Skompromitowane klucze, a nie zepsuty kod, są teraz przyczyną większości kradzieży kryptowalut, a Korea Północna inkasuje czeki.
Podsumowanie
- Protokoły DeFi straciły co najmniej 1,3 miliarda dolarów na skutek exploitów w pierwszych ośmiu miesiącach 2026 roku, według Forbes i CertiK, a skompromitowane klucze prywatne po raz pierwszy w historii wyprzedziły błędy w inteligentnych kontraktach jako główny wektor ataków.
- Protokół Drift stracił 285 milionów dolarów 1 kwietnia po tym, jak atakujący spędzili miesiące na socjotechnicznym zdobywaniu klucza administratora, a następnie opróżnili protokół w 128 sekund. KelpDAO straciło 290 milionów dolarów 17 dni później przez pojedynczy skompromitowany weryfikator na swoim moście LayerZero.
- Grupa Lazarus z Korei Północnej (działająca jako TraderTraitor) została przypisana do co najmniej 575 milionów dolarów strat w 2026 roku tylko w przypadku ataków na Drift i KelpDAO, co oznacza, że jeden aktor państwowy odpowiada za około 44% rocznej sumy.
- Infrastruktura mostów pozostaje dominującym punktem awarii. AFX Trade (24,15 miliona dolarów), VerusCoin (19,14 miliona dolarów w dwóch exploitach) oraz łańcuch Cosmos EVM underflow (20,8 miliona dolarów w MANTRA, TAC i KiiChain) wszystkie obejmowały warstwy weryfikacji międzyłańcuchowej, które zawiodły w ten sam przewidywalny sposób.
- Exploit portfela sprzętowego Coldcard (130 milionów dolarów, 30 lipca) udowodnił, że problem skompromitowanych kluczy wykracza poza protokoły DeFi. Błąd w oprogramowaniu układowym sprawił, że ziarna były zgadywalne, a atakujący włamali się siłowo do tysięcy portfeli bez dotykania żadnej sieci.
Osiem miesięcy roku minęło, a branża kryptowalut już powtórzyła ten sam schemat awarii wystarczająco wiele razy, aby wypełnić podręcznik. Powierzchnia ataku się nie zmieniła. Protokoły nadal ufają niewielkiej liczbie kluczy, podpisujących i węzłów weryfikacyjnych, a atakujący nadal odkrywają, że taniej jest skompromitować jedną osobę niż złamać jeden inteligentny kontrakt.
Liczby są wyraźne. Raport CertiK Hack3d H1 2026 i Forbes oba szacują całkowite straty z hacków kryptowalut na 1,3 miliarda dolarów w pierwszej połowie roku. TRM Labs osiągnął podobną liczbę, zauważając, że straty oscylowały tuż poniżej miliarda dolarów tylko dla DeFi. Tablica wyników rekt.news, która śledzi pojedyncze exploity powyżej 3 milionów dolarów, wymienia ponad 30 incydentów z 2026 roku do tej pory, a same dwie największe odpowiadają za 575 milionów dolarów.
To, co odróżnia 2026 rok od poprzednich lat, to nie kwota w dolarach. To taksonomia ataków. Największe kradzieże roku nie wykorzystywały błędów reentrancy, pętli flash loan ani manipulacji oracle. Wykorzystywały ludzi. Socjotechnika, przejmowanie sesji, kradzież kluczy walidatorów i przejęcie zarządzania napędzają teraz większość strat pod względem wartości. Kod przeszedł wszystkie audyty. Ludzie wokół niego nie.
Dwa hacki, jeden scenariusz, 575 milionów dolarów zniknęło
Definiujący moment roku wydarzył się w 18-dniowym oknie między 1 a 18 kwietnia.
