طبق دادههای منتشر شده توسط شرکت پژوهشی امنیت سایبری «اکتری» (Ack3)، در بازه زمانی ژانویه تا ژوئن ۲۰۲۶، مجموعاً ۱۳۵ مورد حمله و سواستفاده امنیتی در بازار رمزارزها رخ داده است. این حملات منجر به خسارت ۹۳۹ میلیون و ۸۶۰ هزار دلاری شده که میانگین هر حمله را به حدود ۶ میلیون و ۹۶۰ هزار دلار میرساند.
نقاط ضعف فراتر از ممیزیهای امنیتی
یکی از نگرانکنندهترین یافتههای این گزارش، مربوط به کارایی ممیزیهای امنیتی است. طبق آمار، ۹۴.۴ درصد از داراییهای سرقت شده از پروژههایی که پیشتر ممیزی امنیتی شده بودند، از مسیرهایی به سرقت رفتهاند که در دامنه بررسی حسابرسان قرار نداشتند.
حملات بزرگ و آسیبپذیری زیرساختها
بخش عمدهای از خسارتهای این دوره، تنها مربوط به دو حمله بزرگ بوده است که به دلیل ضعف در زیرساختهای امنیتی رخ دادهاند:
- حمله به پروتکل کلپ دائو (Kelp DAO) و توکن rsETH: در ماه آوریل، مهاجمان با نفوذ به سامانه تاییدکننده پیامهای میانزنجیرهای «لیرزیرو» (LayerZero) و ایجاد پیامهای جعلی، ۲۹۲ میلیون دلار خسارت به بار آوردند. علت اصلی این اتفاق، اتکا به تنها یک نقطه تایید بدون سازوکار پشتیبان بود.
- حمله به سکوی دریفت (Drift): دو هفته پیش از حمله مذکور، این سکوی معاملات دائمی در شبکه سولانا، ۲۸۵ میلیون دلار از داراییهای خود را از دست داد.
این دو حمله به تنهایی ۵۷۷ میلیون دلار (معادل ۶۱ درصد کل خسارتهای نیمه نخست سال ۲۰۲۶) را شامل میشوند.
الگوی سرقت از کلیدهای خصوصی
بررسیها نشان میدهد که مشکل اصلی در اکثر این حملات، نه نقص در کدنویسی قراردادهای هوشمند، بلکه به خطر افتادن کلیدهای امنیتی و زیرساختهای امضای دیجیتال بوده است. نمونههای بارز این الگو عبارتند از:
- استپ فایننس (Step Finance): ۴۰ میلیون دلار خسارت.
- هیومنیتی پروتکل (Humanity Protocol): ۳۲ میلیون دلار خسارت.
- استیبلکوین USR (متعلق به ریزالو): ۲۴.۵ میلیون دلار خسارت.
این موارد تأیید میکنند که نقطه ضعف اصلی در سرقت کلیدهای خصوصی و مدیریت زیرساختهای امضای دیجیتال توسط کاربران و مدیران پروژهها نهفته است.