$1 млрд за полгода: аналитики КоинКит подсчитали, как и где хакеры воруют криптовалюту в 2026 году

За первое полугодие 2026 года хакеры украли у криптоиндустрии ровно $1 миллиард. Аналитики AML-платформы КоинКит зафиксировали 189 инцидентов — и пришли к выводу: взламывать код становится всё сложнее, поэтому хакеры переключились на людей.

Два вектора, один миллиард

Почти весь ущерб за полгода сосредоточен в двух типах атак.

Первый — ограбление крипто-мостов, то есть межсетевых шлюзов, которые переводят монеты из одного блокчейна в другой. Таких инцидентов было 18, суммарный ущерб — $370,7 млн. Это абсолютный лидер антирейтинга.

Второй — захват административных ключей управления (мультисигов). Случаев всего 6, но каждый из них обходился в среднем по $51 млн. Суммарно — $306,6 млн. Главными жертвами стали KelpDAO ($292 млн) и Drift Protocol ($285 млн).

Для сравнения: классические ошибки в коде программ (38 случаев) и небезопасные разрешения на списание средств (25 случаев) хоть и случались чаще, суммарно принесли хакерам менее $30 млн.

Как взломали Drift Protocol: полгода работы за 12 минут

1 апреля 2026 года хакеры вывели $285 млн из Drift Protocol — крупнейшей децентрализованной биржи на блокчейне Solana с месячным объёмом торгов около $1,88 млрд.

Атака заняла 12 минут. Подготовка — полгода. Осенью 2025 года злоумышленники под видом партнёров познакомились с командой Drift на отраслевой конференции. Втёрлись в доверие, предложили интеграцию.

Со временем убедили разработчиков подписать обновление мультисига с опасной конфигурацией: таймлок на операции был установлен в ноль секунд — фактически сейф без замка. Когда один из «своих» участников мультисига подтвердил смену администратора, вторую из двух необходимых подписей поставил хакер. Дальше — запуск фиктивного токена, оценка в $480 млн, вывод $270–285 млн под его залог.

Elliptic и TRM Labs зафиксировали характерные признаки группировки Lazarus — государственной хакерской структуры КНДР. Скорость и масштаб отмывания превысили даже взлом Bybit на $1,4 млрд в 2025 году.

Как взломали KelpDAO: один верификатор на $292 млн

18 апреля 2026 года настала очередь KelpDAO — протокола рестейкинга на базе EigenLayer. Потери: $292 млн.

Уязвимость была архитектурной: при получении межсетевых сообщений через протокол LayerZero проверку проходил всего один верификатор. Хакеры не атаковали его напрямую. Вместо этого они получили доступ к двум RPC-нодам — источникам данных для верификатора — и через них передали поддельные сообщения о транзакциях.

Верификатор поверил. В результате злоумышленники создали 116 500 ничем не обеспеченных токенов rsETH и использовали их как залог на платформе Aave, чтобы вывести реальный ETH. Атака затронула 9 DeFi-протоколов, а суммарный объём заблокированных средств (TVL) в Aave сократился на $10 млрд.

Circle — компания, выпускающая стейблкоин USDC, — более шести часов не реагировала на запросы о блокировке кошельков злоумышленников. Это вызвало в индустрии не меньше критики, чем сам взлом.

Новый тренд: хакеры атакуют людей, а не код

Если в начале года большинство потерь было связано с невнимательностью инвесторов и ошибками в смарт-контрактах, то к лету 2026 года ситуация изменилась.

По данным аналитиков КоинКит, в последние три месяца активность злоумышленников выросла более чем вдвое — и сформировался устойчивый тренд высокобюджетных точечных ударов. Основатель платформы Immunefi Митчелл Амадор сформулировал это точно: «С усложнением эксплуатации кода главной целью хакеров в 2026 году стали люди».

Идеальный аудит смарт-контракта больше не защищает проект, если хакер уже подружился с разработчиком. Это принципиальный сдвиг в логике угрозы.

Что это означает для обычного инвестора

Прямой угрозы для личного кошелька в этих атаках нет — хакеры бьют по протоколам и биржам. Но есть два косвенных риска.

Первый: после крупных краж на рынке резко вырастает объём «грязной» криптовалюты. Монеты, прошедшие через адреса злоумышленников, могут попасть к добросовестным пользователям через P2P или обменники. При попытке завести такую крипту на лицензированную платформу счёт могут заблокировать.

Второй: активы внутри кроссчейн-протоколов и мостов несут повышенный риск именно сейчас — пока мосты остаются главной мишенью. Не держите там ликвидность дольше, чем нужно для обмена.

Аналитики КоинКит отследили адреса из цепочек апрельских атак — они помечены в системе как High Risk. Регулярно проверяйте кошельки контрагентов через AML-сервисы и отзывайте неограниченные разрешения на списание средств смарт-контрактами: именно через такие разрешения прошла значительная часть потерь первого полугодия.