Третій квартал 2026 року став найруйнівнішим для крипторинку з початку 2025-го. Аналітики Hacken підрахували: 107 інцидентів безпеки коштували галузі $1,18 млрд — на 55% більше, ніж кварталом раніше. Гіршим був лише перший квартал 2025 року з його $1,6 млрд збитків.
Основну суму дали чотири великі зломи, що разом склали 80% усіх втрат кварталу:
- Bitget — близько $387 млн через скомпрометовану інфраструктуру стороннього підрядника;
- мережа Liquid Network — приблизно $320 млн;
- протокол Tectonic — $120 млн;
- вразливість у прошивці апаратного кошелька Coldcard — близько $115 млн.
Решта 103 інциденти значно скромніші — медіанний збиток по них становив лише $670 тисяч. Але загальну суму дають саме десятки дрібних проломів, а не одна катастрофа.
Найприкріший висновок звіту не в самій цифрі. Hacken з'ясував, що 77% втрат — $906 млн — припали на те, що формально лишалося поза межами будь-якого аудиту: вразливості у сторонніх постачальників, патчі, які написали, але забули розгорнути, та інфраструктура, яку ніхто не включив до перевірки. Значок «пройшов аудит» на сайті проєкту дедалі менше говорить про реальну безпеку — він покриває код контракту, але не ключі підпису, не сервери партнерів і не процеси оновлення.
Змінився й характер атак. Якщо раніше 88% втрат припадали на слабкий контроль доступу — викрадені приватні ключі, скомпрометовані адмін-панелі, — то цього кварталу частка таких атак впала до 40%. Натомість на перший план вийшли вади в коді самих смартконтрактів: вони трапилися у 71 з 107 випадків і коштували $228 млн.
Не все втрачено остаточно. Проєктам вдалося повернути або скасувати $387 млн — третину загальної суми. Білі хакери добровільно віддали $272 млн, вкрадені у Liquid Network — 85% викраденого там. А валідатори мережі Cronos пішли на крайній крок: відкотили блокчейн на 114 хвилин назад і повернули $111 млн, виведені через Tectonic. Ще $410 млн оператори закрили з власних резервів, а $384 млн — майже третина збитків — так і залишилися у хакерів.
