Хвиля зламів DeFi-мостів у 2026 році: $328,6 млн вкрадено, а крос-чейн безпека досі крихка

Найбільший злам DeFi у 2026 році стався 18 квітня, коли атакувальники вивели приблизно 116 500 rsETH — на суму близько $292 млн — із крос-чейн мосту KelpDAO, побудованого на інфраструктурі LayerZero.

Розслідування показали, що атака була спрямована не на помилку в смарт-контрактах, а на вразливості в архітектурі верифікації мосту та допоміжній інфраструктурі.

Ключові фактори:

• Конфігурація з єдиним верифікатором: KelpDAO використовувала схему 1-з-1 для своєї децентралізованої мережі верифікаторів (DVN). Це означало, що лише один валідатор міг підтвердити крос-чейн повідомлення.
• Скомпрометована інфраструктура: Зловмисники проникли в RPC-вузли, які використовувала система верифікаторів, та підмінили дані, необхідні для підтвердження дійсності транзакцій.
• Підроблене крос-чейн повідомлення: Скомпрометована інфраструктура дозволила атакувальнику створити фіктивне повідомлення про те, що токени були спалені на іншому ланцюгу, що змусило контракт на Ethereum вивільнити кошти.

LayerZero та інші слідчі повідомили, що ранні ознаки вказують на угруповання Lazarus із Північної Кореї — зокрема кластер TraderTraitor — як імовірного виконавця, хоча атрибуція залишається попередньою.

Експлойт THORChain

Інша помітна атака сталася 15 травня 2026 року, коли протокол крос-чейн ліквідності THORChain втратив близько $10,8 млн на кількох мережах, включаючи Bitcoin, Ethereum та BNB Chain.

Розслідувачі вважають, що експлойт був спрямований на систему порогового підпису GG20, яка дозволяє вузлам спільно підписувати транзакції, не розкриваючи повний закритий ключ.

Згідно з аналізом інциденту, зловмисний вузол, який брав участь у сесіях підпису, міг поступово накопичувати фрагменти криптографічного матеріалу під час легітимних операцій та зрештою відновити закритий ключ, який контролював сховище Asgard. Щойно ключ було відновлено, атакувальник зміг підписувати несанкціоновані виведення коштів.

Атака підкреслила постійний ризик у крос-чейн системах, які покладаються на розподілений підпис: якщо достатня кількість фрагментів ключа виявиться скомпрометованою, сховище, що контролює активи мосту, може бути зламане.

Злам мосту Verus–Ethereum

18 травня 2026 року ще один експлойт мосту вивів близько $11,58 млн із крос-чейн мосту Verus–Ethereum.

Атакувальник викрав активи, зокрема 103,6 tBTC, 1 625 ETH та приблизно 147 000 USDC, після чого конвертував їх у ETH.

Дослідники безпеки з'ясували, що першопричиною стала прогалина у валідації логіки мосту:

• Обидві сторони мосту виконували перевірки крос-чейн транзакцій.
• Однак жодна зі сторін не вимагала від іншої підтвердження критичного значення — суми переказу на вихідному ланцюгу.

Оскільки це поле не було суворо обов'язковим, атакувальник міг надіслати повідомлення, яке виглядало дійсним, але не представляло майже жодної реальної цінності на вихідному ланцюгу, що дозволило контракту вивільнити кошти з резервів.

Чому крос-чейн мости продовжують зламувати

Інциденти 2026 року підтвердили давнє попередження в безпеці блокчейну: мости часто є найнебезпечнішим компонентом інфраструктури DeFi.

Ось кілька структурних слабкостей, які регулярно проявляються в експлойтах мостів.

1. Концентрація безпеки в малому наборі верифікаторів

Мости часто покладаються на невелику групу валідаторів, ретрансляторів або верифікаторів для підтвердження крос-чейн повідомлень. Якщо один або кілька з них будуть скомпрометовані — як у випадку з KelpDAO — атакувальники можуть авторизувати шахрайські перекази.

2. Ризик закритих ключів та схем підпису

Багато мостів залежать від систем мультипідпису або порогового підпису для контролю над сховищами з великими резервами токенів. Якщо атакувальники зможуть відновити достатньо фрагментів ключа або скомпрометувати вузли, що беруть участь у підписанні, вони зможуть створити легітимні на вигляд підписи для зловмисного виведення коштів. Це було одним із підозрюваних факторів у зламі THORChain.

3. Неповна валідація повідомлень

Мости повинні перевіряти, чи події на одному блокчейні дійсно відбулися, перш ніж вивільняти активи на іншому. Відсутні перевірки або неузгоджені правила валідації — як у випадку з мостом Verus, який не зміг підтвердити суми на вихідному ланцюгу — можуть дозволити підробленим доказам пройти верифікацію.

4. Офчейн-інфраструктура як поверхня атаки

Крос-чейн системи сильно залежать від RPC-вузлів, ретрансляторів, моніторингової інфраструктури та операційних інструментів. Компрометація цих систем може отруїти дані, які використовуються мережами верифікації мостів, як це було видно в експлойті KelpDAO.

Чому ці атаки важливі для DeFi

Експлойти мостів не просто виснажують кошти — вони кидають виклик ключовій обіцянці децентралізованих фінансів: безперешкодній мобільності активів між блокчейнами.

Коли міст виходить з ладу:

• Обгорнуті активи можуть втратити своє забезпечення
• Кредитні ринки DeFi, які використовують ці активи як заставу, можуть заморозитися
• Ліквідність і крос-чейн торговельні маршрути можуть порушитися

Оскільки мости виступають кастодіальними хабами, які утримують великі резерви токенів, один експлойт може мати хвильовий ефект на кілька ланцюгів та протоколів.

Хвиля атак на початку 2026 року показала, що проблема полягає не в ізольованих помилках, а в системному архітектурному ризику. Доки конструкції мостів не будуть покладатися на сильніші моделі верифікації, більш децентралізованих валідаторів та посилену операційну інфраструктуру, крос-чейн системи залишаться однією з найпривабливіших цілей у криптобезпеці.