Серия взломов DeFi в мае 2026 года: THORChain, Verus Bridge и Echo Protocol

Между 15 и 18 мая 2026 года экосистема децентрализованных финансов пережила серию из трёх крупных инцидентов безопасности. Под атаки попали THORChain, кроссчейн‑мост Verus–Ethereum и Echo Protocol.

Несмотря на близость по времени, эти взломы не были связаны между собой. Каждый из них затронул отдельный уровень инфраструктуры DeFi: систему подписей валидаторов, проверку сообщений между блокчейнами и контроль административных ключей.

В сумме злоумышленники реально вывели около $22 млн, хотя в одном из случаев — в Echo Protocol — на короткое время возникла синтетическая эмиссия активов на более чем $76 млн.

1. Эксплойт THORChain — 15 мая 2026

Оценка потерь: примерно $10,7–10,8 млн.

THORChain — это протокол кроссчейн‑ликвидности, позволяющий обменивать нативные активы разных блокчейнов без обёрнутых токенов. 15 мая система обнаружила подозрительные выводы средств из одного из своих хранилищ Asgard и автоматически остановила операции.

В ходе расследования выяснилось, что злоумышленник вывел около $10,7–$10,8 млн в активах из нескольких сетей, включая Bitcoin, Ethereum, BNB Chain и Base.

Основная версия исследователей безопасности — атака на пороговую схему подписей GG20 (TSS), которая используется для совместного управления ключами хранилищ. Предполагается, что злонамеренный или скомпрометированный узел‑валидатор смог воспользоваться слабостями в процессе многопартийных вычислений и восстановить возможность подписывать транзакции от имени хранилища.

Важно, что потери, по данным протокола, касались собственных средств протокола, а не депозитов пользователей или средств поставщиков ликвидности.

Ответ протокола

• сеть автоматически обнаружила аномалию и остановила торговлю и операции подписи;
• операторы узлов приостановили процесс обновления хранилищ (vault churn);
• началось расследование недавно добавленного узла, который мог быть связан с атакой.

Инцидент вновь поднял вопрос о безопасности MPC‑кошельков и систем пороговых подписей, которые распределяют контроль над ключами, но всё равно зависят от корректной работы валидаторов.

2. Взлом моста Verus–Ethereum — 18 мая 2026

Оценка потерь: около $11,58 млн.

Через три дня после атаки на THORChain злоумышленники атаковали кроссчейн‑мост между Verus и Ethereum, похитив примерно $11,5–$11,6 млн. Среди украденных активов были 103,6 tBTC, 1 625 ETH и около 147 000 USDC.

После кражи средства были конвертированы и объединены примерно в 5 400 ETH в одном кошельке.

По данным исследователей, атака использовала поддельное сообщение о кроссчейн‑переводе, которое система моста ошибочно приняла как валидное.

Причиной стала логическая ошибка проверки данных между двумя сторонами моста. И блокчейн Verus, и контракт Ethereum проводили проверки, но ни одна из сторон не требовала подтверждения, что:

• сумма на исходной цепочке
• соответствует сумме, выплачиваемой на целевой цепочке.

Из‑за этого злоумышленник смог отправить корректно выглядящее доказательство перевода, фактически не заблокировав соответствующую стоимость на исходной сети.

Иными словами, мост выплачивал средства, которые на самом деле не были внесены.

Ответ протокола

• компании по безопасности Blockaid и PeckShield обнаружили атаку практически в реальном времени;
• работа моста и некоторых узлов была временно остановлена;
• разработчики начали подготовку обновлений проверки кроссчейн‑сообщений.

Инцидент напомнил предыдущие атаки на мосты, такие как Wormhole и Nomad, подтвердив, что кроссчейн‑мосты остаются одной из самых рискованных частей DeFi‑инфраструктуры.

3. Эксплойт Echo Protocol — сообщения 18–19 мая

Заголовочная экспозиция: около $76,6–$76,7 млн в несанкционированных eBTC.
Реально выведено: примерно $816 тыс..

Echo Protocol — DeFi‑платформа для Bitcoin‑активов, работающая на блокчейне Monad. Атака произошла после того, как злоумышленник получил контроль над административным приватным ключом, связанным с контрактами выпуска eBTC.

Используя админ‑доступ, атакующий выпустил около 1 000 несанкционированных токенов eBTC, что эквивалентно примерно $76–77 млн по рыночной цене Bitcoin.

Однако из‑за ограниченной ликвидности вывести удалось лишь небольшую часть средств.

По данным анализа блокчейна, злоумышленник:

• внёс 45 eBTC в кредитный протокол Curvance;
• занял примерно 11,29 WBTC;
• перевёл активы в сеть Ethereum и обменял их на ETH;
• отправил около 384 ETH в миксер Tornado Cash.

По итоговым оценкам аналитиков, реальный финансовый ущерб составил около $816 тыс..

Ответ протокола

• Echo Protocol приостановил кроссчейн‑операции;
• команда восстановила контроль над скомпрометированным административным ключом;
• 955 eBTC, остававшихся на адресе злоумышленника, были сожжены;
• протокол Curvance временно приостановил соответствующий рынок кредитования.

Инцидент показал риск использования единственного административного ключа без мультиподписей и таймлоков.

Что показала серия атак для безопасности DeFi

Три события за четыре дня выявили уязвимости на разных уровнях инфраструктуры DeFi.

1. Кроссчейн‑мосты остаются главной точкой риска

Атака на Verus показала, насколько уязвима логика проверки событий между блокчейнами. Если мост не подтверждает фактическое существование транзакции и соответствие суммы, злоумышленник может создать достоверно выглядящее, но экономически ложное доказательство перевода.

Мосты особенно привлекательны для атак, потому что часто удерживают большие пулы активов, обеспечивающих ликвидность между сетями.

2. Распределённые системы ключей всё ещё имеют операционные риски

THORChain использует threshold‑подписи и MPC, чтобы ни один узел не контролировал средства хранилищ. Но атака показала, что проблемы могут возникнуть при:

• добавлении новых узлов,
• координации валидаторов,
• реализации самой криптографической схемы.

Такие системы уменьшают риск единственного ключа, но создают новые поверхности атаки в управлении сетью.

3. Привилегированные админ‑ключи — системная уязвимость

В Echo Protocol захват одного административного ключа позволил злоумышленнику мгновенно создать десятки миллионов долларов синтетических активов.

Даже несмотря на последующее сжигание токенов, инцидент показал, насколько централизованный контроль может destabilизировать DeFi‑протоколы.

4. Экстренные вмешательства остаются критически важными

Во всех трёх случаях ущерб удалось ограничить благодаря срочным мерам:

• остановка сети и операций подписи в THORChain;
• остановка узлов моста в Verus;
• приостановка рынков, восстановление ключей и сжигание токенов в Echo.

Но эти меры также показывают, что многие DeFi‑системы всё ещё зависят от оперативных централизованных решений в кризисных ситуациях.

Более широкий вывод

Серия атак в мае 2026 года показала: безопасность DeFi сегодня зависит не только от смарт‑контрактов.

Основные уязвимости всё чаще возникают в операционной инфраструктуре:

• проверка кроссчейн‑сообщений;
• координация валидаторов и подписантов;
• управление привилегированными ключами;
• механизмы управления и экстренного реагирования.

По мере роста многосетевой DeFi‑экосистемы именно эти инфраструктурные слои — а не только код контрактов — становятся главными точками потенциальных атак.