1 kwietnia atakujący opróżnili protokół Drift z 285 milionów dolarów w 128 sekund. Drift był największą giełdą perpetuals na Solanie. Exploit nie dotknął ani jednej linii logiki inteligentnego kontraktu. Atakujący spędzili miesiące, podszywając się pod firmę handlu ilościowego, uczestnicząc w konferencjach, spotykając się osobiście z kontrybutorami Drift w wielu krajach i budując zaufanie, na którym opiera się ta branża.
Zanim uderzyli, zdobyli wcześniej podpisaną autoryzację od Rady Bezpieczeństwa Drift przy użyciu trwałego nonce, legalnej funkcji Solany. Dodali do białej listy bezwartościowy token o nazwie CVT, zdeponowali 500 milionów jako zabezpieczenie przeciwko fałszywemu oracle, które kontrolowali przez trzy tygodnie, i wypłacili 285 milionów dolarów w USDC, SOL i ETH.
Audyt Neodyme z 2024 roku wskazał dokładny mechanizm. Raport zauważył, że instrukcje administracyjne, takie jak InitializeSpotMarket, akceptowały konto oracle bez żadnej walidacji. Zostało to ocenione jako informacyjne, argumentując, że tylko administrator może to wywołać. Dwa lata później klucz administratora był w niepowołanych rękach, a informacyjne ustalenie stało się dziewięciocyfrowym wyjściem.
Siedemnaście dni później, 18 kwietnia, KelpDAO straciło 290 milionów dolarów przez swój most LayerZero. Metoda była całkowicie inna. Żadnych konferencji, żadnego fałszywego biura handlowego. Ktoś zmanipulował społecznie dewelopera z LayerZero Labs 6 marca, wykradł jego klucze sesyjne i wykorzystał ten dostęp do zatrucia infrastruktury RPC zasilającej sieć weryfikatorów LayerZero. Zewnętrzne węzły zostały wyciszone przez ataki DDoS. Pozostałe skompromitowane węzły podpisały sfałszowaną wiadomość międzyłańcuchową, a most wybił 116 500 niepokrytych rsETH.
Skradzione rsETH trafiło bezpośrednio do Aave jako zabezpieczenie, pożyczając prawdziwe WETH przeciwko sobie, i zostało wyprowadzone, zanim awaryjny multisig zdążył zebrać wystarczającą liczbę podpisów, aby wstrzymać operacje. Całkowita wartość zablokowana w Aave spadła o 6,28 miliarda dolarów w 48 godzin. Dziewięć protokołów zamroziło rynki. Rada Bezpieczeństwa Arbitrum użyła nadzwyczajnych uprawnień, aby przejąć 30 766 ETH z portfela atakującego w łańcuchu, co podzieliło opinię niemal tak samo jak sam exploit.
Oba haki przeszły audyty. Oba zespoły przestrzegały standardowych praktyk bezpieczeństwa. Oba straciły wszystko przez jeden skompromitowany klucz.
Linia montażowa Lazarusa
Śledczy powiązali zarówno Drift, jak i KelpDAO z TraderTraitor, podgrupą północnokoreańskiej Grupy Lazarus. Mandiant, CrowdStrike, Elliptic i LayerZero wspólnie potwierdzili atrybucję KelpDAO. Elliptic powiązał Drift z tą samą jednostką ze średnio-wysokim poziomem pewności.
To nie jest nowość. Lazarus stał za hakiem Bybit o wartości 1,5 miliarda dolarów w lutym 2025 roku, zidentyfikowanym przez badacza on-chain ZachXBT w ciągu kilku godzin. Wcześniej ta sama grupa zaatakowała Radiant Capital, Ronin Bridge, WazirX i Harmony’s Horizon Bridge w latach 2022–2024. Amerykański Departament Skarbu, FBI i CISA opublikowały wspólne zalecenia wymieniające grupę i jej taktyki.
To, co zmieniło się w 2026 roku, to wyrafinowanie warstwy socjotechnicznej. Atakujący Drift budowali relacje przez miesiące. Atakujący KelpDAO celowali w konkretne poświadczenia sesyjne dewelopera. W obu przypadkach początkowy włamanie nastąpiło przez zaufanie, a nie technologię. Techniczny exploit rozpoczął się dopiero po tym, jak warstwa ludzka została już skompromitowana.
