Совокупные потери криптовалютных платформ от взломов и эксплуатации уязвимостей продолжают расти, а частота атак увеличивается. Согласно отчету CoinGecko, за период с января 2025 года по июль 2026 года в 245 задокументированных инцидентах было похищено $3,63 млрд, при этом на десять крупнейших атак пришлось более 72,5% всего ущерба. Одновременно PeckShield зафиксировала в августе 2026 года 50 крупных взломов с оценочным ущербом $136,3 млн: число инцидентов выросло на 67% по сравнению с июлем, хотя оценка потерь сократилась на 49,5% к июльским $270 млн.
По данным CoinGecko, самой дорогостоящей категорией стали атаки на инфраструктуру и цепочки поставок — убытки превысили $1,8 млрд. Среди заметных примеров названы Bybit и KelpDAO. Централизованные биржи чаще всего страдают из-за компрометации приватных ключей, тогда как децентрализованные приложения потеряли около $546 млн в результате сложных эксплойтов смарт-контрактов. Отдельные инциденты, связанные с манипуляциями оракулами и ошибками внутренних механизмов, затронули Bitget, Binance и Hyperliquid.
Отчет также указывает на профессионализацию злоумышленников: вместо одиночек действуют организованные и связанные с государствами группы, включая северокорейских хакеров, которые выводят средства через миксеры, мосты и дробные транзакции. При этом независимые аудиты не смогли закрыть основные риски: 60% пострадавших платформ (147 из 245) ранее проходили стороннюю проверку безопасности, а на проекты с аудитом пришлось 88,44% всего похищенного капитала. Большинство успешных атак находились вне стандартного охвата аудита — это внешняя инфраструктура, обновления кода без проверки и функции управления.
Ситуация с ончейн-страхованием также ухудшается. Активное покрытие ведущих протоколов страхования сократилось на 20,2% — с $163,2 млн до $130,2 млн, выплаты остаются на уровне около $33 млн. К августу 2026 года пять из девяти ончейн-страховых протоколов прекратили активную деятельность либо сменили специализацию. Ряд централизованных бирж в ответ запускают собственные резервные фонды для покрытия пользовательских потерь после эксплойтов.
Ключевым событием августа стал эксплойт лендингового протокола Tectonic (TONIC) на блокчейне Cronos (CRO). По оценке PeckShield, атака привела к потерям около $74 млн, что составило более половины месячного ущерба. Атакующий манипулировал ценообразованием залога и вывел активы. Валидаторы Cronos остановили производство блоков, после чего злоумышленник успел переместить на Ethereum лишь около $6 млн; основная часть активов осталась в сети. Позднее блокчейн возобновил работу: производство блоков перезапущено в 23:49:01 UTC с блока 90 896 189, нод-операторам предписано установить версию 1.7.8. Решение фактически откатило сеть к состоянию до эксплойта, однако остается вопрос о транзакциях непричастных пользователей, попавших в удаленный участок цепочки. Tectonic и Cronos пока не опубликовали полный технический отчет и план компенсаций. Глава Crypto.com Крис Маршалек подтвердил, что инцидент затронул именно Tectonic, а не централизованную биржу или приложение Crypto.com.
Помимо Tectonic, в августе были зафиксированы потери у Moonwell (WELL) на $8,7 млн, Term Labs на $8,5 млн, Coinsbuy на $7,9 млн, TAC на $7,5 млн, Injective (INJ) на $4,8 млн, MANTRA (OM) на $3,6 млн, BounceBit (BB) на $3 млн, Cosmos Labs на $2,87 млн и Aquifer на $2,47 млн. Исключая Tectonic, остальные 49 инцидентов августа принесли около $62,3 млн убытков. PeckShield отнесла эксплойт Tectonic к четвертой крупнейшей краже 2026 года после инцидентов с Drift, KelpDAO, LayerZero и Coldcard.
Эксперты сходятся во мнении, что тактика злоумышленников развивается быстрее существующих мер защиты. Аудиты, страхование и комплаенс остаются полезными инструментами, однако риски в цепочках поставок, кастодиальном хранении ключей и операционных процессах по-прежнему плохо покрываются стандартными проверками.
