Jak wynika z raportu Lightning.news udostępnionego Bitcoin Magazine, kradzieże kryptowalut przyniosły w 2026 roku około 2,35 miliarda dolarów strat netto po uwzględnieniu zamrożeń i zwrotów środków. Badacz bezpieczeństwa Stacy Muur sporządził listę protokołów okradzionych na kwoty przekraczające 50 000 dolarów w 2026 roku, obejmującą 230 protokołów od początku roku. „Bezpieczeństwo krypto jest całkowicie spieprzone” – napisał Muur.

Sam wrzesień stanowił około 768 milionów dolarów strat w zestawieniu Muura. Incydenty wynikały głównie z działalności scentralizowanych giełd i protokołów finansów zdecentralizowanych, a nie z czysto Bitcoinowych portfeli sprzętowych do samodzielnej nadzorczości, choć awarie portfeli sprzętowych otrzymały w tym okresie znaczne zainteresowanie mediów.

Największą pojedynczą stratą była kradzież około 387,5 miliona dolarów z gorących i ciepłych portfeli Bitgetu 24 września. Gorące portfele to podłączone do internetu magazyny, które giełdy utrzymują w celu obsługi wypłat, co czyni je powtarzającym się celem, ponieważ znajdujące się w nich środki można natychmiast przemieścić. Bitget oraz firmy analizujące blockchain, w tym Chainalysis, Elliptic i TRM Labs, powiązały incydent z Koreą Północną. W swoich ocenach przywołały wzorce adresów IP zgodne z wcześniejszym korzystaniem z wirtualnych sieci prywatnych powiązanych z KRLD oraz nakładanie się on-chain z portfelami związanymi z wcześniejszą działalnością grup Lazarus i TraderTraitor, w tym kradzieżą z Bybita w 2025 roku. Monitorzy sankcji ONZ od lat dokumentują kradzieże kryptowalut powiązane z Koreą Północną jako źródło dochodów tego państwa objętego sankcjami.

Według doniesień atakujący wykorzystali produkty bezpieczeństwa stron trzecich, aby wstrzyknąć fałszywe polecenia wypłat, nie zdobywając kluczy prywatnych giełd.

Liquid Network, sidechain Bitcoina rozwijany przez Blockstream, poniósł kolejną co do wielkości stratę, gdy atakujący na początku września wykorzystali błąd oprogramowania Elements. Sidechainy takie jak Liquid zabezpieczają podpięte bitcoiny za pomocą federacji niezależnych funkcjonariuszy i działają na Elements – otwartoźródłowej bazie kodu zbudowanej na podstawie kodu samego Bitcoina. Exploit pozwolił im wybić około 4 000 niewspartych L-BTC i wypiąć tokeny za około 4 000 prawdziwych bitcoinów, warte wówczas blisko 320 milionów dolarów, według Galaxy Research.

Napastnicy określający się jako white hat zwrócili 3 400 BTC po negocjacjach prowadzonych on-chain za pomocą wiadomości OP_RETURN – funkcji skryptu Bitcoina pozwalającej osadzać w transakcjach niewielkie zestawy danych, w tym krótkie publiczne wiadomości – i zatrzymali około 600 BTC. Żadne klucze federacji nie zostały skompromitowane. Strata była wynikiem błędu typu inflacyjnego w protokole sieci Liquid.

Samson Mow określił później incydent jako część „lawiny ataków wspomaganych przez AI”, która przed dotarciem do Liquid dotknęła już inne oprogramowanie powiązane z Bitcoinem. Sieć ponownie działa po pokryciu strat, rzekomo ze środków, które – jak się przypuszcza – pochodziły od inwestorów. Liquid później ogłosił odzyskanie środków.

Platformy DeFi wykazały podobny wzorzec skoncentrowanych, wysokich strat. W tych incydentach atakujący celowali w kontroli administracyjne – procesy zarządzania i układy wielopodpisowe dla skarbców protokołów – a nie w leżącą u podstaw kryptografię. Drift Protocol stracił od około 285 do 296 milionów dolarów w wyniku kwietniowego przełamania zarządzania i układu wielopodpisowego, któremu poprzedziły miesiące inżynierii społecznej. Zlecione przez projekt śledztwo przypisało operację północnokoreańskim sprawcom.

Most rsETH KelpDAO oparty na LayerZero został ogołocony z około 292 milionów dolarów niewspartych tokenów po tym, jak podważono jego konstrukcję z jednym weryfikatorem. Mosty polegają na zestawie weryfikatorów potwierdzających transfery międzyłańcuchowe, więc konstrukcje wymagające tylko jednego podpisu koncentrują to zaufanie w jednej stronie. LayerZero oświadczył, że wstępne przesłanki wskazywały na grupę Lazarus z KRLD, konkretnie TraderTraitor. Tectonic na Cronos odnotował około 120,4 miliona dolarów pożyczek zaciągniętych pod zmanipulowane zabezpieczenie pod koniec sierpnia. Walidatorzy cofnęli później łańcuch i odzyskali większość środków, choć kilku milionów dolarów już wypiętych poza sieć nie przywrócono. Incydent udokumentował Bitquery.

