Новини криптоміра

У липні 2026 року код BonkDAO — керівної організації мемкоїна на Solana — відпрацював бездоганно. Попри це, близько $20 млн було виведено з казни. Ніхто нічого не зламував у звичному розумінні цього слова: голосування було справжнім.

Атака на децентралізацію

6 липня 2026 року BonkDAO зіткнулася із захопленням децентралізованого управління, в результаті якого з казначейства було викрадено близько 4,43 трлн токенів BONK. Зловмисник використав фундаментальні слабкості в архітектурі ДАО та пасивність спільноти, здійснивши легітимну з точки зору коду транзакцію.

Схема атаки була такою: під виглядом рутинної ініціативи Bonk Improvement Proposal #76, що передбачала винагороду учасників голосування, хакер додав шкідливу функцію, яка передбачала переказ коштів з казни на його адресу. Для успішного голосування атакувальник витратив близько $4,4 млн на централізованих біржах, скупивши необхідний для досягнення кворуму один відсоток від усієї емісії BONK. На тлі вкрай низької явки цих коштів вистачило, щоб контролювати майже 100% голосів. Після закінчення шести днів пропозиція виконалася автоматично.

Успішна атака виявила критичні вразливості в системі управління ДАО. У ній не було механізму тимчасової затримки виконання рішень, який дав би розробникам час скасувати аномальну транзакцію. Крім того, кворум для розпорядження колосальними сумами виявився занадто низьким, а в команди не було екстрених прав вето.

Це не перший подібний випадок. Роком раніше схожу спробу здійснили проти ДАО протоколу Compound. У липні 2024-го зловмисники спробували вивести 499 000 токенів COMP (близько $24,1 млн за курсом на момент інциденту) з казни протоколу за допомогою шкідливої пропозиції про покращення. При звичайній явці в організації в 4–5% від загальної пропозиції токенів такого пакета виявилося достатньо, щоб отримати контроль над голосуванням. На відміну від випадку з Bonk, ту атаку вдалося помітити та відбити, але вже після прийняття пропозиції — шляхом переговорів.

Аудит — не показник?

Поки в ДАО-управлінні шукають діри без жодного рядка експлойта, з кодом проблеми протилежні: баги в ньому технічні, давно відомі — просто чомусь про них не попередили заздалегідь. За даними аналітиків Kerberus, 90% смарт-контрактів, зламаних у 2025 році, успішно проходили аудит. Більшість успішних атак не вимагала пошуку складних вразливостей нульового дня — зловмисники використовували методи, відомі індустрії роками:

• помилки повторного входу (reentrancy) — ще один запуск функції до завершення попереднього виклику;
• помилки контролю доступу — коли критично важлива з точки зору безпеки функція доступна ширшому колу осіб, ніж потрібно;
• маніпуляції з оракулами — спотворення даних про ціну активу, на які покладається смарт-контракт;
• логічні помилки в самій бізнес-системі протоколу, які не виявляють сканери.

Протоколи кроссчейн-мостів більше за інших потребують якісних перевірок коду. За даними Phemex на квітень 2026 року, починаючи з 2022 року мости сукупно втратили понад $2,8 млрд — близько 40% усіх викрадених коштів у Web3. Справа в тому, що складність кроссчейн-повідомлень створює широку поверхню атаки, яку спеціалістам фізично складно оцінити цілком: велика кількість незалежних компонентів має працювати паралельно, і достатньо помилитися в одному з них.

Промпт замість аудитора

Поки спеціалісти досліджували повторювані патерни вразливостей, у них з'явився противник, для якого такий аналіз — рутинне завдання, що вирішується на швидкості, недоступній жодній команді живих експертів. 1 грудня 2025 року Anthropic оголосила про застосування ІІ-моделей для пошуку дір у смарт-контрактах і виявила нові експлойти на загальну суму $4,6 млн. Для перевірки програмісти зібрали бенчмарк SCONE-bench, що складається з 405 смарт-контрактів, реально зламаних у період з 2020 по 2025 рік. Під час симуляції нейромережі змогли успішно атакувати 207 із них, вивівши загалом $550,1 млн.

На практиці це вже відбувається. У червні спеціалісти Chainalysis повідомили, що зафіксували аномальну активність у мережах — множинні майже ідентичні спроби зламу різних контрактів одночасно, що вказує на автоматизований перебір вразливостей, а не на ручну роботу окремого хакера.

Ключ важливіший за контракт

Жоден аудит смарт-контракту не зміг би запобігти найбільшим викраденням останніх двох років. За даними звіту Chainalysis за 2024 рік, крадіжка приватних ключів стала причиною близько 40% викрадених коштів — це більше, ніж будь-який інший окремий вектор атаки, включно з вразливостями смарт-контрактів.

Показовим у цьому сенсі є злам Bybit. 21 лютого 2025 року біржа втратила $1,46 млрд в ETH, що стало найбільшою одноразовою крадіжкою в історії криптоіндустрії. Зловмисники втрутилися в процес звичайного переказу коштів з холодного гаманця на гарячий: в інтерфейсі Safe підписанти побачили підмінені дані та схвалили зовнішньо коректну транзакцію, яка насправді передавала контроль над гаманцем кіберзлочинцям. У червні 2026 року схожим чином постраждав Humanity Protocol: зломщики отримали доступ до ключів через резервну копію, яка зберігалася на комп'ютері розробника, зараженому шкідливим ПЗ. Втрати склали близько $31 млн.

Що ж працює?

Коли зламують не код, а процес прийняття рішення, одних аудитів смарт-контрактів уже недостатньо. Тому індустрія змінює і інструменти, і сам підхід до зберігання та підтвердження операцій: MPC-гаманці, абстракція облікового запису з механізмом соціального відновлення доступу, passkey-аутентифікація, використання апаратних і холодних криптогаманців. Захист поступово зміщується від разових перевірок до динамічного моніторингу загроз у реальному часі. Проєкти впроваджують автоматизовані системи на кшталт Forta Network і Hypernative, які відстежують аномальну активність у мемпулі ще до того, як шкідлива транзакція буде включена в блок.

Модель превентивного реагування вже показала роботоздатність на практиці. 2 вересня 2025 року, коли зловмисники спробували атакувати лендинговий протокол Venus, система моніторингу Hexagate від Chainalysis зафіксувала розгортання підозрілого смарт-контракту та аномальну активність за 18 годин до основної фази атаки. За 20 хвилин до фінальної транзакції, яка мала спустошити пули, протокол автоматично зупинився. Кошти залишилися в безпеці, а хакери марно витратили ресурси на оплату газу.

Архітектура Web3 спочатку проєктувалася з радикальною метою — повністю виключити довіру до людини, передавши управління непорушній математиці. Статистика зламів останніх років демонструє зворотний ефект. Ідеально написаний і двічі перевірений код виявляється абсолютно безсилим, якщо розробник відкриває фішингове посилання, а децентралізована спільнота спить під час захоплення ДАО. Можливо, головна системна вразливість блокчейн-економіки криється зовсім не в алгоритмах, а в тому, що на обох кінцях дроту, як і раніше, перебувають люди?

Мій висновок: індустрія переживає фундаментальний зсув парадигми. Ми звикли довіряти коду, але реальність така, що найдорожчі помилки скоюються за межами блокчейну — в інтерфейсах, процесах і людських рішеннях. Поки проєкти не інтегрують багаторівневий захист, що включає моніторинг у реальному часі та апаратні рішення, вразливість зберігатиметься. Це не питання "якщо", а питання "коли" станеться наступна велика крадіжка.