Крипто хакерски атаки – Какви са загубите от началото на 2026

Обобщение

Загубите в крипто сигурността достигнаха 1,316 милиарда долара при 344 инцидента през първата половина на 2026 г., според доклада за сигурността на CertiK за първото полугодие. Приблизително 115.3 милиона долара бяха замразени или върнати, което намали коригираната загуба до около 1,2 милиарда долара.

Очевидното подобрение спрямо 2025 г. се нуждае от контекст. Общата сума за първото полугодие на предходната година включваше пробивът на Bybit на стойност 1,45 милиарда долара. След като това единствено събитие бъде изключено, CertiK изчислява, че сравнимите загуби са нараснали с приблизително 28% през 2026 г.

Разпределението на загубите е също толкова важно, колкото и общата сума. Средният инцидент струва около 3,82 милиона долара, докато медианната загуба е била едва 138,703 долара. Следователно средната стойност е била повече от 27 пъти по-висока от медианната, което показва, че малък брой екстремни провали са диктували общия резултат.

Три инцидента сами по себе си – Kelp DAO, Drift Protocol и целева фишинг кражба на стойност 284 милиона долара – представляват приблизително 65% от всички докладвани загуби за първото полугодие.

Класирането на загубите изисква повече от едно число

Докладите за крипто инциденти често сравняват цифри, които измерват различни форми на щети.

Класацията по-долу използва предимно докладваните брутни загуби. Възстановяванията, оспорваните оценки и разликите между приходите на нападателя и пасивите на платформата са посочени отделно.

За инциденти, включващи създаване на необезпечени токени, реализираната екстракция е по-значима от номиналната стойност на измамното предлагане. В противен случай нападател, който създава токени на стойност 100 милиона долара, но извлича 1 милион долара реално обезпечение, би могъл погрешно да бъде класиран като откраднал пълните 100 милиона долара.

Най-големите докладвани крипто загуби на 2026 г.

1. Kelp DAO – 292 милиона долара

На 18 април нападатели накараха договор на Етериум моста на Kelp DAO да освободи приблизително 116 500 rsETH без съответно изгаряне на токени в изходната верига.

Разследването на Chainalysis установи, че нападателите са компрометирали два вътрешни RPC възела, използвани от децентрализираната мрежа за проверка на LayerZero, като едновременно с това са блокирали външна RPC крайна точка чрез DDoS атака.

Манипулираните възли докладваха изгаряне в изходната верига, което никога не се е случило. Тъй като конфигурацията на моста на Kelp разчиташе на един единствен верификатор, не беше необходима втора независима мрежа, която да потвърди дали докладваното изгаряне е реално.

Целевият договор получи правилно форматирано и подписано съобщение и освободи активите точно според програмирането. Провалът се случи в инфраструктурата, предоставяща информация на договора, а не в изпълнението на тази информация от самия договор.

Kelp спря засегнатите договори достатъчно бързо, за да спре втори опит за теглене на около 40 000 rsETH (на стойност около 95 милиона долара тогава). Впоследствие Съветът по сигурността на Arbitrum замрази 30,766 ETH, свързани с действията на нападателя.

Chainalysis и LayerZero приписаха операцията на севернокорейската група Lazarus, по-специално на нейната подгрупа TraderTraitor. Тази атрибуция беше направена от страните, пряко ангажирани в разследването, въпреки че заключенията, включващи държавно спонсорирани участници, все още могат да се променят с появата на допълнителни доказателства.

Замразената сума не заличава първоначалния провал в счетоводството на моста. Брутните загуби, възстановимите средства, приходите на нападателя и всякакъв оставащ недостиг на обезпечение следва да се третират като отделни цифри.

2. Drift Protocol – 285 милиона долара

Drift Protocol загуби около 285 милиона долара на 1 април, след като нападатели получиха административен контрол над неговия Съвет по сигурността.

Според Chainalysis, лица, представящи се за представители на компания за количествена търговия, са прекарали месеци в изграждане на отношения с участници в Drift.

