Что делать с киберугрозами в блокчейне?

Главным качеством проектов в сфере блокчейн-технологий постепенно становится не скорость транзакций и удобный интерфейс, а безопасность. 2025-й и начало 2026 года стали невероятно успешными для хакеров, и ситуация продолжает ухудшаться. «ПроЦФА» поговорил с экспертами в кибербезе о причинах и тенденциях нынешнего положения дел

Апрель 2026 года стал рекордным за всю историю криптопротоколов по сумме ущерба от хакеров: 670 млн долларов. По сравнению с тем же месяцем 2025-го урон от атак вырос на 1140%. 1 апреля злоумышленники взломали Drift Protocol и успешно вывели оттуда активов на 285 млн долларов. Атака на Kelp DAO была еще более результативной: протокол потерял 292 млн долларов.

Почему сейчас?

В 2025 и 2026 годах сразу несколько обстоятельств сложились так, что на криптоплатформы пришло большое количество ликвидности. Это и развитие отрасли в целом, и бум стейблкойнов в расчетах, и нестабильность многих классических инвестиционных инструментов. Согласно данным CoinGeco, на конец мая 2026 года мировой крипторынок  оценивается примерно в 2,6 трлн долларов с ежедневным объемом торгов в 90 – 100 млрд.

Архитектор информационной безопасности UserGate uFactor Дмитрий Овчинников:

Эксперт дополнил, когда на кону стоят большие суммы, а реагировать необходимо быстро, люди гораздо чаще становятся жертвами злоумышленников. Кроме того, хакеры начали активно применять AI в атаках, что значительно снизило требования к их квалификации. Последнюю тенденцию заметил и Управляющий партнер ADVOLAW Антон Пуляев:

Другой ответ заключается в том, что структуры, работающие с криптовалютами, усложнились. А у сложной структуры всегда много слабых мест, рассказал старший партнер IT-интегратора «Энсайн» Алексей Постригайло:

Как взламывают протоколы?

Разнообразие методов взлома довольно велико. Ниже расскажем про основные моменты.

Взломы смарт-контрактов и оракулов

Смарт-контракт — это код, с помощью которого происходят транзакции токенов. Он написан так, чтобы работать автономно. Если смарт-контракт составлен некачественно, то хакер может этим воспользоваться.

О том, с какими уязвимостями работают мошенники, вы можете прочитать в тексте «Смарт-контракты: от взломов на миллиарды до безопасной эксплуатации», опубликованном на «Б.О» — ЧИТАТЬ

Оракул — это источник, который предоставляет информацию о стоимости актива, так как смарт-контракт не может этого «знать». Если оракул передаст неправильные данные, то может обесценить актив на блокчейне. Управлять данными оракула можно как с помощью взлома, так и без него.

Интересен кейс взлома Venus Protocol в марте 2026 года. Хакер в течение 9 месяцев перед атакой покупал низколиквидный токен THE, вырастив его стоимость с 27 центов до почти 5 долларов за единицу. Под залог своих токенов он брал в долг более ликвидные активы, выводил их, покупал еще больше THE и повторял процесс.

Чтобы противостоять таким атакам, в Venus Protocol был вшит лимит на депонирование — ограничение максимального объема средств, который можно внести. Однако злоумышленник смог обойти его, использовав уязвимость в коде платформы. Из-за этого оракул аномально завысил курс THE.

В результате платформа потеряла  от 3,5 до 5 млн долларов. Правда, до сих пор непонятно, смог ли хакер выйти в «плюс» после всех своих махинаций.

Проблемы с мультиподписью

Мультиподпись — это вид цифровой подписи, которая валидна, только если определенное количество пользователей из группы предоставило свое одобрение. Практически все владельцы криптобирж, пулов ликвидности и других криптопроектов используют ее. Плюс в том, что, даже если один из руководителей скомпрометирован, с активами ничего не случится.

Однако слабости есть и у этой системы, рассказал управляющий партнер SkyCapital Денис Балашов:

Атака на Bybit произошла в феврале 2025 года. Тогда хакеры взломали серверы кошелька Safe Wallet и внедрили вредоносный код, который изменил интерфейс программы. В результате подписанты думали, что совершают верную транзакцию, в то время как на самом деле средства шли на сторонний смарт-контракт.

