Людський фактор — головна вразливість криптоіндустрії: розбір атак на DAO та не тільки
У липні 2026 року код BonkDAO — керівної організації мемкоїна на Solana — відпрацював бездоганно. Попри це, близько $20 млн було виведено з казни. Жодного зламу у звичному розумінні не було: голосування пройшло легітимно, але з катастрофічними наслідками.
Цей інцидент — яскравий симптом того, як атаки на управління стають новою нормою, а людський фактор перетворюється на пріоритетну ціль для зловмисників. Водночас, ІІ-аналіз застарілих смарт-контрактів стає одночасно і чумою для кібербезпеки, і універсальною відмичкою для хакерів.
Атака на децентралізацію
6 липня 2026 року BonkDAO зіткнулася із захопленням управління, в результаті якого з казначейства було викрадено близько 4,43 трлн токенів BONK. Зловмисник не зламував код, а використав фундаментальні слабкості архітектури DAO та пасивність спільноти, здійснивши транзакцію, повністю легальну з точки зору коду.
Схема була простою та елегантною: під виглядом рутинної ініціативи Bonk Improvement Proposal #76, що передбачала винагороду учасників голосування, хакер додав шкідливу функцію, яка переказувала кошти казни на його адресу. Для досягнення кворуму він витратив близько $4,4 млн на централізованих біржах, скупивши 1% від усієї емісії BONK. На тлі надзвичайно низької явки цих коштів вистачило, щоб контролювати майже 100% голосів. Через шість днів пропозиція автоматично виконалася.
Успіх атаки виявив критичні вади в системі управління DAO: відсутність тимчасової затримки виконання рішень, надто низький кворум для розпорядження величезними сумами та відсутність екстреного права вето у команди. Атакуючий уважно прочитав статут організації та знайшов у ньому слабке місце — це не експлуатація помилки в коді, а проблема механізмів децентралізації в Web3.
Це не поодинокий випадок. Роком раніше схожу спробу здійснили проти DAO протоколу Compound. У липні 2024-го зловмисники спробували вивести 499 000 токенів COMP (близько $24,1 млн) за допомогою шкідливої пропозиції. За звичайної явки в 4–5% такий пакет забезпечував контроль над голосуванням. Ту атаку вдалося відбити, але лише переговорами вже після ухвалення пропозиції.
Аудит — не гарантія безпеки
Поки в DAO-управлінні шукають діри без жодного рядка експлойта, з кодом проблеми протилежні: баги технічні, давно відомі, але чомусь не усунені. За даними аналітиків Kerberus, 90% смарт-контрактів, зламаних у 2025 році, успішно проходили аудит. Більшість атак не вимагала пошуку складних уразливостей нульового дня — використовувалися методи, відомі індустрії роками: помилки повторного входу, помилки контролю доступу, маніпуляції з оракулами та логічні помилки в бізнес-логіці протоколу.
Особливо вразливі кроссчейн-мости. Починаючи з 2022 року вони сукупно втратили понад $2,8 млрд — близько 40% усіх викрадених коштів у Web3. Складність кроссчейн-повідомлень створює широку поверхню атаки, яку спеціалістам фізично складно оцінити повністю.
ІІ — новий противник
Поки спеціалісти досліджували повторювані патерни уразливостей, у них з'явився противник, для якого такий аналіз — рутинне завдання. 1 грудня 2025 року Anthropic оголосила про застосування ІІ-моделей для пошуку прогалин у смарт-контрактах. Під час симуляції на бенчмарку SCONE-bench, що складається з 405 реально зламаних контрактів, нейромережі змогли успішно атакувати 207 із них, вивівши загалом $550,1 млн. Поріг входу в хакінг знижується помітно швидше, ніж зростає якість захисту.
Ключ важливіший за контракт
Жоден аудит смарт-контракту не зміг би запобігти найбільшим викраденням останніх двох років. За даними Chainalysis за 2024 рік, крадіжка приватних ключів стала причиною близько 40% викрадених коштів — це більше, ніж будь-який інший вектор атаки. Показовим є злам Bybit 21 лютого 2025 року, коли біржа втратила $1,46 млрд в ETH. Зловмисники втрутилися в процес переказу коштів із холодного гаманця на гарячий: в інтерфейсі Safe підписанти побачили підмінені дані та схвалили зовнішньо коректну транзакцію, яка насправді передавала контроль над гаманцем кіберзлочинцям.
У червні 2026 року схожим чином постраждав Humanity Protocol: зломщики отримали доступ до ключів через резервну копію, що зберігалася на зараженому комп'ютері розробника. Втрати склали близько $31 млн.
Що ж працює?
Коли зламують не код, а процес ухвалення рішень, одних аудитів недостатньо. Індустрія змінює підхід до зберігання та підтвердження операцій: MPC-гаманці, абстракція облікового запису із соціальним відновленням, passkey-аутентифікація та апаратні гаманці. Захист поступово зміщується від разових перевірок до динамічного моніторингу загроз у реальному часі. Системи на кшталт Forta Network і Hypernative відстежують аномальну активність у мемпулі ще до включення шкідливої транзакції в блок.
Архітектура Web3 спочатку проєктувалася з метою повністю виключити довіру до людини, передавши управління математиці. Статистика зламів демонструє зворотний ефект. Ідеально написаний код виявляється безсилим, якщо розробник відкриває фішингове посилання, а спільнота спить під час захоплення DAO.
Моя думка: Ми спостерігаємо фундаментальний зсув у ландшафті загроз. Індустрія, зациклена на вдосконаленні коду, випустила з уваги найненадійніший елемент системи — людину. Поки DAO не впровадять механізми тимчасових затримок та екстреного вето, а компанії не переведуть співробітників на апаратні гаманці, ми продовжуватимемо платити за цю помилку мільярдами.