Данные о взломах за III квартал: атаки сместились с кода на инфраструктуру
CertiK насчитала $1,26 млрд потерь за III квартал. Крупнейшие кражи прошли через сторонние средства защиты, софт нод и прошивку кошельков.
SECURITY & HACKSEXCHANGESANALYSIS
Lukas Brenner
10/28/20261 мин чтение
Третий квартал 2026 года стал самым дорогим для криптоотрасли с точки зрения безопасности, но важнее общей суммы то, как устроены потери. По подсчетам CertiK, с июля по сентябрь произошло 247 инцидентов на $1,26 млрд, примерно на 54% больше, чем $819,4 млн во втором квартале. При этом три из четырех крупнейших случаев мало похожи на классический эксплойт в DeFi, когда атакующий находит ошибку в смарт-контракте и опустошает пул. Злоумышленники прошли через оборудование стороннего поставщика средств защиты, через разрыв в выпуске релизов программного обеспечения сайдчейна и через дефект прошивки аппаратных кошельков.
Основной ущерб пришелся на сентябрь. CertiK оценила его примерно в $769 млн по 99 инцидентам, это худший месяц 2026 года на данный момент; отдельный подсчет PeckShield дал сопоставимый результат. Часть средств удалось вернуть. По оценке CertiK, около $273 млн были заморожены или возвращены, так что чистые потери сентября снижаются примерно до $495 млн. Разрыв между валовыми и чистыми цифрами сам по себе стал трендом: он показывает, как быстро эмитенты стейблкоинов, биржи и расследователи теперь реагируют, как только деньги начинают двигаться.
Взлом биржи начался у подрядчика
Только потери Bitget в размере $387,5 млн составили около 31% квартальной суммы. По данным самой биржи и расследований SlowMist и Mandiant, атакующие не взламывали криптографию кошельков. Они воспользовались уязвимостью нулевого дня в устройствах защиты стороннего поставщика, прочитали пароль от базы данных из переменной окружения, переместились внутри сети до сервера, который обрабатывает операции кошельков, и отправили команды на вывод с помощью внутренних учетных данных высокого уровня. Самую раннюю вредоносную активность SlowMist относит к 31 августа, то есть более чем за три недели до того, как средства ушли с горячих и теплых кошельков.
Вывод неприятен для любой централизованной площадки. Инструменты, купленные для защиты сети, стоят в ее привилегированных точках, и ошибка в одном из них может открыть злоумышленнику путь к самым чувствительным системам. Bitget заявила, что ущерб покрывается фондом защиты пользователей объемом более $464 млн, и указала на северокорейских хакеров, сославшись на IP-адреса и пересечения кошельков, выявленные Elliptic и TRM Labs. Это вписывается в более широкую картину. В полугодовом отчете Blockaid связала два крупнейших инцидента первого полугодия, KelpDAO на $292 млн и Drift на $285 млн, с группами, связанными с КНДР, и описала социальную инженерию через LinkedIn, которая закончилась компрометацией подписантов мультиподписи.
Когда патч есть, но его никто не установил
Инцидент с Liquid Network в начале сентября показал другую слабость. Атакующий воспользовался ошибкой в проверке range proof в Elements, программном обеспечении сайдчейна Blockstream для биткоина, выпустил около 4000 L-BTC без биткоинового обеспечения и обменял их через штатный механизм peg-out. Как отмечает Halborn в своем разборе, ошибка уже была исправлена в кодовой базе Elements, но исправление не вошло в официальный релиз, поэтому ноды на официальной версии оставались уязвимыми. Позднее человек, назвавший себя белым хакером, вернул 3400 монет, и это объясняет значительную часть сентябрьских возвратов.
Кражи с кошельков Coldcard относятся к той же категории. По данным TRM Labs, ошибка сборки в прошивке, выпущенной в марте 2021 года, привела к тому, что часть устройств генерировала сид-фразы с помощью слабого программного генератора случайных чисел. Эффективная стойкость ключей оказалась намного ниже заявленных 128 бит. Злоумышленники начали опустошать кошельки 30 июля и, по подсчетам Galaxy Research, вывели средства более чем с 5200 адресов. Смарт-контракты в этой истории не участвовали, а физический доступ к устройствам не понадобился.
Что цифры говорят о том, где сосредоточен риск
В совокупности квартал указывает на смещение уязвимых мест. Данные Immunefi, которые приводит The Block, показывают, что потери от эксплойтов DeFi в этом году примерно на 74% ниже пика 2022 года: аудиты, программы баг-баунти и проверенные шаблоны контрактов приносят результат. Тем не менее Blockaid зафиксировала в первом полугодии 2026 года больше эксплойтов, чем за весь 2025 год. Получается картина из множества мелких ошибок в контрактах и нескольких очень крупных провалов в операционных процессах, управлении ключами и цепочках поставок ПО. Октябрь пока вписывается в эту схему: 23 октября Initia остановила свой первый уровень и роллапы после того, как атакующий через ошибку в функции на Move выпустил необеспеченные AUSD и перевел ценности в Ethereum. Ущерб составил несколько миллионов долларов, а не сотни миллионов.
В четвертом квартале стоит следить за тремя индикаторами. Первый: начнут ли биржи раскрывать, какие подрядчики и внутренние системы стоят на пути вывода средств, после того как Bitget показала, что устройство защиты может стать точкой входа. Второй: дисциплина релизов для ПО нод и кошельков, то есть как быстро исправления безопасности попадают в официальные версии и насколько настойчиво операторов заставляют обновляться. Третий: доля возвращенных средств. Если заморозки и переговоры с атакующими и дальше будут сокращать валовые потери на треть, как в сентябре, реальный счет отрасли за безопасность будет выглядеть иначе, чем заголовки, даже если злоумышленники продолжат искать самое слабое звено за пределами кода.