Dlaczego DeFi traci miliony na exploitach

To jeden z najgorszych lat w historii pod względem hacków DeFi, a jesteśmy dopiero w połowie.

W pierwszych pięciu miesiącach 2026 roku ponad 840 milionów dolarów zostało utracone w wyniku hacków DeFi – sam kwiecień odpowiadał za ponad 600 milionów dolarów skradzionych, z czego dwa największe ataki roku: eksploit KelpDAO o wartości 292 milionów dolarów i naruszenie Drift Protocol o wartości 285 milionów dolarów.

Straty trwały również w maju, a THORChain wstrzymał handel po tym, jak badacze bezpieczeństwa zgłosili podejrzany eksploit międzyłańcuchowy dotykający ponad 10 milionów dolarów.

TrustedVolumes, Echo Protocol, Step Finance, Truebit, Resolv Labs, Volo Protocol, Rhea Finance, most Verus-Ethereum i wiele innych uzupełnia listę ofiar, która według danych DeFiLlama wygląda jak test wytrzymałości każdego założenia zaufania, na którym opiera się DeFi.

Eksperci, z którymi rozmawiał Decrypt, są zgodni co do diagnozy, że ostatnie hacki DeFi ujawniają strukturalne słabości w mostach i systemach administracyjnych, podczas gdy postępy w AI mogą pomagać atakującym w szybszym znajdowaniu luk.

Natalie Newson, starszy badacz blockchain w platformie bezpieczeństwa Web3 CertiK, powiedziała Decrypt, że choć kwiecień był wyjątkowo dotkliwy pod względem exploitów kryptowalutowych, szerszy trend pozostaje bardziej stabilny i poniżej szczytowej liczby incydentów odnotowanej w 2023 roku.

„Kwiecień 2026 był złym miesiącem dla exploitów kryptowalutowych; były tylko trzy dni bez exploita, w których skradziono co najmniej 10 000 dolarów” – powiedziała.

„Jednak, gdy spojrzymy na szerszy obraz, liczba incydentów (z wyłączeniem phishingu) była prawdopodobnie dość stała i wciąż niższa niż szczyt w 2023 roku” – zauważył Newson, dodając, że powaga kwietnia wynikała z 14 exploitów przekraczających straty w wysokości 1 miliona dolarów, ustępując jedynie 16 we wrześniu 2025 roku.

Czynnik północnokoreański

Ari Redbord, Globalny Szef Polityki i Spraw Rządowych w TRM Labs, powiedział Decrypt, że wzrost wynika z jednego aktora państwowego, który w ciągu pięciu lat przeszedł od marginalnego gracza do definiującego zagrożenia.

„Dominującym czynnikiem jest Korea Północna, a ta kampania staje się ostrzejsza, a nie szersza” – powiedział Redbord, zauważając, że aktorzy powiązani z Koreą Północną stanowili 76% globalnych strat z tytułu włamań kryptowalutowych w pierwszych czterech miesiącach 2026 roku, w porównaniu do 64% w 2025 roku i mniej niż 10% w 2020 roku.

„Korea Północna wykorzystuje nie tylko technologię do atakowania przestrzeni, ale także wyrafinowaną i dobrze zaplanowaną inżynierię społeczną” – powiedział.

Największy jak dotąd w tym roku hack DeFi uderzył w KelpDAO 18 kwietnia, kiedy atakujący wyprowadzili około 116 500 rsETH, wartych około 292 milionów dolarów, z mostu międzyłańcuchowego.

LayerZero, którego infrastruktura komunikacyjna stanowiła podstawę mostu, poinformował w najnowszym raporcie pośmiertnym, że atak rozpoczął się 6 marca, kiedy programista został poddany inżynierii społecznej, a klucze sesji zostały przechwycone.

Protokół komunikacji międzyłańcuchowej poinformował, że atak został przypisany przez Mandiant, CrowdStrike i niezależnych badaczy północnokoreańskiemu aktorowi zagrożenia TraderTraitor, znanemu również jako UNC4899.

Strukturalny powód, dla którego DeFi wciąż przyjmuje ciosy, dodał Redbord, sprowadza się do tego, gdzie znajdują się pieniądze i jak się przemieszczają.

„Złożoność międzyłańcuchowa DeFi czyni go środowiskiem bogatym w cele – mosty konsekwentnie generują największe pojedyncze straty, a wzorce awarii powtarzają się z uderzającą konsekwencją, ponieważ podstawowym problemem jest architektura” – zauważył.

Powtarzające się wzorce

Raz Niv, współzałożyciel i CTO w platformie bezpieczeństwa onchain Blockaid, powiedział Decrypt, że trzy techniczne wzorce pojawiają się w największych incydentach tego roku: awarie kontroli dostępu uprzywilejowanego, złośliwe aktualizacje proxy, w których atakujący zamieniają kontrakty implementacyjne na wersje z backdoorem, oraz luki w weryfikacji komunikatów międzyłańcuchowych.

W kwestii uprzywilejowanego dostępu Niv powiedział, że firma monitoruje „anomalne zdarzenia 'Rola przyznana' i nieautoryzowaną eskalację uprawnień”, a incydenty takie jak wykorzystanie Echo Protocol sięgają skompromitowanych lub źle skonfigurowanych kluczy administracyjnych.

