Хакерские атаки на криптосервисы за первое полугодие 2026 года

О хакерских атаках за первое полугодие 2025 года можно почитать в нашем материале: Хакерские атаки на криптосервисы: итоги 1 полугодия 2025 года | Shard.

Первое полугодие 2026 года стало рекордным по количеству крупных хакерских атак на криптосервисы. За шесть месяцев мы зафиксировали 211 инцидентов с совокупным ущербом около $1,3 млрд. Для сравнения: годом ранее таких атак было чуть более 80, а в первом полугодии 2024 года — более 50. Таким образом, всего за два года количество крупных атак выросло более чем в четыре раза.

При этом динамика финансового ущерба выглядит гораздо менее линейной. В 2024 году суммарные потери составили $1,488 млрд, а в 2025 году выросли на 40,9%, достигнув рекордных $2,096 млрд. Однако почти две трети ущерба 2025 года пришлись на один беспрецедентный инцидент — взлом Bybit, в результате которого было похищено около $1,4 млрд. Без этой атаки общий ущерб за первое полугодие 2025 года составил бы около $696 млн.

На этом фоне показатель 2026 года выглядит особенно интересно. $1,3 млрд ущерба — это примерно на 87% больше, чем совокупные потери 2025 года без учёта Bybit. При этом по сравнению с рекордным 2025 годом общий ущерб в 2026 году снизился примерно на 38%, а относительно 2024 года — на 12,6%.

Распределение атак по месяцам

Первое полугодие 2026 года характеризовалось заметным ускорением активности злоумышленников во второй половине периода.

В январе было зафиксировано 29 инцидентов, в феврале — 26, а в марте — 30. Уже в апреле число атак заметно выросло до 38, после чего в мае был установлен максимум — 48 атак за месяц. В июне активность несколько снизилась, однако осталась на высоком уровне — 40 инцидентов.

Таким образом, на апрель–июнь пришлось 126 атак, или около 60% всех инцидентов первого полугодия. Это свидетельствует о постепенном усилении активности злоумышленников по мере продвижения 2026 года.

Наиболее известные атаки первого полугодия 2026 года

CEX: Bitcoin Depot — ущерб $3,65 млн, Grinex — $15 млн, StablR — $10 млн. Общий ущерб в категории составил около $28,65 млн.

DeFi-сервисы: KelpDAO — ущерб $292 млн, Drift Protocol — $285 млн, Humanity Protocol — $30 млн, Step Finance — $28,9 млн, Truebit — $26,25 млн, Resolv — $23 млн, TrustedVolumes — $4,6 млн, Solv Protocol — $2,7 млн.

Общий ущерб в категории составил около $857,3 млн.

Частные пользователи: частный пользователь — ущерб $282 млн, частный пользователь — $24 млн, поддельное приложение Ledger Live — $9,5 млн, MEV-бот JaredFromSubway — $7,5 млн. Общий ущерб в категории составил около $375,4 млн.

Мосты: THORChain — ущерб $10 млн, CrossCurve — $3 млн, Hyperbridge — $2,5 млн. Общий ущерб в категории составил около $38,65 млн.

Государственные органы: в первом полугодии зафиксирован инцидент, связанный с корейским налоговым агентством. Финансовый ущерб в рамках рассматриваемой статистики не зафиксирован.

Распределение общего ущерба по категориям

• CEX — 2,20%
• DeFi-сервисы — 65,95%
• Частные пользователи — 28,88%
• Мосты — 2,97%
• Государственные органы — 0%

Таким образом, основная часть финансового ущерба в первом полугодии 2026 года пришлась на DeFi-сервисы и частных пользователей. Вместе эти две категории сформировали более 94% совокупных потерь.

Тенденции

Объекты устремлений

За последние три года структура финансовых потерь в криптоэкосистеме претерпела существенные изменения. Если в 2024 году значительная часть ущерба приходилась на игровые платформы и централизованные биржи, то в последующие годы основной фокус злоумышленников постепенно сместился в сторону DeFi-сервисов и частных пользователей.

В 2024 году наибольшая доля финансовых потерь пришлась на игровые платформы — 42%, биржи занимали 38%, DeFi-сервисы — 15%, а частные лица — 5%. Таким образом, на этом этапе риски были распределены между несколькими сегментами криптоэкосистемы без выраженного доминирования одного объекта.

