Ключі, а не код: як хакери винесли $35,5 млн із трьох DeFi-протоколів за один день
За останню добу криптоспільнота стала свідком незвичної серії атак: три DeFi-протоколи — AFX, B² Network та Verus — втратили загалом $35,5 млн, і жоден із цих зломів не був пов'язаний з помилками в коді смарт-контрактів. Це тривожний сигнал, який вказує на зміну тактики зловмисників.
Деталі інцидентів
AFX (Arbitrum): Найбільша втрата склала близько $24 млн у USDC. Хакер отримав доступ до ключів валідатора мосту, перевів кошти на Ethereum та конвертував їх у 12 467,5 ETH, які зараз знаходяться на одній адресі.
B² Network (BNB Chain): Протокол втратив 8,591 млн токенів B2 на суму приблизно $3,86 млн. Атакуючий перехопив права на оновлення стейкінг-контракту, обміняв вкрадені активи на WBNB та ETH, а потім вивів їх через NEAR Intents. Нативний токен проєкту B2 миттєво подешевшав на 15%.
Verus (Ethereum): Міст втратив близько $7,5 млн. Зловмисник використав довірений шлях мосту, причому це вже другий випадок експлуатації тієї самої вразливості. Кошти майже одразу були відправлені в Tornado Cash для відмивання.
Новий вектор атак: управління доступом
Аналітики зазначають, що всі три випадки об'єднує одне: слабкою ланкою стали не самі смарт-контракти, а ключі та адміністративні привілеї. Хакери більше не витрачають час на пошук дірок у коді — вони захоплюють контроль через скомпрометовані ключі валідаторів, права на оновлення контрактів та довірені шляхи мостів.
За даними, у 2026 році вже близько 40% усіх викрадених коштів у криптовалюті припало на компрометацію ключів, а не на зломи смарт-контрактів. Мости, як показала практика, витримують атаки на код, але їхній захист ламається саме на рівні доступу.
Коментар експерта: Ринок DeFi переживає фундаментальний зсув у загрозах. Командам проєктів необхідно переглянути свої пріоритети: замість фокусу виключно на аудиті смарт-контрактів, критично важливо впроваджувати багатофакторну автентифікацію, мультипідписні гаманці та суворі процедури управління ключами. Інакше ми побачимо ще більше подібних інцидентів, де код бездоганний, а безпека — ілюзія.