Членовете на Съвета по сигурността в крайна сметка са били убедени да подпишат транзакции, използвайки функцията durable-nonce на Solana, която позволява валидно подписани транзакции да бъдат задържани и изпълнени на по-късен етап.

Въпросните транзакции прехвърлиха административния контрол към адрес, контролиран от нападателя. След като получиха властта, нападателите премахнаха лимитите за теглене, одобриха почти безполезен токен, наречен CVT, като обезпечение, дадоха му изкуствена оценка и депозираха 500 милиона единици.

Получената позиция беше използвана за теглене на USDC, SOL, ETH и други активи с реална външна стойност.

Административното превземане се случи чрез две транзакции, изпълнени с разлика от една секунда, но последващите тегления продължиха за по-дълъг период. Описването на цялата загуба от 285 милиона долара като случила се за 10 секунди би било неточно.

Chainalysis базира част от своята реконструкция на собственото разследване на Drift и отбеляза, че сметката все още не е била независимо проверена чрез завършен външен одит. Предварителните доказателства бяха в съответствие с предишни севернокорейски операции, но официалната атрибуция остава в процес на изчакване.

Drift по-късно обсъди загуби на потребителите за около 295 милиона долара. По-високата цифра изглежда представлява пасивите на платформата, а не първоначалните приходи на нападателя, и не трябва да се третира като алтернативна оценка на същата величина.

3. Фишинг инцидент, докладван от CertiK – 284 милиона долара

Едно лице е загубило приблизително 284 милиона долара при целенасочен инцидент през януари, според CertiK.

Самоличността на жертвата и пълната последователност на атаката не са публично оповестени. Това ограничава заключенията, които отговорно могат да бъдат направени относно конфигурацията на портфейла, прецизния метод на социално инженерство и перспективите за възстановяване.

Въпреки това мащабът е значителен. Частно контролиран портфейл предизвика почти толкова финансови щети, колкото пробивът в Drift Protocol, и надвиши комбинираните загуби на повечето по-малки протоколни експлойти, записани през първата половина на годината.

CertiK отчете 366,3 милиона долара фишинг загуби при 63 инцидента през първото полугодие. Броят на фишинг случаите спадна с 52,3% в сравнение със същия период на 2025 г., но загубите намаляха само с 10,8%.

Четири инцидента представляваха около 85% от всички фишинг загуби.

Данните сочат към промяна в избора на мишени, а не изчезване на фишинга. Мащабните кампании остават често срещани, но финансовият резултат все по-често се определя от малък брой внимателно подготвени операции, насочени към хора или организации, контролиращи значително онлайн богатство.

4. Step Finance – Около 40 милиона долара

Step Finance съобщи, че приблизително 40 милиона долара са били източени от тяхната хазна на 31 януари, след като устройства, използвани от членове на изпълнителния им екип, са били компрометирани.

В официалната си актуализация за инцидента проектът заяви, че е възстановил около 3,7 милиона долара в активи Remora и още 1 милион долара в други позиции.

Statement on Recent Security Incident

In the early afternoon hours of 31 January (APAC), approximately $40M was drained from the Step Finance treasury. This was a result of our executive team’s devices being compromised.

Immediately after detecting the breach, we began working…

— Step☀️ (@StepFinance_) February 2, 2026

По-ранни оценки във веригата поставяха загубата по-близо до 27 милиона долара, тъй като се фокусираха върху приблизително 261,854 SOL, първоначално идентифицирани да напускат портфейлите на хазната. По-късната цифра на Step включва по-широка група засегнати активи.

Използването на грубата оценка на проекта от 40 милиона долара, при същевременно отделно отчитане на възстановената сума, дава по-пълна картина, отколкото избирането на една цифра без обяснение защо оценките се различават.

Финансовите последици от атака могат да се разпространят отвъд сумата, преведена на нападателя. Спешното финансиране, правните разходи, обезщетенията на потребителите, прекъснатите операции и пропуснатите ползи могат да направят евентуалното бизнес въздействие по-голямо от първоначалното теглене.

