Trzeci kwartał 2026 roku okazał się najbardziej niszczycielski dla bezpieczeństwa kryptowalut od początku 2025 roku. Firma Hacken naliczyła 107 incydentów, które kosztowały branżę 1,18 mld dolarów — o 55% więcej niż kwartał wcześniej. Gorzej było tylko w pierwszym kwartale 2025 roku, gdy straty sięgnęły 1,6 mld dolarów.
Cztery duże włamania odpowiadają za 80% wszystkich strat kwartału:
- Bitget — około 387 mln dolarów przez przejętą infrastrukturę zewnętrznego dostawcy;
- Liquid Network — około 320 mln;
- protokół Tectonic — 120 mln;
- błąd w firmware portfela sprzętowego Coldcard — około 115 mln.
Pozostałe 103 incydenty są znacznie skromniejsze — mediana strat wyniosła tylko 670 tys. dolarów. To właśnie mnóstwo małych dziur, a nie jedna katastrofa, składa się na tę sumę.
Najbardziej niepokojący wniosek z raportu nie dotyczy samej liczby, a jej źródła. Hacken ustalił, że 77% strat — 906 mln dolarów — wynikało z rzeczy, których żaden standardowy audyt nie sprawdza: podatnych dostawców zewnętrznych, poprawek napisanych, ale nigdy nie wdrożonych, oraz infrastruktury, której nikt nie objął przeglądem. Plakietka 'audyt przeszedł' na stronie projektu coraz mniej mówi o tym, czy pieniądze użytkowników są naprawdę bezpieczne — obejmuje kod kontraktu, a nie klucze podpisujące, serwery partnerów czy proces aktualizacji.
Zmienił się też charakter ataków. Słaba kontrola dostępu — wykradzione klucze prywatne, przejęte panele administracyjne — wcześniej odpowiadała za 88% strat; w tym kwartale udział spadł do 40%. Na czoło wysunęły się błędy w samym kodzie smart kontraktów — wystąpiły w 71 z 107 incydentów i kosztowały 228 mln dolarów.
Nie wszystko przepadło bezpowrotnie. Projekty odzyskały lub anulowały 387 mln dolarów — jedną trzecią całości. Etyczni hakerzy dobrowolnie oddali 272 mln z Liquid Network, czyli 85% ukradzionych tam środków. Walidatorzy Cronos poszli dalej, wycofując łańcuch o 114 minut, by odzyskać 111 mln wyprowadzonych przez Tectonic. Operatorzy pokryli kolejne 410 mln z własnych rezerw. Wciąż niezwrócone pozostaje 384 mln — prawie jedna trzecia strat.
