Вълната от експлойти от август 2026 г.: Провали в управлението, грешки в протоколите и разширяваща се повърхност за атака
Август 2026 г. продължи тенденцията, която defiкрипто сигурността през цялата година: висока честота на инцидентите, разнообразни вектори на атаки и загуби, които - макар и значителни за всяко събитие - отразяват по-скоро фрагментиран, отколкото катастрофален месец. Според TRM Labs, само през първата половина на 2026 г. са откраднати приблизително 972 милиона долара в рамките на 207 инцидента, период, който постави рекорд за честота на хакерските атаки, дори когато общите загуби намаляха от пика през 2025 г.
Уязвимостите в интелигентните договори останаха най-често срещаният вектор на атака, докато компрометирането на частни ключове и нарушенията на инфраструктурата представляваха много от най-големите индивидуални загуби. Инцидентите, документирани през август, обхващат поне осем протокола и доставчици на инфраструктура, като потвърдените загуби на събитие варират от 1.7 милиона до 8.5 милиона долара. Взети заедно, те разкриват три постоянни режима на отказ: експлоатирани механизми за управление и оторизация, каскадни грешки на ниво протокол, заплашващи целостта на веригата, и слабости в интелигентните договори и инфраструктурата с последици, които се простират далеч отвъд балансите.
Когато правилата се превърнат във вектор: Експлоати за управление и оторизация
Най-значимият финансов инцидент през август - загубата на Term Finance от 8.5 милиона долара - не беше грешка в интелигентния договор, а структурен провал в дизайна на управлението. Хакер евтино придоби мажоритарен дял в слабо държан токен за управление и прие предложения, предоставящи контрол върху стратегическите трезори на протокола, източвайки приблизително 2,843 ETH (оценени на 6.87 милиона долара по това време) и 1.68 милиона USDC - приблизително 68% от 12.45 милиона долара, държани в Meta Vaults на Term, и почти всички негови депозити в Ethereum.
PeckShield и CertiK независимо потвърдиха оценката на загубата. Yearn Finance, чиято V3 инфраструктура е използвана от трезорите, уточни, че атаката е използвала персонализирана обвивка за управление и не засяга стандартните конфигурации на трезорите на Yearn. Term Labs реагираха, като закриха окончателно всички Meta Vaults, отмениха ролите за управление на DAO, запазиха тегленията и координираха действията си с външни екипи по сигурността относно възстановяването на активи. Сериозността на ситуацията се утежнява от институционалния контекст: Term обеща прозрачност в управлението и валидиране от трети страни за критични актуализации след грешка в оракула през април 2025 г., която предизвика нежелани ликвидации на приблизително 918 ETH.
Експлойтът на BounceBit за 3 милиона долара следваше свързан, но механично различен път. Пропуск в оторизацията в блокчейн стека на Evmos, върху който BounceBit беше изградил своя Layer 1, позволи на повикващ интелигентен договор да определи различен акаунт като източник на транзакцията без никаква криптографска проверка. Нападателят е прехвърлил приблизително 286.5 милиона BB токена през девет портфейла за два дни, без да компрометира нито един частен ключ или устройство с портфейл. Тъй като самият Evmos е спрян от май, BounceBit избра окончателно пенсиониране на веригата, вместо възстановяване, обявявайки, че ще преиздаде BB като BEP-20 токен на BNB Chain, използвайки моментна снимка преди атаката, и ще се координира с борсите за възстановяване на засегнатите баланси на клиентите.
И двата случая подчертават добре документирана промяна в индустрията: близо 44% от загубите през първата половина на 2026 г. са дошли от инциденти, експлоатиращи пропуски в оперативната и инфраструктурната сигурност, а не грешки в интелигентните договори, а компрометирането на портфейли се очертава като най-скъпият вектор на атака, като нападателите са насочени към управление на ключове и управление на множество подписи. Експлойтите в управлението от август попадат точно в тази траектория.
Каскадни грешки: грешки на ниво протокол и кризи с целостта на веригата
Няколко инцидента през август ескалираха отвъд финансовите загуби, застрашавайки целостта на потвърденото състояние на блокчейна – по-сериозен резултат, който излага уредените транзакции на риск от обръщане и подкопава основното доверие в мрежата.
MAYAChain, междуверижна децентрализирана борса (DEX), изградена от отворения код на THORChain, спря мрежата си на 19 август, след като транзакция от 23 съобщения използва шест верижно свързани софтуерни грешки, обхващащи търговски сметки, обработка на изходящи транзакции и изчисления на пула за ликвидност. Атакуващият в крайна сметка изтегли 48.87 милиона токена CACAO от трезора на протокола Asgard. Преките загуби бяха приблизително 1.7 милиона долара в биткойн и други активи; общата ерозия на стойността на пула, усложнена от спада на CACAO с 88.7% по време на инцидента, достигна приблизително 10.9 милиона долара. Екипът се свърза с атакуващия чрез съобщение Bitcoin OP_RETURN, инициира процес за възнаграждение за грешки и обеща личен принос за възстановяване.
