Крупнейшие криптовалютные взломы и мошенничества 2026 года на данный момент

Крипто-взломы, мошенничества и эксплойты привели к более чем 1,3 миллиарда долларов валовых убытков в первой половине 2026 года, при этом несколько крупных инцидентов доминировали в зафиксированной сумме. TL;DR

• Хакерские атаки, мошенничества и эксплойты в криптоиндустрии привели к 1,316 миллиарда долларов валовых убытков в первой половине 2026 года.
• Kelp DAO, Drift Protocol и одна жертва целевого фишинга составили примерно 65% от этой суммы.
• Крупнейшие инциденты затронули инфраструктуру RPC, административные права, системы подписи или привилегированные устройства, а не публичный код смарт-контрактов.
• Этот рейтинг был подготовлен 17 июля, оставив 167 дней, или 45,8% года, для новых инцидентов, восстановлений и пересмотренных атрибуций, которые могут изменить список.

Крипто-убытки по безопасности достигли 1,316 миллиарда долларов за 344 инцидента в первой половине 2026 года, согласно H1-отчету CertiK по безопасности. Примерно 115,3 миллиона долларов было заморожено или возвращено, что снизило скорректированные убытки до около 1,2 миллиарда. Заметное улучшение по сравнению с 2025 годом требует контекста. В прошлом году итог за первую половину включал исключительный взлом Bybit на сумму 1,45 миллиарда долларов. Если исключить этот единичный эпизод, CertiK оценивает, что сопоставимые потери выросли примерно на 28% в 2026 году. Распределение этих убытков столь же важно, как и общий итог. Средняя стоимость инцидента составляла примерно 3,82 миллиона долларов, а медианный убыток — всего 138 703. Среднее при этом было более чем в 27 раз выше медианы, что показывает: небольшое число экстремальных провалов определило общий результат. Три инцидента — Kelp DAO, Drift Protocol и целевая кража через фишинг на 284 миллиона долларов — составили примерно 65% всех зарегистрированных убытков за первую половину. Ранжирование убытков требует большего, чем одно число Отчеты об инцидентах в криптоиндустрии часто сравнивают показатели, измеряющие разные формы ущерба.

Валовый убыток

Стоимость, удаленная из протокола или у жертвы до восстановлений.

Реализованное извлечение

Активы, которые злоумышленник успешно конвертировал в передаваемую экономическую ценность.

Чистый убыток

Сумма, которая все еще отсутствует после заморозок, возвратов, погашений и восстановлений.

Обязательства пользователей

Требования, которые должен выплатить платформа; они могут быть больше или меньше, чем первоначальные доходы злоумышленника.

Условное (нотиональное) воздействие

Теоретическая стоимость активов, выпущенных мошеннически или поставленных под риск, даже когда злоумышленник не смог монетизировать всю сумму.

Ниже представленное ранжирование в основном использует заявленные валовые убытки. Восстановления, оспариваемые оценки и расхождения между суммами, полученными злоумышленником, и обязательствами платформы указаны отдельно. Для инцидентов, связанных с выпуском токенов без обеспечения, реализованное извлечение более показательно, чем номинальная величина мошеннического предложения. Иначе злоумышленника, который создает токен на 100 миллионов долларов с низкой ликвидностью, но извлекает 1 миллион долларов реального обеспечения, можно было бы ошибочно ранжировать как кражу 100 миллионов долларов. Крупнейшие зарегистрированные криптоубытки 2026 года

