Больше 200 криптопроектов пострадали от взломов в 2026 году. Какие риски :: РБК.Крипто

К концу октября 2026-го хакеры с начала года похитили почти $2,9 млрд в крипте

В этом году криптоиндустрия потеряла почти $3 млрд из-за эксплойтов, фишинга, взломов кошельков и атак на инфраструктуру

«РБК-Крипто» не дает инвестиционных советов, материал опубликован исключительно в ознакомительных целях. Криптовалюта — это волатильный актив, который может привести к финансовым убыткам.

Неполный 2026 год показал, что безопасность в криптовалютах касается не только выбора надежных приложений или способа хранения активов, ее обеспечение — многосторонняя работа в нескольких направлениях. По данным исследователей CertiK к концу октября злоумышленники похитили почти $2,9 млрд в 730 инцидентах. Атаковали не только биржи, сервисы, но и разные виды кошельков и даже инфраструктурные решения, используемые криптопроектами.

Чаще всего хакеры похищают средства при эксплойтах — использовании уязвимостей в коде смарт-контрактов и протоколов. По данным CertiK, на них пришлось около 45% всех украденных средств и больше 60% числа инцидентов. По частоте после эксплойтов лидируют фишинг и взломы кошельков.

Оценки могут разниться, а многие инциденты — не попасть в отчетные списки аналитиков, но ущерб оценивается в сотни миллионов долларов у сотен проектов. Например, по наблюдениям криптоисследовательницы Стейси Мур, в 2026 году более 230 криптовалютных протоколов потеряли более $50 тыс.

Резонанс в криптосообществе вызвали взломы криптокошельков, особенно в случаях, когда инцидент произошел на стороне разработчиков, а не по вине самих пользователей. К октябрю этого года почти 10 независимых друг от друга криптокошельков зафиксировали ущерб, превышающий $200 млн у десятков тысяч клиентов.

Единой рекомендации о мерах безопасности по использованию криптовалютных протоколов не существует. Например, соучредитель Binance Чанпэн Чжао напомнил, что меры безопасности должны соответствовать стоимости активов и технической подготовке владельца. Для самостоятельного хранения он советует использовать отдельные устройства (отдельные ПК или смартфон), подключая их к сети лишь по необходимости, и всегда сверять адрес на экране аппаратного кошелька.

По мнению Чжао, сид-фразу (набор слов, дающих доступ к криптокошельку) стоит хранить на бумаге, металле или зашифрованных USB, избегая фото и скриншотов из-за риска утечки в облако. А на централизованных биржах безопасность аккаунта — личная ответственность пользователя, отметил Чжао: нужны отдельная почта, двухфакторная аутентификация вместо СМС, уникальные пароли и белые списки адресов для вывода.

Но даже эти рекомендации могут не помочь избежать потери средств.

Взломы криптокошельков

Среди аппаратных кошельков проблемы возникали из-за ошибок разработчиков и цепочек поставок. У Coldcard из-за ошибки в прошивке, которая находилась в открытом доступе с 2021 года, злоумышленники украли более $115 млн у более чем 5000 адресов.

Другой производитель аппаратных криптокошельков Ledger пострадал от подмены устройств в результате их продажи через сторонних продавцов. В их кошельки встроили чипы для кражи сид-фраз, а потери превысили $90 млн у более чем 300 кошельков.

Еще один производитель устройств для хранения криптовалют Keystone зафиксировал утечку личных данных у нескольких десятков тысяч пользователей. 

Утечки данных в этом году также зафиксировали у производителей аппаратных кошельков Trezor, SafePal и BitBox. Они также столкнулись с утечками баз данных (имена, адреса, email) через сторонних подрядчиков. Подтвержденной кражи приватных ключей или криптовалюты не нашлось, но как ранее указывали эксперты Chainalisis, личные данные криптопользователей могут быть использованы для фишинга или физических атак.

В программных кошельках взломы проиcходили из-за ошибок в ПО: у одного из старейших биткоин-кошельков Electrum злоумышленникам удалось захватить сервер, через который мошенники могли подменить транзакции в момент перевода. Хотя подтвержденным является только один случай, важен сам факт взлома инфраструктуры.

А у одного из самых популярных браузерных кошелько MetaMask инцидент затронул инфраструктуру, которая обеспечивала доступ клиентов к стейкингу Ethereum. Хотя средства пользователей не пострадали, компании пришлось временно переместить около $2 млрд в монетах эфира на безопасные адреса.

Взлом интернет-инфраструктуры

Помимо уязвимость в коде смарт-контрактов, злоумышленники все чаще атакуют не сами блокчейны, а их архитектурные сервисы. Крупнейшей атакой к октябрю стала компрометация сетевых узлов проекта LayerZero, из-за чего потери проекта KelpDAO превысили $290 млн. А общий отток ликвидности на фоне взлома из сектора децентрализованных финансов, к которым относится KelpDAO, превысил десяток миллиардов долларов.

Также хакеры подменяют DNS-записи для кражи средств с децентрализованных площадок, как в случае с биржей COW Swap. По оценкам экспертов в результате взлома удалось похитить $1,2 млн в криптовалюте.

Производитель криптокошелька Foundation сообщил, что мошенники использовали украденные API-ключи облачного сервиса Cloudflare для фишинга. Подтвержденных случаев кражи нет, но ряд пользователей получили фишинговые письма с официального домена компании.