Новини криптоміра

У липні 2026 року код BonkDAO — керівної структури мемкоїна на базі Solana — спрацював ідеально, без жодного збою. Однак це не завадило зловмисникам вивести з казни організації близько $20 млн. Жодного зламу в класичному розумінні не було: голосування пройшло легітимно, а транзакція була повністю валідною з точки зору коду.

Атака на управління: коли код не допомагає

Інцидент із BonkDAO — яскравий приклад атаки на децентралізоване управління. 6 липня 2026 року організація зіткнулася із захопленням ДАО, у результаті якого було викрадено близько 4,43 трлн токенів BONK. Зловмисник використав фундаментальні слабкості архітектури та пасивність спільноти.

Схема була продумана до дрібниць: під виглядом рутинної пропозиції Bonk Improvement Proposal #76, що передбачала винагороду учасникам, хакер додав шкідливу функцію переказу коштів. Для досягнення кворуму він витратив близько $4,4 млн на централізованих біржах, скупивши 1% від усієї емісії BONK. За вкрай низької явки цього вистачило для контролю майже 100% голосів. Через шість днів пропозиція автоматично виконалася.

Цей випадок виявив критичні недоліки: відсутність тимчасової затримки виконання рішень, низький поріг кворуму та відсутність екстреного права вето у команди. Роком раніше схожу спробу було здійснено проти ДАО протоколу Compound, але ту атаку вдалося відбити переговорами. Проблема не в помилках коду, а в самих механізмах децентралізації Web3, які Віталік Бутерін уже називав «непродуктивними та слабкими».

Аудит — не панацея

Статистика 2025 року показує тривожну тенденцію: за даними аналітиків Kerberus, 90% зламаних смарт-контрактів успішно пройшли аудит. Зловмисники використовують давно відомі методи: помилки повторного входу, проблеми контролю доступу, маніпуляції з оракулами та логічні помилки бізнес-логіки.

Особливу небезпеку становлять кроссчейн-мости: з 2022 року вони сумарно втратили понад $2,8 млрд — близько 40% усіх викрадених коштів у Web3. Складність таких систем створює широку поверхню атаки, яку важко оцінити цілком. Показовими є кейси 2026 року: злам Truebit на $26,4 млн через переповнення цілочислового типу, атака на міст IoTeX через компрометацію приватного ключа валідатора та найбільший експлойт року — злам протоколу Kelp на $292 млн через єдиного валідатора кроссчейн-повідомлень.

ШІ: нова загроза та інструмент захисту

У грудні 2025 року Anthropic оголосила про застосування ШІ-моделей для пошуку вразливостей. Під час симуляції на бенчмарку SCONE-bench, що включає 405 реально зламаних контрактів, нейромережі успішно атакували 207 із них, вивівши $550,1 млн. Це означає, що поріг входу в хакінг стрімко знижується: для типових атак тепер достатньо правильно сформулювати запит, а не бути експертом із Solidity.

Ключ важливіший за контракт

Жоден аудит не запобіг би найбільшим крадіжкам останніх років. За даними Chainalysis, крадіжка приватних ключів стала причиною близько 40% викрадених коштів. Злам Bybit на $1,46 млрд у лютому 2025 року — яскравий приклад: підписанти схвалили підмінену транзакцію в інтерфейсі Safe. Аналогічно постраждав Humanity Protocol у червні 2026 року, втративши $31 млн через шкідливе програмне забезпечення на комп'ютері розробника.

Що працює?

Індустрія рухається до динамічного моніторингу загроз у реальному часі. Системи на кшталт Forta Network і Hypernative відстежують аномальну активність у мемпулі до включення транзакції в блок. Приклад Venus Protocol показав ефективність такого підходу: автоматична пауза за 20 хвилин до фінальної транзакції врятувала кошти.

Архітектура Web3 створювалася, щоб виключити довіру до людини, але статистика показує зворотне: ідеальний код безсилий перед фішинговим посиланням або сплячою спільнотою ДАО. Можливо, головна системна вразливість блокчейн-економіки — не в алгоритмах, а в тому, що на обох кінцях проводу, як і раніше, перебувають люди.

Мій висновок: індустрії потрібно перестати покладатися на разові аудити та перейти до комплексної моделі безпеки, де технічні заходи поєднуються з освітою користувачів і механізмами швидкого реагування. Інакше людський фактор залишиться тією самою «дірою», яку не залатати жодним смарт-контрактом.