По данным отчета Lightning.news, распространенного Bitcoin Magazine, после учета замороженных и возвращенных средств взломы криптовалют привели к чистым убыткам примерно в 2,35 млрд долларов с начала 2026 года. Исследователь безопасности Стейси Мур составила список протоколов, взломанных на суммы свыше 50 000 долларов в 2026 году, охватывающий 230 протоколов с начала года. «Безопасность криптовалют находится в абсолютно плачевном состоянии», — написала Мур.

Только на сентябрь пришлось около 768 млн долларов убытков в подсчетах Мур. Инциденты были вызваны главным образом централизованными биржами и протоколами децентрализованных финансов, а не чисто аппаратными кошельками для самостоятельного хранения Bitcoin, хотя сбои аппаратных кошельков в этот период получили значительное внимание СМИ.

Крупнейшей единичной потерей стала кража около 387,5 млн долларов из горячих и теплых кошельков Bitget 24 сентября. Горячие кошельки — это подключенное к интернету хранилище, которое биржи поддерживают для обработки вывода средств, что делает их постоянными целями, поскольку их средства могут быть перемещены немедленно. Bitget и компании блокчейн-аналитики, включая Chainalysis, Elliptic и TRM Labs, связали инцидент с КНДР. В их оценках указывались паттерны IP-адресов, соответствующие предыдущему использованию VPN, связанному с КНДР, и совпадения в блокчейне с кошельками, привязанными к более ранней активности Lazarus Group и TraderTraitor, включая кражу у Bybit в 2025 году. Мониторы санкций ООН уже много лет документируют кражи криптовалют, связанные с КНДР, как источник дохода этой подсанкционной страны.

По имеющимся данным, злоумышленники использовали сторонние продукты безопасности для внедрения поддельных команд на вывод средств, не получая приватных ключей бирж.

Liquid Network, сайдчейн Bitcoin от Blockstream, понес следующую по величине потерю после того, как злоумышленники в начале сентября эксплуатировали ошибку в ПО Elements. Сайдчейны вроде Liquid защищают привязанный биткоин через федерацию независимых подписантов и работают на Elements — кодовой базе с открытым исходным кодом, построенной на основе кода самого Bitcoin. Эксплойт позволил им выпустить примерно 4000 не обеспеченных L-BTC и вывести эти токены за около 4000 реальных биткоинов, стоивших на тот момент около 320 млн долларов, согласно Galaxy Research.

Атакующие, называвшие себя white-hat, вернули 3400 BTC после переговоров, которые велись в блокчейне через сообщения OP_RETURN — функцию скриптов Bitcoin, позволяющую встраивать в транзакции небольшие объемы данных, включая короткие публичные сообщения, — и оставили себе примерно 600 BTC. Ключи федерации скомпрометированы не были. Потеря возникла из-за ошибки типа инфляции в протоколе сети Liquid.

Сэмсон Моу позже назвал этот инцидент частью «лавины атак с использованием ИИ», которая затронула другое связанное с Bitcoin ПО еще до Liquid. Сеть снова работает после покрытия убытков, которые, как предполагается, были профинансированы инвесторами. Liquid позже объявила о восстановлении.

DeFi-платформы показали схожую картину концентрированных высокоценных потерь. В этих инцидентах злоумышленники атаковали административные механизмы — процессы управления и схемы мультисигнатур для казначейств протоколов, — а не саму криптографию. Drift Protocol потерял приблизительно от 285 до 296 млн долларов в результате апрельской компрометации управления и мультисигнатуры, которой предшествовали месяцы социальной инженерии. Расследование, заказанное проектом, приписало операцию северокорейским атакующим.

Мост rsETH от KelpDAO на базе LayerZero был опустошен примерно на 292 млн долларов в виде необеспеченных токенов после компрометации конструкции с единственным верификатором. Мосты полагаются на набор верификаторов, подтверждающих межцепочечные переводы, поэтому конструкции, требующие лишь одной подписи, концентрируют доверие в одной стороне. LayerZero заявила, что предварительные данные указывали на Lazarus Group из КНДР, в частности на TraderTraitor. Tectonic на Cronos зафиксировал заимствование около 120,4 млн долларов под манипулируемое обеспечение в конце августа. Валидаторы позже откатили цепочку и вернули большую часть средств, хотя несколько миллионов долларов, уже выведенные из сети через мосты, восстановить не удалось. Инцидент был задокументирован Bitquery.

