Вересневий звіт з безпеки Web3: 48 основних інцидентів безпеки, вкрадені кошти перевищують 760 мільйонів доларів

Глибокою тенденцією безпеки Web3 у 2026 році є систематичне розширення атакуючого вектора. Атаки відбуваються одночасно на рівні коду, повсякденної діяльності та взаємодії, а підвищення можливостей ШІ робить виявлення вразливостей швидшим.

Автор: Beosin

Згідно з даними моніторингу платформи Beosin Alert, у вересні 2026 року загальні збитки від різних інцидентів безпеки склали приблизно 760 мільйонів доларів, сталося 48 значних інцидентів безпеки. Зокрема, збитки від інциденту безпеки Bitget склали приблизно 387,5 мільйона доларів, а Liquid Network зазнав збитків приблизно на 320 мільйонів доларів (з яких близько 285 мільйонів доларів було повернуто), решта 46 інцидентів завдали загальних збитків приблизно на 52,95 мільйона доларів.

Топ-10 збитків у вересні

24 вересня платформа Bitget зазнала незаконного вторгнення в гарячий гаманець, ця атака охопила кілька основних блокчейн-мереж, загальні збитки перевищили 387,5 мільйона доларів, що робить її найбільшим інцидентом безпеки у вересні. 6 вересня бічна мережа Bitcoin Liquid Network через вразливість у кешуванні верифікації в основному програмному забезпеченні Elements зазнала злому на приблизно 4000 BTC (вартість близько 320 мільйонів доларів), 8 вересня зловмисник повернув 3400 BTC, залишок у 598,5 BTC все ще перебуває під питанням, чи є це «винагородою за вразливість». 22 вересня Neutron зазнав атак на управління, що призвело до крадіжки ліквідності з протоколів DeFi, таких як Astroport, на суму приблизно 1,73 мільйона ATOM, загальні збитки склали 9,4 мільйона доларів, що займає третє місце.

Крім того, у Топ-10 збитків є 3 випадки фішингу / отруєння: фішинг-атака на адресу 0x40e93, отруєння додатку FomoPeek, зловмисна задня дверцята гаманця iToken. Безпека користувачів завжди є одним з найслабших ланок в екосистемі Web3.

Типи атакованих проектів та збитки по ланцюгах

Цього місяця об'єктами атак стали біржі, публічні блокчейни, кредитні протоколи, гаманці, токен-контракти, кросчейн-мости, звичайні користувачі та інші типи, при цьому найбільші збитки зазнали біржі — 387,5 мільйона доларів; загальні збитки публічних блокчейнів склали приблизно 334 мільйони доларів; атаки на особистих користувачів / адреси завдали збитків приблизно на 15,57 мільйона доларів, що на 45,2% менше, ніж у минулому місяці. Контракти DeFi зазнали найбільшої кількості атак — 13 разів; контракти токенів були атаковані 10 разів, що займає друге місце.

У вересні найбільші збитки зазнала мережа Liquid Network. Ripple через інцидент Bitget зазнав збитків приблизно на 157 мільйонів доларів, займаючи друге місце, Ethereum зазнав збитків приблизно на 146 мільйонів доларів, всього сталося 14 інцидентів безпеки, більшість атак на DeFi-протоколи та фішинг на великих гравців все ще зосереджені на Ethereum. Друге місце за кількістю інцидентів безпеки займає BNB Chain, але цільові атаки все ще в основному спрямовані на контракти токенів, збитки невеликі.

Крім того, Neutron, Injective та інші публічні блокчейни екосистеми Cosmos також зазнали атак у вересні, атаки на ланцюгах набули багатоланцюгового характеру.

Аналіз основних інцидентів безпеки

Для аналізу двох значних інцидентів безпеки Bitget та Liquid Network запрошуємо ознайомитися з попередніми публікаціями Beosin. Нижче наведено аналіз інших методів атак цього місяця:

1. Neutron: Атака на управління

Атака на управління Neutron є типовим випадком маніпуляції механізмом управління. Зловмисник використав часовий розрив та механізм знімка стейкінгу в правилах управління, щоб за дуже низьку вартість захопити управлінські права контракту. Його шлях атаки виглядає так:

(1) Зловмисник підготував пропозицію під назвою «AIATO: AI Agent Takeover. Phase 1: Agent Admin Registration», яка на поверхні описує експеримент «самостійного AI-агента, що захоплює контроль над тестовою мережею». Резюме пропозиції цитує наукову статтю про децентралізоване управління AI-агентами, щоб заплутати управлінців:

(2) Пропозиція фактично містить 11 повідомлень «Оновити адміністратора», функція яких полягає в тому, щоб поетапно передати права адміністратора кількох контрактів на ланцюзі Neutron на адресу пропозиції. Залучені контракти належать Astroport (децентралізована біржа) та Drop (протокол ліквідного стейкінгу).

(3) Низька вартість покупки прав голосу. Зловмисник витратив приблизно 20199 USDC на Astroport, купивши NTRN п'ятьма транзакціями, а потім ставив 3160 мільйонів NTRN. Це стейкінг відбувся за 11 хвилин 39 секунд до закінчення голосування, точно в межах вікна дії знімка голосування Cosmos SDK.

Ця пропозиція була схвалена з 82% голосів (швидкий прохідний поріг становить 67%, кворум — 30%), зловмисник відразу ж замінив код контракту та вивів кошти. За оцінками, Astroport зазнав збитків приблизно на 4,9 мільйона доларів, а Drop — приблизно на 4,5 мільйона доларів.