1. Kelp DAO – 292 миллиона долларов 18 апреля злоумышленники заставили смарт-контракт Ethereum-бриджа Kelp DAO выпустить примерно 116 500 rsETH без соответствующего сжигания токена в исходной сети. Расследование Chainalysis показало, что атакующие скомпрометировали два внутренних узла RPC, которые использовались Decentralized Verifier Network из LayerZero, при этом одновременно нарушив внешний RPC-эндпоинт через распределенную атаку типа отказа в обслуживании (DDoS). Подмененные узлы сообщали о burn в исходной цепочке, который никогда не происходил. Поскольку в конфигурации бриджа Kelp использовался один верификатор, не требовалась вторая независимая сеть для подтверждения того, что заявленное сжигание было реальным. Контракт назначения получил корректно отформатированное и подписанное сообщение и выпустил активы ровно так, как было запрограммировано. Сбой произошел в инфраструктуре, поставляющей информацию в контракт, а не в выполнении контрактом этой информации. Kelp достаточно быстро приостановила затронутые контракты, чтобы остановить вторую попытку вывода с участием примерно 40 000 rsETH, что также оценивалось примерно в 95 миллионов долларов. Затем Arbitrum Security Council заморозил 30 766 ETH, связанных с дальнейшей активностью злоумышленника. Chainalysis и LayerZero приписали операцию Lazarus Group из Северной Кореи, в частности ее подразделению TraderTraitor. Атрибуция была сделана сторонами, непосредственно участвовавшими в расследовании, хотя выводы, касающиеся спонсируемых государством акторов, все еще могут меняться по мере появления дополнительных доказательств. Сумма, замороженная в дальнейшем, не стирает исходную ошибку в учете бриджа. Валовые убытки, подлежащие восстановлению средства, доходы злоумышленника и любая оставшаяся нехватка обеспечения должны рассматриваться как отдельные величины.
2. Drift Protocol – 285 миллионов долларов Drift Protocol потерял примерно 285 миллионов долларов 1 апреля после того, как злоумышленники получили административный контроль над его Security Council. По данным Chainalysis, люди, выдававшие себя за представителей количественной торговой компании, провели месяцы, выстраивая отношения с участниками Drift. В итоге членов Security Council убедили подписать транзакции с использованием функции durable-nonce в Solana, которая позволяет валидно подписанным транзакциям храниться и исполняться позже. Эти транзакции передали административный контроль на адрес, контролируемый атакующим. Получив эту власть, злоумышленники сняли лимиты на вывод, одобрили почти ничего не стоящий токен под названием CVT в качестве залога, присвоили ему искусственную оценку и внесли 500 миллионов единиц. Получившаяся позиция была использована для вывода USDC, SOL, ETH и других активов, несущих реальную внешнюю ценность. Административный захват произошел через две транзакции, выполненные с разницей в одну секунду, но последующие выводы продолжались в течение более длительного периода. Поэтому описание всей потери в 285 миллионов долларов как случившейся за 10 секунд было бы неточным. Chainalysis частично опирался на реконструкцию, основанную на собственном расследовании Drift, и отметил, что аккаунт еще не был независимо верифицирован через завершенный сторонний обзор. Промежуточные доказательства совпадали с предыдущими операциями из Северной Кореи, но формальная атрибуция оставалась в ожидании. Позже Drift обсуждал примерно 295 миллионов долларов пользовательских потерь. Эта более высокая цифра, судя по всему, отражает обязательства платформы, а не первоначальные доходы злоумышленника, и ее не следует трактовать как альтернативную оценку той же величины.
3. Убыток от целевого фишинга, о котором сообщила CertiK – 284 миллиона долларов Один человек потерял примерно 284 миллиона долларов в инциденте целевого социального инжиниринга в январе, сообщил CertiK. Личность жертвы и полная последовательность атаки не были публично раскрыты. Это ограничивает выводы, которые можно ответственно сделать относительно конфигурации кошелька, точного метода социального инжиниринга и перспектив восстановления. При этом масштаб значительный. Один приватно контролируемый кошелек произвел почти такой же финансовый ущерб, как бреш в Drift Protocol, и превысил совокупные потери от большинства более мелких эксплойтов протоколов, зафиксированных в первой половине года. CertiK учел 366,3 миллиона долларов фишинговых потерь в 63 инцидентах в H1. Количество случаев фишинга снизилось на 52,3% по сравнению с тем же периодом 2025 года, но потери упали лишь на 10,8%. Четыре инцидента составили примерно 85% всех фишинговых потерь. Данные указывают на изменение выбора цели, а не на исчезновение фишинга. Широкомасштабные кампании остаются распространенными, но финансовый результат все чаще определяется небольшим числом тщательно подготовленных операций, направленных на людей или организации, контролирующие существенное onchain-богатство.
4. Step Finance – примерно 40 миллионов долларов Step Finance сообщила, что примерно 40 миллионов долларов были выведены из казначейства 31 января после того, как устройства, используемые участниками ее исполнительной команды, были скомпрометированы. В официальном обновлении по инциденту проект заявил, что восстановил примерно 3,7 миллиона долларов в активах Remora и еще 1 миллион долларов в других позициях.

