Крипту взламывают всё чаще, а не реже. Слив Liquid Network показывает настоящую проблему: $1.5 миллиона потрачено на защиту $5 миллиардов в активах.
# Почему крипту продолжают взламывать — $1.5M на защиту $5 миллиардов
Основные выводы
- Крипту взламывают всё чаще, а не реже: примерно $1.4 миллиарда украдено за 250 атак в 2026 году, против $2.7 миллиарда за 146 в 2025 году — более мелкие средние кражи, но гораздо более высокая частота.
- Взлом [Blockstream](https://blockstream.com) [Liquid Network](https://liquid.net) раскрыл гниющий стимул, лежащий в основе: бюджет на безопасность в $1.5 миллиона, охраняющий $5 миллиардов активов — расход всего 0.03%.
- Самопровозглашенный "white hat" вернул 3,400 BTC и оставил себе 598.5 BTC (~$47 миллионов) в качестве самоназначенной награды — примерно в 30 раз больше всего бюджета на безопасность.
- Скомпрометированные ключи и социальная инженерия — а не ошибки в смарт-контрактах — стали основной причиной убытков DeFi в долларовом выражении в этом году, опередив эксплойты кода.
- Долговечный урок: риск безопасности теперь является первостепенным, оцениваемым входным параметром, и выживут те протоколы, которые финансируют безопасность как основной продукт, а не как второстепенную мысль.
6 сентября 2026 года кто-то ушел с примерно 4,000 Bitcoin — около $320 миллионов — из кошелька федерации, обеспечивающего Liquid, сайдчейн Bitcoin от Blockstream. Это не был украденный ключ. 11-из-15 мультисиг устоял, а ключи авторизации peg-out никогда не были затронуты. Незнакомец нашел уязвимость в Elements, открытом кодовом базисе, на котором работает Liquid, выпустил L-BTC, которые не были обеспечены реальным Bitcoin, и выкупил их через главный вход как обычный клиент. Резерв упал с 4,200 BTC до 197 BTC примерно за 23 минуты.
Затем последовала странная часть. Атакующий не сбежал. Они написали "we are whitehats. contact us on chain" в транзакции Bitcoin и начали публично вести переговоры о возврате $320 миллионов, по одному сообщению OP_RETURN за раз. Через день они вернули 3,400 BTC — 85% добычи — и оставили себе 598.5 BTC, около $47 миллионов, в качестве самоназначенной награды.
Вот цифра, которая должна заставить каждого основателя, трейдера и LP сесть ровно: 9 сентября атакующий сообщил миру, что Blockstream выделил всего 1,5 миллиона долларов для защиты активов на 5 миллиардов долларов. «Ваша невыполненность долга очевидна», — написал он, угрожая оставить остальное, если Blockstream не заплатит 10% вознаграждения.
Этот коэффициент — вся история криптобезопасности 2026 года. Не технический сбой. Сбой стимулов. Если вы хотите понять, почему крипту продолжают взламывать, перестаньте читать постмортемы смарт-контрактов и начните читать таблицу бюджета.
## Почему поверхность атаки сместилась от кода к людям?
Десятилетие индустрия относилась к безопасности как к проблеме код-ревью: больше аудиторов, больше формальной верификации, больше баг-баунти за реентеранси и переполнение. Атакующие просто поднялись выше по стеку. В 2026 году атаки с компрометацией ключей опередили эксплойты смарт-контрактов как главную причину потерь DeFi в долларовом выражении — потому что именно там теперь находится неохраняемая стоимость.
Посмотрите на худшее одиночное ограбление года. В апреле [Drift Protocol](https://drift.trade), крупнейшая биржа перпетуалов Solana, потеряла около $285 миллионов. Это не был баг. Это была полугодовая разведывательная операция Северной Кореи (отслеживается как UNC4736, или AppleJeus). Оперативники притворились квантовой трейдинговой фирмой, встречались с контрибьюторами лично на конференциях в нескольких странах и внесли более $1 миллиона собственного капитала, чтобы завоевать доверие. Затем они скомпрометировали двух контрибьюторов — одного через вредоносный репозиторий кода, другого через поддельное приложение-кошелек TestFlight, эксплуатировавшее уязвимость бесшумного выполнения кода в VSCode и Cursor. Контракты Drift были проаудированы Trail of Bits в 2022 году. Чистый аудит, но средства вывели за двенадцать минут через 2-of-5 мультисиг с нулевым таймлоком.
