є і випадок із Zcash, де критична вразливість у пулі Orchard існувала з 2022 року до екстреного виправлення у 2026-му. Це наочний доказ: навіть код із багаторічною історією може містити фатальні дефекти. А атака на давно закритий протокол Aztec Connect, звідки вивели $2,19 млн, підтверджує, що зловмисники не гребують і «мертвими» проєктами.
Думка експерта: Індустрія має визнати: безпека — це не етап розробки, а безперервний процес. Проєктам, особливо з застарілою інфраструктурою, необхідно впроваджувати системи постійного моніторингу та автоматизованого аудиту. Ігнорування цього тренду рівносильне запрошенню хакерів, озброєних ІІ, до вашого коду.