5. Humanity Protocol – 36 милиона долара

Humanity Protocol пострада от атака на 9 юни, след като компрометирано устройство изложи на риск данни за портфейли и частни ключове, свързани с привилегировани акаунти на проекта.

В официалното си обяснение Humanity заяви, че нападателят е копирал частни ключове от устройството и ги е използвал, за да извърши атаката в мрежата.

Проектът също така заяви, че договорът за токена H в Етериум е бил защитен от отделен чист мултисиг (multisig) портфейл и че каноничният му мост към основната мрежа не е бил компрометиран.

https://t.co/VjouykTSPw

— Humanity (@Humanityprot) June 12, 2026

Публикуваните оценки варират от приблизително 31 милиона до 36 милиона долара, отчасти защото откраднатите токени H са били оценявани по различни пазарни цени и на различни етапи от инцидента.

По-важният структурен проблем беше концентрацията на множество привилегировани идентификационни данни на една компрометирана точка (endpoint).

Мултисиг схемите осигуряват смислена защита само когато техните ключове са разделени между хора, устройства, места и административни среди. Няколко идентификационни данни, съхранявани или достъпни от един и същ компютър, могат да удовлетворят прага за подписване в мрежата, като същевременно действат като една практическа точка на отказ.

6. Resolv Protocol – Около 26,8 милиона долара

Resolv Protocol беше експлоатиран на 22 март, след като нападател компрометира неговата облачна инфраструктура и получи достъп до ключ, контролиран чрез AWS Key Management Service.

Resolv използваше офчейн услуга, за да оторизира създаването на USR, след като потребителите депозират обезпечение.

Според анализа на CertiK, нападателят направи сравнително малки легитимни USDC депозити и след това използва компрометираната сервизна роля, за да оторизира приблизително 80 милиона USR чрез две транзакции.

Договорът провери дали оторизацията идва от одобрената услуга. Той наложи минимален изход, но не наложи максимална сума, обвързана с обезпечението, депозирано от потребителя.

След като привилегированата услуга беше компрометирана, нападателят можеше да създаде подписи, които бяха криптографски валидни, но икономически необосновани.

Това не означава, че облачните услуги за управление на ключове са по своята същност неподходящи за крипто инфраструктура. По-големият дизайнерски проблем беше размерът на неограничената икономическа власт, предоставена на една сервизна роля.

Защитеният ключ все още може да се превърне в точка на катастрофален отказ, когато договорът, приемащ неговите подписи, не налага независимо съотношения на обезпечение, лимити за емитиране, транзакционни ограничения или скорост на теглене.

7. Truebit – 26 милиона долара

Truebit беше експлоатиран на 8 януари чрез уязвимост от тип „integer overflow“ (препълване на цяло число) в договор с крива на свързване (bonding-curve), разгърнат през 2021 г.

Договорът беше компилиран със Solidity 0.5.3, преди автоматичната защита срещу препълване да бъде въведена в Solidity 0.8.0.

Нападател предостави изключително голяма стойност, което накара аритметичното изчисление да се превърти до число, близко до нула. Това позволи огромни количества TRU да бъдат емитирани за почти нула ETH и след това осребрени за истински ETH, държан от договора.

Chainalysis оцени първичната загуба на 26,2 милиона долара. CertiK оцени комбинираната сума на около 26,6 милиона долара, включително приблизително 224,000 долара, извлечени от втори нападател.

Уязвимата имплементация не беше публично верифицирана в Etherscan. Това обаче не попречи на нападателите да я проучат.

Байткодът на договора може да бъде декомпилиран, поведението на старите компилатори може да бъде идентифицирано, а подозираните уязвимости могат да бъдат тествани чрез симулации или блокчейн форкове.

Truebit е най-ясното голямо изключение от по-широкия модел, наблюдаван през 2026 г. Неговата загуба дойде от логиката на публичното изпълнение, а не от компрометирана оперативна власт.

Това също показва защо неактивните договори трябва да останат в обхвата на одити, мониторинг и програми за откриване на бъгове (bug bounty), докато държат средства или права.