Тот же паттерн, другой день: KelpDAO потеряла примерно $292 миллиона, когда атакующий подал ложные данные её единственному доверенному верификатору. Tectonic потеряла около $75 миллионов из-за тонкого коллатерала и оракула памп-дамп. Coldcard потеряла $115–130 миллионов из-за бага генератора случайных чисел в прошивке. Ни один из этих случаев не был изощрённым нуль-деем. Это были единичные точки доверия, лишённые защиты в глубине.
Частота — это признак. $1.4 billion across 250 attacks in 2026, versus $2.7 billion across 146 in 2025. Fewer dollars, far more incidents — the average heist is smaller, faster, and increasingly automated. Bridges and cross-chain infrastructure now account for 26 attacks (over 10% of the total), versus just 3 in 2025. This is the professionalization of theft: a long tail of semi-automated attackers farming the underfunded edges of the ecosystem.
## Кто выигрывает, когда «белый хакер» оставляет себе $47 million?
CTO Ledger Шарль Гийоме назвал эпизод с Liquid «похожим на вымогательство, а не на хакерство в белых шляпах». Он прав в методе — сначала слить, потом торговаться — это принуждение, а не ответственное раскрытие. Но неудобная часть — в цифре. Уязвимость, способная слить $320 million за 23 minutes, стоит миллионы по любому серьезному стандарту баг-баунти. Единственная причина, почему это читается как скандал, в том, что Blockstream никогда не оценила риск сама. Атакующий сделал оценку за них — и, что парадоксально, рынок молча соглашается.
Победителей легко назвать. Исследователи безопасности, которые годами добивались реальных вознаграждений, только что получили самое сильное предложение о работе: живое доказательство того, что выгода от обнаружения крупной уязвимости огромна. Аудиторы, страховые компании и фирмы по мониторингу тоже в выигрыше — спрос на их услуги вот-вот резко вырастет. Атакующие, очевидно, тоже в выигрыше.
Проигравшие: держатели L-BTC, чьи средства были заморожены, пока сеть оставалась приостановленной, при доверии сайдчейну, операторы которого потратили лишь 0,03% от потенциальных убытков на его защиту. И репутация Blockstream получает самый глубокий урон — это была не какая-то маленькая стартап-компания, а самая серьёзная в плане Bitcoin компания в отрасли, и даже она недофинансировала безопасность на порядки.
## Происходило ли это раньше — или это новое?
Существует долгая история возврата хакерами похищенных средств: Poly Network в 2021 году ($610 миллионов, все возвращены), Euler в 2023 году ($197 миллионов, в основном возвращены). Но это были воры, которых поймали, и они выбрали реституцию. В чем отличие Liquid — так это в подаче: атакующий объявил себя «белым хакером» еще до того, как кража была обнаружена, а затем использовал возвращенные средства как рычаг, чтобы выбить публичные уступки.
Это новая категория — назовите это вымогательское ПО с формой раскрытия информации. И это работает только из-за более глубокой, старой проблемы: бюджеты безопасности в крипте грубо непропорционально распределены относительно рискуемой стоимости. Инцидент с Liquid — это просто первый случай, когда атакующий публично использовал бюджет безопасности проекта как аргумент для преступления. Это маркер зрелости, хоть и извращенный — атакующие теперь понимают экономику крипты лучше, чем многие основатели.
## Куда это приведет в ближайшие три года?
Три предсказания, ни одно из которых не касается цен. Первое: расходы на безопасность станут профессиональными, иначе протоколы будут «выпасаны». Соотношение $1,5 миллиона к $5 миллиардам неоправданно и теперь публично; ожидайте, что серьезные проекты сойдутся на однозначных базисных пунктах TVL, выделенных на безопасность, как минимум, а остальные будут вычищены дочиста.
