Security

Maya Protocol wstrzymał całą działalność po ataku wykorzystującym wiele podatności. Napastnik wyprowadził natywny token CACAO oraz znaczną część aktywów cross-chain, a kwoty strat nie ujawniono. Protokół działa jako zdecentralizowana platforma płynności międzyłańcuchowej, a incydent uderzył w kluczowe aktywa i płynność powiązanych pul. Zdarzenie nasiliło obawy rynku o bezpieczeństwo infrastruktury cross-chain.

Po ataku hakerskim na KelpDAO całkowita wartość zablokowana (TVL) w Aave pozostaje niższa o 43%, a względem 52-tygodniowego szczytu spadła o 67%. Haker zdeponował skradzione rsETH w Aave i pożyczył „prawdziwe” ETH, co doprowadziło do ok. 246 mln USD łącznego złego długu w Aave i Compound. TVL Aave obniżyło się z 26,4 mld USD przed atakiem do 14,9 mld USD, co ograniczyło możliwości pożyczkowe i zwiększyło zmienność. Token AAVE spadł o ok. 20% dzień po zdarzeniu, a obecnie kosztuje ok. 89 USD i nadal jest poniżej poziomu sprzed ataku.

Bits of Gold, największy regulowany broker kryptowalut w Izraelu, bada naruszenie bezpieczeństwa, które mogło ujawnić dane osobowe około 250,000 klientów. Narażone mogły być m.in. imiona i nazwiska, numery tożsamości, telefony, adresy e-mail, adresy IP, dane kont bankowych oraz publiczne adresy portfeli kryptowalut. Spółka poinformowała, że do nieuprawnionego dostępu do wspierającego systemu analitycznego doszło kilka dni wcześniej. Wyciek takich danych może zwiększać ryzyko phishingu, podszywania się i ataków socjotechnicznych wymierzonych w użytkowników.

10 marca 2026 r. Aave przez błędną konfigurację ryzyko-wyroczni CAPO ustawiło on-chainowy kurs wstETH ok. 2.85% poniżej rynku, co uruchomiło likwidacje ok. 10,938 wstETH o wolumenie ok. $26–27 million i dało likwidatorom ok. 499–512 ETH zysku. 15 lutego 2026 r. Moonwell po zmianie zarządczej źle skonfigurował opakowanie Chainlink OEV, traktując relację cbETH/ETH jak cenę w USD, przez co feed pokazał ok. $1.12 zamiast ok. $2,200. W efekcie zlikwidowano 1,096.317 cbETH, a protokół odnotował ok. $1.78 million złego długu. W obu przypadkach problemem były parametry i konfiguracja, a nie naruszenie integralności sieci wyroczni.

Most łączący XRP Ledger z łańcuchem tx został zaatakowany z powodu luki w logice wykrywania depozytów. Napastnik przygotował transakcje bez realnych wpłat, a mimo to wybił na tx mostkowane XRP i wymienił je na prawdziwe XRP. Z mostu odpłynęło około 200,000 XRP w 94 płatnościach, a każda była poprawnie podpisana przez 17 z 28 przekaźników. XRP Ledger nie został naruszony, natomiast txEcosystem przekazał, że mostkowane XRP na jego łańcuchu nie jest już w pełni zabezpieczone.

W Harmony Protocol 12 sierpnia doszło do nieautoryzowanego zdarzenia związanego z wybijaniem tokenów ONE — początkowo potwierdzono emisję 4000000000 ONE. Późniejsza rekonstrukcja on-chain wykazała, że w wyniku sześciu sfałszowanych transakcji crossshard do czterech adresów napastników trafiło ok. 3010000000000 ONE. Zespół poinformował, że usunął lukę w weryfikacji crossshard receipts oraz błąd w weryfikacji kworum dla prestaking committee, wdrożył Mainnet v2026.1.1 i przygotowuje rollback sieci do bloku 92,730,034.

Harmony opublikowało raport o luce w mechanizmie mintingu, wskazując na błąd CrossShard Receipt Replay, który pozwalał wielokrotnie przetwarzać ważne potwierdzenia i emitować nowe tokeny bez odpowiadających im potrąceń. Pierwszą falę nieautoryzowanego mintingu wstępnie potwierdzono na poziomie 400 million ONE, a łączna wartość sfałszowanej emisji między shardami wyniosła ok. 3.01 trillion ONE, przy czym zespół nadal weryfikuje dane. Awaryjna poprawka została aktywowana 12 sierpnia i usunęła podatność, a usługi crosschain wstrzymano. Zespół przygotowuje rollback do stanu sprzed incydentu, celując w blok 92,730,034, przy jednoczesnym wstrzymaniu shardu 0 na bloku 92,753,555.

Fundacja poinformowała w aktualizacji dotyczącej mostu, że w całości zrekompensuje straty wszystkim poszkodowanym użytkownikom oraz uzupełni brakujące rezerwy $XRP, aby przywrócić pokrycie 1:1 dla zmostkowanego XRP. Po odtworzeniu rezerwy mają być możliwe do zweryfikowania w łańcuchu. Podatność została zidentyfikowana i załatana, a most pozostaje wstrzymany do czasu zakończenia niezależnego przeglądu bezpieczeństwa. Fundacja zapowiedziała też pełny raport techniczny z opisem mechanizmu przywracania i ostrzegła przed oszustami oferującymi „odzyskanie” aktywów, wskazując, że aktualizacje będą publikowane wyłącznie w oficjalnych kanałach tx.

Tokeny należące do zespołu i głównych inwestorów DATA Foundation nie zaczęły się odblokowywać 13 sierpnia, choć taka data widniała we wcześniejszym publicznym harmonogramie podaży. Fundacja poinformowała 25 czerwca, że wydłużyła blokadę tych tokenów o dodatkowe 18 miesięcy, nie wskazując jednak, od kiedy okres ten ma biec ani jaka będzie nowa data. Wczesnym wspierającym przypisano 21.6% z początkowej podaży 1 miliardtokenów, a kluczowym współtwórcom 20%, łącznie 41.6%, przy czym te pule były rozpisane na odblokowanie w ciągu 48 miesięcy. W powiązanej publikacji wskazano, że powrót finansowania VC może przygotowywać rynek na kolejną falę odblokowań, a Pump Fun ma 12 lipca uwolnić 1.27亿美元 tokenów insiderów, co odpowiada około dwukrotności ostatniego dziennego wolumenu.

Blockchain Harmony padł ofiarą ataku, w którym napastnicy wykorzystali lukę w sieci do nielegalnego wybicia 4 mld tokenów ONE, czyli ok. 26% podaży w obiegu. Szacunkowo 2,8 mld z tych środków szybko trafiło na scentralizowane giełdy kryptowalut, co wywołało panikę na rynku. Kurs ONE w pewnym momencie spadł nawet o 38%. Analitycy łańcuchowi powiązali incydent z 10 288 transakcjami i 409 portfelami, a w ciągu czterech godzin 53% walidatorów wdrożyło poprawkę bezpieczeństwa.