Новини криптоміра

Липень 2026 року. Код BonkDAO — керівної структури мемкоїна на Solana — відпрацював ідеально, без жодного збою. Тим не менш, із казни організації зникло близько $20 млн. Зламу в класичному розумінні не було: голосування пройшло легітимно, з точки зору коду транзакція бездоганна. Це яскравий приклад того, як атаки на механізми управління стають буденністю, а слабка ланка — людина, а не алгоритм.

Атака на децентралізацію

6 липня 2026 року BonkDAO зазнала захоплення управління, в результаті якого було викрадено близько 4,43 трлн токенів BONK. Зловмисник не використовував складних експлойтів. Він уважно вивчив статут організації та знайшов у ньому фундаментальні вади, скориставшись пасивністю спільноти.

Схема була простою: під виглядом рутинної пропозиції Bonk Improvement Proposal #76 про винагороду учасників голосування, хакер впровадив шкідливу функцію для переказу коштів на свою адресу. Для досягнення кворуму він витратив близько $4,4 млн на централізованих біржах, скупивши 1% від усієї емісії BONK. За вкрай низької явки цього вистачило для контролю майже 100% голосів. Через шість днів пропозицію було автоматично виконано.

Цей інцидент виявив критичні недоліки в архітектурі ДАО: відсутність механізму тимчасової затримки, надто низький поріг кворуму для розпорядження великими сумами та відсутність екстреного права вето у команди. Це не поодинокий випадок. Роком раніше схожу спробу було здійснено проти ДАО протоколу Compound, коли зловмисники намагалися вивести 499 000 токенів COMP (~$24,1 млн). Тоді атаку вдалося відбити, але лише після ухвалення пропозиції, шляхом переговорів.

Проблема не в помилці коду, а в самих механізмах децентралізації у Web3. Низька явка та концентрація токенів — це системна вразливість. Ще на початку 2026 року співзасновник Ethereum Віталік Бутерін критикував домінуючу модель управління на основі токенів, називаючи її слабкою, вразливою до захоплення та нездатною пом'якшити недоліки людської політики.

Аудит — не гарантія безпеки

Поки в ДАО-управлінні шукають діри, у коді проблеми іншого роду. За даними аналітиків Kerberus, 90% смарт-контрактів, зламаних у 2025 році, успішно проходили аудит. Більшість атак не вимагала пошуку складних вразливостей нульового дня. Зловмисники використовували давно відомі методи: помилки повторного входу (reentrancy), помилки контролю доступу, маніпуляції з оракулами та логічні помилки в бізнес-логіці.

Особливо гостро стоїть питання з кроссчейн-мостами. Починаючи з 2022 року, вони втратили понад $2,8 млрд, що становить близько 40% усіх викрадених коштів у Web3. Складність таких систем створює широку поверхню для атаки. Показові приклади 2026 року:

1. Truebit (8 січня): втратив $26,4 млн через переповнення цілочислового типу в старому контракті, розгорнутому п'ять років тому. Класична логічна помилка, яку можна було знайти під час повторного аудиту.
2. IoTeX (21 лютого): зловмисники отримали контроль над приватним ключем валідатора моста, оновили контракт на шкідливу версію та вивели $4,4 млн, відкарбувавши понад 111 млн токенів.
3. Kelp (18 квітня): найбільший DeFi-експлойт року — з моста на LayerZero виведено близько 116 500 rsETH на $292 млн. Причиною стала конфігурація з єдиним валідатором кроссчейн-повідомлень та атака на RPC-інфраструктуру.

Бейджі від CertiK та Code4rena не захистили активи. Індустрії потрібні нові механізми оборони.

ШІ як новий вектор загроз

З'являється противник, для якого аналіз вразливостей — рутинне завдання. У грудні 2025 року Anthropic оголосила про використання ШІ-моделей для пошуку прогалин у смарт-контрактах. Під час симуляції на бенчмарку SCONE-bench (405 реально зламаних контрактів) нейромережі успішно атакували 207 із них, вивівши $550,1 млн. Це означає, що поріг входу в хакінг різко знижується. Уже зараз Chainalysis фіксує численні майже ідентичні спроби зламу різних контрактів одночасно, що вказує на автоматизований перебір вразливостей.

Ключ важливіший за контракт

Жоден аудит не запобіг би найбільшим викраденням останніх років. За даними Chainalysis за 2024 рік, крадіжка приватних ключів стала причиною близько 40% викрадених коштів. Злам Bybit у лютому 2025 року ($1,46 млрд в ETH) — яскравий приклад. Зловмисники підмінили дані в інтерфейсі Safe, і підписанти схвалили зовнішньо коректну транзакцію, передавши контроль над гаманцем. Аналогічно в червні 2026 року постраждав Humanity Protocol, втративши $31 млн через доступ до ключів через заражений комп'ютер розробника.

Що ж працює?

Коли зламують не код, а процес прийняття рішень, одних аудитів недостатньо. Індустрія зміщується до динамічного захисту:

• MPC-гаманці — розділення ключа на частини для виключення єдиної точки відмови.
• Абстракція облікового запису із соціальним відновленням доступу.
• Passkey-аутентифікація для захисту від фішингу.
• Апаратні гаманці замість програмних рішень на робочих машинах.

Ключовий тренд — моніторинг у реальному часі. Системи на кшталт Forta Network та Hypernative відстежують аномальну активність у мемпулі до включення транзакції в блок. Приклад Venus Protocol показав ефективність: система Hexagate зафіксувала підозрілу активність за 18 годин до атаки та автоматично поставила протокол на паузу, зберігши кошти.

Архітектура Web3 створювалася, щоб виключити довіру до людини, передавши управління математиці. Але статистика показує зворотне: ідеальний код безсилий, якщо розробник відкриває фішингове посилання, а спільнота спить під час захоплення ДАО.

Мій висновок: ми спостерігаємо фундаментальний зсув. Індустрія переходить від парадигми «безпека через аудит» до парадигми «безпека через моніторинг та стійкість до людського фактора». Ті, хто не адаптується до цього, ризикують стати наступною статистикою.