Step Finance-hacket: Slik knuste kompromitterte bærbare en $40M DeFi-plattform

31. januar 2026 ble Step Finance – en Solana-basert DeFi-porteføljesporer en gang kalt «Solanas forside» – rammet av et katastrofalt sikkerhetsbrudd. Angrepet utnyttet ikke en smartkontrakt-feil, et flashlån eller orakelmanipulasjon. I stedet kompromitterte angriperne de personlige enhetene til selskapets ledergruppe, stjal private nøkler og tappet hele kassen. Resultatet: et tap på 40 millioner dollar, et token-krakk på over 96 % og en permanent nedleggelse av tre prosjekter. Fem måneder senere dukket hackeren opp igjen for å hvitvaske pengene gjennom Tornado Cash. Dette er den fullstendige, kildebaserte beretningen om hva som skjedde og hvorfor det har betydning for hele DeFi-sektoren.

Hvordan bruddet i januar 2026 fant sted

Angrepsvektoren: Kompromitterte enheter, ikke feil i koden

Angriperne fikk tilgang til autentiseringslegitimasjon og private nøkler ved å målrette personlige enheter tilhørende Step Finances ledergruppe . Sikkerhetsselskapet Halborn beskrev grunnårsaken som «kompromitterte enheter, som sannsynligvis førte til eksponering av private nøkler» . Dette var ikke en ny type utnyttelse – det var en klassisk operasjonell sikkerhetssvikt.

Hva ble stjålet

Omtrent 261 854 SOL ble tatt ut av innsats og flyttet ut av kassen . På tidspunktet for tyveriet var SOL-delen alene verdsatt til mellom 27 og 30 millioner dollar . Da flere eiendeler i de kompromitterte lommebøkene ble inkludert, ble totale tap estimert til omtrent 40 millioner dollar .

STEP-tokenets kollaps

Det opprinnelige STEP-tokenet kollapset umiddelbart. Rapporter fra dagen for hacket registrerer et 93,3 % fall til $0,001578 . Senere rapporter satte nedgangen til 96 % eller mer . I slutten av februar ble tokenet handlet til nær $0,000608 – en 99,12 % kollaps fra nivåene før hacket .

Gjenopprettingsforsøk og nedleggelse

Gjenopprettingsarbeidet hentet inn omtrent 4,7 millioner dollar av de stjålne midlene – en liten brøkdel av totalen – ved å bruke Solanas Token22-frysingsfunksjoner og samarbeid med partnere . Teamet brukte omtrent fire uker på å forsøke å skaffe brofinansiering, oppkjøpstilbud eller ekstern kapital for å fortsette driften – uten hell .

23.–24. februar 2026 kunngjorde Step Finance – sammen med tilknyttede prosjekter SolanaFloor (analyse) og Remora Markets (derivater) – at all virksomhet umiddelbart skulle opphøre . Teamet uttalte at de hadde «utforsket alle mulige veier videre, inkludert finansierings- og oppkjøpsmuligheter», men ikke kunne sikre et levedyktig utfall . En tilbakekjøpsplan for STEP-tokenholdere basert på et øyeblikksbilde før hendelsen ble kunngjort separat .

Hackerens retur: Hvitvasking i juli 2026

Etter fem måneders inaktivitet ble Step Finance-hackerens lommebok plutselig aktiv igjen i begynnelsen av juli 2026. I henhold til kjedeovervåking av Lookonchain skjedde følgende sekvens :

• Hackeren solgte alle 261 933 SOL (et litt høyere tall enn de opprinnelige 261 854, sannsynligvis fra stakingsbelønninger eller mindre restsaldi), og genererte omtrent 21,4 millioner dollar .
• Midlene ble deretter broet fra Solana til Ethereum-nettverket .
• På Ethereum kjøpte hackeren 12 128 ETH og satte inn hele beløpet i Tornado Cash, en personvernmikser, for å hvitvaske de stjålne pengene .

Denne oppskriften – å selge på Solana, bro til Ethereum og sette inn i en mikser – illustrerer en kjerneproblematikk for politiet i 2026: tverrkjedig hvitvasking. Når midler flyttes på tvers av kjeder og inn i en mikser, blir tilskrivning og frysing langt vanskeligere .

Bredere DeFi-sikkerhetskontekst i 2026

Step Finance-hacket er et symbol på flere smertefulle trender som definerte DeFi-sikkerhet i 2026:

Rekordhøy frekvens av hacks

I første halvdel av 2026 utførte angripere 207 separate hacks – det høyeste antallet TRM Labs har registrert i noen seksmånedersperiode – med totale tap som nådde 972 millioner dollar . Andre rapporter setter tapene for januar–mai til over 840 millioner dollar, en 70 % år-over-år-økning sammenlignet med samme periode i 2025 .

Legitimasjonstyveri, ikke kodeutnyttelse

Hele 72 % av tapene i 2026 kom fra stjålne private nøkler og legitimasjonstyveri – ikke smartkontrakt-feil . Step Finance-angrepet (kompromitterte bærbare datamaskiner, ikke feil i koden) er lærebokeksemplet. Dette gjør sikkerhet vanskeligere fordi det flytter angrepsoverflaten fra reviserbar kode til endepunktsikkerhet .

DeFi TVL-kollaps

Total verdi låst i DeFi-protokoller falt med 39 % i 2026, fra omtrent 115 milliarder dollar i januar til omtrent 70 milliarder dollar i juni, og utslettet omtrent 45 milliarder dollar i låst kapital . Nedgangen ble tilskrevet en bred markedssvekkelse forsterket av den rekordstore bølgen av utnyttelser .

Det nye paradigmet: «Nøkler, ikke kode»

Step Finance-saken og de bredere dataene for 2026 gjør det klart at DeFis verste sårbarhet ikke lenger ligger i smartkontraktene – den ligger i den operasjonelle sikkerheten til teamene som har nøklene. For hver protokollbygger og DeFi-bruker er læresteken tydelig: endepunktsikkerhet og privat nøkkelhåndtering er nå frontlinjen i forsvaret .