По данным отчета компании Hacken, опубликованного в четверг, общая сумма убытков от кибератак на проекты криптоиндустрии за июль-сентябрь составила $1,18 млрд, что на 55% больше показателей предыдущего квартала. Почти три четверти этих потерь ($906,8 млн) произошли из-за проблем с поставщиками, инструментами разработчиков, устаревшими версиями программного обеспечения либо компонентами, исключёнными из недавних аудитов безопасности.

«Проблема всегда в охвате проверки, — отметил Андрий Матиухин, сооснователь и член совета директоров Hacken. — Провести аудит всех взаимодействующих с финансами компонентов дорого, поэтому команды сокращают расходы, проверяя лишь ключевые элементы сервиса».

Исследования показали, что инвесторы зачастую ошибочно считают проведённый аудит гарантией защиты всей платформы, хотя на практике аудиторы обычно изучают только конкретные смарт-контракты, оставляя кошельки, системы подписания транзакций и стороннее ПО вне зоны проверки.

Самым крупным инцидентом стал сентябрьский взлом биржи Bitget, когда злоумышленники использовали уязвимость в стороннем программном обеспечении для доступа к инфраструктуре вывода средств, что привело к потере минимум $352 млн. Помимо бирж, проблемы затронули производителей аппаратных кошельков: например, компания Ledger обнаружила шпионское устройство в продукции азиатского реселлера CryptoBilis, что вызвало убытки примерно на $93 млн.

Также пострадали мосты и кросс-чейн протоколы, потерявшие свыше $35 млн за шесть часов атак в июле. Среди пострадавших — платформа AFX Trade ($24 млн), Liquid Network ($319 млн), Tectonic (минимум $75 млн) и Coldcard ($114 млн).

Кроме того, специалисты Hacken проанализировали 12 дериватив-бирж и рынков предсказаний и обнаружили, что активы на общую сумму более $700 млн зависели от схемы четырёхключевого подписания с порогом трёх подписей или административных ключей, владельцы которых публично неизвестны. Компания отказалась раскрыть детали до официального выпуска отчёта, отметив отсутствие активных уязвимостей, однако сочтя некоторые конфигурации недостаточно надёжными для масштабируемых площадок.

Ещё одним важным фактором стали задержки в устранении известных уязвимостей. По словам Матиухина, иногда критическая проблема классифицируется командой проекта как малозначимая, из-за чего внедрение исправлений откладывается или вовсе игнорируется. В итоге ответственность за безопасность лежит на компаниях, хранящих средства клиентов, которым необходимо оперативно отслеживать и устранять выявленные уязвимости, вместо доверия однократным проверкам, проведённым месяцы или годы назад.