Четыре публично известных инцидента в DeFi, и ни один не начался с ошибки в математике смарт-контракта: за первые десять дней октября 2026 года подвёл контроль доступа — права, подписи, управление параметрами. Хронологию собрал разбор инцидента на Base — самого показательного из серии.

Что известно

1 октября NEAR Intents потерял 3,8 млн долларов на эксплойте кросс-чейн-интентов — за 48 часов средства вернулись полностью. 2 октября сторонний адаптер Aave лишился около 305 тысяч долларов: компрометация привязана к двум мультисигам Safe, ядро Aave V3 не затронуто.

4 октября хранилище на Base потеряло около 6 млн долларов в обёрнутом застейканном эфире. Свежеразвёрнутый контракт провели в белый список через мультисиг Safe, удалили и вернули обратно в пределах минуты, после чего он вывел средства и выкупил их через Aave V3. От изменения списка до опустошения прошло 19 минут. Названия протокола источник не даёт — только «хранилище на Base, связанное с Aave V3». Сюжет мы разбирали: хранилище на Base взломали через белый список.

Четвёртым в этом счёте идёт протокол MALT — около 72 тысяч долларов в начале октября. Тем же вектором, но вне DeFi: 24 сентября Bitget на 387,5 млн долларов через чужую кошельковую программу.

Как это было раньше

Отрасль уже проходила смену вектора. В 2020–2021 годах деньги уносили через математику: манипуляции оракулом, повторный вход, ошибки в расчёте доли в пуле. Переломом стал разбор взлома Resolv на 23 млн долларов, где Chainalysis вывела след на скомпрометированный ключ: аудит контракта перестал быть главной защитой.

2026 год это закрепил. Drift Protocol — 1 апреля, 285 млн долларов, социальная инженерия и компрометация админ-ключа. KelpDAO — 18 апреля, 290 млн, кража сессионного ключа и отравление RPC. Coldcard — 30 июля, 115–130 млн по разным оценкам, ошибка энтропии прошивки. Та же логика в управлении: голосование за 20 тысяч увело 9,3 млн с Neutron. И в поставке устройств: подменённые кошельки у клиентов реселлера Ledger обошлись в 86–102 млн — единой суммы нет, потому что источники берут разное число сетей, по-разному учитывают тестовые переводы и считают от разных дат отсечки. Общее одно: контракт работал как написано, подвели люди и права.

Потери DeFi за 2026 год — 1,3 млрд долларов по данным CertiK; период в публикации указан противоречиво (то полугодие, то восемь месяцев), поэтому берём год. Минимум 44% суммы приписывают группе Lazarus, из них не менее 575 млн — Drift и KelpDAO. С учётом взлома Bybit на 1,5 млрд в феврале 2025 года итог группы за 18 месяцев превышает 2 млрд — об этом мы писали, когда взлом Bitget приписали КНДР.

Что это значит для рынка

Вывод отчётов сходится: скомпрометированные ключи и административный доступ обогнали технические эксплойты по объёму украденного. Для пользователя это меняет процедуру оценки: аудит подтверждает, что код считает корректно, но не говорит, кто вправе изменить параметры этого кода за одну транзакцию.

Описание потери 6 млн долларов на Base как «взлома Aave» — та подмена, которая раздувает панику вокруг крупного имени. Ядро Aave V3 не было скомпрометировано: протокол использовали как канал вывода и выкупа. Пока внимание уходит на бренд, фактическая точка отказа — запись в белом списке — остаётся незамеченной, и приём повторят в другом месте.
Недооценёнными остались 19 минут и мультисиг. Safe в головах пользователей означает защиту, а здесь он был инструментом атаки: запись удалили и вернули за минуту, и ни один механизм не возразил. Отсюда главный для редакции вывод: смотреть надо не на наличие аудита, а на то, кто может менять параметры протокола, сколько подписей для этого нужно и есть ли задержка на исполнение. Timelock превратил бы эти 19 минут в сутки на реакцию. И отдельно: 44% потерь у одной группы означают, что для заметной части рынка противник — не случайный взломщик, а организация с ресурсами на многонедельную подготовку.

Что делать читателю

Порядок проверки меняется. Начинать стоит с управления: кто управляет параметрами протокола — состав подписантов, порог подписей, задержка на исполнение. Дальше по старому списку: оракул и пул перед покупкой нового токена.

Что выяснить до размещения средств: кто входит в мультисиг и сколько подписей нужно для смены параметров; есть ли timelock; можно ли добавить контракт в белый список одной транзакцией; как протокол оповещает о таких изменениях; что будет со средствами при остановке.

У себя стоит закрыть те же векторы: распознавать вредоносную подпись транзакции, настроить мультисиг с осмысленным порогом, а в команде — разграничить доступ сотрудников к средствам. Годовую сверку ведут по чек-листу безопасности. Если средства ушли — как проследить их движение и оценить остаточный риск. Долю в одном протоколе задают заранее: калькулятор размера портфеля.

Вердикт

Уязвимым стал не код, а права доступа, и отрасль за этим смещением не успевает. Четыре случая за десять дней с одной первопричиной — не совпадение, а работающий приём: его будут повторять, пока критичные параметры меняются без задержки. Следить стоит за тем, появится ли timelock в хранилищах-надстройках и вернутся ли средства по октябрьским инцидентам — по двум из четырёх это неизвестно.

Над обзором работали: Олег Романов — разбор и оценка, редакция Cryptium — проверка фактуры. Разборы и сводки — в Telegram-канале.