В первом полугодии 2025 года ситуация значительно изменилась. На биржи пришлось 80,85% совокупного объёма потерь по рассматриваемым категориям, на DeFi-сервисы — 18,96%, а на мосты — 0,21%. Именно централизованные биржи стали основным объектом наиболее крупных финансовых атак. Существенный вклад в эту тенденцию внесли инциденты с Bybit, Nobitex, KiloEx и BitoPro.

При этом по количеству атак картина была противоположной: около 78% атак приходилось на DeFi-сервисы, около 19% — на биржи и менее 3% — на мосты. Таким образом, DeFi сталкивался с атаками значительно чаще, однако крупнейшие по финансовому ущербу инциденты концентрировались на централизованных биржах.

В 2026 году наблюдается новый структурный сдвиг. Доля DeFi-сервисов выросла до 65,95%, частных пользователей — до 28,88%, мостов — до 2,97%, тогда как на CEX пришлось лишь 2,20%. По сравнению с 2025 годом доля потерь, приходящихся на централизованные биржи, сократилась почти в 37 раз, тогда как DeFi стал доминирующим объектом по финансовому ущербу.

Особого внимания заслуживает рост доли частных пользователей. С 5% в 2024 году она увеличилась до 28,88% в 2026 году. Объектом атак всё чаще становится не только криптовалютная инфраструктура, но и непосредственно конечный пользователь и принадлежащие ему активы.

Таким образом, если в 2025 году крупнейшие финансовые атаки были сосредоточены вокруг централизованных платформ, то в 2026 году злоумышленники всё чаще атакуют децентрализованную инфраструктуру и непосредственно владельцев криптоактивов.

Частота атак

В первом полугодии 2026 года основная масса атак на криптоэкосистему пришлась на DeFi-сервисы.

Из 211 зафиксированных инцидентов 166 атак, или 78,67%, были направлены на децентрализованные финансовые платформы. Иными словами, почти четыре из пяти атак за первое полугодие затрагивали именно DeFi.

На втором месте по частоте оказались частные пользователи — 29 инцидентов (13,74%).

На мосты пришлось 12 атак (5,69%), тогда как централизованные криптобиржи составили всего 3 инцидента (1,42%).

Государственные органы стали целью одного инцидента (0,48%).

Таким образом, DeFi не просто лидирует по числу атак — на децентрализованные сервисы приходится подавляющая часть всех зафиксированных инцидентов. При этом низкая доля CEX по количеству атак не означает отсутствия рисков: отдельные атаки на централизованные сервисы по-прежнему могут приводить к существенным потерям.

Распределение атак по блокчейн-сетям

Сравнение первого полугодия 2025 и 2026 годов показывает заметное изменение распределения атак между блокчейн-сетями.

Если в 2025 году Ethereum являлся безусловным лидером и на него приходилось 56% всех атак, то в 2026 году его доля снизилась до 37,17%. Несмотря на сохранение первого места, Ethereum уже не контролирует более половины всех инцидентов.

Наиболее заметно усилились позиции BNB. Её доля выросла с 12% в 2025 году до 26,11% в 2026 году, то есть более чем в два раза.

При этом Arbitrum сохранил относительно стабильную позицию: его доля изменилась незначительно — с 8% до 7,52%.

Одновременно в 2026 году в число наиболее заметных целей вошла Base, на которую также пришлось 7,52% атак.

Таким образом, атакующие стали распределять внимание между большим количеством крупных блокчейн-экосистем. Снижение доли Ethereum при одновременном росте BNB и появлении Base среди наиболее часто атакуемых сетей свидетельствует о постепенном расширении поверхности атаки и перераспределении интереса злоумышленников.

Через какие сервисы перемещались и отмывались украденные средства

Анализ данных из еженедельных сводок атак показывает, что злоумышленники используют сразу несколько инструментов для дальнейшего перемещения похищенных активов.

Наиболее часто использовался Tornado Cash — 56,76% случаев.

На втором месте оказались DEX и свапы — 19,82%. Далее следуют Railgun — 11,71%, централизованные биржи — 9,91%, и THORChain — 1,80%.

Миксеры и децентрализованные сервисы обмена остаются основными инструментами, которые злоумышленники используют для усложнения дальнейшего анализа движения украденных активов.

При этом сама структура перемещения средств показывает, что злоумышленники всё чаще комбинируют различные инструменты: средства могут последовательно проходить через DEX, миксеры, кроссчейн-сервисы и централизованные платформы.

Проекты, которые не выжили после взломов

Не каждый криптопроект способен восстановиться после серьёзной атаки. В ряде случаев масштаб потерь, репутационный ущерб и отток пользователей делают дальнейшую работу проекта экономически нецелесообразной.