Заявление о недавнем инциденте безопасности

В начале второй половины дня 31 января (APAC), примерно $40M было выведено из казначейства Step Finance. Это произошло из-за того, что устройства нашей исполнительной команды были скомпрометированы.

Сразу после обнаружения взлома мы начали работу…

— Step☀️ (@StepFinance_) 2 февраля 2026

Ранее onchain-оценки потерь были ближе к 27 миллионам долларов, потому что они фокусировались на примерно 261 854 SOL, изначально идентифицированных как выведенные из казначейских кошельков. Более поздняя цифра Step включала более широкий круг затронутых активов. Использование грубой оценки проекта в 40 миллионов долларов при отдельном сообщении о восстановленной сумме дает более полную картину, чем выбор одной цифры без объяснения, почему оценки различаются. Финансовые последствия атаки также могут выходить за пределы суммы, переведенной атакующему. Чрезвычайное финансирование, юридические расходы, компенсации пользователям, прерванные операции и потерянная выручка могут увеличить итоговое влияние на бизнес по сравнению с первоначальным onchain-выводом. 5. Humanity Protocol – 36 миллионов долларов Humanity Protocol подвергся атаке 9 июня после того, как скомпрометированное устройство раскрыло данные кошелька и приватные ключи, связанные с привилегированными аккаунтами проекта. В своем официальном объяснении Humanity заявила, что атакующий скопировал приватные ключи с устройства и использовал их для выполнения onchain-атаки. Проект также сообщил, что контракт Ethereum H-токена защищен отдельным чистым multisig, и что его канонический mainnet-бридж не был скомпрометирован.