Инциденты с аппаратными кошельками Bitcoin в совокупности были меньше, несмотря на широкое освещение. Galaxy Research оценила убытки от взлома RNG Coinkite в диапазоне примерно от 1596 до 1789 BTC, что эквивалентно примерно 100–130 млн долларов, при более высоких оценках до около 2055 BTC. В аппаратных кошельках генератор случайных чисел определяет степень непредсказуемости приватных ключей, создаваемых на устройстве, поэтому слабость RNG может подорвать секретность ключей, даже если они никогда не покидают устройство. Оценку опубликовала Galaxy Research.

Потери Ledger примерно в 86–102 млн долларов были связаны с устройствами, проданными через авторизованного дистрибьютора в Юго-Восточной Азии CryptoBilis. Несанкционированный аппаратный имплант перехватывал фразы восстановления при настройке, что делает инцидент атакой через цепочку поставок — когда продукт компрометируется между производством и конечным использованием, а не через собственные системы производителя. Ledger заявила, что подтвержденные случаи были ограничены цепочкой поставок этого дистрибьютора, а собственные системы и прямые продажи компании не пострадали. По неподтвержденным данным, скомпрометированные устройства могли попасть и на рынок Германии.

В сумме эти инциденты, связанные с аппаратными кошельками, остались значительно ниже потерь от крупнейших атак на централизованные биржи и DeFi.

Этот год также совпал с практическим внедрением ИИ-агентов для программирования, способных сканировать кодовые базы на уязвимости и автоматизировать разработку эксплойтов — сдвиг, имеющий значение для отрасли, где профессиональные аудиты безопасности давно являются стандартным и дорогостоящим этапом перед запуском. Мур заявила: «ИИ определенно значительно упрощает поиск и эксплуатацию ошибок. Думаю, мы вступаем в весьма серьезную гонку вооружений в области кибербезопасности». Заявление содержалось в другом посте.

По сообщениям, эксплуатация ошибок в коде ускорилась после февральского релиза моделей, включая GPT-5.3-Codex и Claude Opus 4.6, которые продемонстрировали высокие показатели успеха в тестах на поиск ошибок в смарт-контрактах при низкой стоимости. OpenAI раскрыла случаи внутреннего тестирования, когда агенты получали доступ к несанкционированным средствам тестовой сети или обходили ограничения для выполнения задач.

Большинство крупнейших краж года по-прежнему опирались на традиционные векторы атак, включая компрометацию ключей, социальную инженерию и недостатки инфраструктуры. Однако снижение барьера для обнаружения и использования ошибок ПО создает дополнительный риск, особенно для сложных систем смарт-контрактов и сайдчейнов.

Базовый уровень Bitcoin сам по себе не был источником этих потерь. Основная часть ущерба 2026 года сосредоточена в инфраструктуре горячих кошельков централизованных бирж, управлении DeFi, дизайне оракулов и коде сайдчейнов Bitcoin. Чисто аппаратные кошельки для самостоятельного хранения, хотя и не застрахованы от сбоев, составили заметно меньшую долю.

Тем не менее лидеры отрасли призвали обновить рекомендации по самостоятельному хранению, включая более широкое использование мультисигнатурных кошельков от разных производителей в качестве будущей основы хранения для части отрасли. В таких схемах требуются подтверждения от подписывающих устройств разных производителей, так что ни один единственный сбойный или скомпрометированный вендор не может перемещать средства самостоятельно. То, как рекомендации по хранению, проверка биржами сторонних продуктов безопасности и механизмы управления DeFi будут развиваться в ответ на итоги года, — ключевая линия, за которой стоит следить, пока список Мур продолжает расти. Статья впервые опубликована Bitcoin Magazine, автор — Хуан Гальт.