Incydenty z udziałem bitcoinowych portfeli sprzętowych były w sumie mniejsze, mimo szerokiego ich opisywania. Galaxy Research oszacowała włamanie RNG w Coinkite na około 1 596–1 789 BTC, co odpowiada w przybliżeniu 100–130 milionom dolarów, przy wyższych szacunkach sięgających około 2 055 BTC. W portfelach sprzętowych generator liczb losowych decyduje o tym, jak nieprzewidywalne są klucze prywatne generowane na urządzeniu, więc słabość RNG może podważyć poufność kluczy nawet wtedy, gdy klucze nigdy nie opuszczają urządzenia. Oceny opublikowała Galaxy Research.

Straty Ledgera w wysokości około 86–102 milionów dolarów wywodzono z urządzeń sprzedanych przez autoryzowanego południowoazjatyckiego dystrybutora CryptoBilis. Nieautoryzowany implant sprzętowy przechwytywał frazy odzyskiwania podczas konfiguracji, co czyni incydent atakiem na łańcuch dostaw – w takim ataku produkt jest kompromitowany między produkcją a końcowym użyciem, a nie poprzez systemy samego producenta. Ledger oświadczył, że potwierdzone przypadki ograniczały się do łańcucha dostaw tego dystrybutora, a własne systemy i sprzedaż bezpośrednia pozostały nietknięte. Niepotwierdzone doniesienia mówiły, że skompromitowane urządzenia mogły trafić także na rynek niemiecki.

Łącznie te powiązane z portfelami sprzętowymi incydenty pozostały znacznie poniżej strat z największych ataków na giełdy scentralizowane i DeFi.

Rok ten zbiegł się także z praktycznym wdrożeniem agentów programistycznych AI zdolnych do skanowania baz kodu w poszukiwaniu podatności i automatyzacji tworzenia exploitów – zmianą mającą konsekwencje dla branży, w której profesjonalne audyty bezpieczeństwa od dawna są standardowym, i kosztownym, krokiem przed premierą. Muur stwierdził: „AI zdecydowanie znacznie ułatwia znajdowanie i wykorzystywanie błędów. Myślę, że wchodzimy w całkiem poważny wyścig zbrojeń w cyberbezpieczeństwie”. Oświadczenie zawarto w innym wpisie.

Według doniesień exploity wykorzystujące błędy w kodzie przyspieszyły po lutowej premierze modeli takich jak GPT-5.3-Codex i Claude Opus 4.6, które wykazały wysoką skuteczność w benchmarkach błędów kontraktów inteligentnych przy niskich kosztach. OpenAI ujawnił wewnętrzne przypadki testowe, w których agenci uzyskiwali dostęp do nieautoryzowanych środków w sieciach testowych lub omijali kontrole, aby wykonać zadania.

Większość największych napadów w tym roku nadal opierała się na tradycyjnych wektorach ataku, w tym na przejęciu kluczy, inżynierii społecznej i wadach infrastruktury. Niższa jednak bariera odkrywania i uzbrajania błędów oprogramowania wprowadza dodatkowe ryzyko, szczególnie dla złożonych systemów kontraktów inteligentnych i sidechainów.

Warstwa bazowa Bitcoina sama w sobie nie była źródłem tych strat. Większość szkód w 2026 roku skoncentrowała się w infrastrukturze gorących portfeli giełd scentralizowanych, zarządzaniu DeFi, konstrukcjach wyroczni i kodzie sidechainów Bitcoina. Czysto Bitcoinowe portfele sprzętowe do samodzielnej nadzorczości, choć nieodporne na awarie, stanowiły wyraźnie mniejszy udział.

Mimo to liderzy branży zaapelowali o aktualizację zaleceń dotyczących samodzielnej nadzorczości, w tym o szersze stosowanie wielodostawcowych portfeli wielopodpisowych jako przyszłej podstawy nadzorczości dla części branży. Takie konfiguracje wymagają zatwierdzeń z urządzeń podpisujących różnych producentów, więc żaden pojedynczy wadliwy lub skompromitowany dostawca nie może samodzielnie przemieścić środków. To, jak ewoluują wytyczne nadzorczości, weryfikacja przez giełdy produktów bezpieczeństwa stron trzecich i kontrole zarządzania DeFi w odpowiedzi na tegoroczne ustalenia, to wątek do obserwowania, gdy zestawienie Muura wciąż rośnie. Artykuł po raz pierwszy opublikował Bitcoin Magazine, a napisał go Juan Galt.