https://t.co/VjouykTSPw

— Humanity (@Humanityprot) 12 июня 2026

Опубликованные оценки варьируются примерно от 31 миллиона до 36 миллионов долларов — отчасти потому, что украденные H-токены оценивались по разным рыночным ценам и на разных стадиях инцидента. Более важная структурная проблема — сосредоточение нескольких привилегированных учетных данных на одном скомпрометированном узле. Multisignature-схема обеспечивает осмысленную защиту только тогда, когда ее ключи разделены между людьми, устройствами, локациями и административными средами. Несколько учетных данных, хранящихся на одном и том же компьютере или доступных для восстановления с него, могут удовлетворять onchain-порог подписи, оставаясь при этом фактически одной точкой практического отказа. 6. Resolv Protocol – примерно 26,8 миллиона долларов Resolv Protocol был эксплуатирован 22 марта после того, как атакующий скомпрометировал его облачную инфраструктуру и получил доступ к ключу, контролируемому через AWS Key Management Service. Resolv использовал offchain-сервис для авторизации создания USR после того, как пользователи вносили залог. Согласно инцидент-анализу CertiK, атакующий сделал сравнительно небольшие легитимные депозиты USDC, а затем использовал скомпрометированную роль сервиса для авторизации примерно 80 миллионов USR в рамках двух транзакций. Контракт проверил, что авторизация пришла от одобренного сервиса. Он установил минимальный выход, но не применял максимальную сумму, привязанную к внесенному пользователем залогу. После компрометации привилегированного сервиса атакующий мог производить подписи, которые были криптографически валидны, но экономически ничем не поддержаны. Это не означает, что облачные сервисы управления ключами по своей сути непригодны для криптоинфраструктуры. Более крупная проблема дизайна заключалась в объеме неограниченной экономической власти, выданной одной сервисной роли. Защищенный ключ все равно может стать катастрофической точкой отказа, когда контракт, принимающий его подписи, не навязывает независимо коэффициенты залога, потолки минтинга, лимиты транзакций или скорость выводов. 7. Truebit – 26 миллионов долларов Truebit был эксплуатирован 8 января из-за уязвимости integer-overflow в bonding-curve контракте, развернутом в 2021 году. Контракт был скомпилирован с Solidity 0.5.3 — до появления автоматической защиты от переполнений в Solidity 0.8.0. Атакующий подал исключительно большое значение, из-за чего арифметическое вычисление обернулось к числу, близкому к нулю. Это позволило чеканить большие количества TRU почти без ETH, а затем выкупать (redeem) их за реальный ETH, хранящийся в контракте. Chainalysis оценил основную потерю в 26,2 миллиона долларов. CertiK поместил суммарную величину ближе к 26,6 миллиона долларов, включая примерно 224 000 долларов, извлеченных вторым атакующим. Скомпрометированная реализация не была публично верифицирована на Etherscan. Это не помешало атакующим изучить ее. Bytecode контракта можно декомпилировать, поведение старого компилятора можно определить, а предполагаемые уязвимости — протестировать через симуляции или форки блокчейна. Truebit — самая понятная крупная оговорка к общему паттерну, наблюдаемому в 2026 году. Его потеря возникла из-за логики публичного выполнения, а не из-за компрометации операционных полномочий. Это также показывает, почему «спящие» (дремлющие) контракты должны оставаться в рамках аудита, мониторинга и bug-bounty только до тех пор, пока они сохраняют средства или разрешения. Почему Echo Protocol не попадает в рейтинг кражи на 76,7 миллиона долларов Echo Protocol иногда описывают как понесший потерю в 76,7 миллиона долларов, потому что атакующий использовал скомпрометированный ключ администратора, чтобы отчеканить 1,000 не обеспеченных eBTC с таким номинальным значением. Атакующий не извлек 76,7 миллиона долларов в реальных активах. По данным Merkle Science, 45 из мошеннических eBTC были внесены в lending-протокол Curvance. Атакующий занял примерно 11,29 WBTC, стоимость которых составляла около 867 000 долларов, прежде чем оставшиеся 955 не обеспеченных eBTC были сожжены. Точные цифры, следовательно, такие:

• Мошеннический выпуск: примерно 76,7 миллиона долларов в условных eBTC.
• Реально извлеченные активы: примерно 867 000 долларов в WBTC.
• Оставшееся необеспеченное предложение: сожжено после инцидента.

Классификация всего условного объема как украденного преувеличила бы реализованный ущерб почти в 90 раз. Echo все же выявляет важную проблему риска по обеспечению. Oracle Curvance корректно распознал рыночную стоимость, присвоенную eBTC, но не мог определить, что именно эти токены были созданы без обеспечения. Целостность цены — это не то же самое, что целостность выпуска. Лендинг-протоколам, принимающим внешне выпущенный залог, нужны механизмы контроля для аномального создания предложения, изменений в чеканящей (minting) власти, внезапных депозитов залога, верификации обеспечения и административного риска на уровне эмитента. Правильный ценовой фид сам по себе не отвечает на эти вопросы. Общий сбой был в Control Plane Крупнейшие инциденты 2026 года не разделяли одну-единственную уязвимость в коде. Они разделяли слабости в системах, отвечающих за то, что коду разрешено делать. В терминологии традиционной инфраструктуры исполнительный слой обрабатывает обычную активность, тогда как control plane определяет разрешения, конфигурации, доверенные источники данных и исключительные действия.

Эта разница хорошо соотносится с крупнейшими инцидентами:

Kelp: верификатор принял подделанную версию активности в исходной цепочке.

Drift: валидные подписи передали административный контроль.