Ronghui Gu z CertiK ujął to wprost w wywiadzie dla Forbesa: „Protokół może przejść nienaganny audyt kodu i nadal stracić miliony z powodu skompromitowanego klucza administratora”. Ten cytat brzmi teraz bardziej jak etykieta ostrzegawcza niż obserwacja.
Bybit od tego czasu pozwał Koreę Północną, jej agencję wywiadowczą i Grupę Lazarus w federalnym sądzie USA, próbując odzyskać aktywa z haka o wartości 1,5 miliarda dolarów. Teoria prawna jest nowatorska, ale podkreśla, jak mało opcji mają ofiary, gdy atakującym jest suwerenne państwo.
Matematyka jest niewygodna. Drift (285 milionów dolarów) plus KelpDAO (290 milionów dolarów) daje 575 milionów dolarów od jednego aktora zagrożenia w 18 dni. Przy całkowitej stracie w 2026 roku wynoszącej 1,3 miliarda dolarów, Lazarus odpowiada za co najmniej 44% wszystkich skradzionych środków. Jeśli uwzględnić hak Bybit z końca lutego 2025 roku, 18-miesięczny bilans grupy przekracza 2 miliardy dolarów.
Mosty wciąż łamią się w ten sam sposób
Mosty są miękkim podbrzuszem kryptowalut. Tak jest od czasu haka Ronin Bridge w 2022 roku (624 miliony dolarów), haka Wormhole (326 milionów dolarów) i haka Nomad (190 milionów dolarów). Cztery lata później wzorzec się nie zmienił.
W 2026 roku exploity mostów obejmują KelpDAO (290 milionów dolarów, kompromitacja pojedynczego weryfikatora), AFX Trade (24,15 miliona dolarów, pięć skompromitowanych podpisów walidatorów na moście USDC Arbitrum) i VerusCoin (19,14 miliona dolarów w dwóch osobnych exploitach tego samego mostu Ethereum w maju i lipcu). Błąd podpełnienia w Cosmos EVM uderzył w trzy łańcuchy w szybkiej sekwencji: MANTRA (3,6 miliona dolarów), TAC (7,5 miliona dolarów) i KiiChain (9,7 miliona dolarów), wszystkie przez tę samą lukę w odtwarzaniu odbiorów międzyłańcuchowych.
Wspólnym mianownikiem jest weryfikacja. Mosty muszą potwierdzić, że wiadomość lub transakcja na jednym łańcuchu jest ważna, zanim wykonają ją na innym. To potwierdzenie prawie zawsze opiera się na małym zestawie podpisujących, walidatorów lub węzłów oracle. Skompromituj wystarczającą ich liczbę, a most zrobi dokładnie to, do czego został zaprojektowany: uwolni środki na łańcuchu docelowym w odpowiedzi na to, co uważa za legalne żądanie z łańcucha źródłowego.
AFX Trade to studium przypadku pokazujące, jak cienkie są marginesy. 22 lipca pięć skompromitowanych podpisów walidatorów przekroczyło kworum dwóch trzecich na moście Arbitrum, wypompowując 24,15 miliona dolarów w USDC. Atakujący przeniósł środki do Ethereum, wymienił na 12 467,5 ETH i skonsolidował w jednym portfelu. Wszystko to wydarzyło się 49 dni po tym, jak AFX z dumą promował audyt bezpieczeństwa od Zellic. Ten audyt udokumentował zerowe pokrycie testami i pozostawił niepoprawione potwierdzenia. Okno sporne na moście wynosiło 200 sekund. Nie zakwestionowało niczego.