Защо Echo Protocol не се класира като кражба за 76,7 милиона долара

Echo Protocol понякога е описван като понесъл загуба от 76,7 милиона долара, тъй като нападател е използвал компрометиран администраторски ключ, за да емитира 1,000 необезпечени eBTC, носещи тази теоретична стойност.

Нападателят не извлече 76,7 милиона долара в реални активи.

Според Merkle Science, 45 от измамните eBTC бяха депозирани в протокола за кредитиране Curvance. Нападателят изтегли приблизително 11,29 WBTC на стойност около 867,000 долара, преди останалите 955 необезпечени eBTC да бъдат изгорени.

Точните цифри са следователно:

• Измамно емитиране: Приблизително 76,7 милиона долара в теоретични eBTC.
• Извлечени истински активи: Приблизително 867,000 долара в WBTC.
• Оставащо необезпечено предлагане: Изгорено след инцидента.

Класирането на пълната теоретична сума като открадната би преувеличило реализираната щета почти 90 пъти.

Echo все още разкрива сериозен проблем с риска от обезпечението. Оракулът на Curvance правилно разпозна пазарната стойност, зададена за eBTC, но не успя да установи, че тези конкретни токени са били създадени без обезпечение.

Ценовата цялост не е същото като цялостта на емитирането.

Протоколите за кредитиране, приемащи външно емитирано обезпечение, се нуждаят от контроли за необичайно създаване на предлагане, промени в оторизацията за емитиране, внезапни депозити на обезпечение, проверка на покритието и риск от административно ниво на емитента. Един правилен ценови фийд не може сам по себе си да отговори на тези въпроси.

Общият провал беше в контролния панел

Най-големите инциденти през 2026 г. не споделят една уязвимост в кода. Те споделят слабости в системите, отговорни за вземането на решения какво е позволено да прави този код.

В терминологията на традиционната инфраструктура, слоят за изпълнение обработва обичайната дейност, докато контролният панел определя правата, конфигурациите, доверените източници на данни и извънредните действия.

Това разграничение се нанася точно върху най-големите инциденти:

CertiK отчете 204 инцидента с уязвимости в кода през първата половина на годината, причинявайки приблизително 151,6 милиона долара загуби. Компрометираните портфейли причиниха 444,5 милиона долара загуби при само 33 инцидента.

Това се равнява на средно около 743,000 долара на инцидент с уязвимост в кода и 13,5 милиона долара на инцидент с компрометиран портфейл.

Средно, един компрометиран портфейл беше около 18 пъти по-скъп.

Сравнението не прави одитите на смарт договорите по-малко важни. То показва, че одитирането на договора при изключване на неговите подписанти, RPC зависимости, административни интерфейси, облачни роли и аварийни контроли оставя съществена част от финансовата система без тестване.