Step: скомпрометированные устройства руководителей раскрыли власть над казначейством.

Humanity: скомпрометированный endpoint раскрыл привилегированные ключи.

Resolv: скомпрометированная роль сервиса создала валидные, но экономически ничем не подтвержденные авторизации.

Echo: один администраторский ключ мог выдать неограниченную власть минтинга.

Truebit: исключение — арифметическая ошибка в старом коде контракта.

CertiK зафиксировал 204 инцидента с уязвимостью кода в первой половине года, что дало примерно 151,6 миллиона долларов убытков. Компрометации кошельков нанесли 444,5 миллиона долларов убытков всего лишь в 33 инцидентах. Это выходит в среднем примерно 743 000 долларов на инцидент уязвимости кода и 13,5 миллиона долларов на инцидент компрометации кошелька. В среднем компрометация кошелька была примерно в 18 раз дороже. Сравнение не делает аудит смарт-контрактов менее важным. Оно показывает, что аудит контракта, исключая его подписантов, зависимости от RPC, административные интерфейсы, облачные роли и аварийные контроли, оставляет существенную часть финансовой системы не протестированной. Пять контролей, которые устраняют реальные провалы Навязывайте экономические лимиты после аутентификации Валидная подпись должна доказывать, кто одобрил действие. Она не должна выдавать неограниченную экономическую власть. Минтинг, бриджинг, одобрение залога и выводы можно по-прежнему ограничивать через максимальные размеры транзакций, скользящие лимиты, коэффициенты залога, задержки по времени, лимиты по активам и автоматические паузы. Эти контроли могут не предотвратить компрометацию учетных данных, но они могут остановить то, чтобы один скомпрометированный ключ сразу создал неограниченную ответственность. Измеряйте независимость, а не количество ключей 3 из 5 multisig не является осмысленно распределенным, когда три ключа можно восстановить с одного ноутбука или когда они контролируются через один и тот же корпоративный аккаунт. Рекомендации NIST по управлению ключами подчеркивают контролы жизненного цикла, включая авторизацию, бэкапы, подотчетность, разделение обязанностей, реакцию на компрометацию и защиту материалов ключей. Протоколы должны определить, разделяют ли «якобы независимые» подписанты устройства, менеджеры паролей, облачные tenants, процедуры восстановления, физические локации или линии отчетности. Мониторьте отношения, а не только транзакции Любая отдельная транзакция в эксплойте Kelp выглядела валидной. Обнаруживаемым провалом оказалось отсутствие связи между двумя цепочками: rsETH выпустили в Ethereum, не сжигая на исходной цепочке. Мониторинг бриджа должен постоянно сверять блокировки, сжигания, минтинги и релизы по каждой релевантной сети. Похожие проверки инвариантов могут сравнивать депонированный залог с отчеканенными токенами, резервы с обращающимся предложением, а одобренные лимиты вывода — с фактическими оттоками. Симулируйте административный замысел перед подписью Аппаратные кошельки защищают приватные ключи, но не могут определить, одобряет ли легитимный пользователь вредоносную транзакцию. Административные транзакции следует декодировать и симулировать в отдельной среде до выполнения. Подписанты должны видеть изменения полномочий, вновь одобренные залоговые активы, ценовые параметры, лимиты вывода, апгрейды контрактов и переходы владения — а не только хэш транзакции или непрозрачный запрос кошелька. Держите legacy-контракты внутри периметра безопасности Контракт не становится безопаснее только потому, что он несколько лет работал без инцидентов. Любое развертывание, которое удерживает активы, обрабатывает погашения (redemptions), управляет правами протокола или остается подключенным к текущим продуктам, должно иметь верифицированный исходный код, задокументированные допущения компилятора, активный мониторинг и включение в программы аудита и bug-bounty. Помощь ИИ усиливает существующие модели мошенничества ИИ не создал базовые уязвимости за Kelp, Drift, Resolv или Echo. Его более непосредственный эффект — снижение стоимости исследований целей, имперсонации (подделки личности), локализации и поддержания долгой коммуникации. В Crypto Crime Report 2026 от Chainalysis, который анализирует активность 2025 года, нашли, что мошеннические операции, имеющие идентифицируемые связи с провайдерами AI-сервисов, были примерно в 4,5 раза прибыльнее мошенничеств без таких связей. Эти данные не стоит подавать как доказательство, что каждый изощренный взлом в 2026 году использовал ИИ. Они показывают, что операции с ИИ-помощью уже давали более высокую отдачу и могли сделать несколько устоявшихся техник проще масштабировать:

Синтетическая идентичность

Имитация личности с помощью deepfake видео и голоса.

Расширенная разведка

Исследование целей в социальных и профессиональных сетях.

Многоязычный социальный инжиниринг

Долгие разговоры на нескольких языках.

Адаптивный фишинг

Клонированные интерфейсы и персонализированные страницы фишинга.

Автоматизированные исследования уязвимостей

Автоматизированный анализ контрактов и декомпилированного bytecode.

Вероятное развитие — сочетание социальных и технических методов. Социальный инжиниринг получает учетные данные или авторизацию; существующие разрешения протокола превращают этот доступ в финансовый убыток. Изменения регулирования требуют ответственности, а не «механики эксплойтов» Переходный период MiCA Европейского Союза завершился 1 июля 2026. Подпадающие крипто-asset сервис-провайдеры в целом теперь должны получать авторизацию, чтобы продолжать работать в ЕС — в пределах охвата регулирования и с учетом решений национальных надзорных органов. MiCA может укрепить управление, хранение, операционные контроли и подотчетность. Но она не может определить, использует ли бридж независимых верификаторов, правильно ли разделены привилегированные ключи или понимает ли уполномоченный подписант вредоносную транзакцию. Закон США GENIUS Act был подписан 18 июля 2025 года и устанавливает федеральную рамку для расчетных стейблкоинов. Это не универсальный режим кибербезопасности для каждого бриджа, биржи, кошелька или DeFi протокола. Регулирование определяет, кто несет ответственность и какие меры защиты должны существовать. Инженерия безопасности определяет, может ли поддельное сообщение, скомпрометированный ключ или вредоносное одобрение выполнить действие до того, как эти меры защиты отреагируют. Что отслеживать до конца 2026 года Окончательную картину по безопасности в 2026 году следует оценивать не только по накопленному заголовочному убытку.

Security Intelligence: ключевые индикаторы

Концентрация потерь

Продолжают ли несколько экстремальных инцидентов доминировать в годовом итоге.

Площадь атаки

Остаются ли более дорогими компрометации кошельков, админов, облака и инфраструктуры, чем эксплойты кода.

Ущерб с учетом восстановления

Сколько остается недостающим после заморозок, погашений и согласованных возвратов.

Качество атрибуции

Поддерживаются ли предварительные связи с группами, связанными с государствами, завершенными расследованиями.

Принятие контролей

Внедряют ли протоколы независимую верификацию, симуляцию транзакций, разделение ключей и исполнимые экономические лимиты до следующей крупной атаки.

Этот рейтинг — это снимок, подготовленный 17 июля, а не окончательная запись за год. Почти 46% 2026 года еще впереди, и исторические цифры потерь могут продолжить меняться из-за восстановлений активов, пересмотра цен токенов, появления новых идентифицированных кошельков и более четких различий между условным воздействием и реализованной кражей. Доказательства поддерживают более узкий вывод: инциденты с наибольшей ценностью все чаще нацеливались на control-системы вокруг смарт-контрактов, подписантов, устройств, инфраструктуры RPC, привилегированных сервисов и сетей верификации — а не только на логику контрактов.

Эта статья предназначена только для образовательных целей. Оценки инцидентов могут изменяться из-за колебаний цен на активы, восстановлений, пересмотра атрибуции и различий между валовым охватом, реализованным извлечением и чистыми убытками.