Безопасность

10 марта 2026 года в Aave из‑за ошибочной конфигурации CAPO risk oracle ончейн‑курс wstETH был ограничен примерно на 2,85% ниже рыночного, что привело к ликвидации около 10 938 wstETH на сумму примерно $26–27 млн. Ликвидаторы извлекли около 499–512 ETH стоимости. 15 февраля 2026 года Moonwell неверно настроил обёртку Chainlink OEV: отношение cbETH/ETH было интерпретировано как цена в долларах, из‑за чего cbETH котировался примерно по $1,12 вместо примерно $2 200, что позволило ликвидаторам изъять 1 096,317 cbETH и оставило протокол с плохим долгом около $1,78 млн. В обоих случаях проблема была связана с параметрами и управлением, а не с компрометацией сети оракулов.

Мост, соединяющий XRP Ledger и сеть tx, подвергся атаке из‑за уязвимости в логике определения депозитов. Злоумышленник оформлял транзакции без фактического внесения средств, но на tx‑цепочке чеканил мостовой XRP и затем обменивал его на реальный XRP. В сумме было выведено около 200 000 XRP через 94 платежа. Каждая операция была корректно подписана 17 из 28 ретрансляторов, а внутренние записи моста фиксировали депозиты как реальные; при этом txEcosystem заявила, что мостовой XRP в ее сети больше не полностью обеспечен.

Harmony Protocol сообщил о несанкционированном инциденте с выпуском токенов ONE, произошедшем 12 августа. Первичный анализ показал минтинг 4000000000 ONE, однако последующая реконструкция данных в сети выявила выпуск около 3010000000000 ONE на четыре адреса злоумышленников через шесть поддельных межшардовых транзакций. Команда заявила, что устранила уязвимости проверки межшардовых квитанций и кворума prestaking-комитета, развернула Mainnet v2026.1.1 и готовит откат сети к блоку 92,730,034.

L1-блокчейн Harmony опубликовал отчет об уязвимости минтинга, связанной с багом CrossShard Receipt Replay, из-за которого корректные кроссшардовые квитанции могли обрабатываться многократно и приводить к выпуску токенов без соответствующих списаний. Первая волна несанкционированной эмиссии первоначально подтверждена на уровне 400 million ONE, тогда как общий объем поддельного кроссшардового выпуска оценивается примерно в 3.01 trillion ONE, при этом команда продолжает проверку данных, сообщил Foresight News. Экстренный патч был выпущен и активирован 12 августа, после чего уязвимость устранена и кроссчейн‑сервисы приостановлены. Harmony готовится откатить сеть к состоянию до инцидента, ориентируясь на блок 92,730,034, а шард 0 остановлен на блоке 92,753,555 для поддержки процедуры.

Фонд сообщил, что полностью компенсирует всех пострадавших пользователей и в полном объёме восполнит недостающие резервы $XRP, восстановив обеспечение bridged XRP в соотношении 1:1. После восстановления резервы можно будет проверить ончейн. Уязвимость выявлена и устранена, а мост остаётся на паузе до завершения независимого аудита безопасности. Также фонд пообещал опубликовать полный технический отчёт и призвал остерегаться мошенников, предлагающих «восстановление» bridged-активов, ориентируясь только на официальные каналы tx.

DATA Foundation продлила локап токенов команды и ведущих инвесторов на 18 месяцев после того, как указанный ранее срок разблокировки в августе истек без запуска выпуска. Новую дату анлока организация не назвала. Доли ранних сторонников и ключевых участников в сумме составляют 41,6% распределения. В публикации также отмечалось, что возврат венчурного финансирования может спровоцировать волну разблокировок: Pump Fun 12 июля разблокирует $127M инсайдерских токенов — около двух недавних средних дневных объемов торгов.

Блокчейн Harmony подвергся атаке: злоумышленник, воспользовавшись уязвимостью сети, незаконно выпустил 4 млрд токенов ONE — около 26% от объема в обращении. По оценке, примерно 2,8 млрд из них быстро вывели на централизованные биржи, что усилило панические продажи и давление ликвидаций. Цена ONE в моменте падала на 38%, а ончейн-анализ связывает инцидент с 10 288 транзакциями и 409 кошельками. За четыре часа 53% валидаторов установили экстренное обновление безопасности.

Уязвимость в аппаратном биткоин-кошельке Coldcard усилила обеспокоенность безопасностью приватных ключей. Генеральный директор Blockaid Идо БенНатан заявил, что опора на приватные ключи создает «единую точку отказа» и может затрагивать даже активы, хранящиеся офлайн. Galaxy Research подтвердил кражи как минимум на $111 million и оценил, что совокупные потери могут превысить $130 million. По данным Blockaid, почти 75% потерь от криптоэксплойтов в первом полугодии 2026 года были связаны с компрометацией приватных ключей, а общий ущерб от взломов за этот период превысил $1 billion при рекордном числе подтвержденных инцидентов.

Sui планирует добавить для обычных аккаунтов нативный вариант подписи ML-DSA-65, соответствующий стандарту NIST FIPS 204, а для хранилищ высокой ценности — систему SLH-DSA-SHA2-128s через смарт-контракты Move. Вывод квантово-устойчивых vaults в mainnet ожидается в 2026 году, а ML-DSA-65-аккаунты должны появиться в testnet до конца года и получить аутентификацию в mainnet в первом квартале 2027 года. Инициатива направлена на снижение риска стратегии «собери сейчас — подделай позже», когда злоумышленники накапливают данные заранее для атаки в будущем.

Кроссчейн-мост Coreum подвергся атаке из‑за логической уязвимости: примерно 20万 XRP были похищены за 97 минут. Проблема заключалась в том, что механизм мостинга проверял лишь memo транзакции и не верифицировал реальный адрес назначения, из‑за чего средства можно было перенаправить без доступа к приватным ключам. Сеть XRPL при этом не пострадала и остаётся безопасной. После инцидента работу моста экстренно приостановили, официальный отчёт о расследовании ещё готовится.