189 инцидентов за полгода: как изменились хакерские атаки на крипту в 2026 году

$1 млрд украли у криптоинвесторов и компаний по всему миру за первые шесть месяцев 2026 года. Но дело не только в сумме — дело в том, как именно это происходит. Если в начале года большинство потерь было связано с человеческой невнимательностью и ошибками в коде, то к лету картина кардинально изменилась. Хакеры перешли от массовых атак к редким точечным ударам на десятки миллионов долларов каждый.

Аналитики AML-платформы КоинКит зафиксировали 189 инцидентов за первое полугодие и выделили два вектора, которые забрали основной объём денег.

189 инцидентов — это много. Но парадокс в том, что большинство из них принесли хакерам относительно немного. Реальные деньги сосредоточились в двух категориях атак.

Абсолютный лидер антирейтинга — ограбление межсетевых шлюзов (крипто-мостов). Это инфраструктура, которая переводит монеты из одной сети в другую: например, из Ethereum в Solana или из Bitcoin в BNB Chain.

18 атак на крипто-мосты принесли хакерам $370,7 млн — в среднем более $20 млн за инцидент. Почему мосты так уязвимы? Они работают с активами сразу в нескольких блокчейнах одновременно, что многократно увеличивает поверхность атаки. Уязвимость в одной точке может дать доступ ко всему объёму ликвидности.

Это не новый вектор — мосты взламывают давно. Но в первом полугодии 2026 года он окончательно занял первую строчку по суммарному ущербу.

Второй по объёму ущерба вектор — принципиально иной по механике. Хакеры не ищут баги в коде. Они находят способы получить приватные ключи или цифровые подписи самих создателей проектов.

Всего 6 подобных инцидентов — но ущерб составил $306,6 млн. Средний чек одного захвата мультисига — $51 млн. Главными жертвами схемы стали:

Это принципиально другой уровень угрозы. Никакой аудит кода не спасает от атаки, если злоумышленник получил прямой доступ к ключам управления разработчиков. Взламывают не смарт-контракт — взламывают людей.

Интересный и важный контраст: классические векторы атак — ошибки в коде и небезопасные апрувы — оказались самыми массовыми, но не самыми прибыльными для хакеров.

38 случаев ошибок в коде и 25 случаев небезопасных разрешений — 63 инцидента суммарно принесли хакерам менее $30 млн. Для сравнения: 24 атаки на мосты и мультисиги дали им более $677 млн.

Вывод: аудит кода по-прежнему важен, но он закрывает угрозу, которая стала значительно менее прибыльной для злоумышленников.

За последние три месяца первого полугодия активность злоумышленников выросла более чем вдвое — но не за счёт числа мелких инцидентов, а за счёт редких высокобюджетных ударов.

Это сознательная смена стратегии. Массовые фишинг-атаки на рядовых пользователей дают хакерам относительно немного — слишком много операционных затрат на результат. Точечный удар на протокол с $300+ млн TVL — другое дело.

Для индустрии это означает сдвиг в модели угроз: теперь главная цель — не рядовой пользователь, а инфраструктура и команды проектов. Социальная инженерия против разработчиков, компрометация ключей, атаки на процессы управления — вот где сосредоточен главный риск.

На первый взгляд — кражи у KelpDAO и Drift Protocol не касаются рядового инвестора. Но это не так.

После каждого крупного взлома украденные средства начинают двигаться по блокчейну: через миксеры, промежуточные адреса, обменники. Объём «грязной» криптовалюты в обороте резко вырастает. Пользователь, который получает монеты через P2P или OTC, рискует оказаться в цепочке, где несколькими шагами раньше стоит взломанный протокол.

Именно поэтому рост хакерской активности напрямую повышает риски для всех участников рынка — не только для жертв взлома.

Ограничьте использование крипто-мостов. Не держите активы внутри кроссчейн-протоколов дольше, чем нужно для обмена. Мост — это транзитная точка, а не хранилище. Ликвидность, которая там «лежит», — основная цель.

Отзывайте опасные апрувы. Регулярно проверяйте свои кошельки через специализированные сервисы и отменяйте неограниченные разрешения на списание средств смарт-контрактами. Апрув, выданный два года назад давно забытому протоколу, — потенциальная точка атаки.

Проверяйте криптовалюту перед получением. Из-за миллиардных краж объём «грязной» криптовалюты в обороте резко вырастает после каждой волны атак. Проверка контрагента через AML-сервис перед P2P-сделкой или получением крупной суммы — базовая защита от попадания в токсичную цепочку и последующей блокировки на бирже.

КоинКит (coinkyt.com) отслеживает движение средств после крупных взломов в режиме реального времени и обновляет базу размеченных адресов по мере того, как украденные активы начинают перемещаться по блокчейну. Самая полная база данных по постсоветскому пространству — более 1 млрд адресов — позволяет видеть косвенные связи с украденными средствами даже через несколько промежуточных шагов.

189 инцидентов и $1 млрд потерь за полгода — это уже не всплеск, а устойчивый тренд. Хакеры становятся умнее: меньше массовых атак, больше точечных ударов с максимальным выходом.

Для рынка это означает одно: защита больше не сводится только к аудиту кода и сложным паролям. Нужна постоянная проверка того, откуда пришли деньги — потому что украденные миллионы активно ищут дорогу в ваш кошелёк.