Most VerusCoin został zaatakowany dwukrotnie: 11,6 miliona dolarów w maju, a następnie 7,54 miliona dolarów w lipcu. Ten sam most, inna luka w tej samej zerwanej granicy zaufania. Za drugim razem nie było żadnego oświadczenia, żadnej oferty nagrody, żadnej komunikacji.
Rozwiązanie jest znane, ale rzadko stosowane. Konfiguracje z wieloma weryfikatorami, w których most wymaga potwierdzenia z wielu niezależnych sieci weryfikacyjnych przed uwolnieniem środków, zatrzymałyby zarówno exploit KelpDAO, jak i AFX Trade. LayerZero publicznie obwinił KelpDAO za prowadzenie konfiguracji z jednym weryfikatorem. KelpDAO odpowiedział danymi z Dune, pokazującymi, że 47% wszystkich kontraktów OApp LayerZero, ponad 1200 z nich, używa dokładnie tej samej konfiguracji. Przez ponad dwa i pół roku i osiem udokumentowanych rozmów integracyjnych, KelpDAO twierdzi, że LayerZero za każdym razem przeglądało ich konfigurację i nie zgłaszało zastrzeżeń.
To jest prawdziwy skandal. Rozwiązanie istnieje. Infrastruktura je wspiera. Prawie nikt go nie używa.
Audyty sprawdzają niewłaściwą powierzchnię
Rekt.news opublikował w lipcu 2026 r. artykuł redakcyjny zatytułowany „Wrong Attack Surface”, który skrystalizował to, co exploity tego roku krzyczały: największe straty przeszły audyty, ponieważ audytorzy sprawdzali kod, a kod był w porządku.
CredShields ujął to wprost w swoim raporcie pośmiertnym Drift: powierzchnia ataku przesunęła się „w górę stosu do zarządzania, do podpisujących i do ludzi budujących same protokoły”.
Tradycyjne audyty inteligentnych kontraktów sprawdzają Solidity lub Rust pod kątem błędów ponownego wejścia, przepełnienia i kontroli dostępu. Nie sprawdzają praktyk bezpieczeństwa operacyjnego, procedur zarządzania kluczami, odporności na inżynierię społeczną ani infrastruktury poza łańcuchem, która zasila dane do kontraktów na łańcuchu. Exploit KelpDAO miał miejsce w infrastrukturze RPC LayerZero, która znajdowała się poza zakresem każdego audytu. Exploit Drift nastąpił poprzez inżynierię społeczną, która skompromitowała klucz administratora, czego żaden audyt kodu nie jest zaprojektowany, aby wykryć.
Exploit Coldcard jest najbardziej skrajnym przykładem. 30 lipca 2026 r. atakujący zaczęli opróżniać portfele Bitcoin zabezpieczone urządzeniami sprzętowymi Coldcard. Błąd oprogramowania układowego zamienił sprzętowy generator liczb losowych na przewidywalną zapasową wersję programową, zmniejszając entropię ziaren portfela do zakresu możliwego do złamania metodą brute force. Żadnego phishingu, żadnego złośliwego oprogramowania, żadnego skradzionego urządzenia. Atakujący przeprowadzili obliczenia na własnych maszynach, wyprowadzili potencjalne adresy, dopasowali je do publicznego blockchaina i wydobyli klucze prywatne za darmo.
Galaxy Research prześledziło pierwszą falę do 1082,65 BTC skradzionych z 1196 adresów w 41 minut. Do 7 sierpnia wstępne szacunki wzrosły do 1596 BTC z około 7300 adresów, a szacunki obejmujące kandydatów przekroczyły 2055 BTC, czyli około 130 milionów dolarów. Zidentyfikowano ponad 25 oddzielnych wzorców ataków. Co najmniej 15 niezależnych atakujących wykorzystało tę samą lukę.
Coinkite, producent Coldcard, wydał wstępne ostrzeżenie tego samego dnia, a dyrektor generalny NVK opublikował publiczne przeprosiny. Ale aktualizacja oprogramowania układowego nie mogła naprawić portfeli, których ziarna zostały już wygenerowane z uszkodzoną entropią. Te ziarna musiały zostać całkowicie wymienione.