Пет неща, които адресират реалните провали

1. Налагане на икономически лимити след автентикация
   Валидният подпис трябва да доказва кой е одобрил действието. Той не трябва да дава неограничена икономическа власт. Емитирането, мостовете, одобрението на обезпечение и тегленията все още могат да бъдат ограничени чрез максимални размери на транзакциите, текущи лимити, съотношения на обезпечение, времеви забавяния, специфични за активите тавани и автоматични паузи. Тези контроли може да не предотвратят компрометирането на идентификационните данни, но могат да попречат на един компрометиран ключ незабавно да създаде неограничен пасив.
2. Измерване на независимостта, а не на броя ключове
   3-от-5 мултисиг не е значимо разпределена схема, когато три ключа могат да бъдат възстановени от един лаптоп или контролирани чрез един и същ корпоративен акаунт.
   Насоките на NIST за управление на ключове подчертават контролите върху жизнения цикъл, включително оторизация, архивиране, отчетност, разделение на задълженията, реакция при компрометиране и защита на ключовия материал. Протоколите трябва да установят дали предполагаемо независимите подписанти споделят устройства, мениджъри на пароли, облачни пространства, процедури за възстановяване, физически местоположения или йерархия на подчинение.
3. Мониторинг на връзките, а не само на транзакциите
   Всяка отделна транзакция при експлойта на Kelp изглеждаше валидна. Проследимият провал беше липсващата връзка между двете вериги: rsETH беше освободен в Ethereum, без да бъде изгорен в изходната верига. Мониторингът на мостове трябва непрекъснато да съгласува заключвания, изгаряния, емисии и освобождавания във всяка релевантна мрежа.
   Подобни проверки за инварианти могат да сравняват депозираното обезпечение спрямо емитираните токени, резервите спрямо циркулиращото предлагане и одобрените лимити за теглене спрямо реалните изходящи потоци.
4. Симулиране на административното намерение преди подписване
   Хардуерните портфейли защитават частните ключове, но те не могат да определят дали легитимен потребител одобрява злонамерена транзакция. Административните транзакции трябва да се декодират и симулират в отделна среда преди изпълнение. Подписантите трябва да виждат произтичащите промени в правата, новоодобрените активи за обезпечение, параметрите за ценообразуване, лимитите за теглене, надстройките на договорите и прехвърлянето на собственост, а не само хеш на транзакция или неясно запитване от портфейла.
5. Задържане на наследените договори в периметъра на сигурността
   Един договор не става по-сигурен, защото е работил без инциденти в продължение на няколко години. Всяко внедряване, което държи активи, обработва осребрявания, контролира права върху протокола или остава свързано с текущи продукти, трябва да има верифициран изходен код, документирани допускания на компилатора, активен мониторинг и включване в програми за одит и бъг-баунти. Декомпилирането с помощта на AI може да намали времето, от което нападателите се нуждаят, за да идентифицират стари аритметични дефекти, дефекти в контрола на достъпа или валидирането. Сигурността чрез неяснота става по-малко ефективна с подобряването на тези инструменти.

AI усилва съществуващите модели

AI не създаде основните уязвимости зад Kelp, Drift, Resolv или Echo. Неговият по-непосредствен ефект е да намали разходите за проучване на мишени, имитация, локализация и поддържане на продължителна комуникация.

Докладът за крипто престъпността за 2026 г. на Chainalysis, който анализира дейността през 2025 г., установи, че измамни операции с идентифицируеми връзки към доставчици на AI услуги са били приблизително 4,5 пъти по-печеливши от измами без такива връзки.

Това не трябва да се представя като доказателство, че всяка сложна атака през 2026 г. е използвала AI. То показва, че подпомаганите от AI операции вече са генерирали по-висока възвръщаемост и биха могли да направят няколко установени техники по-лесни за мащабиране:

Вероятното развитие е комбинация от социални и технически методи. Социалното инженерство получава идентификационните данни или оторизацията; съществуващите права на протокола превръщат този достъп във финансова загуба.

Регулациите променят отговорността

Преходният период на MiCA в Европейския съюз приключи на 1 юли 2026 г. и голяма част от доставчици на услуги за крипто-активи сега се нуждаят от разрешение, за да продължат да работят в ЕС.

MiCA може да засили управлението, попечителството, оперативния контрол и отчетността. Тя не може да определи дали даден мост използва независими верификатори, дали привилегированите ключове са правилно отделени или дали оторизираният подписант разбира злонамерената транзакция.

Законът GENIUS в САЩ беше подписан на 18 юли 2025 г. и установява федерална рамка за платежните стабилни монети, но пак това не е общ режим за киберсигурност за всеки мост, борса, портфейл или DeFi протокол.

Регулацията определя кой носи отговорност и какви предпазни мерки трябва да съществуват. Инженерството на сигурността определя дали подправено съобщение, компрометиран ключ или злонамерено одобрение могат да се изпълнят, преди тези предпазни мерки да реагират.

Какво да се следи през остатъка от 2026 г.

Окончателната картина за сигурността през 2026 г. трябва да се оценява чрез повече от просто кумулативната загуба в заглавията.

Доказателствата подкрепят по-тясно заключение: инцидентите с най-висока стойност все по-често са насочени към системите за контрол, заобикалящи смарт договорите, подписантите, устройствата, RPC инфраструктурата, привилегированите услуги и верификационните мрежи, вместо само към логиката на договора.