Второе: «белый хакер с пистолетом» станет признанной — пусть и уродливой — чертой ландшафта. Будь то регуляторы называют это вымогательством, или суды — кражей, стимулы зафиксированы: незналец нашел критический баг и получил выплату в 30 раз превышающую весь бюджет безопасности жертвы. Это повторится, потому что рынок продолжает финансировать приз.
Третье: страхование и аттестация станут рвом. Протоколы, выжившие в отсеве 2026–2027 годов, не будут теми, у кого самые хитрые контракты; это будут те, у кого реальные команды безопасности, реальные баг-баунти, таймлоки и покрытие. DeFi скоро станет скучным — а скучное — именно то, чего ждут институты.
## Что это означает для трейдеров?
Относитесь к риску безопасности как к первостепенному, оцениваемому в цене фактору — так же, как к риску ликвидности или регуляторному риску, а не как к сноске. "Скидка за хак" реальна и накапливается: TVL Tectonic рухнул с $121.7 million до примерно $3 million после его эксплойта. Когда протокол взламывают, ликвидность не возвращается. Асимметрия жестока — вас не компенсируют за хвостовой риск размещения капитала в мосту с одним верификатором или в неаудируемом лендинг-маркете.
Концентрация — это скрытая корреляция. L-BTC, федеративные сайдчейны и мосты с одним верификатором выглядят как экспозиция к "Bitcoin" или "ETH", но они несут программный и контрагентский риск, которого нет у базового актива. Базовая цепь не была взломана; взломан был враппер. Если ваша тезис — "Я хочу экспозицию к Bitcoin", хранение обернутой или сайдчейн-версии молча добавляет риск, за который вам не платят.
И наблюдение "лопаты и кирки": повторяющаяся тема, которая накапливается через каждый цикл хаков — это не токен, а стек безопасности. Аудиторы, страховщики, мониторинговые фирмы и протоколы, которые должным образом финансируют безопасность — там, где накапливается устойчивая ценность. Не рекомендация; просто заметка о том, где сейчас находится истинно дефицитный ресурс индустрии: доверие.
## Счет всегда приходит к оплате
Blockstream, вероятно, компенсирует убытки держателям L-BTC — Адам Бэк сказал, что пег будет покрыт 1:1. Деньги, в конечном счете, в основном вернутся. Но урок не отменить: индустрия, собравшая миллиарды на маркетинг и запуски токенов, потратила $1.5 million на охрану $5 billion — и незнакомец с текстовым редактором должен был показать ей математику, под дулом пистолета, за 30x the budget.
В следующий раз, когда кто‑то спросит, почему криптовалюты продолжают взламываться, не показывайте им постмортем. Покажите им таблицу.
## Часто задаваемые вопросы
Почему криптовалюты продолжают взламываться в 2026 году?
Основная причина потерь сместилась от уязвимостей смарт‑контрактов к скомпрометированным ключам, одиночным проверяющим и социальной инженерии. Злоумышленники поднялись по стеку до уровней людей и инфраструктуры, потому что именно там ценность находится без защиты.
Был ли Liquid Network "white hat" настоящим white hat?
Сомнительно. Злоумышленник вернул 85% средств, но удержал примерно $47 million и пригрозил оставить их без 10% награды — что CTO Ledger Чарльз Гийемет и другие назвали "more like extortion than white-hat hacking."
Сколько Blockstream потратило на безопасность?
Атакующий раскрыл, что Blockstream выделил около $1.5 миллиона для защиты примерно $5 миллиардов активов в Liquid — примерно 0.03%.
Компрометировал ли взлом Liquid сам Bitcoin?
Нет. Базовый слой Bitcoin не был затронут. Ошибка находилась в Elements, программном обеспечении, обеспечивающем работу сайдчейна Liquid, и в федеративной инфраструктуре вокруг peg. Никакие multisig-ключи не были скомпрометированы.
Какой единственный самый важный урок для пользователей DeFi?
Безопасность теперь является оцениваемым риском первого порядка. Концентрация средств в мостах с одним верификатором, федеративных сайдчейнах или неаудированных протоколах добавляет хвостовой риск, за который вы не получаете компенсации — а взломанные протоколы редко восстанавливают свою ликвидность.