Ця атака також є дуже типовим випадком атаки на управління протоколом на ланцюзі. Щоб запобігти атакам на управління на ланцюзі, проектам слід встановити такі контрольні точки:

• Встановити абсолютну кількість голосів або капітальний поріг: пропозиції з управління не можуть покладатися лише на відносні пропорції для проходження. Необхідно встановити жорсткий поріг на основі абсолютної кількості, наприклад, вимагати, щоб голоси «за» досягали певної суми (наприклад, 1 мільйон доларів) або кількості незалежних адрес.
• Оснастити механізм затримки наглядачем або шляхом скасування: хоча виконання управління зазвичай затримується, це лише зберігає певний час для реакції. Проектам слід забезпечити ефективний механізм нагляду (Guardian) або шлях скасування пропозицій на період затримки виконання. Якщо під час затримки виявлено зловмисну пропозицію, наглядач може негайно втрутитися та скасувати.
• Моніторинг участі в управлінні: протокол повинен встановити моніторинг участі в управлінні для кожного фонду в режимі реального часу. Коли виявляється, що загальна пропозиція токенів управління або рівень участі в голосуванні для певного фонду аномально низькі, слід своєчасно надсилати сповіщення, а також автоматично активувати заходи захисту.

2. Injective: Вразливість у розрахунках опціонів

Інцидент атаки Injective є атакою на вразливість розрахунків бінарних опціонів у його рідному протоколі. Зловмисник використав неактивний оракул, щоб активувати логіку «безцінного повернення» на рівні протоколу, отримавши приблизно 4,9 мільйона доларів за дуже низьку вартість. Його конкретний шлях атаки виглядає так:

(1) Зловмисник створив оракул під назвою Frontrunner, дані якого були налаштовані на порожні значення, які ніколи не повертатим ціну. Одночасно було створено 299 ринків бінарних опціонів, всі вони вказували на цей оракул.

(2) Оскільки оракул не може надати ціну, ринок не може нормально розраховуватися, система змушена перейти на шлях «безцінного повернення» (NO_PRICE_FOR_REFUND). Логіка цього шляху полягає в поверненні подвійного депозиту, а не лише поверненні основної суми.

(3) Зловмисник одночасно купував і продавав на ринку через кілька підрахунків, сам виступаючи в ролі контрагента. Оскільки не було жодного реального торгового партнера, кошти просто оберталися між рахунками зловмисника, але механізм повернення додатково «випадково» створював прибуток. Протягом приблизно 30 хвилин зловмисник вніс приблизно 105199 USDC, але зміг вивести 204699 USDC.

Потім зловмисник обміняв USDC на ETH і переніс через кросчейн-мост CCTP на Ethereum.

3. ASI Alliance: Витік приватного ключа

20-21 вересня екосистема ASI Alliance (Fetch.ai, NuNet та SingularityNET) зазнала атак від одного й того ж зловмисника. Зловмисник спочатку використав витік приватного ключа та недоліки в дизайні контракту, щоб витягти 8,7 мільйона FET з контракту TokenConversionManagerV3 Fetch.ai, потім використав права на карбування NuNet для випуску 408,5 мільйона NTX токенів, а в кінці через кросчейн-мост SingularityNET на Ethereum карбував приблизно 896 мільйонів AGIX, 500,5 мільйона WMTx та 492,4 мільйона CGV.

Згідно з офіційними даними ASI Alliance, зловмисник отримав права на карбування кількох проектів, використовуючи витік приватного ключа, що призвело до масового карбування. Перевіряючи процес атак на ланцюзі, Beosin виявив, що, крім витоку приватного ключа, у ключових функціях контракту також є недоліки в дизайні:

Ця функція покладається лише на підпис одного зовнішнього облікового запису (EOA) як доказ авторизації. Ця функція не реалізує механізм контролю лімітів checkLimits(amount), що існує в conversionOut(), і не вимагає перевірки, чи завершено блокування або знищення цільового активу в іншій мережі. Тому, як тільки ключ підпису витікає, всі активи в контракті виявляються без жодного захисту під ризиком. Зловмисник скористався цим недоліком, використовуючи витік авторизаційного підпису для виклику conversionIn(), одна транзакція очистила 8721530 FET токенів з цього контракту.

Тенденції загроз безпеці Web3

Глибокою тенденцією безпеки Web3 у 2026 році є систематичне розширення атакуючого вектора. Атаки відбуваються одночасно на рівні коду, повсякденної діяльності та взаємодії, а підвищення можливостей ШІ робить виявлення вразливостей швидшим, і лише кілька аудиторських перевірок або інструментів не можуть охопити аспекти операційної безпеки, управління на ланцюзі, логіки бізнес-операцій тощо. Це ставить нові виклики для бірж, публічних блокчейнів та проектів Web3 у створенні системи безпеки.

Крім того, часті атаки на контракти DeFi та особистих користувачів. Вразливості контрактів або авторизації легко можуть бути використані зловмисниками, розробники або оператори контрактів повинні перевірити безпеку контрактів, для обробки основного бізнесу контракти повинні проходити кілька, багатосторонніх аудиторських перевірок. Для особистих користувачів слід регулярно використовувати блокчейн-браузери або інструменти для скасування авторизацій, щоб перевірити та скасувати непотрібні авторизації контрактів, а також дізнаватися про поширені та нові методи фішингу, стежити за останніми сповіщеннями про безпеку та динамікою, підвищуючи обізнаність про безпеку.