هک‌های رمزارزی ۱.۱ میلیارد دلار در نیمه نخست ۲۰۲۶ بلعیدند

نیمه اول سال ۲۰۲۶، فعال‌ترین دوره شش ماهه در تاریخ سوءاستفاده‌های ارز دیجیتال بود.

گزارش بلاک‌اید: ۱.۱ میلیارد دلار در ۲۱۲ حادثه به سرقت رفت

بر اساس گزارشی جدید از Blockaid، هکرها در نیمه اول سال ۲۰۲۶ موفق به سرقت ۱.۱ میلیارد دلار ارز دیجیتال در قالب ۲۱۲ حادثه امنیتی شدند. این رقم، رکورد بیشترین میزان خسارت در یک دوره شش ماهه را شکسته است.

چهار حادثه بزرگ، ۷۰۷ میلیون دلار خسارت

گزارش Blockaid نشان می‌دهد که چهار حادثه بزرگ شامل KelpDAO، Drift، Resolv و CoW Swap، حدود ۷۰۷ میلیون دلار از کل خسارات را به خود اختصاص داده‌اند.

KelpDAO با ۲۹۲ میلیون دلار، بیشترین زیان را متحمل شد. هکرها با جعل پیام‌های بین زنجیره‌ای، توانستند ذخایر اتریوم این پروتکل را تخلیه کنند. پروتکل Drift، یک صرافی پرپچوال مبتنی بر زنجیره سولانا، نیز در عرض ۱۲ دقیقه متحمل ضرر ۲۸۵ میلیون دلاری شد.

ارتباط حملات با گروه لازاروس

Blockaid هر دو مورد KelpDAO و Drift را به گروه TraderTraitor، زیرمجموعه‌ای از گروه لازاروس که گفته می‌شود تحت حمایت کره شمالی است، نسبت داده است. خسارت ۳۲ میلیون دلاری پروتکل Humanity نیز به همین گروه حمله‌کننده مرتبط دانسته شده است. در مجموع، خسارات مرتبط با کره شمالی به ۶۰۹ میلیون دلار رسید که حدود ۵۵ درصد از کل وجوه سرقت شده در این دوره را شامل می‌شود.

افزایش چشمگیر حملات ماهانه

روند حملات در طول سال نیز شتاب گرفت؛ تعداد حوادث ماهانه از ۱۸ مورد در ژانویه به ۵۷ مورد در ژوئن افزایش یافت. ماه آوریل دردناک‌ترین ماه بود، زیرا هک‌های KelpDAO و Drift Protocol در مجموع ۵۷۷ میلیون دلار را از بین بردند و کل خسارات آن ماه را به ۶۳۵ میلیون دلار رساندند.

سوءاستفاده از کلیدهای ممتاز، پرهزینه‌ترین نوع حمله

بر اساس گزارش Blockaid، سوءاستفاده از کلیدهای ممتاز (privileged key misuse) پرهزینه‌ترین نوع حمله در نیمه اول سال ۲۰۲۶ بود و حدود ۷۹۰ میلیون دلار خسارت به بار آورد که نزدیک به سه چهارم کل وجوه سرقت شده در این دوره است. پس از آن، اکسپلویت‌های انتشار بدون پشتوانه (unbacked mint exploits) در رتبه دوم قرار گرفتند که حمله ۸۰ میلیون دلاری به Resolve برجسته‌ترین مورد آن بود. با این حال، هک‌های سطح کد، بیشترین تعداد حملات را به خود اختصاص دادند و نزدیک به چهار پنجم کل حملات را شامل شدند.

عوامل هوش مصنوعی، هدف جدید هکرها

این گزارش به عوامل هوش مصنوعی به عنوان یک هدف جدید اشاره کرده است. در ماه مه، هکرها با استفاده از حمله تزریق پرامپت (prompt injection)، عامل هوش مصنوعی Bankr را فریب دادند تا یک تراکنش غیرمجاز به ارزش حدود ۲۱۶ هزار دلار را تأیید کند.

پل‌های بین زنجیره‌ای در تیررس حملات

پل‌های بین زنجیره‌ای (cross-chain bridges) نیز متحمل خسارات قابل توجهی شدند. مهاجمان با جعل اثبات‌ها و گواهی‌ها که توسط زنجیره‌های مقصد پذیرفته شد، سیستم‌های تأیید KelpDAO و Taiko را مورد نفوذ قرار دادند.

روش‌های حمله جدید و آسیب‌پذیری‌های قدیمی

تیم‌های امنیتی در سال ۲۰۲۶ با روش‌های حمله جدیدتری روبرو شدند. Blockaid چهار حادثه مرتبط با حملات تفویض اختیار کیف پول EIP-7702 را شناسایی کرد، که در آن یک کیف پول می‌تواند کنترل خود را به یک قرارداد هوشمند واگذار کند. قراردادهای هوشمند قدیمی نیز همچنان یک آسیب‌پذیری رایج باقی مانده‌اند و داده‌ها نشان می‌دهند که در ماه‌های مه و ژوئن حدود پنج مورد از این نوع حملات رخ داده است، از جمله دو مورد مربوط به Aztec Connect و یک مورد هدف قرار دادن AMM V3 ریوم.

فشارهای ادامه‌دار بر زیرساخت‌های ارز دیجیتال

حوادث اخیر خارج از دوره گزارش شده نیز نشان‌دهنده فشارهای مشابه بر زیرساخت‌های ارز دیجیتال است. به عنوان مثال، در ۲۳ ژوئیه، AFX Trade، BSquaredNetwork و Verus در حملات جداگانه‌ای در یک روز هدف قرار گرفتند که در مجموع بیش از ۳۵ میلیون دلار خسارت به بار آورد. لازم به ذکر است که Verus حدود دو ماه قبل نیز مورد یک سوءاستفاده دیگر قرار گرفته بود و Blockaid هر دو حادثه را به یک قرارداد پل (bridge contract) و کلاس باگ مشابه نسبت داده است.

نتایج متفاوت بازیابی وجوه

نتایج بازیابی وجوه بسته به نوع حمله متفاوت بود. طبق گزارش، حوادث مرتبط با کد گاهی اوقات به تیم‌ها اجازه می‌داد تا وجوه را مسدود کنند یا بازگشت آن‌ها را مذاکره کنند، در حالی که حملات شامل کلیدهای دزدیده شده معمولاً با انتقال پول از طریق میکسرها یا مسیرهای بین زنجیره‌ای به پایان می‌رسید.