Людський фактор — головна вразливість криптоіндустрії: розбір атак на DAO та не тільки
Липень 2026 року запам'ятається криптоспільноті не лише зростанням ринку, а й показовим інцидентом із BonkDAO. Код керуючої організації мемкоїна на Solana відпрацював ідеально, без жодної помилки. Тим не менш, із казни було виведено близько $20 млн. Це не злом у класичному розумінні — голосування було абсолютно легітимним з технічної точки зору. Ми спостерігаємо новий тренд: атаки на механізми управління стають звичайною справою, а людський фактор і пасивність спільноти — головним вектором для зловмисників.
Атака на децентралізацію: захоплення BonkDAO
6 липня 2026 року BonkDAO зіткнулася із захопленням управління, у результаті якого було викрадено близько 4,43 трлн токенів BONK. Зловмисник не використовував складних експлойтів. Він діяв як уважний читач статуту організації, знайшовши в ньому фундаментальні слабкості. Під виглядом рутинного Bonk Improvement Proposal #76, що передбачав винагороду учасників, було додано шкідливу функцію переказу коштів.
Для досягнення кворуму хакер витратив близько $4,4 млн, скупивши на централізованих біржах один відсоток від усієї емісії BONK. За вкрай низької явки цього вистачило для контролю майже 100% голосів. Через шість днів пропозиція автоматично виконалася. Критичними вразливостями стали відсутність тимчасової затримки виконання, надто низький поріг кворуму для розпорядження величезними сумами та відсутність права вето у команди.
Це не поодинокий випадок. Роком раніше схожу спробу було здійснено проти DAO протоколу Compound. У липні 2024-го зловмисники намагалися вивести 499 000 токенів COMP (~$24,1 млн), використовуючи шкідливу пропозицію. За звичайної явки у 4–5% такого пакета вистачило б для контролю. Ту атаку вдалося відбити лише переговорами вже після ухвалення пропозиції. Проблема низької явки та концентрації токенів — це не баг у коді, а системний недолік механізмів децентралізації в Web3. Не дивно, що ще на початку 2026 року Віталік Бутерін закликав переглянути домінуючу модель управління на основі токенів, назвавши її слабкою та вразливою до захоплення.
Аудит не гарантія: вразливості смарт-контрактів
Поки DAO страждають від «соціальної інженерії», із кодом ситуація інша. За даними аналітиків Kerberus, 90% смарт-контрактів, зламаних у 2025 році, успішно проходили аудит. Більшість атак не вимагала пошуку вразливостей нульового дня. Зловмисники використовували давно відомі методи: помилки повторного входу (reentrancy), помилки контролю доступу, маніпуляції з оракулами та логічні помилки в бізнес-логіці протоколу.
Особливо вразливі кроссчейн-мости, які з 2022 року втратили понад $2,8 млрд — близько 40% усіх викрадених коштів у Web3. Складність таких систем створює широку поверхню атаки. 2026 рік дав кілька показових прикладів:
- 8 січня — протокол Truebit втратив $26,4 млн через переповнення цілочисельного типу в застарілому контракті, розгорнутому п'ять років тому.
- 21 лютого — зловмисники отримали контроль над приватним ключем валідатора моста IoTeX, оновили контракт на шкідливу версію та вивели $4,4 млн, відчеканивши понад 111 млн токенів.
- 18 квітня — найбільший DeFi-експлойт року: із моста Kelp на LayerZero вивели близько 116 500 rsETH на $292 млн через єдиного валідатора та атаку на RPC-інфраструктуру.
Навіть наявність бейджів від CertiK і Code4rena не рятує активи. Індустрії потрібні нові механізми оборони, особливо в умовах розвитку ШІ.
ШІ як нова загроза
Поки фахівці аналізують повторювані патерни, з'явився противник, для якого цей аналіз — рутинне завдання. 1 грудня 2025 року Anthropic оголосила про використання ШІ-моделей для пошуку прогалин у смарт-контрактах. Під час симуляції на бенчмарку SCONE-bench (405 реально зламаних контрактів) нейромережі успішно атакували 207 із них, вивівши віртуальні $550,1 млн. Уже в червні фахівці Chainalysis зафіксували аномальну активність — численні майже ідентичні спроби зламу різних контрактів одночасно, що вказує на автоматизований перебір вразливостей. Поріг входу в хакінг знижується швидше, ніж зростає якість захисту.
Ключ важливіший за контракт
Жоден аудит не зміг би запобігти найбільшим викраденням останніх років. За даними Chainalysis за 2024 рік, крадіжка приватних ключів стала причиною близько 40% викрадених коштів. Показовим є злом Bybit 21 лютого 2025 року, коли біржа втратила $1,46 млрд в ETH. Зловмисники підмінили дані в інтерфейсі Safe, і підписанти схвалили зовнішньо коректну транзакцію. У червні 2026 року схожим чином постраждав Humanity Protocol, втративши $31 млн через ключі, що зберігалися на зараженому комп'ютері розробника.
Що ж працює?
Коли зламують не код, а процес ухвалення рішень, потрібні нові інструменти. Індустрія впроваджує MPC-гаманці, абстракцію облікового запису із соціальним відновленням, passkey-аутентифікацію та апаратні сховища. Захист зміщується від разових перевірок до динамічного моніторингу в реальному часі. Системи на кшталт Forta Network і Hypernative відстежують аномальну активність у мемпулі. Приклад Venus Protocol 2 вересня 2025 року показав ефективність: система Hexagate зафіксувала підозрілу активність за 18 годин до атаки та автоматично поставила протокол на паузу за 20 хвилин до фінальної транзакції, зберігши кошти.
Архітектура Web3 проєктувалася, щоб виключити довіру до людини, передавши управління математиці. Але статистика показує зворотне: ідеально написаний код безсилий, якщо розробник відкриває фішингове посилання, а спільнота спить під час захоплення DAO. Схоже, головна системна вразливість блокчейн-економіки — не алгоритми, а люди на обох кінцях дроту.
Мій висновок: ми рухаємося до моделі, де безпека — це не разовий аудит, а постійний процес. Однак доти, доки людський фактор залишається слабкою ланкою, будь-які технічні рішення будуть лише відстрочкою наступного інциденту. Індустрії потрібно не лише вдосконалювати код, а й виховувати культуру відповідальності серед учасників.