Безопасность

The Sandbox (SAND) опубликовала результаты расследования инцидента с кроссчейн-мостом. На сетях Base и BNB Chain злоумышленник использовал конфигурационную функцию, связанную с интеграцией LayerZero в контракте токена SAND, назначив себя единственным верификатором входящих сообщений моста и получив возможность выпускать необеспеченные SAND. В результате из Ethereum-хранилища, обеспечивающего мост, было выведено 14,742,341.84 SAND — около 0.5% от фиксированного максимального предложения в 3 млрд токенов; команда заявила, что ущерб удалось быстро локализовать и завершить ончейн-форензику.

22 августа Kiichain подвергся атаке из‑за уязвимостей в модуле Cosmos EVM, в результате чего было похищено около 1.48亿 KII. Команда оперативно остановила сеть, чтобы предотвратить дальнейшие потери; около 8070万 KII остаются замороженными на адресе атакующего и могут быть возвращены после перезапуска. Остальная часть средств в основном была переброшена на BNB Chain и продана, а ещё 300万 KII переведены на KuCoin, где запрошена заморозка. Причиной названы три дефекта общего модуля Cosmos EVM, от которых в ту же неделю пострадали также Mantra и TAC.

Платформа рестейкинга биткоина BounceBit заявила, что начнёт поэтапно сворачивать работу своего L1-блокчейна из‑за недавней атаки с использованием уязвимости. Проект делает ставку на рестейкинг BTC, и инцидент безопасности напрямую привёл к решению остановить эксплуатацию базового публичного блокчейна. Команда пока не раскрыла подробности атаки и масштаб потерь. Решение о сворачивании L1 уже стало существенным ударом по фундаментальным показателям проекта.

Maya Protocol приостановил все операции после атаки, в которой злоумышленник использовал несколько уязвимостей безопасности. В результате были похищены нативные токены CACAO и значительный объем кроссчейн-активов, при этом точный размер ущерба не раскрыт. Протокол, работающий как децентрализованная платформа кроссчейн-ликвидности, сообщил о повреждении ключевых активов и связанной ликвидности пулов, что усилило обеспокоенность рынков безопасностью кроссчейн-инфраструктуры.

После взлома KelpDAO совокупная заблокированная стоимость (TVL) в Aave по-прежнему ниже на 43% и на 67% меньше 52-недельного максимума. Хакер разместил похищенные rsETH в Aave и занял под них реальный ETH, из‑за чего Aave и Compound совместно получили около $2.46亿美元 проблемной задолженности. TVL Aave снизился с $26.4 миллиардов перед атакой до $14.9 миллиардов, что усилило давление на доступную ликвидность для займов и повысило волатильность. Токен AAVE на следующий день после инцидента падал примерно на 20% и сейчас торгуется около $89, оставаясь ниже уровня до атаки.

Крупнейший в Израиле регулируемый криптоброкер Bits of Gold сообщил об утечке данных: его вспомогательная аналитическая система подверглась несанкционированному доступу, что могло привести к раскрытию персональной информации примерно 250 000 пользователей. Потенциально скомпрометированные данные включают имена, номера удостоверений личности, телефоны, e-mail, IP-адреса, банковские реквизиты и публичные адреса криптокошельков. Инцидент произошёл несколько дней назад, и компания начала расследование. Раскрытые персональные и финансовые сведения могут быть использованы для фишинга, выдачи себя за службу поддержки и других атак социальной инженерии, что создаёт риск для безопасности пользователей.

10 марта 2026 года в Aave из‑за ошибочной конфигурации CAPO risk oracle ончейн‑курс wstETH был ограничен примерно на 2,85% ниже рыночного, что привело к ликвидации около 10 938 wstETH на сумму примерно $26–27 млн. Ликвидаторы извлекли около 499–512 ETH стоимости. 15 февраля 2026 года Moonwell неверно настроил обёртку Chainlink OEV: отношение cbETH/ETH было интерпретировано как цена в долларах, из‑за чего cbETH котировался примерно по $1,12 вместо примерно $2 200, что позволило ликвидаторам изъять 1 096,317 cbETH и оставило протокол с плохим долгом около $1,78 млн. В обоих случаях проблема была связана с параметрами и управлением, а не с компрометацией сети оракулов.

Мост, соединяющий XRP Ledger и сеть tx, подвергся атаке из‑за уязвимости в логике определения депозитов. Злоумышленник оформлял транзакции без фактического внесения средств, но на tx‑цепочке чеканил мостовой XRP и затем обменивал его на реальный XRP. В сумме было выведено около 200 000 XRP через 94 платежа. Каждая операция была корректно подписана 17 из 28 ретрансляторов, а внутренние записи моста фиксировали депозиты как реальные; при этом txEcosystem заявила, что мостовой XRP в ее сети больше не полностью обеспечен.

Harmony Protocol сообщил о несанкционированном инциденте с выпуском токенов ONE, произошедшем 12 августа. Первичный анализ показал минтинг 4000000000 ONE, однако последующая реконструкция данных в сети выявила выпуск около 3010000000000 ONE на четыре адреса злоумышленников через шесть поддельных межшардовых транзакций. Команда заявила, что устранила уязвимости проверки межшардовых квитанций и кворума prestaking-комитета, развернула Mainnet v2026.1.1 и готовит откат сети к блоку 92,730,034.

L1-блокчейн Harmony опубликовал отчет об уязвимости минтинга, связанной с багом CrossShard Receipt Replay, из-за которого корректные кроссшардовые квитанции могли обрабатываться многократно и приводить к выпуску токенов без соответствующих списаний. Первая волна несанкционированной эмиссии первоначально подтверждена на уровне 400 million ONE, тогда как общий объем поддельного кроссшардового выпуска оценивается примерно в 3.01 trillion ONE, при этом команда продолжает проверку данных, сообщил Foresight News. Экстренный патч был выпущен и активирован 12 августа, после чего уязвимость устранена и кроссчейн‑сервисы приостановлены. Harmony готовится откатить сеть к состоянию до инцидента, ориентируясь на блок 92,730,034, а шард 0 остановлен на блоке 92,753,555 для поддержки процедуры.