Криптовалютная индустрия теряет бешеные суммы несмотря на регулярные проверки безопасности. По данным Hacken, в третьем квартале хакеры украли $1,18 млрд — и это не просто халатность, а системная проблема, когда аудиты проверяют ровно то, что удобнее проверить, но упускают реальные уязвимости.

Вот в чём суть: 77% потерь произошли в ситуациях, где стандартный аудит просто бесполезен. Сюда входят взломы у третьих сторон и поставщиков (на них полагаются проекты, но их безопасность — не в прямой ответственности самого проекта), системы, которые отложили обновление безопасности, и компоненты, которые вообще не входили в последнюю проверку. По сути, проект получает красивый отчёт об аудите, показывает его инвесторам, а потом теряется через «не покрытую» часть инфраструктуры.

Это не новая проблема, но цифры красноречивы. Индустрия ежегодно проводит сотни аудитов, выплачивает за них немалые суммы уважаемым фирмам, а потери от хаков не снижаются — скорее, растут. Есть несколько причин: во-первых, аудит — это снимок на момент времени, а в крипто системы меняются очень быстро; во-вторых, он проверяет договорённый кодовый контракт, но не учитывает человеческий фактор, риски цепочки поставок и операционные ошибки; в-третьих, даже найденные уязвимости команды иногда медлят с исправлением.

Вывод Hacken простой и неудобный: полагаться только на аудиты — значит играть в иллюзию безопасности. Инвесторы смотрят на наличие аудита как на галочку, но это создаёт ложный консенсус вокруг проекта. Более надёжный подход — требовать не просто наличие аудита, а демонстрацию текущей практики: как часто обновляются зависимости, какой процесс у разработчиков для патчей, какие мониторинги работают в реальном времени.

На российском рынке крипто-бизнеса эта проблема усугубляется: многие проекты экономят на каждом этапе и предпочитают более дешёвые аудиты или вообще обходятся без них. Платформы для смарт-контрактов и платежных систем, которые критичны для потребителей, должны иметь не только отчёт аудита, но и прозрачный процесс управления уязвимостями, страховки, проверку поставщиков и документированное восстановление после инцидентов. Для бизнеса, выбирающего блокчейн-платформу, это означает: требуй увидеть не только сертификат, но и публичную информацию о том, как именно проект реагирует на найденные проблемы и кто отвечает за безопасность цепочки поставок.

Похоже, крипто-индустрия медленно переходит от культуры «один аудит в год и спи спокойно» к более осознанному управлению рисками. Но пока большинство проектов остаются в зоне риска. Это хорошо пояснить инвесторам перед тем, как нажимать на кнопку покупки.