Ataki na kryptowaluty w 2026 r. coraz częściej uderzają w klucze i zarządzanie
Immunefi zauważa, że ataki coraz częściej przebiegają przez signing keys, governance i infrastrukturę. BonkDAO i Humanity Protocol pokazują, jak duże mogą być straty bez błędu w smart contract.
Najważniejsze informacje
- W 2026 r. ataki na kryptowaluty coraz częściej skupiają się na keys, governance i bezpieczeństwie operacyjnym, a nie wyłącznie na błędach w smart contract.
- Immunefi podaje, że w tym roku skradziono już około 972 mln USD, a wśród przykładów wskazuje BonkDAO i Humanity Protocol.
- Same audyty nie wystarczają, ponieważ zarządzanie kluczami, custody i signing również mogą prowadzić do ogromnych strat.
W 2026 r. straty w sektorze kryptowalut wynikają nie tylko z błędów w smart contracts. Coraz częściej źródłem problemu są słabe punkty związane z keys, governance oraz operacyjnym bezpieczeństwem. Według Immunefi od początku roku skradziono już około 972 mln USD (854 mln EUR), a schemat ataków przesuwa się z kodu na signing keys, głosowania i infrastrukturę.
Keys stają się słabym punktem
Przypadek BonkDAO dobrze pokazuje, że do opróżnienia treasury nie trzeba wcale awarii samego kontraktu. Napastnik wydał około 4 mln USD (3,5 mln EUR), aby przy niskiej frekwencji zgromadzić wystarczającą liczbę tokenów i złożyć propozycję governance. Następnie została ona wykonana dokładnie w takiej formie, w jakiej ją zapisano. W tym przypadku podatnością okazały się więc same zasady działania systemu.
Podobny mechanizm ujawnił się w Humanity Protocol. W czerwcu projekt stracił ponad 30 mln USD (26,4 mln EUR), gdy private key zapisany na komputerze członka zespołu został skompromitowany, mimo że sam kontrakt pozostał nienaruszony. To wpisuje się w szerszy trend widoczny w pierwszej połowie 2026 r.: kompromitacje wallet i inne błędy operacyjne kosztowały więcej niż klasyczne ataki na smart contracts. Potwierdza to również szersza zależność, zgodnie z którą private keys odpowiadają za dużą część ataków hakerskich, a nie sam kod.
Audyty nie wystarczają
Mitchell Amador, założyciel i CEO Immunefi, zwraca uwagę, że audyt pokazuje jedynie stan kodu w konkretnym momencie. Nie odpowiada natomiast na pytania o to, kto ma signing authority, jak przechowywany jest key ani co stanie się po przejęciu laptopa. Protokół może więc przejść kilka audytów i mimo to ponieść ogromne straty. Według tekstu jeden z projektów stracił nawet 128 mln USD (112 mln EUR), mimo że przeszedł 11 audytów.
Dane potwierdzają ten obraz. W analizie 425 ataków z lat 2021-2025 niewielka grupa błędów operacyjnych odpowiadała za większość szkód. Z kolei w latach 2024-2025 54,6% całkowitej utraconej wartości, rozłożonej na 191 ataków, wynikało z kompromitacji centralized exchanges, a więc z problemów z keys, custody i signing, a nie z warstwy kontraktów.
Dlaczego ma to znaczenie dla inwestorów
Dla europejskich inwestorów w kryptowaluty to ważny sygnał, bo największe ryzyka coraz rzadziej widać w samym kodzie. Równie istotne stają się więc infrastruktura, key management i procesy governance, obok audytów i formalnego code review. Oznacza to, że bezpieczeństwo nie jest już wyłącznie kwestią techniczną, lecz także sprawą związaną z instrumentami inwestycyjnymi, custody oraz tym, jak firmy kryptowalutowe organizują kontrolę wewnętrzną.
Immunefi przekonuje, że ciągłe programy bezpieczeństwa oparte na zachętach mogą wyraźnie ograniczyć ryzyko, ponieważ badacze otrzymują wynagrodzenie za wykrycie podatności, zanim zrobią to atakujący. Zgodnie z tą logiką takie podejście musi jednak obejmować nie tylko smart contracts, ale też ludzi, systemy i zasady, które utrzymują protokół w działaniu.
