В этом году хакеры не крадут деньги — они «разносят весь дом».
Пока все следили за графиками и чертили линии, уже завершался системный демонтаж основ доверия ко всей криптоиндустрии. Не думайте, что это просто случайная уязвимость какого-то проекта. Если связать воедино события этого года, вы увидите удушающую сеть.
Слабое место CEX: приватные ключи целы, а денег нет
Самая абсурдная история года — эпическая кража 6,3 млрд долларов с централизованной биржи Binance. Хакеры не тронули приватные ключи, а взломали ноутбук инженера DevOps и с помощью механизма EIP-7702, словно вампиры, продолжали высасывать активы.
С Bitget украли около 388 млн долларов. Хакеры проникли во внутреннюю систему и напрямую подделали инструкции на вывод средств.
Но это ещё не самое страшное. Самое страшное — Gate.io (Gate).
В июле у пользователя вывели все активы на сумму 1,7 млн долларов. Платформа заявила, что пользователь прошёл многофакторную аутентификацию и процедура была проведена без ошибок; сам пользователь настаивает, что не получал код подтверждения. Этот случай с 1,7 млн долларов напрямую вызвал обвал доверия: за неделю после инцидента чистый отток средств с Gate достиг 200 млн долларов.
Понятно? В условиях системной паники пользователи наказывают платформу всегда быстрее, чем она успевает доказать свою невиновность. Даже если приватные ключи не украдены, одного недостаточно проверенного узла в системе достаточно, чтобы уничтожить доверие, на создание которого ушли десятки миллиардов рыночной капитализации.
Беспомощность AAVE: его не взломали, но «пробили»
Этим летом ведущие DeFi-проекты на собственном опыте узнали, что такое «когда у городских ворот пожар, страдают и рыбы в пруду».
Смарт-контракты Aave в этом году не взламывали, но как крупнейший кредитный хаб протокол стал для хакеров «банкоматом» и «свалкой».
Цепная реакция — первая: после взлома Binance хакеры внесли в Aave 60 млн USDT и сразу заняли ETH примерно на 46 млн долларов, чтобы обналичить средства. Aave пришлось экстренно заморозить рынки V3/V4 и сократить лимиты заимствований на десятки миллиардов.
Цепная реакция — вторая: после взлома KelpDAO в апреле на 292 млн долларов безнадёжные долги и грязные средства хлынули в пул stETH на Aave. За несколько часов коэффициент использования средств превысил 85%, токен AAVE обвалился за один день, а TVL мгновенно сократился на 8 млрд долларов.
В чём вина Aave? Ни в чём. Просто из-за своих гигантских размеров протокол стал «главной свалкой» рисков всей отрасли. Когда хакеры используют украденные средства в качестве залога, компонуемость, которой так гордится DeFi, превращается в роковую уязвимость, позволяющую хакерам беспрепятственно проникать в систему.
Замкнутый круг мясорубки: кроссчейн-мосты и аппаратные кошельки
Посмотрим и на блокчейн. KelpDAO подделал кроссчейн-сообщения, проверка кроссчейн-моста zkLink дала сбой, а сайдчейн Liquid позволил создавать монеты из ничего. Кроссчейн-мосты превратились в печатные станки для хакеров.
Ещё опаснее то, что уязвимость генератора случайных чисел в кошельке Coldcard позволила восстановить приватные ключи, даже не прикасаясь к устройству. В результате украли почти 114 млн долларов. Также участились офлайн-«атаки с гаечным ключом» на криптомиллионеров — грабители вламываются в дома и силой выпытывают данные.
Думаете, стоит перевести криптовалюту на холодный кошелёк — и она в безопасности? В аппаратном устройстве может оказаться ошибка, а ваша личная безопасность, возможно, уже под угрозой.
Самый большой ужас: слияние потоков средств, стоящих за государствами
Ончейн-расследователь ZachXBT раскрыл самое опасное звено: украденные у Binance 6,3 млрд долларов и украденные у Bitget 388 млн долларов прошли через THORChain и оказались на одном и том же адресе для отмывания денег.
Это означает, что перед нами не одиночки-хакеры, а системная атака с подавляющим превосходством со стороны хакеров государственного уровня (TraderTraitor). Они одновременно атакуют CEX, DeFi и кроссчейн-мосты, а защитники разобщены и каждый замораживает средства по отдельности.
Заморозка останавливает кровотечение, но не лечит
Tether заморозил 2 млрд, а Binance покрыла дыру в 6,3 млрд из собственных средств. Но рынок проголосовал ногами: 230 тысяч трейдеров ликвидированы, биткоин упал ниже 77 тысяч.
Это посылает холодный сигнал: теперь финалом инцидента безопасности становится проблема баланса. Если нечем возместить убытки, вера рушится.
И напоследок — один крайне практичный вопрос:
Если внутренние системы CEX можно подделать, пулы DeFi могут загрязнить грязные деньги, кроссчейн-мосты можно обмануть, а генератор случайных чисел даже в холодном кошельке может отказать…
Какая доля ваших активов сейчас действительно размещена исходя из принципа «не зависеть ни от одной единственной точки доверия»?
Продолжать верить биржам, которые «слишком велики, чтобы рухнуть», вывести средства на холодный кошелёк или распределить их по нескольким блокчейнам?
Поделитесь в комментариях своей стратегией защиты от хакеров — посмотрим, кто здесь настоящий «мастер выживания».