Украденные ключи обогнали дыры в коде: $1,3 млрд потерь DeFi за восемь месяцев

Украденные ключи обогнали дыры в коде: $1,3 млрд потерь DeFi за восемь месяцев

За первые восемь месяцев 2026 года протоколы DeFi потеряли не меньше 1,3 миллиарда долларов. Цифра сама по себе привычная, к таким мы за годы притерпелись. Интереснее другое: впервые за всё время наблюдений основной причиной убытков стали не ошибки в коде, а украденные или неправильно хранимые приватные ключи. Компрометация доступа обогнала баги в Solidity и Rust. По нашим наблюдениям этот разворот меняет всю логику того, как трейдеру оценивать риск.

Разберём, что стоит за сменой лидера, почему аудит смарт-контракта в такой картине почти ничего не гарантирует, откуда берётся странная статистика августа с пятью десятками взломов и падением ущерба почти вдвое, и что из этого следует делать со своими деньгами.

Что показывают цифры

Раньше типичный крупный инцидент выглядел так: кто-то находил логическую ошибку в контракте и выжимал из неё максимум. Защита строилась соответственно - аудиты, баг-баунти, формальная верификация. Всё это работало против конкретного класса угроз.

Теперь картина другая. Основные деньги уходят через ключи: скомпрометированные кошельки команды, подписи мультисига, доступы к админским функциям. Код при этом может быть безупречным, потому что атакующий не ломает логику, а приходит с легитимным доступом и делает то, что этому доступу разрешено.

Почему аудит тут не спасает

Аудит отвечает на вопрос, делает ли код то, что задумано, и нет ли в нём известных дыр. Вопрос «а что будет, если ключ от админского кошелька окажется у постороннего» лежит вне этой проверки. Формально контракт отработает штатно - просто в интересах не тех людей.

Отсюда неприятный вывод для тех, кто выбирает протокол по значку аудитора на сайте. Значок закрывает один класс риска и ничего не говорит про второй, который сейчас стал основным. Мы полагаем, что смотреть надо не только на факт аудита, а на то, как устроено управление правами: сколько подписей нужно для критической операции, есть ли задержка между решением и его исполнением, может ли один человек в одиночку вывести средства.

Отдельная тема - организованные группы. В отчётах этого года регулярно всплывают структуры, связанные с северокорейской Lazarus, и работают они не с кодом, а с людьми: фишинг, поддельные предложения о работе, заражённые тестовые задания для разработчиков. Против такого аудит бессилен по определению.

Странная статистика августа

Август дал любопытную пару чисел. Крупных взломов насчитали около пятидесяти - это много даже по меркам нынешнего года, где к плохим новостям все давно привыкли. При этом суммарный ущерб в долларах упал почти вдвое.

Читать это как улучшение не стоит. Скорее сместился профиль атак: инцидентов много, но каждый мельче, потому что бьют по средним и небольшим протоколам, где меньше денег и слабее процессы. Крупные площадки после серии прошлогодних провалов подтянули хранение ключей, а мелкие остались на прежнем уровне.

Для пользователя это означает ровно обратное тому, что подсказывает заголовок про снижение ущерба. Вероятность нарваться не упала, она перераспределилась в сторону тех самых небольших протоколов с высокой доходностью, куда обычно и заходят за повышенным процентом.

Что с этим делать трейдеру

Начнём с очевидного, но невыполняемого. Средства, которые не участвуют в сделке прямо сейчас, не должны лежать в протоколе. Ставка в несколько процентов годовых не окупает риск потерять всё за одну ночь, а именно так эта арифметика и выглядит на дистанции.

Дальше - собственные ключи. Раз главной дырой года стал доступ, а не код, стоит честно посмотреть на своё хранение. Сид-фраза в заметках телефона, приватный ключ в облачном документе, единственный горячий кошелёк на все операции - всё это тот же класс уязвимости, только в личном масштабе. Аппаратный кошелёк для основного капитала и отдельный горячий кошелёк с рабочей суммой закрывают большую часть сценариев.

