Совокупные убытки децентрализованных финансов (DeFi) от атак на внешние зависимости и логику оценки активов превысили $630 млн за первые семь месяцев 2026 года, согласно данным экспертов по кибербезопасности. Последним инцидентом стал взлом протокола Lien Finance, в результате которого злоумышленники вывели около $542 тыс. в USDC.
Наиболее крупными потерями отметились KelpDAO, где хакеры похитили $292 млн, скомпрометировав внешние RPC-узлы, и Drift Protocol, лишившийся $285 млн из-за искусственного завышения цен на токены через подконтрольный оракул. В июле также произошли атаки на Ostium ($23,75 млн) и Bonzo Finance ($9 млн), причиной которых стали уязвимости в системах верификации данных и оракулах.
Особый резонанс вызвал коллапс алгоритмического стейблкоина Balance Coin, потерявшего более 99% стоимости после манипуляций с оракулом цен на биткоин. Злоумышленник внедрил ложные данные, что вызвало автоматические ликвидации здоровых залоговых позиций и отток активов на $912 тыс.
Эксплойт Lien Finance, раскрытый 24 июля, был связан с ошибкой в логике обмена бонд-токенов. По данным SlowMist, недостаток в функции exchangeEquivalentBonds контракта BondMakerCollateralizedEth позволял злоумышленнику создавать обеспеченные токены без фактического внесения залога. Повторное использование одного и того же идентификатора бонда в выходной группе обходило проверку целостности, что привело к читке $542 144,63 USDC через авторизованные конечные точки.
Исследовательская группа DefimonAlerts отметила, что атака стала возможна из-за комбинации неограниченной регистрации новых бондов без одобрения управления и слабости механизма ценообразования в пулах OTC. Злоумышленник развернул контракт-оркестратор, зарегистрировал вредоносную группу бондов с искаженной функцией выплат и обменял созданные токены на реальную ликвидность протокола через функцию _calcRateBondToErc20, которая некорректно оценила искусственные активы.
Этот инцидент дополнил серию июльских атак. Днем ранее, 23 июля, аналитики Lookonchain зафиксировали три эксплойта, включая кражу $24,15 млн из инфраструктуры моста AFX Trade, $7,54 млн через мост Verus Ethereum и $3,86 млн из B² Network. Ранее в том же месяце пострадали протоколы Lazy Summer ($6,04 млн), Cascade ($1,34 млн) и Allbridge Core ($1,65 млн).
Эксперты отмечают, что основные векторы атак в 2026 году — манипуляции с оракулами, ошибки в логике ценообразования, компрометация учетных данных и уязвимости мостов. Появление новых фреймворков для верификации оракулов ожидается в конце третьего квартала. Токены пострадавших проектов, такие как DRIFT и LIEN, резко упали в цене на фоне новостей о взломах, усилив негативные настроения на рынке DeFi.
