Почему кража приватных ключей стала основной угрозой для DeFi-проектов

Потери DeFi в $1,3 млрд: приватные ключи обошли уязвимости кода

Впервые за время наблюдений компрометация приватных ключей вышла на первое место по объёму потерь, обогнав программные уязвимости смарт-контрактов. Сдвиг меняет приоритеты проверки: вопрос «кто хранит ключ и сколько подписей нужно для вывода» теперь критичнее, чем вопрос «проведён ли аудит кода».

Статистика инцидентов

Разные методологии подсчёта указывают на одну точку перелома. Blockscout, оператор блокчейн-эксплорера, зафиксировал сдвиг раньше: в мае 2026 года компрометация аккаунтов и кража ключей впервые составили более половины всех атак на DeFi по числу инцидентов. Один источник считает по сумме ущерба, другой — по количеству атак. Направление совпадает в обоих случаях.

Rekt.news фиксирует более 30 эксплойтов с ущербом свыше $3 млн за 2026 год. Крупные единичные потери завышают средние показатели, но частота маршрутов атаки — параметр более репрезентативный. Маршрут, который срабатывает еженедельно, воспроизводится на менее крупных целях после исчерпания крупных.

Примеры подготовленных атак

Три задокументированных случая демонстрируют паттерн: во всех трёх триггером была не дыра в опубликованном коде контракта.

1. Drift Protocol — 1 апреля 2026 года. Потери около $285 млн. Атакующие вышли на ключ администрирования в течение нескольких месяцев; вывод средств занял 128 секунд.

2. KelpDAO — 18 апреля 2026 года. Удар через мост LayerZero. Оценки ущерба разнятся: $290 млн (crypto.news) и $292 млн (Blockscout).

3. В отчёте Blockscout упомянут также случай в MetaMask: сотрудник с северокорейским бэкграундом участвовал в разработке около месяца до увольнения.

Все маршруты атаки объединяет одна черта: они нацелены на человека, а не на блокчейн. Мобильный оператор, повторное использование пароля, заражённый пакет в зависимостях, социальная инженерия — ни один из этих векторов не затрагивает код смарт-контракта напрямую.

Что проверить на практике

Стандартный вопрос потребителю DeFi-продуктов — «проведён ли аудит?» — по-прежнему релевантен, но перестаёт быть исчерпующим. Аудит проверяет код; он не проверяет, кто фактически контролирует приватный ключ, сколько подписей нужно для транзакции и как организовано хранение мультисиг-кошелька.

Эксперты рекомендуют пересмотреть модели хранения мультисиг-доступов как институциональным, так и розничным участникам. Практические шаги:

• Проверить, сколько ключей участвуют в подписании транзакций протокола, которым вы пользуетесь.
• Убедиться, что seed-фраза не хранится в цифровом виде (скриншот, заметка, облако).
• Использовать аппаратные кошельки для хранения значительных сумм.
• Проверить, не переиспользуется ли пароль от аккаунтов бирж в других сервисах.

Защита потребительских прав в криптосфере остаётся слабо регулируемой областью; тем, кто столкнулся с потерей средств, может быть полезна консультация по защите прав потребителей.

Вердикт: модель безопасности, опирающаяся только на аудит кода и игнорирующая операционную гигиену ключей, признана небезопасной по итогам восьми месяцев 2026 года.