Около 77% всех потерь криптоиндустрии в третьем квартале пришлось на скомпрометированных поставщиков, инструменты разработки и инфраструктурные компоненты, не охваченные проверками безопасности. Общие убытки от взломов за квартал приблизились к $1,2 млрд, а крупнейшими инцидентами стали эксплойты бирж Bitget и Liquid.
Данные приводит компания Hacken, специализирующаяся на аудите блокчейн-безопасности. Главный вывод отчёта: злоумышленники всё чаще атакуют не сами протоколы, а их окружение — то, что обычно остаётся вне поля зрения аудиторов.
Почему проверенный код не спасает от кражи средств
Классический аудит безопасности проверяет код смарт-контрактов — программ, автоматически исполняющих условия сделки в блокчейне. Однако в третьем квартале основная масса украденных средств ушла через каналы, которые такие проверки просто не покрывают.
Напомним, что взлом Ledger вновь разжёг спор о том, безопаснее ли Bitcoin ETF, чем самостоятельное хранение.
По данным Hacken, около 77% квартальных потерь пришлось на три категории инфраструктурных слабостей:
- Скомпрометированные поставщики — подрядчики и сервисы, через которые злоумышленники получали доступ к внутренним системам компаний.
- Инструменты разработки — вредоносное ПО и подменённые библиотеки в цепочке создания продуктов.
- Инфраструктурные компоненты вне аудита — серверы, ключи и сервисы, которые формально не проверяются при сертификации протокола.
Атаки на цепочку поставок и инструменты разработки означают, что даже полностью проверенный код смарт-контракта может оказаться бесполезен, если скомпрометирован хотя бы один внешний компонент.
Крупнейшими инцидентами квартала стали эксплойты биржи Bitget и платформы Liquid. Обе атаки укладываются в описанную схему: уязвимость возникала не в самом протоколе, а во внешней инфраструктуре или у поставщика услуг.
Ранее сообщалось, что Ledger нашла несанкционированный чип в устройстве от реселлера CryptoBilis.
Как злоумышленники уходят из кода в цепочку поставок
Ещё несколько лет назад большинство крупных краж в крипте происходили из-за ошибок непосредственно в смарт-контрактах — реентранси, ошибки логики, слабые генераторы случайных чисел. Аудиторские фирмы строили бизнес именно на поиске таких дефектов.
Сейчас картина меняется. Злоумышленники всё чаще идут в обход кода — через сотрудников, подрядчиков, SDK и CI/CD-пайплайны. Это делает стандартные аудиты менее эффективными как единственная мера защиты.
Почти восемь из десяти долларов, украденных в третьем квартале, ушли через инфраструктурные каналы, которые не проверяются при обычном аудите смарт-контрактов.
Для проектов это означает необходимость расширять периметр проверки: аудировать не только код, но и поставщиков, ключевые сервисы, процессы доступа разработчиков. Без этого даже идеально проверенный контракт остаётся уязвимым.
Что квартальные убытки говорят о смене структуры атак
Третий квартал продолжил тренд последних двух лет: убытки от взломов в крипте остаются на уровне сотен миллионов долларов за квартал, а общий счёт за год приближается к миллиардам. При этом структура атак устойчиво смещается в сторону инфраструктуры и социальной инженерии.
Для бирж и DeFi-протоколов — децентрализованных финансовых приложений — это означает рост расходов на безопасность и пересмотр подходов к работе с подрядчиками. Пользователям стоит учитывать: наличие аудита больше не гарантирует сохранность средств.
Следующий квартал покажет, станет ли рост атак на цепочку поставок устойчивой тенденцией или разовым всплеском. Ответ во многом зависит от того, насколько быстро индустрия перестроит стандарты безопасности.