В первом полугодии 2026 года среди проектов, которые не смогли продолжить работу после взломов, можно выделить:

• SecondFi
• Summer.fi
• DeFi-протокол Carrot
• Step Finance

Таким образом, успешная атака может привести не только к прямым финансовым потерям, но и к фактическому прекращению существования проекта. Особенно уязвимыми оказываются небольшие протоколы, для которых один крупный инцидент способен полностью разрушить ликвидность и доверие пользователей.

Возврат украденных средств

Несмотря на рост масштабов атак, в отдельных случаях проектам и аналитическим компаниям удаётся оперативно выявлять движение украденных средств и добиваться их возврата или блокировки.

Ключевые случаи первого полугодия 2026 года:

• TrustedVolumes — похищено $6,6 млн, удалось вернуть $2 млн.
• Renegade — похищено $209 тыс, удалось вернуть $190 тыс.
• Adshares bridge — похищено $628 тыс, удалось вернуть $540 тыс.
• Verus bridge — похищено $11,6 млн, удалось вернуть $8,5 млн.

Наиболее высокий объём возврата среди указанных кейсов был зафиксирован в случае Verus Bridge: удалось вернуть около $8,5 млн из $11,6 млн, то есть более 70% похищенных средств.

Эти случаи демонстрируют, что скорость реакции после атаки становится одним из ключевых факторов при работе с украденными активами. Чем раньше устанавливается адрес злоумышленника и начинается отслеживание транзакций, тем выше вероятность заблокировать средства до их окончательного перемещения или конвертации.

При этом возможность возврата средств по-прежнему сильно зависит от характера атаки, используемых злоумышленниками сервисов и скорости их действий.

Повторяемость атак

Отдельной тенденцией первого полугодия 2026 года стала повторяемость атак на одни и те же проекты.

Показательны случаи Polymarket и Aztec.

Polymarket подвергся первой атаке 22 мая, после чего повторный инцидент произошёл 25 июня. Совокупный объём потерь в этих атаках составил около $3,6 млн.

В случае Aztec были зафиксированы два отдельных инцидента с ущербом $2,15 млн и $2,1 млн соответственно.

Повторные атаки показывают, что после первого взлома проект может оставаться привлекательной целью для злоумышленников. Полученная информация об архитектуре протокола, его механизмах защиты и внутренних процессах может использоваться для подготовки последующих атак.

Таким образом, устранение непосредственно выявленной уязвимости не всегда означает полное устранение риска. После серьёзного инцидента проекту необходимо проводить комплексный аудит инфраструктуры и повторно оценивать все потенциальные точки компрометации.

Типы атак

Структура атак в первом полугодии 2026 года показывает, что основная часть инцидентов связана непосредственно с техническими уязвимостями протоколов и механизмов управления активами.

Уязвимости смарт-контрактов и ошибки бизнес-логики — 36%. В эту категорию входят ошибки расчётов, повторный вход, некорректное обновление состояния, ошибки mint/burn, отсутствие необходимых проверок и другие дефекты логики смарт-контрактов.

Манипуляция ценами, оракулами и ликвидностью — 21%. Сюда относятся flash-loan атаки, искажение резервов ликвидности, ошибки ценовых оракулов и различные сценарии манипуляции AMM.

Компрометация ключей и административных прав — 14%. Злоумышленники получают доступ к приватным ключам, seed-фразам, ProxyAdmin, multisig-кошелькам и другим привилегированным аккаунтам.

Ошибки контроля доступа и разрешений — 9%. В эту категорию входят злоупотребление выданными разрешениями, отсутствие корректного access control, уязвимости transferFrom и вредоносные approve.

Фишинг и социальная инженерия — 8%. Несмотря на технический характер значительной части атак, человеческий фактор по-прежнему остаётся важным элементом атак. В эту категорию входят фишинговые подписи, поддельные приложения, компрометация сотрудников и обман пользователей.

Уязвимости мостов и межсетевого взаимодействия — 6%. Основные сценарии связаны с ошибками проверки сообщений, поддельными доказательствами и недостатками механизмов межсетевого взаимодействия.

Ошибки токеномики и механизмов burn/mint — 4%. Это дефекты дефляционной логики, некорректное сжигание токенов, двойной выпуск и другие ошибки в механизмах управления предложением активов.

