Kriptovaliutos per žiaurią DeFi atakų savaitę prarado daugiau nei 35 milijonus USD

Per kelias dienas užpuolikas tyliai nusipirko BONK už maždaug 4 milijonus USD per biržų pinigines, sukaupė dominuojančią balsavimo galios dalį, o tada per token svertinį DAO valdymą prastūmė kenkėjišką pasiūlymą. Pranešama, kad pasiūlymas šešias dienas buvo aktyvus be nė vieno prieštaravimo.

Kai balsavimas baigėsi, su užpuoliku susijusios piniginės kontroliavo apie 99,878 procento atiduotų balsų, nors iš daugiau nei 18 000 tinkamų piniginių balsavo tik septyni adresai. Iš iždo nutekėjo maždaug 4,4 trilijono BONK, vertų apie 20 milijonų USD, o užpuolikas net pervadino DAO. Tyrėjai tai pavadino ne tiek įsilaužimu, kiek perėmimu, kurį leido silpnos taisyklės ir beveik nulinis aktyvumas.

BONK po žinios krito daugiau nei 8 procentais, pagilindamas per pastaruosius metus daugiau nei 80 procentų nuosmukį, o biržos, įskaitant Upbit, Bithumb ir Kraken, sustabdė BONK įnašUS ir išėmimus, kol sekė lėšas. Komanda teigia informavusi teisėsaugą ir bendradarbiaujanti su biržomis bei Solana Foundation.

Kitos dvi atakos buvo techniškesnės. Tą pačią dieną kelių grandinių protokolas Summer.fi prarado beveik 6 milijonus USD per flash-loan išnaudojimą, kuriame užpuolikas vienu sandoriu pasiskolino maždaug 65 milijonus USD kainoms manipuliuoti. Komanda sustabdė savo saugyklas, o tyrėjai vėliau spragą susiejo su likusiais žetonais iš nesusijusio protokolo žlugimo praėjusį lapkritį.

Tada, užbaigiant savaitę, didžiausias Hedera tinklo skolintojas Bonzo Lend buvo ištuštintas maždaug 9 milijonais USD, iš kurių 5,25 milijono buvo perkelta į Ethereum. Užpuolikas protokolui pakišo suklastotą vieno žetono kainą, milžiniškai išpūtė jo vertę, o tada kelis jo dolerius panaudojo kaip užstatą milijonams pasiskolinti. Kita piniginė, kuri skolinosi per triktį, vėliau prisistatė kaip baltoji kepurė ir pažadėjo grąžinti lėšas.

Nesaugios buvo ir piniginės. Naujai atskleista spraga tame, kaip kai kurios senesnės piniginės generavo atkūrimo frazes, pramintą Ill Bloom, dabar siejama su vagystėmis už daugiau nei 5 milijonus USD, primenanti, kad silpniausia grandis dažnai yra jūsų raktus laikantis įrankis, o ne pati blokų grandinė.

Pažvelgus plačiau, modelis AIškus. Pasak saugumo bendrovės CertiK, per pirmąjį 2026 metų pusmetį Web3 prarado daugiau nei 1,31 mlrd. USD per 344 incidentus, o didžiausi nuostolių šaltiniai dabar yra piniginių kompromitavimas ir sukčiavimas, o ne išmaniųjų sutarčių klaidos. Atakos paviršius kyla aukštyn, link valdymo, infrastruktūros ir žmogaus patvirtinimų.

Eiliniams turėtojams pamokos praktinės. Valdymo žetonus ir mažas DeFi platformas laikykite didelės rizikos, būkite labai atsargūs dėl to, ką pasirašote, ir ilgalaikes santaupas laikykite savarankiškoje saugykloje patikrintoje aparatinėje įrangoje, o ne karštose piniginėse. Būtent todėl verta peržiūrėti pinigines ir rimtas lėšas iškelti iš biržų bei programėlių, kuriose prekiaujate.

Nė vienas iš šių dalykų nereiškia, kad DeFi sugedo, tačiau tai parodo, kad 2026 metais didžiausios grėsmės retai yra pats kodas. Tai taisyklės, vidinė infrastruktūra ir akimirksniu duodami patvirtinimai, kurie jį supa.

Pamoka 2026 metams nemaloni, bet paprasta: kriptovaliutose saugumas šiandien priklauso tiek pat nuo to, kaip atsargiai elgiatės, kiek ir nuo to, kaip gerai parašytas kodas. Trys šios savaitės atakos tai parodė skausmingai AIškiai.