Как социальная инженерия и ИИ угрожают децентрализации

В июле 2026 года код BonkDAO, управляющей организацией мемкоина на Solana, продемонстрировал свою работоспособность, однако из казны было выведено около $20 млн. Это произошло не из-за взлома в традиционном смысле, а благодаря легальному голосованию.

6 июля 2026 года BonkDAO пережила захват децентрализованного управления, что привело к потере примерно 4,43 трлн токенов BONK. Злоумышленник воспользовался уязвимостями в архитектуре ДАО и бездействием сообщества, реализовав законную с точки зрения кода транзакцию.

Схема атаки заключалась в том, что под предлогом рутинного предложения Bonk Improvement Proposal #76, которое предполагало вознаграждение для участников голосования, хакер добавил вредоносную функцию, позволяющую перевести средства на свой адрес. Для достижения кворума атакующий потратил около $4,4 млн на централизованных биржах, что дало ему возможность контролировать почти 100% голосов из-за низкой явки голосующих. Через шесть дней предложение было автоматически выполнено.

Эта атака выявила серьезные уязвимости в системе управления ДАО, включая отсутствие механизма временной задержки для отмены аномальных транзакций и слишком низкий порог кворума для распоряжения крупными суммами. Атакующий, изучив устав организации, нашел в нем слабости, которые позволили ему успешно реализовать план.

Это не единственный случай. В 2024 году была предпринята аналогичная попытка против ДАО протокола Compound, когда злоумышленники попытались вывести 499 000 токенов COMP, что на момент инцидента составляло около $24,1 млн. Несмотря на низкую явку голосования, этого пакета оказалось достаточно для получения контроля, хотя атаку удалось предотвратить после принятия предложения.

Низкая явка голосующих и концентрация токенов в руках нескольких участников не являются простым багом в коде, а представляют собой системную проблему механизмов децентрализации в Web3. В начале 2026 года сооснователь Ethereum Виталик Бутерин призвал улучшить управление ДАО, назвав существующую модель неэффективной и уязвимой к захватам.

Согласно данным SlowMist, в 2025 году количество инцидентов в Web3 значительно сократилось до 200, однако общие потери возросли до $2,9 млрд. Эксперты Chainalysis оценили ущерб от взломов в $3,4 млрд, при этом три инцидента составили 69% всех потерь. Аудиты смарт-контрактов не всегда гарантируют безопасность, так как 90% из них, которые были взломаны в 2025 году, проходили аудит.

Методы атак, используемые злоумышленниками, как правило, основаны на давно известных уязвимостях, таких как ошибки контроля доступа и манипуляции с оракулами. Протоколы кроссчейн-мостов особенно подвержены рискам, так как их сложная архитектура создает множество уязвимых мест.

2026 год также ознаменовался несколькими значительными инцидентами. Например, 8 января Ethereum-протокол Truebit потерял $26,4 млн из-за переполнения целочисленного типа, а 21 февраля злоумышленники получили контроль над приватным ключом валидатора моста IoTeX и вывели $4,4 млн. Крупнейший DeFi-эксплойт года произошел 18 апреля, когда из моста LayerZero было выведено около 116 500 rsETH на сумму $292 млн.

Новые векторы атак требуют переосмысления защиты. В ответ на угрозы индустрия внедряет новые технологии, такие как многосторонние криптовалютные кошельки, абстракция учетной записи с механизмом восстановления доступа и passkey-аутентификация для защиты от фишинга. Эти меры могут помочь предотвратить атаки, подобные тем, что произошли с Bybit и Humanity Protocol.

Защита теперь смещается от разовых проверок к динамическому мониторингу угроз в реальном времени. Проекты внедряют автоматизированные системы, отслеживающие аномальную активность в мемпуле, чтобы предотвратить атаки до их реализации. В 2025 году система Hexagate успела заблокировать попытку атаки на протокол Venus, зафиксировав подозрительную активность за 18 часов до основной фазы атаки.

Архитектура Web3 задумывалась как способ исключить человеческий фактор, однако статистика взломов показывает, что именно люди остаются самой большой уязвимостью в системе. Идеальный код может оказаться бессильным, если разработчик случайно откроет фишинговую ссылку, а децентрализованное сообщество не реагирует на захваты. Возможно, основная угроза для блокчейн-экономики заключается не в алгоритмах, а в человеческом факторе.