Взломы в Web3 принесли хакерам $1,3 млрд за полгода — и тактика атак изменилась

Согласно отчёту CertiK Hack3D за первое полугодие 2026 года, за этот период Web3-проекты потеряли в результате атак $1 315 676 432 в 344 отдельных инцидентах безопасности.

Цифры обманчивы без контекста

Формально это на 46,8% меньше, чем за первое полугодие 2025 года ($2,47 млрд). Но это сравнение почти целиком объясняется одним выбросом — взломом Bybit на $1,45 млрд, определившим статистику прошлого года. Если исключить этот разовый случай, реальные потери в 2026 году оказываются примерно на 28% выше сопоставимого уровня.

Два крупнейших инцидента

• Компрометация RPC-узла Kelp DAO ($291 млн, 18 апреля): злоумышленники эксплуатировали сбой механизма DVN-failover, чтобы подтвердить поддельные транзакции и вывести 116 500 rsETH
• Взлом Drift Protocol ($285 млн, апрель): второй по величине инцидент полугодия

Вместе эти два случая составили почти 44% всех потерь за полугодие.

Тактика атак изменилась

Самой финансово разрушительной категорией атак стала компрометация кошельков — на неё пришлось свыше $444 млн всего в 33 инцидентах. На втором месте — фишинг, принёсший злоумышленникам $366,3 млн в результате 63 инцидентов. Аналитики CertiK прямо отмечают: общая обстановка с безопасностью не улучшилась, а по ряду значимых показателей даже ухудшилась.

Что это значит на практике

Смещение атак в сторону компрометации кошельков и фишинга — сигнал, что чисто технический аудит смарт-контрактов сам по себе больше не гарантирует безопасность: значительная часть крупных потерь теперь связана с ошибками операционной безопасности и социальной инженерией, а не с уязвимостями в коде протокола.

Материал носит информационный характер.