Картина на конец лета 2026 года складывается так: суммарные потери от атак на криптопроекты снижаются, а число инцидентов бьёт рекорды. За первое полугодие индустрия потеряла порядка 1,3 млрд долларов при 207 зафиксированных случаях против 83 годом ранее. Центр тяжести сместился с массовых технических атак на точечные и на обман живого человека. В России 74% выявленных пирамид собирали деньги в криптовалюте.

Ниже — цифры по источникам, разбор расхождений между отчётами, российская специфика и вывод для частного держателя.

Цифры за первое полугодие 2026 года

Сначала оговорка. Без неё числа вводят в заблуждение, потому что разные компании считают по-разному: кто-то учитывает только подтверждённые взломы протоколов, кто-то добавляет фишинг у частных пользователей, кто-то оценивает потоки на адреса, помеченные как мошеннические. Отсюда разброс.

Сходятся отчёты в главном. Число атак выросло кратно, а суммарный ущерб снизился почти вдвое к прошлому году — но снижение обманчиво, потому что в базу сравнения попал единичный взлом биржи на полтора миллиарда долларов, и без этого выброса первое полугодие 2026 года оказалось бы примерно на четверть тяжелее аналогичного периода годом ранее.

Что изменилось в структуре

Три сдвига видны отчётливо.

Первый: человек дороже кода. По данным Blockaid, почти три четверти украденного за полугодие — около 789 млн долларов — пришлось на случаи компрометации приватных ключей и административных прав, тогда как классические ошибки в коде и небрежные разрешения на списание, будучи самыми массовыми по числу случаев, суммарно принесли злоумышленникам менее 30 млн.

Вывод неприятный. Массовость и ущерб разошлись: атак много, деньги уносят единицы.

Второй: концентрация. Небольшое число крупных инцидентов формирует основную часть потерь, а остальные сотни случаев дают шум. Для проекта это означает, что риск сосредоточен в правах доступа, а не в количестве найденных багов.

Третий: генеративные инструменты. Схемы с выдачей себя за другое лицо выросли, по оценке Chainalysis, на 1400% за 2025 год, а мошенничество с применением генеративных моделей оказалось в 4,5 раза прибыльнее обычного. Подделка голоса, лица и переписки стала дешёвой.

Есть и четвёртый сдвиг, менее заметный в сводках. Мошенничество перестало быть одноразовым событием и превратилось в воронку: сначала человек теряет деньги, затем к нему приходят с предложением их вернуть за предоплату, а после — с приглашением «отработать долг», принимая чужие переводы на свою карту.

Одна жертва обрабатывается трижды. Списки пострадавших перепродаются между группами, и повторное обращение приходит иногда через несколько месяцев.

Российская специфика

Картина здесь своя.

Регулятор подвёл итоги полугодия 27 августа 2026 года: выявлено 2,9 тысячи проектов с признаками нелегальной деятельности, а число субъектов с признаками финансовых пирамид и псевдоинвестиционных проектов снизилось на 44% год к году. Для вовлечения людей организаторы использовали более 940 сайтов, 120 телеграм-каналов и свыше 2,5 тысячи страниц в социальных сетях.

Криптовалюта остаётся основным инструментом сбора. Более 74% выявленных пирамид принимали взносы именно в ней, остальные предпочитали иностранные платёжные сервисы и наличные, а на подконтрольные организаторам кошельки за полугодие поступило свыше 1 млрд рублей в эквиваленте.

Изменилась и упаковка. Регулятор отмечает, что проекты стали использовать модную терминологию: вложения в дата-центры для майнинга, в стартапы на основе искусственного интеллекта, в токен, якобы привязанный к котировкам золота.

Отдельно про снижение на 44%. Оно объясняется не исчезновением мошенников, а тем, что сайты блокируются на этапе запуска, — организаторы в ответ перешли от одного раскрученного проекта к множеству однодневок под разными брендами, и это меняет тактику защиты для обычного человека: репутация проекта больше ничего не значит, потому что нарастить её однодневка не успевает.

Куда смещается риск

Если свести отчёты в одну линию, направление читается так: атака дешевеет, а цель дорожает. Массовые технические атаки стали рутиной и приносят копейки, зато подготовленный удар по правам доступа одного протокола выносит сотни миллионов за одну транзакцию.

Для розницы линия иная. Его почти никогда не атакуют персонально: он попадает в общую сеть — поддельный домен, фальшивый клейм, фишинговая подпись, и суммы здесь измеряются тысячами долларов на человека, зато случаев десятки тысяч.

Две разные войны идут параллельно. Путать их не стоит.

Отсюда и практический ориентир для проектов. Аудит кода закрывает шестьдесят процентов случаев по количеству, но лишь малую часть по деньгам, тогда как процедура управления ключами — мультиподпись, разделение полномочий, аппаратное хранение, регламент согласования крупных операций — закрывает ровно ту часть, где лежит основная сумма ущерба.

Порядок приоритетов у большинства команд обратный. Отсюда и цифры.

Что это значит для частного держателя

Из статистики следуют четыре практических вывода.

1. Ваш главный риск — подпись, а не взлом. Крупные суммы уносят через компрометацию ключей и разрешений, а не через дыры в коде кошелька.
2. Возраст проекта перестал быть аргументом. Однодневки запускаются пачками, и «проект существует три месяца» теперь ничего не подтверждает.
3. Убедительность больше не признак подлинности. Грамотный текст, качественный сайт и видео с известным лицом стоят дёшево.
4. Доходность выше рыночной — единственный устойчивый маркер. Обещание десяти процентов в месяц при рыночных десяти годовых работает как индикатор независимо от упаковки.

Чего в отчётах нет

Ни одна из приведённых цифр не описывает потери частных лиц целиком. Блокчейн-аналитики видят потоки на помеченные адреса, регулятор — выявленные проекты, компании по безопасности — публично раскрытые инциденты, а массовый розничный фишинг на суммы в пару тысяч долларов чаще всего не попадает никуда: пострадавший не пишет заявление, площадка о случае не знает, адрес злоумышленника остаётся неразмеченным.

Оценки исследователей сходятся в том, что о потерях сообщает меньшинство пострадавших. Значит, реальные масштабы выше опубликованных. Насколько — не знает никто.

Чек-лист на ближайшие месяцы

• ✓ Ежеквартальная ревизия выданных разрешений в кошельке
• ✓ Отдельный кошелёк под активности, основной — без подключений к приложениям
• ✓ Проверка любого проекта по реестру Банка России и по списку признаков нелегальной деятельности
• ✓ Тестовый вывод небольшой суммы до основного вложения
• ✗ Никаких решений по видео и голосовым сообщениям без подтверждения по другому каналу
• ✗ Никаких вложений под обещание фиксированной доходности

Куда идти дальше

Общая картина калибрует. Защищают частности. Как проверять каналы ввода и вывода — в разделе про биржи; как оценивать проект перед вложением — в разделе об инвестициях; как разделять активы, чтобы одна ошибка не стоила всего портфеля, — в материалах по криптопортфелю; а почему статистика убеждает хуже, чем скриншот чужой прибыли, — в разделе психологии.

Источники: сообщение регулятора о результатах полугодия по данным Банка России и отчёт CertiK Hack3d за первое полугодие 2026 года.