Головний баг блокчейну — людина: як атаки на DAO та крадіжка ключів ставлять під сумнів сам сенс децентралізації
Липень 2026 року запам’ятається не хакерським зломом у класичному розумінні, а ідеальною експлуатацією людської апатії. Код BonkDAO, керівної структури мемкоїна на Solana, відпрацював без жодної помилки. Тим не менш, казна втратила близько $20 млн. Це була не атака на вразливість, а легітимне, з точки зору коду, голосування, яке обернулося катастрофою.
Атака на децентралізацію: коли код не допомагає
6 липня 2026 року зловмисник провернув схему, яка має стати навчальним посібником для всіх DAO. Під виглядом рутинного покращення (BIP #76) про винагороду учасників, у пропозицію було впроваджено шкідливу функцію переказу коштів. Для досягнення кворуму хакер витратив близько $4,4 млн, скупивши 1% емісії BONK на централізованих біржах. За низької явки цього вистачило для контролю майже 100% голосів.
Ключова проблема — не в коді, а в архітектурі управління. Відсутність механізму тимчасової затримки (timelock) та екстреного вето не залишила команді шансів на порятунок коштів. Це не поодинокий випадок. Роком раніше схожу спробу було здійснено проти Compound, але там атаку вдалося відбити. Низька явка та концентрація токенів — це системна хвороба Web3, а не баг. Не дивно, що Віталік Бутерін ще на початку 2026 року закликав до повної переробки концепції DAO, називаючи поточну модель слабкою та вразливою до захоплення.
Аудит як фікція: 90% зламаних контрактів були перевірені
Поки DAO страждають від бездіяльності спільноти, смарт-контракти атакують за старими, давно відомими схемами. Дані аналітиків Kerberus шокують: 90% зламаних у 2025 році контрактів успішно пройшли аудит. Зловмисники не шукають складних zero-day вразливостей, а використовують класичні помилки повторного входу (reentrancy), проблеми контролю доступу та маніпуляції з оракулами. Особливо страждають кроссчейн-мости, які з 2022 року втратили понад $2,8 млрд — близько 40% усіх вкрадених коштів в індустрії.
Показові кейси 2026 року:
- Truebit (січень) — втрата $26,4 млн через переповнення цілочислового типу в застарілому контракті.
- IoTeX (лютий) — контроль над приватним ключем валідатора моста дозволив оновити контракт до шкідливої версії та вивести $4,4 млн.
- Kelp (квітень) — найбільший експлойт року: $292 млн з моста LayerZero через єдиного валідатора та атаку на RPC-інфраструктуру.
ШІ як нова загроза та порятунок
Індустрія зіткнулася з противником, для якого аналіз вразливостей — рутинне завдання. У грудні 2025 року Anthropic оголосила про створення бенчмарка SCONE-bench. ШІ-моделі успішно атакували 207 із 405 реально зламаних контрактів, вивівши симульовані $550 млн. Поріг входу в хакінг знижується катастрофічно швидко. Тепер для атаки на типовий контракт достатньо правильно сформулювати промпт, а не бути експертом із Solidity. Це підтверджує і Chainalysis, фіксуючи множинні синхронні спроби злому, що вказує на автоматизований перебір.
Однак головний вектор атак змістився. За даними Chainalysis за 2024 рік, крадіжка приватних ключів — причина 40% усіх втрат. Злом Bybit на $1,46 млрд у лютому 2025 року чи атака на Humanity Protocol у червні 2026-го ($31 млн) — це не експлуатація коду, а компрометація людського фактора та робочих пристроїв.
Що працює: динамічний захист
Індустрія змушена адаптуватися. На зміну разовим аудитам приходять системи моніторингу в реальному часі, такі як Forta Network і Hypernative. Ці рішення відстежують аномалії в мемпулі до включення транзакції в блок. Показовий випадок із Venus Protocol у вересні 2025 року, коли система Hexagate від Chainalysis виявила підозрілу активність за 18 годин до атаки та заморозила протокол за 20 хвилин до фінальної транзакції. Кошти було врятовано, а хакери витратили ресурси марно.
Мій висновок: ми стали свідками фундаментального зсуву. Ідея Web3 полягала в усуненні довіри до людини через математику. Але реальність така, що найслабшою ланкою залишається людина — її ключі, її апатія та її помилки. Поки індустрія не вирішить проблему соціальної інженерії та управління, жодні аудити та складні алгоритми не врятують від втрат. Технології вдосконалюються, але люди — ні.