Incydent Coldcard nie jest hackiem DeFi w tradycyjnym sensie. Jest czymś gorszym: dowodem na to, że problem skompromitowanych kluczy sięga głębiej niż zarządzanie protokołem. Nawet użytkownicy, którzy zrobili wszystko, co zaleca podręcznik samodzielnego przechowywania, portfel sprzętowy, podpisywanie offline, brak opieki strony trzeciej, stracili środki, ponieważ samo generowanie kluczy było wadliwe.
Co właściwie to naprawia
Nudna odpowiedź jest tą właściwą. Wzorzec exploitów z 2026 roku ma trzy punkty awarii, a każdy z nich ma znane środki zaradcze, których większość protokołów nie przyjęła.
Zarządzanie kluczami: Portfele z obliczeniami wielostronnymi (MPC) i sprzętowe moduły bezpieczeństwa (HSM) z podpisem progowym eliminują ryzyko pojedynczego klucza, które umożliwiło włamanie do Drift. Opóźnienia czasowe (timelock) dla działań administracyjnych, w połączeniu z monitorowaniem on-chain, które ostrzega, gdy transakcje uprzywilejowane są w kolejce, dają zespołom bezpieczeństwa okno na reakcję. 128-sekundowe opróżnienie Drift działało, ponieważ nie było opóźnienia między kompromitacją klucza a wypłatą środków.
Weryfikacja mostów: Konfiguracje z wieloma weryfikatorami, w których dwa lub więcej niezależnych sieci weryfikacyjnych musi się zgodzić, zanim most uwolni środki, są bezpośrednią odpowiedzią na awarię pojedynczego weryfikatora w KelpDAO. LayerZero wspiera to natywnie. Fakt, że 47% jego aplikacji nadal działa z konfiguracją pojedynczego weryfikatora, jest problemem konfiguracyjnym, a nie technologicznym.
Bezpieczeństwo operacyjne: Żaden audyt kodu nie chroni przed inżynierią społeczną. Protokoły zarządzające TVL w wysokości dziewięciu cyfr potrzebują dedykowanych programów bezpieczeństwa operacyjnego: uwierzytelnianie wymuszane sprzętowo dla całego dostępu uprzywilejowanego, obowiązkowe wymagania dotyczące wielu podpisów, których nie można ominąć przez jednego sygnatariusza, oraz szkolenia z zakresu bezpieczeństwa, które traktują inżynierię społeczną jako główny wektor zagrożeń.
Błąd niedomiaru (underflow) w Cosmos EVM oferuje inną lekcję. Cosmos Labs wiedział o tym błędzie od kwietnia 2026 roku, ale źle ocenił jego dotkliwość. Kiedy w końcu został wykorzystany w MANTRA, TAC i KiiChain w sierpniu, wszystkie trzy łańcuchy zatrzymały się zbyt późno. Środki zostały już przeniesione przez most. Odpowiedzialne ujawnienie działa tylko wtedy, gdy odbiorcy traktują ujawnienie z pilnością.
Atak na zarządzanie Term Labs (8,5 miliona dolarów, sierpień 2026) wskazuje na kolejną lukę. Udział wyborców bliski zeru pozwolił jednemu portfelowi przejąć kontrolę nad skarbcami protokołu przy minimalnych kosztach, całkowicie omijając opóźnienie w zarządzaniu. Gdy nikt nie głosuje, zarządzanie jest po prostu kolejną powierzchnią ataku. Wymagania kworum, okresy blokowania głosów i mechanizmy opiekuńcze, które mogą zawetować podejrzane propozycje w oknie przeglądu, to standardowe narzędzia, których Term Labs nie wdrożył.