„Atakujący albo socjotechnicznie zdobywają klucze prywatne, albo wykorzystują źle zaprojektowane progi multisig” – dodał.

Wskazał na awarie związane z kontrolami dostępu uprzywilejowanego, złośliwymi aktualizacjami proxy i systemami weryfikacji międzyłańcuchowej, mówiąc, że ostatnie ataki ujawniają głębsze słabości w założeniach łączących coraz bardziej złożoną infrastrukturę.

„Wspólnym wątkiem nie jest sama złożoność” – powiedział Niv. „Chodzi o to, że każda warstwa abstrakcji (proxy, role administracyjne, komunikacja międzyłańcuchowa) wprowadza założenia zaufania, które atakujący metodycznie badają.”

Wpływ AI

Niv powiedział, że AI coraz bardziej przekształca odkrywanie exploitów, choć ostrzegł, że jej wpływ jest często źle rozumiany.

Obecne modele stają się coraz skuteczniejsze w identyfikowaniu znanych podatności na dużą skalę i „automatyzują to, co robią wykwalifikowani audytorzy” – powiedział, ostrzegając, że „prawdziwym zmartwieniem nie jest to, że AI zastępuje ludzkich atakujących”, ale że AI „wzmacnia atakujących”, zajmując się rozpoznaniem i uwalniając ich do skupienia się na bardziej zaawansowanych technikach.

„Dobra wiadomość jest taka, że obrońcy mogą używać tych samych narzędzi. Monitorowanie i symulacja wspomagane AI stają się niezbędne dla zespołów bezpieczeństwa próbujących nadążyć” – dodał Niv.

W przypadku gwałtownego wzrostu liczby hacków DeFi, Newson wskazał na podobny trend, mówiąc: „jednym z czynników, który prawdopodobnie się do tego przyczynia, choć nie jedynym, jest postęp w AI.”

Dodała, że CertiK zaobserwowało wzrost liczby exploitów na starsze i niezweryfikowane kontrakty, co prowadzi do „logicznego założenia, że AI pomaga w znajdowaniu luk”.

Podobnie Redbord stwierdził, że „złe podmioty wdrażają AI na dużą skalę” w rozpoznaniu, inżynierii społecznej i projektowaniu exploitów, dodając, że zaawansowanie widoczne w atakach takich jak na Drift wydaje się „zgodne z workflow wspomaganym przez AI”.

Analitycy TRM uważają, że północnokoreańscy operatorzy coraz częściej włączają narzędzia AI do swoich operacji, a on stwierdził: „odpowiedzią jest wdrożenie AI w obronie z taką samą agresją, z jaką przeciwnicy wdrażają je w ataku”.

Ponad kodem

Redbord stwierdził, że haki DeFi to „rozwiązywalny problem”, ale dodał, że branża musi być bardziej szczera co do tego, gdzie faktycznie występują awarie.

Zauważył, że „audyty chronią przed błędami w kodzie”, ale nie przed zaawansowanymi kampaniami inżynierii społecznej, takimi jak Drift, gdzie północnokoreańscy pośrednicy podobno spędzili miesiące na zdobywaniu dostępu przed włamaniem.

„Model, który działa, to koordynacja publiczno-prywatna w czasie rzeczywistym” – dodał ekspert.

Newson stwierdziła, że rok 2026 może stanowić „ewolucyjny punkt zwrotny”, mówiąc, że branża uczy się, iż cyberbezpieczeństwo to „problem pełnego stosu” obejmujący „AI, KRLD lub infrastrukturę i personel”.

„Nie ma znaczenia, jak doskonała jest twoja matematyka w łańcuchu, jeśli twoje procesy ludzkie poza łańcuchem są podatne na ataki” – powiedziała, zauważając, że branża coraz bardziej przesuwa się w kierunku „praktycznych, strukturalnych rozwiązań” w celu rozwiązania problemów infrastrukturalnych i ryzyka inżynierii społecznej.

Uderzenie w zaufanie

Szkody dla zaufania w przestrzeni DeFi są trudniejsze do oszacowania, ale łatwe do zaobserwowania.

Exploit Kelp DAO wywołał falę wypłat o wartości 6,2 miliarda dolarów z samego Aave, zanim akcja ratunkowa prowadzona przez CEO Aave, Staniego Kulechova, nazwana „DeFi United”, zebrała 132 650 ETH o wartości około 303 milionów dolarów na pokrycie złych długów.

Skoordynowana reakcja pokazuje, że branża potrafi się zmobilizować. Pokazuje również, ile kapitału potrzeba, aby zamaskować pojedynczy exploit mostu.

Newson stwierdziła, że skutki zależą całkowicie od tego, kogo dotyczą.

„Doświadczeni weterani branży mogą patrzeć na ostatnie sześć tygodni jak na coś normalnego – po prostu kolejną ewolucyjną normę i trudne doświadczenie, z którego należy wyciągnąć wnioski” – powiedziała.

Zauważyła, że wpływ powtarzających się exploitów wygląda zupełnie inaczej dla nowszych uczestników rynku, ostrzegając, że dla użytkowników, którzy tracą znaczne środki, konsekwencje nie są „doświadczeniem edukacyjnym”, ale rodzą „egzystencjalne pytania” o długoterminową „żywotność i bezpieczeństwo” kryptowalut, a techniczne poprawki często pojawiają się zbyt późno, aby naprawić szkody.