هکرها در ۶ ماه ۹۴۰ میلیون دلار را سوزاندند؛ ۹۴ درصد آن از دید ممیزی امنیتی پنهان ماند

سرمایه‌گذاران ارز دیجیتال در نیمه اول سال ۲۰۲۶ نزدیک به یک میلیارد دلار متضرر شدند و ابزارهای امنیتی رایج نیز نتوانستند مانع این خسارت شوند.

خسارات سنگین در نیمه اول ۲۰۲۶

شرکت تحقیقات امنیتی ack3، از ژانویه تا ژوئن، ۱۳۵ مورد سوءاستفاده را تأیید کرده که منجر به خساراتی به ارزش ۹۳۹.۸۶ میلیون دلار شده است. این بدان معناست که به طور متوسط در هر مورد، ۶.۹۶ میلیون دلار از دست رفته است. این شرکت مجموعه داده‌های حوادث خود را به صورت عمومی منتشر کرده تا امکان بررسی دقیق تمامی اعداد فراهم باشد.

نکته‌ای که باید برای سرمایه‌گذاران خرد نگران‌کننده باشد این است که از مجموع پول‌های به سرقت رفته از پروژه‌هایی که مورد حسابرسی قرار گرفته بودند، ۹۴.۴ درصد از طریق کدهایی یا زیرساخت‌هایی که حسابرسان هرگز بررسی نکرده بودند، خارج شده است. به عبارت دیگر، گواهی سبز حسابرسی فقط درهای اصلی را پوشش داده بود، در حالی که سارقان از طریق ورودی بارگیری وارد شده بودند.

دو سرقت بزرگ، بخش عمده‌ای از خسارات

دو سرقت عظیم، بخش عمده‌ای از این خسارات را تشکیل می‌دهند و هیچ‌کدام ناشی از باگی نبوده که حسابرسان از قلم انداخته باشند.

در ماه آوریل، پروتکل Kelp DAO با از دست دادن ۲۹۲ میلیون دلار در بخش rsETH مواجه شد. مهاجمان با به خطر انداختن تنها تأییدکننده پیام پروتکل LayerZero، یک پیام بین‌زنجیره‌ای را جعل کردند؛ این یک نقطه ضعف واحد و بدون پشتیبان بود.

دو هفته قبل از آن، Drift، پلتفرم معاملات آتی بزرگ در شبکه سولانا، ۲۸۵ میلیون دلار را از دست داد. تحقیقات نشان می‌دهد که عاملان این حمله که با کره شمالی مرتبط دانسته شده‌اند، ماه‌ها صرف مهندسی اجتماعی برای دستیابی به کلیدهای مدیریتی کرده بودند. مجموع این دو سرقت به ۵۷۷ میلیون دلار می‌رسد که حدود ۶۱ درصد از کل مبالغ به سرقت رفته در این نیمه سال است. این نه تنها شکست ریاضی، بلکه شکست اعتماد و کلیدها بود.

الگوهای تکراری و نقاط ضعف

این الگو در سایر موارد نیز تکرار شده است. Step Finance (۴۰ میلیون دلار)، Humanity Protocol (۳۲ میلیون دلار) و استیبل‌کوین USR متعلق به Resolv (۲۴.۵ میلیون دلار) همگی از طریق کلیدهای خصوصی به خطر افتاده و زیرساخت‌های امضا، یعنی توسط انسان‌ها و نه قراردادهای هوشمند، تخلیه شدند. پل‌های بین‌زنجیره‌ای نیز میدان دیگری برای این حملات بودند، از Verus (۱۱.۵ میلیون دلار) گرفته تا Syscoin (۸ میلیون دلار) و Taiko (۱.۷ میلیون دلار).

هیچ مکانی امن نبود، حتی پروژه‌های بزرگ و شناخته شده. Polymarket دو بار مورد حمله قرار گرفت: در ماه مه یک کیف پول داخلی با ۷۰۰ هزار دلار تخلیه شد و در ماه ژوئن، یک حمله زنجیره تأمین به رابط کاربری (front-end) به ارزش ۳.۱ میلیون دلار رخ داد که وب‌سایت خودشان را به یک ابزار تخلیه کیف پول تبدیل کرد.

دامنه CoW Swap نیز ربوده شد. و در جالب‌ترین اتفاق این نیمه سال، ربات معروف MEV به نام jaredfromsubway.eth که سال‌ها صرف سود بردن از معامله‌گران خرد می‌کرد، خود قربانی یک توکن طعمه (honeypot) شد و ۷.۵ میلیون دلار از دست داد.

حتی پروژه‌هایی که حسابرسی نشده بودند نیز وضعیت بهتری نداشتند. Truebit مبلغ ۲۶.۴ میلیون دلار را به دلیل یک خطای سرریز عدد صحیح (integer overflow) در قیمت‌گذاری توکن‌های جدید خود از دست داد.

حسابرسی‌های قدیمی و ناکارآمد

در مواردی که حسابرسان کد مورد سوءاستفاده را بررسی کرده بودند، گزارش‌ها عمدتاً قدیمی بودند؛ ۱۷ مورد از ۲۰ حسابرسی اخیر، حداقل شش ماه قبل از وقوع حمله هکرها انجام شده بود.

جوزف گاتمایر، مدیرعامل و بنیانگذار Ack3، در پیش‌بینی نگران‌کننده‌ای درباره افزایش ابزارهای هوش مصنوعی گفت:

نکته کلیدی به طرز وحشیانه‌ای ساده است. “حسابرسی شده” یک کلمه بازاریابی است، مگر اینکه سه سوال را بپرسید: دقیقاً چه چیزی بررسی شده، چه زمانی، و امروز چه کسی کلیدها را کنترل می‌کند؟ در نیمه اول سال ۲۰۲۶، پاسخ‌های صادقانه اغلب این بود: این بخش نه، بیش از یک سال پیش، و یک کلید به خطر افتاده که منجر به فاجعه شد.

حسابرسان می‌توانند تمام خطوط کد را بخوانند. اما نمی‌توانند ذهن توسعه‌دهنده را هنگام کلیک کردن روی لینکی از “منابع انسانی” بخوانند.