Перше півріччя 2026 року стало найактивнішим шестимісячним періодом за криптоексплойтами за всю історію спостережень.

Про це йдеться в новому звіті Blockaid, згідно з яким хакери викрали $1,1 млрд у ході 212 інцидентів.

Криптозломи перевищили $1,1 млрд у 1-му півріччі 2026

Звіт Blockaid показав, що чотири великі інциденти за участю KelpDAO, Drift, Resolv і CoW Swap склали приблизно $707 млн від загальних втрат.

Найбільшу втрату зазнав KelpDAO: хакери викрали криптовалюти на $292 млн, підробивши міжмережеве повідомлення, яке викачало Ethereum-резерви протоколу. Drift Protocol, біржа безстрокових контрактів на блокчейні Solana, зазнала так само величезного удару — її обчистили на $285 млн за 12 хвилин.

Blockaid пов’язала обидва випадки з TraderTraitor — спонсорованим державою північнокорейським підрозділом більшої Lazarus Group. Втрата Humanity Protocol у $32 млн також була пов’язана з тим самим кластером зловмисників, що довело втрати, пов’язані з КНДР, до $609 млн — близько 55% усіх викрадених за період коштів.

Темп атак наростав протягом року: кількість щомісячних інцидентів зросла з 18 у січні до 57 у червні. Найболючішим місяцем виявився квітень: зломи KelpDAO і Drift Protocol у сумі забрали $577 млн, довівши загальні втрати того місяця до $635 млн.

Зловживання привілейованими ключами стало найдорожчим типом атак у першому півріччі 2026 року з втратами близько $790 млн — майже три чверті всіх викрадених за період коштів, повідомила Blockaid. На другому місці за обсягом — експлойти незабезпеченої емісії, на чолі з проломом Resolv на $80 млн. Але найбільше жертв спричинили зломи на рівні коду: на них припало майже чотири з п’яти атак за кількістю.

Вектори атак змінюються з появою нових загроз

У звіті як нову ціль названо ШІ-агентів: у травні хакери за допомогою атаки впровадження промпту обдурили ШІ-агента Bankr, змусивши його схвалити несанкціоновану транзакцію приблизно на $216 000.

Серйозно постраждали й міжмережеві мости: зловмисники зламали системи перевірки KelpDAO і Taiko через підроблені докази та атестації, прийняті цільовими блокчейнами.

Крім того, у 2026 році команди безпеки зіткнулися з новішими методами атак: Blockaid виявила чотири інциденти з атаками делегування гаманців EIP-7702, коли гаманець може передати керування смарт-контракту. Застарілі смарт-контракти також залишаються поширеною вразливістю: дані показують близько п’яти випадків у травні та червні, включно з двома з Aztec Connect і одним проти AMM V3 у Raydium.

Нещодавні інциденти поза звітним періодом показали той самий тиск на криптоінфраструктуру. Наприклад, 23 липня AFX Trade, BSquaredNetwork і Verus були атаковані в окремих інцидентах одного дня, що в сукупності принесло понад $35 млн втрат. Нагадаємо, що Verus уже постраждав від іншого експлойта приблизно двома місяцями раніше, і Blockaid пов’язала обидва інциденти з тим самим контрактом моста і класом вразливості.

Результати повернення коштів різнилися залежно від типу атаки. Згідно зі звітом, інциденти, пов’язані з кодом, іноді дозволяли командам заморозити кошти або домовитися про повернення, тоді як атаки з викраденими ключами зазвичай закінчувалися тим, що гроші йшли через міксери або міжмережеві маршрути.

Джерело: CryptoPotato