Третье касается выбора протокола. Кроме аудита стоит посмотреть, как устроены права: мультисиг вместо одного ключа, таймлок на критические операции, публичный состав подписантов. По нашей практике эти три вещи говорят о зрелости команды больше, чем любой отчёт аудитора.

И последнее, про фишинг. Заражённые тестовые задания, поддельные вакансии и письма от «партнёров» - именно этим вскрывают команды, и к частникам приходят по той же схеме. Правило тут простое. Ничего не подписывать не глядя и не запускать присланные файлы на машине, где лежит кошелёк.

Наши инструменты

Самый надёжный способ не потерять деньги в протоколе - не держать их там дольше необходимого, а для этого связка должна собираться быстро. Наш скринер арбитража сравнивает цены на десятках площадок каждую секунду, поэтому расхождение видно сразу и капитал не простаивает в ожидании. Для DeFi-направлений полезен DEX-сканер, который показывает глубину пулов. А калькулятор спредов считает чистую прибыль по всей цепочке с учётом комиссий и проскальзывания ещё до того, как вы завели туда деньги. Бот полностью ручной и к API ваших бирж не подключается - деньги всё время под вашим контролем.

Хотите посмотреть, как это выглядит вживую, - у ArbitrageScanner есть 1 день бесплатного доступа ко всей экосистеме инструментов.

FAQ (Часто задаваемые вопросы)

1. Что значит «украденные ключи обогнали баги в коде»?

Раньше основные потери шли от логических ошибок в смарт-контрактах, а в 2026 году впервые больше денег ушло через компрометацию приватных ключей и админских доступов. Атакующий при этом ничего не ломает - он приходит с легитимными правами и делает то, что этим правам разрешено.

2. Зачем тогда вообще нужен аудит?

Он по-прежнему закрывает свой класс угроз, и полное отсутствие аудита остаётся плохим сигналом. Просто теперь его недостаточно: значок аудитора ничего не говорит о том, у скольких людей есть ключи от критических функций и что случится, если один из них скомпрометируют.

3. Почему в августе было полсотни взломов, а ущерб упал вдвое?

Сместился профиль атак. Крупные площадки после прошлогодних провалов подтянули хранение ключей, поэтому бить стали по средним и небольшим протоколам - инцидентов много, но каждый мельче. Для пользователя это не улучшение, а перераспределение риска в сторону мелких проектов с высокой доходностью.

4. Как понять, что у протокола нормально с правами?

Смотрите на три вещи: мультисиг вместо единственного ключа, таймлок на критические операции и публичный состав подписантов. Если одна учётная запись может в одиночку вывести средства без задержки, это плохая конструкция независимо от качества кода.

5. Что делать со своими ключами?

Разделить хранение: основной капитал в аппаратном кошельке, рабочая сумма в отдельном горячем. Сид-фраза не должна лежать в заметках телефона или в облачном документе. И не запускать присланные файлы на машине, где есть доступ к кошельку - именно так чаще всего и заходят.

Вывод

Смена главной причины убытков с кода на ключи - это не просто статистическая деталь. Она означает, что привычный способ оценивать протокол по наличию аудита перестал работать, потому что закрывает не тот класс риска, который сейчас приносит основные потери.

Практическая часть скучная и от этого рабочая. Не держать в протоколах то, что не участвует в сделке прямо сейчас. Разделить собственное хранение на холодное и горячее. Смотреть на устройство прав, а не только на значок аудитора. И помнить, что 1,3 миллиарда за восемь месяцев - это не абстракция, а деньги вполне конкретных людей, большинство из которых считали свой протокол надёжным.

ВАЖНО! Мы - разработчики программного обеспечения. Мы не даём рекомендации и обещания по заработку, не советуем вам куда-то вкладывать свои деньги. Наш софт полностью ручной, все ваши деньги только под вашим личным управлением. Мы приводим примеры, как на арбитраже в прошлом заработали наши клиенты, но мы не советуем повторять действия один в один. Ваш заработок зависит исключительно от ваших действий и от факторов рынка.