Na co zwracać uwagę
Druga połowa 2026 roku pokaże, czy branża potraktuje te porażki jako lekcje, czy jako tolerowane koszty prowadzenia działalności. Pięć wskaźników opowie tę historię:
Wskaźnik adopcji wielu weryfikatorów w LayerZero: Jeśli odsetek OApps z pojedynczym weryfikatorem znacząco spadnie z 47% do końca roku, lekcja z KelpDAO została przyswojona. Jeśli utrzyma się na stałym poziomie, spodziewaj się powtórki.
Adopcja timelock dla kluczy administracyjnych: Obserwuj protokoły z TVL powyżej 100 milionów dolarów wdrażające obowiązkowe opóźnienia dla transakcji uprzywilejowanych. 128-sekundowe opróżnienie Drift powinno uczynić to niepodlegającym negocjacjom.
Atrybucja grupy Lazarus w nowych exploitach: Departament Skarbu USA, Chainalysis i TRM Labs śledzą działalność Lazarusa. Każda nowa atrybucja do TraderTraitor sygnalizuje, że potok inżynierii społecznej grupy pozostaje operacyjny.
Adopcja łatki dla Cosmos EVM w łańcuchach IBC: Błąd niedomiaru uderzył w trzy łańcuchy. Dziesiątki innych działają na tym samym kodzie. Szybkość łatania w ekosystemie Cosmos pokaże, czy współpraca między łańcuchami się poprawiła.
Wypłaty i pojemność protokołów ubezpieczeniowych: Dostawcy ubezpieczeń on-chain, tacy jak Nexus Mutual i Sherlock, pochłonęli znaczne roszczenia w H1 2026. Jeśli pojemność reasekuracyjna się skurczy lub składki wzrosną, będzie to sygnał, że rynek wycenia dalsze ataki na obecnym poziomie.
Ile DeFi straciło na hackach w 2026 roku?
Co najmniej 1,3 miliarda dolarów w pierwszej połowie 2026 roku, według raportu Hack3d firmy CertiK i magazynu Forbes. Lista liderów rekt.news wymienia ponad 30 pojedynczych exploitów powyżej 3 milionów dolarów w tym roku, przy czym dwa największe, Drift Protocol (285 milionów dolarów) i KelpDAO (290 milionów dolarów), łącznie odpowiadają za 575 milionów dolarów. Pełna roczna liczba wzrośnie jeszcze bardziej po zsumowaniu strat z drugiej połowy roku.
Jaki był największy hack DeFi w 2026 roku?
KelpDAO straciło około 290 milionów dolarów 18 kwietnia, gdy atakujący naruszyli klucze sesyjne dewelopera LayerZero, zatruli infrastrukturę RPC zasilającą sieć weryfikatorów mostu i wybili 116 500 niepopartych tokenów rsETH. Skradzione tokeny zostały przekazane do Aave jako zabezpieczenie, co spowodowało spadek TVL o 6,28 miliarda dolarów w protokole pożyczkowym i zamrożenie rynku na dziewięciu oddzielnych platformach DeFi.
Jak działał hack Drift Protocol?
Atakujący podszywali się pod firmę zajmującą się handlem ilościowym i przez kilka miesięcy budowali zaufanie z kontrybutorami Drift Protocol poprzez konferencje i spotkania osobiste. Uzyskali wcześniej podpisaną autoryzację od Rady Bezpieczeństwa Drift przy użyciu trwałego nonce, dodali do białej listy fałszywy token o nazwie CVT z samokontrolowanym wyrocznią, zdeponowali go jako zabezpieczenie i wypłacili 285 milionów dolarów w 128 sekund. Exploit wykorzystywał wyłącznie legalne funkcje Solany i uprawnienia administracyjne, a nie błąd w kodzie.
Czy Korea Północna naprawdę stoi za większością hacków kryptowalutowych?