Прочие и специфические атаки — 2%. В эту категорию входят supply-chain-атаки, poisoning, MEV, инфраструктурные ошибки и другие единичные сценарии.

Таким образом, более половины всех атак связаны с уязвимостями смарт-контрактов и манипуляциями ценами, оракулами и ликвидностью. При этом компрометация ключей и административных прав, а также ошибки контроля доступа суммарно формируют ещё значительную часть инцидентов.

Это подтверждает, что по мере развития криптоэкосистемы злоумышленники продолжают искать не только прямые технические уязвимости, но и способы использовать ошибки в логике протоколов, механизмах управления и взаимодействии различных компонентов инфраструктуры.

Перспективы второго полугодия 2026 года

Если текущая динамика сохранится, по итогам 2026 года количество крупных инцидентов может существенно превысить показатели предыдущих периодов.

При этом важно учитывать, что рост числа атак не обязательно будет сопровождаться пропорциональным увеличением финансового ущерба. Как показывает статистика первого полугодия, значительная часть потерь может приходиться на несколько крупных инцидентов, тогда как общее число атак формируется большим количеством относительно небольших случаев.

Отдельным фактором, способным изменить ландшафт киберугроз во второй половине 2026 года, станет дальнейшее развитие технологий искусственного интеллекта.

ИИ будет всё активнее использоваться для поиска уязвимостей, автоматизации атак, выявления аномальной активности и анализа движения средств. Для злоумышленников это означает возможность быстрее находить потенциальные точки компрометации и масштабировать уже известные сценарии атак.

Одновременно криптопроекты, аналитические компании и правоохранительные органы смогут использовать ИИ для более быстрого выявления подозрительных транзакций, автоматического анализа больших массивов данных и обнаружения взаимосвязей между адресами.

Именно ИИ, вероятно, станет одним из ключевых факторов новой гонки между атакующими и защитниками криптоэкосистемы. Скорость обнаружения атаки и реакции на неё будет приобретать всё большее значение: чем меньше времени проходит между компрометацией и выявлением инцидента, тем выше вероятность остановить дальнейшее движение украденных средств.

Выводы

Ландшафт хакерских атак на криптосервисы в первом полугодии 2026 года можно охарактеризовать следующими тенденциями.

• Количество крупных атак продолжает расти: за шесть месяцев зафиксирован 211 инцидент, что более чем в четыре раза превышает показатель первого полугодия 2024 года.
• DeFi стал главным объектом атак: на децентрализованные сервисы пришлось 78,67% всех инцидентов и 65,95% совокупного финансового ущерба.
• Централизованные биржи потеряли прежнее доминирование: их доля в общем ущербе сократилась до 2,20% против 80,85% годом ранее.
• Растёт число атак на частных пользователей: на них пришлось 28,88% совокупного ущерба, что существенно выше показателя 2024 года.
• Атакующие распределяют внимание между большим количеством блокчейнов: доля Ethereum снизилась с 56% до 37,17%, тогда как BNB выросла до 26,11%, а Base вошла в число наиболее часто атакуемых сетей.
• Основными причинами атак остаются технические уязвимости: ошибки смарт-контрактов и бизнес-логики составили 36%, манипуляции ценами, оракулами и ликвидностью — 21%.
• Повторные атаки остаются значимым риском: отдельные проекты подвергались нескольким инцидентам в течение одного полугодия.
• Возврат средств возможен, но требует быстрой реакции: отдельные кейсы показывают, что значительную часть похищенных активов удаётся вернуть или заблокировать.
• Не все проекты переживают взлом: для некоторых протоколов крупный инцидент становится причиной прекращения работы из-за потери ликвидности, доверия и пользователей.
• ИИ становится новым фактором кибергонки: злоумышленники смогут использовать его для поиска уязвимостей и масштабирования атак, а защитники — для более быстрого обнаружения инцидентов, анализа транзакций и проактивной блокировки активов.

Первое полугодие 2026 года показывает, что криптоиндустрия столкнулась с изменением самого профиля угроз. Злоумышленники всё чаще атакуют децентрализованные протоколы и конечных пользователей, используют сложные комбинации технических уязвимостей и инструментов перемещения средств, а повторные атаки демонстрируют способность адаптироваться к уже выявленным механизмам защиты.

В этих условиях безопасность криптопроектов всё меньше сводится только к аудиту кода. Эффективная защита требует постоянного мониторинга инфраструктуры, контроля доступа, анализа транзакций, оперативного реагирования и возможности быстро отслеживать и блокировать украденные активы.