Harmony обяви връщане към 11 август, след като неоторизирани ONE токени бяха генерирани и разпределени на борси - коригираща мярка, която би отхвърлила повече от 109 000 редовни транзакции и 315 транзакции за залагане. Селективното възстановяване беше счетено за технически опасно, предвид взаимозависимостта на балансите, еднократните номера и състоянията на договорите в засегнатия прозорец. Ravencoin се сблъска с паралелна криза, когато консенсусна уязвимост накара възлите да приемат невалидни блокове от височина 4 487 776 нататък, което накара майнинг пуловете, контролиращи мнозинството от хешрейта на мрежата, да изградят конкурентна верига. Успешната реорганизация може да обърне приблизително три дни потвърдени транзакции; Upbit и Bitget спряха RVN трансферите в отговор. MANTRA, блокчейн, насочен към токенизирани активи от реалния свят, спря производството на блокове на 21 август, след като атакуващ използва уязвимост във външна зависимост нагоре по веригата - софтуер, разработен извън самия протокол. Нейният токен падна с 18.5% до най-ниското си ниво преди спирането, като валидаторите останаха офлайн в очакване на координирано пускане на пач и пълна оценка на загубите, която все още е в ход.
Умни договори, инфраструктура и разширена повърхност за атака
Август също така доведе до забележителни инциденти на слоевете интелигентни договори и верига за доставки, което затвърждава факта, че рискът за крипто сигурността вече обхваща целия оперативен стек. Sandbox деактивира моста между Base и BNB Smart Chain, след като хакер открадна разрешенията на делегати на LayerZero чрез функция approveAndCall, за да генерира неподкрепени SAND токени.
Въпреки номиналната стойност от приблизително 49 милиарда долара – изчислена чрез прилагане на пазарната цена към токени, далеч надвишаваща наличната ликвидност – действително засегнатото предлагане беше потвърдено на под 0.01% от общия брой от 3 милиарда токена на SAND; SAND на Ethereum и Polygon остана незасегнат. BTCPay Server разкри критична, активно използвана уязвимост, засягаща неговата самостоятелно хоствана платежна инфраструктура за Bitcoin, и призова потребителите да актуализират до версия 2.4.2 или да изключат сървърите незабавно, въпреки че потвърдените загуби не са количествено определени. Отделно Trezor разкри, че неговият партньор за изпълнение на поръчки ShipMonk е претърпял неоторизиран достъп, разкривайки имената, имейл адресите, телефонните номера и адресите за доставка на приблизително 14,000 1 клиенти в седем държави. Не е компрометиран фърмуер на устройството или средства във веригата, но инцидентът подчертава физическото измерение на риска: атаките с лична принуда са довели до загуби от приблизително 30 милиона долара през първата половина на 2026 г., като домашните нахлувания сега представляват 37% от инцидентите.
Взети заедно, инцидентите от август потвърждават, че уязвимостите в индустрията се разширяват и разнообразяват. Атакуващите вече не са ограничени до използване на логиката на интелигентните договори; те действат в различни механизми за управление, зависимости от протоколи, консенсусни слоеве и доставчици на логистика от трети страни. Ефективното смекчаване на риска все повече изисква рамки за сигурност, които отчитат всички тези повърхности едновременно.
Отказ от отговорност
В съответствие с Доверете се насоките на проекта, моля, имайте предвид, че предоставената на тази страница информация не е предназначена да бъде и не трябва да се тълкува като правен, данъчен, инвестиционен, финансов или каквато и да е друга форма на съвет. Важно е да инвестирате само това, което можете да си позволите да загубите, и да потърсите независим финансов съвет, ако имате някакви съмнения. За допълнителна информация предлагаме да се обърнете към правилата и условията, както и към страниците за помощ и поддръжка, предоставени от издателя или рекламодателя. MetaversePost се ангажира с точно, безпристрастно отчитане, но пазарните условия подлежат на промяна без предизвестие.
За автора
Алиса, всеотдаен журналист в MPost, специализира в криптовалути, изкуствен интелект, инвестиции и обширната сфера на Web3. С остър поглед към нововъзникващите тенденции и технологии, тя предоставя изчерпателно покритие, за да информира и ангажира читателите в непрекъснато развиващия се пейзаж на дигиталните финанси.
Още статии
Алиса, всеотдаен журналист в MPost, специализира в криптовалути, изкуствен интелект, инвестиции и обширната сфера на Web3. С остър поглед към нововъзникващите тенденции и технологии, тя предоставя изчерпателно покритие, за да информира и ангажира читателите в непрекъснато развиващия се пейзаж на дигиталните финанси.
