Новини криптоміра

За останні 24 години три DeFi-протоколи — AFX, B² Network та Verus — сукупно втратили $35,5 млн. Примітно, що жоден із цих інцидентів не був пов'язаний із вразливостями в смарт-контрактах. Атакуючі діяли за новою схемою: замість пошуку багів у коді вони захоплювали контроль над адміністративними ключами та правами управління.

Найбільший удар по AFX

Найзначнішої шкоди зазнав протокол AFX у мережі Arbitrum — близько $24 млн у USDC. Зловмисник викрав ключі валідатора мосту, перевів кошти на Ethereum і конвертував їх у 12 467,5 ETH, які осіли на одній адресі. Це класичний приклад атаки на рівні доступу, а не на рівні логіки контракту.

B² Network та Verus: повторення схеми

Другою ціллю став міст B² на BNB Chain. Хакер перехопив право на оновлення стейкінг-контракту та вивів 8,591 млн токенів B2 на суму близько $3,86 млн. Вкрадені активи були обміняні на 5000 WBNB, потім на 1128 ETH та виведені через NEAR Intents. Нативний токен проєкту B2 миттєво подешевшав на 15%.

Третьою жертвою став Ethereum-міст Verus, який втратив близько $7,5 млн. Зловмисник використав довірений шлях мосту — причому вдруге через ту саму вразливість. Кошти майже одразу були відправлені на відмивання через Tornado Cash.

Зміна парадигми: код у безпеці, ключі — ні

Аналіз цих трьох інцидентів підтверджує тривожний тренд: хакери зміщують фокус з експлойтів коду на компрометацію доступу. У 2026 році близько 40% усіх вкрадених коштів у криптовалюті припало на крадіжку ключів, а не на злам смарт-контрактів. Самі мости та протоколи можуть бути бездоганними з точки зору коду, але їхній захист руйнується, якщо зловмисник отримує контроль над ключами або адміністративними привілеями.

Коментар експерта: Ринок DeFi переживає болісний перехід від епохи «знайди баг» до епохи «вкради ключ». Проєктам необхідно переглянути свої моделі управління доступом: мультипідписи, часові затримки та апаратні модулі безпеки мають стати стандартом, а не опцією. Ігнорування цього уроку коштуватиме індустрії ще сотень мільйонів доларів.