Третий квартал стал рекордным по убыткам от успешных взломов в крипто-секторе. По данным аналитической компании Hacken, суммарные потери приблизились к $1,2 млрд, при этом эпизоды с крупными биржами Bitget и Liquid стали ключевыми драйверами этого показателя. Такая концентрация убытков в нескольких крупных инцидентах — паттерн, который повторяется уже несколько лет подряд и говорит о том, что опасность централизована именно в наиболее привлекательных целях для хакеров.
Интересно, что по анализу Hacken, около 77% всех квартальных потерь пришлись на взломы, которые произошли через компрометацию поставщиков, разработчицких инструментов и компонентов инфраструктуры, остающихся вне стандартных аудитов безопасности. Это говорит о системной проблеме: даже если сама биржа или протокол имеют приличный уровень защиты, цепочка поставок остаётся уязвима. Хакеры давно научились искать наиболее слабое звено — и зачастую это не парадная дверь, а заднее окно через третьих поставщиков.
Таких случаев достаточно в недавней истории. Взлом Ronin в 2022 году произошёл именно через компрометацию ноды валидатора, а не через саму логику смарт-контракта. Кейс Poly Network показал, что даже межцепочечные мосты с серьёзным финансированием могут падать из-за ошибок в развёрнутом коде, минующих аудит. Паттерн одинаковый: защита на уровне главного продукта становится менее актуальной, если вся экосистема вокруг — разработчики, CI/CD пайплайны, провайдеры хостинга, библиотеки зависимостей — не соответствуют тому же стандарту.
Для самих бирж и крупных протоколов это означает, что закупка очередного аудита безопасности уже недостаточна. Нужна дополнительная работа на уровне управления зависимостями, контроля доступа в инфраструктуру, регулярного скрининга используемых библиотек и инструментов. Да, это трудозатратнее, чем одноразовый аудит, но статистика Q3 чётко показывает, где сосредоточена реальная опасность.
В контексте российского бизнеса это особенно актуально для компаний, которые строят финтех-решения с крипто-компонентом или используют блокчейн-инфраструктуру. При выборе платформ для интеграции — будь то платежные решения на базе блокчейна или смарт-контрактные системы — стоит интересоваться не только основными аудитами, но и тем, как провайдер управляет своей supply chain и зависимостями. Вопросы про процессы обновления библиотек, управления доступом к развёртыванию, мониторинг компонентов третьих сторон — это уже не параноя, а базовая due diligence.
На фоне этой статистики видно, что рынок постепенно матчасть, но неравномерно. Крупные биржи и протоколы начинают серьёзнее относиться к безопасности supply chain, но мелкие и средние проекты всё ещё часто полагаются на разовые аудиты и надеются на удачу. До тех пор, пока входная стоимость для хакера — компрометация одного разработчика или поставщика инструмента — останется низкой, а выход остаётся высоким (сотни миллионов), такие взломы будут регулярными.