Step Finance-hacket: Kompromitterede direktørcomputere drænede $40 mio. og lukkede Solanas 'forside'

Den 31. januar 2026 blev Step Finance – en Solana-baseret DeFi-porteføljetracker, der engang blev kaldt "Solanas forside" – ramt af et katastrofalt sikkerhedsbrud. Angrebet udnyttede hverken en smart contract-bug, et flashlån eller orakelmanipulation. I stedet kompromitterede angriberne virksomhedens direktørers personlige enheder, stjal private nøgler og tømte treasury. Resultatet: et tab på $40 millioner, et tokencrash på over 96% og en permanent nedlukning af tre projekter. Fem måneder senere dukkede hackeren op igen for at hvidvaske pengene gennem Tornado Cash. Dette er den fulde, kildebaserede beretning om, hvad der skete, og hvorfor det er vigtigt for hele DeFi.

Hvordan sikkerhedsbruddet i januar 2026 udspillede sig

Angrebsvektoren: Kompromitterede enheder, ikke fejlbehæftet kode

Angriberne fik adgang til autentificeringsoplysninger og private nøgler ved at målrette Step Finances direktørs personlige enheder . Sikkerhedsfirmaet Halborn beskrev grundårsagen som "kompromitterede enheder, der sandsynligvis førte til eksponering af private nøgler" . Dette var ikke et nyt exploit – det var en klassisk operativ sikkerhedssvigt.

Hvad der blev stjålet

Cirka 261.854 SOL blev frigjort fra staking i treasury og flyttet ud . På tidspunktet for tyveriet var SOL-delen alene vurderet til mellem $27 millioner og $30 millioner . Da yderligere aktiver i de kompromitterede wallets blev inkluderet, blev de samlede tab anslået til cirka $40 millioner .

STEP-tokenets kollaps

Det native STEP-token kollapsede øjeblikkeligt. Rapporter fra selve hack-dagen registrerede et 93,3% fald til $0,001578 . Senere rapporter angav faldet til 96% eller mere . I slutningen af februar handlede tokenet nær $0,000608 – et 99,12% kollaps fra niveauet før hacket .

Genopretningsforsøg og nedlukning

Genopretningsforsøg indbragte cirka $4,7 millioner af de stjålne midler – en lille brøkdel af det samlede beløb – ved hjælp af Solanas Token22-frysningsfunktioner og koordinering med partnere . Holdet brugte cirka fire uger på forgæves at søge brofinansiering, opkøbstilbud eller ekstern kapital for at fortsætte driften .

Den 23.-24. februar 2026 annoncerede Step Finance – sammen med sine tilknyttede projekter SolanaFloor (analyse) og Remora Markets (derivater) – øjeblikkelig indstilling af al drift . Holdet udtalte, at de havde "udforsket alle mulige veje fremad, herunder finansierings- og opkøbsmuligheder", men ikke kunne sikre en levedygtig løsning . Et tilbagekøbsprogram for STEP-token-indehavere baseret på et snapshot før hacket blev annonceret separat .

Hackerens tilbagevenden: Hvidvaskning i juli 2026

Efter fem måneders inaktivitet blev Step Finance-hackerens wallet pludselig aktiv i begyndelsen af juli 2026. Ifølge on-chain-overvågning fra Lookonchain skete følgende sekvens :

• Hackeren solgte alle 261.933 SOL (et lidt højere antal end de oprindelige 261.854, sandsynligvis fra staking-belønninger eller mindre restsaldi), hvilket genererede cirka $21,4 millioner .
• Pengene blev derefter broet fra Solana til Ethereum-netværket .
• Først på Ethereum købte hackeren 12.128 ETH og indbetalte hele beløbet til Tornado Cash, en privatlivsmixer, for at hvidvaske det stjålne udbytte .

Denne fremgangsmåde – sælge på Solana, bro til Ethereum og indsætte i en mixer – illustrerer en central vanskelighed for politimyndigheder i 2026: hvidvaskning på tværs af blockchains. Når først midler bevæger sig på tværs af kæder og ind i en mixer, bliver sporing og indefrysning langt sværere .

Bredere kontekst for DeFi-sikkerhed i 2026

Step Finance-hacket er emblemisk for flere smertefulde tendenser, der definerede DeFi-sikkerhed i 2026:

Rekordhøj frekvens af hacks

I første halvdel af 2026 gennemførte angribere 207 separate hacks – det højeste antal, TRM Labs nogensinde har registreret i en seksmånedersperiode – med samlede tab på $972 millioner . Andre rapporter placerer tabene for januar-maj på over $840 millioner, en 70% stigning år-over-år i forhold til samme periode i 2025 .

Tyveri af legitimationsoplysninger, ikke kodeexploits

Hele 72% af tabene i 2026 kom fra stjålne private nøgler og legitimationsoplysninger – ikke smart contract-bugs . Step Finance-angrebet (kompromitterede bærbare computere, ikke fejlbehæftet kode) er lærebogseksemplet. Dette gør sikkerhed sværere, fordi det flytter angrebsfladen fra reviderbar kode til slutpunktsikkerhed .

DeFi TVL-kollaps

Total værdi låst (TVL) på tværs af DeFi-protokoller faldt med 39% i 2026, fra cirka $115 milliarder i januar til omkring $70 milliarder i juni, hvilket slettede cirka $45 milliarder i bundet kapital . Faldet blev tilskrevet en bred markedsnedtur kombineret med den rekordstore bølge af exploits .

Det nye paradigme: "Nøgler, ikke kode"

Step Finance-sagen og de bredere data fra 2026 gør det klart, at DeFi's værste sårbarhed ikke længere ligger i smart contracts – den ligger i den operative sikkerhed hos de teams, der holder nøglerne. For enhver protokolbygger og DeFi-bruger er lektionen klar: slutpunktsikkerhed og private nøglehåndtering er nu frontlinjen i forsvaret .