Grupie Lazarus z Korei Północnej, a konkretnie jej podjednostce TraderTraitor, przypisuje się co najmniej 575 milionów dolarów strat DeFi w 2026 roku w wyniku hacków Drift Protocol i KelpDAO. W połączeniu z hackiem Bybit o wartości 1,5 miliarda dolarów z lutego 2025 roku, łączna suma grupy w ciągu ostatnich 18 miesięcy przekracza 2 miliardy dolarów. Mandiant, CrowdStrike, Elliptic, FBI i Departament Skarbu USA opublikowały atrybucje łączące konkretne exploity z operacjami Lazarus.
Dlaczego mosty kryptowalutowe są ciągle hackowane?
Mosty polegają na małym zestawie walidatorów lub węzłów weryfikacyjnych, aby potwierdzić, że wiadomość międzyłańcuchowa jest prawdziwa, zanim uwolnią środki w łańcuchu docelowym. Jeśli skompromituje się wystarczającą liczbę tych podpisujących, most postępuje zgodnie z własnymi zasadami, uwalniając środki w odpowiedzi na to, co uważa za ważne żądanie. Exploit KelpDAO wykorzystał jednego skompromitowanego weryfikatora. Exploit AFX Trade wykorzystał pięciu. Podstawowym problemem jest to, że większość mostów koncentruje zaufanie w zbyt małej liczbie stron, a wiele z nich nadal działa w konfiguracji z jednym weryfikatorem, nawet gdy dostępne są alternatywy z wieloma weryfikatorami.
Co to jest atak z użyciem skompromitowanego klucza?
Atak z użyciem skompromitowanego klucza ma miejsce, gdy ktoś uzyskuje kontrolę nad kluczem prywatnym, kluczem administratora lub uprawnieniami podpisu, które mają uprzywilejowany dostęp do środków lub konfiguracji protokołu. W 2026 roku te ataki wyprzedziły exploity inteligentnych kontraktów jako główna przyczyna strat DeFi pod względem wartości w dolarach. Atakujący nie musi znaleźć błędu w kodzie. Musi znaleźć osobę, czy to poprzez inżynierię społeczną, przejęcie sesji, phishing, czy dostęp od wewnątrz.
Czy audyty inteligentnych kontraktów mogą zapobiec tym hackom?
Nie, przynajmniej nie te rodzaje audytów, które większość protokołów zleca obecnie. Tradycyjne audyty inteligentnych kontraktów sprawdzają kod pod kątem błędów, takich jak reentrancy, przepełnienie i wady kontroli dostępu. Nie obejmują one praktyk zarządzania kluczami, bezpieczeństwa operacyjnego, odporności na inżynierię społeczną ani infrastruktury poza łańcuchem. Exploit KelpDAO miał miejsce w warstwie RPC LayerZero, poza zakresem każdego audytu. Exploit Drift miał miejsce po miesiącach inżynierii społecznej. Oba protokoły miały czyste audyty w momencie ich wykorzystania.
Co to jest hack Coldcard i jaki ma związek z bezpieczeństwem DeFi?
30 lipca 2026 roku atakujący zaczęli wypłacać Bitcoiny z portfeli sprzętowych Coldcard po odkryciu błędu w oprogramowaniu układowym, który zastąpił sprzętowy generator liczb losowych przewidywalnym programowym rozwiązaniem awaryjnym. Ziarna stały się podatne na ataki brute-force. Galaxy Research śledziło straty o wartości co najmniej 130 milionów dolarów w tysiącach portfeli. Hack Coldcard nie jest exploitem protokołu DeFi, ale dowodzi tego samego: gdy sam klucz jest skompromitowany, żadne bezpieczeństwo w łańcuchu nie ma znaczenia. Problem nie ogranicza się do inteligentnych kontraktów czy mostów. Przenika cały stos technologiczny.
Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Inwestycje w kryptowaluty wiążą się ze znacznym ryzykiem. Zawsze przeprowadzaj własne badania przed podjęciem decyzji inwestycyjnych. Informacje są aktualne na dzień 4 września 2026 roku.
