Ataki na projekty krypto kosztowały 110 milionów dolarów w lipcu wraz ze wzrostem raportów o lukach

Projekty kryptowalutowe straciły około 110 milionów dolarów w wyniku ataków hakerskich w lipcu, co powiększyło i tak już kosztowny rok dla branży. Miesięczna kwota pojawiła się, gdy Immunefi, wiodąca platforma bezpieczeństwa blockchain, odnotowała wzrost liczby potwierdzonych raportów o lukach w ramach programów bug bounty i stwierdziła, że konkurencyjne formaty audytów ujawniły poważniejsze luki niż tradycyjne prywatne audyty.

2026 rok zbliża się do rekordowej liczby poważnych incydentów

Immunefi udokumentowało 164 ataki na projekty krypto do 3 sierpnia, zgodnie z danymi opublikowanymi przez platformę bezpieczeństwa. Z nich 67 incydentów skutkowało stratami przekraczającymi 1 milion dolarów każdy.

Firma prognozuje, że liczba ataków przekraczających 1 milion dolarów może osiągnąć 114 do końca 2026 roku, co prześcignęłoby poprzedni roczny rekord 72 poważnych incydentów ustanowiony w 2024 roku. W tym samym okresie 2024 roku odnotowano jedynie 49 takich incydentów.

Szacowane straty w wysokości 110 milionów dolarów w lipcu powiększyły i tak już kosztowny rok. Niedawny raport Blockaid wykazał, że straty bezpieczeństwa krypto osiągnęły łącznie 1,1 miliarda dolarów w ciągu pierwszych sześciu miesięcy 2026 roku.

Dwa duże ataki stanowiły znaczną część strat z lipca. Ostium straciło 23,75 miliona USDC po tym, jak napastnik włamał się do jego infrastruktury poza łańcuchem i zmanipulował dane cenowe, na których opierał się protokół — klasa podatności, która wielokrotnie pojawiała się w zdecentralizowanych finansach, ponieważ protokoły opierają się na zewnętrznych źródłach danych do dokładnej wyceny aktywów. W osobnym incydencie AFX padło ofiarą ataku na most o wartości 24,15 miliona dolarów. Mosty międzyłańcuchowe konsekwentnie należą do najczęściej atakowanych komponentów w ekosystemie krypto, ponieważ przechowują duże pule aktywów na wielu blockchainach i wprowadzają złożone założenia zaufania między sieciami. Łącznie oba zdarzenia stanowiły ponad 47 milionów dolarów potwierdzonych strat.

Raporty o lukach i wypłaty w programach bug bounty rosną

Immunefi poinformowało, że jego badacze otrzymali 2,32 miliona dolarów wypłat za potwierdzone luki w lipcu. Liczba raportów, które zostały zarówno potwierdzone, jak i opłacone, wzrosła o 18% w porównaniu z poprzednim miesiącem.

Programy bug bounty platformy zapobiegły 374 zagrożeniom w lipcu, w porównaniu z 317 w czerwcu i 339 w maju. Skumulowane wypłaty dla badaczy bezpieczeństwa osiągnęły 143,1 miliona dolarów, w porównaniu z 140,8 miliona dolarów na koniec czerwca.

Trend wzrostowy zbiegł się w czasie z rosnącym wykorzystaniem narzędzi sztucznej inteligencji, które ułatwiają badaczom skanowanie kodu i przygotowywanie raportów o lukach. Crypto.news wcześniej informowało, że narzędzia AI napędziły gwałtowny wzrost liczby zgłoszeń w programach bug bounty, choć zespoły projektów musiały również zmierzyć się z większą liczbą raportów niskiej jakości i wyników fałszywie pozytywnych.

Zainteresowanie instytucjonalne środkami zabezpieczeń prewencyjnych również wzrosło. Anchorage Digital zainwestowało w Immunefi wcześniej w tym roku w ramach strategicznego nacisku na infrastrukturę bezpieczeństwa on-chain, co odzwierciedla szersze uznanie wśród regulowanych instytucji finansowych, że operacje depozytowe i handlowe w coraz większym stopniu zależą od integralności protokołów, z którymi wchodzą w interakcję.

Konkursy audytowe ujawniły poważniejsze luki niż prywatne audyty

Immunefi przeanalizowało 1 178 audytów przeprowadzonych przez firmy bezpieczeństwa pierwszej kategorii i stwierdziło medianę zerową dla krytycznych lub wysokich luk w tych zleceniach. Jednak porównanie z 58 audytami konkurencyjnymi dało zauważalnie inne wyniki.

Konkursy audytowe zidentyfikowały średnio 6,2 poważnych luk na zlecenie, w porównaniu z 1,5 w prywatnych audytach pierwszej kategorii, zgodnie z danymi Immunefi. Przeglądy konkurencyjne obejmują wielu niezależnych badaczy badających tę samą bazę kodu i otrzymujących nagrody w oparciu o odkryte luki.

Średni koszt zidentyfikowania krytycznej luki poprzez konkurs audytowy wyniósł 6 548 dolarów. Dla porównania, koszt wynosił około 66 000 dolarów w przypadku prywatnego audytu pierwszej kategorii oraz szacowane 24,5 miliona dolarów, gdy lukę odkrył jako pierwszy napastnik.

Niedawne incydenty wykazały, że ukończone przeglądy bezpieczeństwa nie gwarantują, że kod jest wolny od luk umożliwiających eksploatację. Śledztwo crypto.news w sprawie włamania do Coldcard wykazało, że audyt wspomagany AI zidentyfikował dodatkowe 85 krytycznych błędów w projektach związanych z Bitcoinem po tym, jak luka w oprogramowaniu układowym naraziła użytkowników portfeli.

Wyniki Immunefi sugerują, że projekty mogą odnieść korzyści z łączenia ciągłych programów bug bounty i przeglądów konkurencyjnych z konwencjonalnymi audytami. Ponieważ 2026 rok zbliża się już do rocznego rekordu pod względem liczby poważnych incydentów, różnica kosztów między badaniami prewencyjnymi a rzeczywistą eksploatacją pozostaje znacząca.