Новини криптоміра

Липень 2026 року став знаковим для безпеки децентралізованих фінансів. Код BonkDAO — керівної структури мемкоїна на Solana — спрацював ідеально, проте це не завадило зловмисникам вивести з казни близько $20 млн. Йдеться не про злом у класичному розумінні: голосування було абсолютно легітимним з технічної точки зору.

Цей інцидент — яскрава ілюстрація того, як атаки на управління стають стандартним інструментом хакерів, а людський фактор перетворюється на їхнього головного союзника. Більше того, ІІ-аналіз застарілих смарт-контрактів сьогодні виступає одночасно і загрозою, і відмичкою для кіберзлочинців.

Атака на децентралізацію

6 липня 2026 року BonkDAO зазнала захоплення управління, в результаті чого з казни було викрадено близько 4,43 трлн токенів BONK. Зловмисник використав фундаментальні слабкості архітектури ДАО та пасивність спільноти, провівши транзакцію, що повністю відповідала коду.

Схема виявилася до банальності простою: під виглядом рутинної пропозиції Bonk Improvement Proposal #76, яка передбачала винагороду учасників голосування, хакер впровадив шкідливу функцію переказу коштів на свою адресу. Для досягнення кворуму він витратив близько $4,4 млн на централізованих біржах, скупивши 1% від усієї емісії BONK. На тлі вкрай низької явки цього вистачило, щоб контролювати майже 100% голосів. Через шість днів пропозиція автоматично виконалася.

Цей випадок виявив критичні вади в системах управління ДАО: відсутність механізму тимчасової затримки виконання рішень, надто низький кворум для розпорядження величезними сумами та відсутність екстрених прав вето у команди.

Роком раніше схожа спроба була здійснена проти ДАО протоколу Compound. У липні 2024-го зловмисники спробували вивести 499 000 токенів COMP (близько $24,1 млн) за допомогою шкідливої пропозиції. За звичайної явки в 4–5% від загальної пропозиції токенів цього пакета вистачило б для повного контролю. Ту атаку вдалося відбити лише після ухвалення пропозиції — шляхом переговорів.

Низька явка та концентрація токенів — це не експлуатація помилки в коді, а системна проблема механізмів децентралізації в Web3. Не дивно, що ще на початку 2026 року співзасновник Ethereum Віталік Бутерін закликав спільноту до розробки досконаліших форм ДАО, назвавши домінуючу токен-модель управління «непродуктивною та слабкою», вразливою до захоплення.

Аудит не гарантія безпеки

За даними аналітиків Kerberus, 90% смарт-контрактів, зламаних у 2025 році, успішно пройшли аудит. Більшість атак не вимагала пошуку складних уразливостей нульового дня — зловмисники використовували давно відомі методи:

• помилки повторного входу (reentrancy);
• помилки контролю доступу;
• маніпуляції з оракулами;
• логічні помилки в бізнес-логіці протоколу.

Особливе занепокоєння викликають кроссчейн-мости. Починаючи з 2022 року вони сукупно втратили понад $2,8 млрд — близько 40% усіх викрадених коштів у Web3. Складність кроссчейн-повідомлень створює величезну поверхню атаки, яку фахівцям фізично складно оцінити цілком.

2026 рік дав кілька показових прикладів: злом Truebit на $26,4 млн через переповнення цілочисельного типу, атака на міст IoTeX з контролем над приватним ключем валідатора та найбільший DeFi-експлойт року — виведення близько 116 500 rsETH на $292 млн із протоколу Kelp через міст на LayerZero.

Промпт замість аудитора

Поки фахівці досліджували повторювані патерни, у них з'явився противник, для якого такий аналіз — рутинне завдання. У грудні 2025 року Anthropic оголосила про застосування ІІ-моделей для пошуку прогалин у смарт-контрактах. Під час симуляції на бенчмарку SCONE-bench, що складається з 405 реально зламаних контрактів, нейромережі успішно атакували 207 із них, вивівши загалом $550,1 млн.

На практиці це вже відбувається: фахівці Chainalysis фіксують численні майже ідентичні спроби злому різних контрактів одночасно, що вказує на автоматизований перебір уразливостей. Поріг входу в хакінг знижується помітно швидше, ніж зростає якість захисту.

Ключ важливіший за контракт

Жоден аудит смарт-контракту не зміг би запобігти найбільшим викраденням останніх двох років. За даними Chainalysis, крадіжка приватних ключів стала причиною близько 40% усіх викрадених коштів — більше, ніж будь-який інший вектор атаки.

Показовим є злом Bybit у лютому 2025 року, коли біржа втратила $1,46 млрд в ETH. Зловмисники втрутилися в процес переказу коштів, підмінивши дані в інтерфейсі Safe. Підписанти схвалили зовнішньо коректну транзакцію, яка насправді передавала контроль над гаманцем кіберзлочинцям. Аналогічним чином у червні 2026 року постраждав Humanity Protocol, який втратив близько $31 млн через доступ до ключів через заражений комп'ютер розробника.

Що ж працює?

Коли зламують не код, а процес ухвалення рішення, одних аудитів недостатньо. Індустрія зміщує фокус на:

• MPC-гаманці, що виключають єдину точку відмови;
• абстракцію облікового запису із соціальним відновленням;
• passkey-аутентифікацію для протидії фішингу;
• апаратні та холодні гаманці замість програмних рішень.

Захист поступово переходить від разових перевірок до динамічного моніторингу загроз у реальному часі. Проєкти впроваджують автоматизовані системи на кшталт Forta Network і Hypernative, які відстежують аномальну активність у мемпулі до включення транзакції в блок. Ця модель уже показала ефективність: у вересні 2025 року система Hexagate від Chainalysis зафіксувала підготовку атаки на протокол Venus за 18 годин до основної фази, дозволивши автоматично зупинити її за 20 хвилин до фінальної транзакції.

Архітектура Web3 проєктувалася з радикальною метою — виключити довіру до людини, передавши управління математиці. Статистика зломів демонструє зворотний ефект. Ідеально написаний код виявляється безсилим, якщо розробник відкриває фішингове посилання, а спільнота спить під час захоплення ДАО. Головна системна вразливість блокчейн-економіки криється не в алгоритмах, а в тому, що на обох кінцях проводу, як і раніше, перебувають люди.

Мій висновок: індустрія переживає фундаментальний зсув парадигми. Ми звикли довіряти коду, але реальні загрози лежать у площині соціальної інженерії та процесів управління. Проєктам, які не переглянуть свої моделі безпеки з урахуванням людського фактора, доведеться дуже дорого заплатити за цю помилку.