Одного взлома Safe Wallet для такой операции было бы недостаточно. Вероятнее всего, хакеры сперва получили доступ к инфраструктуре биржи, так как смогли точно вычислить обладателей подписи. Кроме того, они точно знали, когда подменять экран, так что личные переписки и гаджеты руководителей  Bybit тоже могли отслеживаться.

В результате биржа потеряла 1,5 млрд долларов в эфирах. Средства не получилось вернуть. Атака на Bybit стала крупнейшей за всю историю существования криптобирж.

Социальная инженерия

Антон Пуляев рассказал«ПроЦФА», что часто проблема находится не внутри компьютера, а прямо перед ним:

Технический "топ" уязвимостей остается стабильным: манипуляции оракулами, реентерабельность, ошибки контроля доступа, логические просчёты в финансовой механике. Это подтверждает свежий рейтинг OWASP Smart Contract Top 10, где лидирует категория Access Control с 953,2 млн долларов убытков. Но важно разделять два типа потерь. Протоколы страдают от багов в коде. Пользователи — от фишинга, поддельных сайтов и утечек приватных ключей. Фишинг и социальная инженерия — основной драйвер потерь в 2026 году; по некоторым экспертным оценкам, львиная их доля связана именно с человеческим фактором.

Силу социальной инженерии сполна прочувствовали пользователи биржи Coinbase. Атака началась с того, что хакеры связывались с работниками поддержки, и разными способами — в основном, обманом и подкупом — получили у них доступ к внутренней структуре биржи. К маю 2025 года в руки злоумышленникам попали данные 70 тыс. клиентов Coinbase.

Преступники использовали информацию, чтобы выманивать крипту у людей. Совокупный урон от атаки мог достичь 400 млн долларов. Кроме того, хакеры пытались получить от биржи 20 млн долларов за неразглашение украденных данных.

Что делать?

Собеседники  «ПроЦФА» рассказали, на что платформам придется обратить внимание в ближайшем будущем. Алексей Постригайло считает, что нужно гораздо строже относится к любым изменениям в протоколе:

Нужно менять порядок вокруг денег. Крупный вывод не должен проходить напрямую: нужна задержка, отдельная проверка и ясное понимание, что именно подтверждает человек. Права управления должны быть минимальными. Любое изменение в платформе нужно проверять как отдельный риск, а не как техническую мелочь.

Дмитрий Овчинников указывает на необходимость вкладывать больше сил в противостояние мошенникам:

Повысить безопасность можно только путем дальнейшего усиления контроля над сторонними компонентами, подрядчиками, а также активного противодействия социальной инженерии. С технической стороны с безопасностью все отлично ровно до тех пор, пока отсутствует человеческий фактор.

Антон Пуляев озвучил целый комплекс предложений, которые сводятся к более строгому аудиту, качественному баг-ревью и требовательному отношению к оракулам:

Во-первых, нужно перестать воспринимать безопасность как разовый аудит перед запуском. Критические функции нуждаются в формальной верификации, а не только в ручном ревью. Во-вторых, внедрять временные задержки для операций с большими суммами — это дало бы время среагировать в случае взлома. В-третьих, пересмотреть подход к оракулам: минимальные пороги ликвидности, усреднение цен по времени, аварийные механизмы остановки. В-четвертых, инвестировать в мониторинг транзакций в реальном времени — по экспертным оценкам, лишь малая доля проектов использует такие инструменты, а ведь это один из немногих способов обнаружить аномалию до того, как средства будут выведены. И наконец, прозрачные баг-баунти программы: лучше заплатить исследователю за найденную уязвимость, чем хакеру — за ее эксплуатацию.

Денис Балашов указывает, что проверять нужно не только софт:

Экономическую модель протокола нужно тестировать так же жестко, как и код. В ближайшем будущем выигрывать будут не те платформы, которые быстрее запускают новые функции, а те, которые изначально проектируют безопасность как базовую часть бизнеса.