Step Finance-hacket: Kompromitterede direktørcomputere drænede $40 mio. og lukkede Solanas 'forside'

Hvad der blev stjålet

Cirka 261.854 SOL blev frigjort fra staking i treasury og flyttet ud . På tidspunktet for tyveriet var SOL-delen alene vurderet til mellem $27 millioner og $30 millioner . Da yderligere aktiver i de kompromitterede wallets blev inkluderet, blev de samlede tab anslået til cirka $40 millioner .

STEP-tokenets kollaps

Det native STEP-token kollapsede øjeblikkeligt. Rapporter fra selve hack-dagen registrerede et 93,3% fald til $0,001578 . Senere rapporter angav faldet til 96% eller mere . I slutningen af februar handlede tokenet nær $0,000608 – et 99,12% kollaps fra niveauet før hacket .

Genopretningsforsøg og nedlukning

Genopretningsforsøg indbragte cirka $4,7 millioner af de stjålne midler – en lille brøkdel af det samlede beløb – ved hjælp af Solanas Token22-frysningsfunktioner og koordinering med partnere . Holdet brugte cirka fire uger på forgæves at søge brofinansiering, opkøbstilbud eller ekstern kapital for at fortsætte driften .

Den 23.-24. februar 2026 annoncerede Step Finance – sammen med sine tilknyttede projekter SolanaFloor (analyse) og Remora Markets (derivater) – øjeblikkelig indstilling af al drift . Holdet udtalte, at de havde "udforsket alle mulige veje fremad, herunder finansierings- og opkøbsmuligheder", men ikke kunne sikre en levedygtig løsning . Et tilbagekøbsprogram for STEP-token-indehavere baseret på et snapshot før hacket blev annonceret separat .

Hackerens tilbagevenden: Hvidvaskning i juli 2026

Efter fem måneders inaktivitet blev Step Finance-hackerens wallet pludselig aktiv i begyndelsen af juli 2026. Ifølge on-chain-overvågning fra Lookonchain skete følgende sekvens :

• Hackeren solgte alle 261.933 SOL (et lidt højere antal end de oprindelige 261.854, sandsynligvis fra staking-belønninger eller mindre restsaldi), hvilket genererede cirka $21,4 millioner .
• Pengene blev derefter broet fra Solana til Ethereum-netværket .
• Først på Ethereum købte hackeren 12.128 ETH og indbetalte hele beløbet til Tornado Cash, en privatlivsmixer, for at hvidvaske det stjålne udbytte .

Denne fremgangsmåde – sælge på Solana, bro til Ethereum og indsætte i en mixer – illustrerer en central vanskelighed for politimyndigheder i 2026: hvidvaskning på tværs af blockchains. Når først midler bevæger sig på tværs af kæder og ind i en mixer, bliver sporing og indefrysning langt sværere .

Bredere kontekst for DeFi-sikkerhed i 2026

Step Finance-hacket er emblemisk for flere smertefulde tendenser, der definerede DeFi-sikkerhed i 2026:

Rekordhøj frekvens af hacks

I første halvdel af 2026 gennemførte angribere 207 separate hacks – det højeste antal, TRM Labs nogensinde har registreret i en seksmånedersperiode – med samlede tab på $972 millioner . Andre rapporter placerer tabene for januar-maj på over $840 millioner, en 70% stigning år-over-år i forhold til samme periode i 2025 .

Tyveri af legitimationsoplysninger, ikke kodeexploits

Hele 72% af tabene i 2026 kom fra stjålne private nøgler og legitimationsoplysninger – ikke smart contract-bugs . Step Finance-angrebet (kompromitterede bærbare computere, ikke fejlbehæftet kode) er lærebogseksemplet. Dette gør sikkerhed sværere, fordi det flytter angrebsfladen fra reviderbar kode til slutpunktsikkerhed .

DeFi TVL-kollaps

Total værdi låst (TVL) på tværs af DeFi-protokoller faldt med 39% i 2026, fra cirka $115 milliarder i januar til omkring $70 milliarder i juni, hvilket slettede cirka $45 milliarder i bundet kapital . Faldet blev tilskrevet en bred markedsnedtur kombineret med den rekordstore bølge af exploits .

Det nye paradigme: "Nøgler, ikke kode"

Step Finance-sagen og de bredere data fra 2026 gør det klart, at DeFi's værste sårbarhed ikke længere ligger i smart contracts – den ligger i den operative sikkerhed hos de teams, der holder nøglerne. For enhver protokolbygger og DeFi-bruger er lektionen klar: slutpunktsikkerhed og private nøglehåndtering er nu frontlinjen i forsvaret .