763,9 miljoni dollari suurune muutus: miks nutilepingute auditeerimine ei suutnud ära hoida Web3 halvimat kvartalit

2026. aasta teise kvartali turvalisuse ülevaade

2026. aasta teine kvartal oli Web3-turvalisuse seisukohalt kõige raskem periood alates 2025. aasta teisest kvartalist, mil ründajad varastasid 67 turvalisusjuhtumi käigus 763,9 miljonit dollarit. Kvartali määravaks muutuseks oli haavatavuste profiilide põhjalik muutus: kood ei ole enam peamine rünnakupind, vaid seda on operatsioonilised kontrollimeetmed ja võtmehaldus.

Rohkem kui 88% kogukahjumist tulenes operatsioonilistest turvalisuse rikkumistest, mitte nutilepingute loogika puudustest. Institutsionaalne kapital on juba kohanemas, nihutades hoolsuskohustuse prioriteete ühekordsetest audititest pideva järelevalve, privilegeeritud juurdepääsu haldamise ja mitme osaleja autoriseerimisraamistike suunas.

Hackeni kvartali turvalisuse ja vastavuse aruande kohaselt moodustasid võtme- ja infrastruktuuri rikkumised 88,3% kõigist varastatud rahalistest vahenditest ehk umbes 674,5 miljonit dollarit. Nutilepingute vead jäid endiselt kõige levinumaks rünnakutüübiks – 44 juhtumit 67-st –, kuid moodustasid vaid umbes 11% kogukahjumist. Umbes 75,5% kõigist kahjudest tulenes vaid kahest intsidendist, mille taga olid Põhja-Korea ohuallikad, samas kui vaid 9% jälgitud projektidest rakendab pidevat seiret ja 4% kombineerib auditeid, veahüvitisi ja reaalajas seiret.

Teise kvartali peamine järeldus on, et rikuti 14 auditeeritud protokolli – see on selge näitaja laienevast lõhest selle vahel, mida nutilepingu audit tegelikult hindab, ja selle vahel, kuhu ründajad tegelikult löövad. Turbeekspertide jaoks paljastavad need rikkumised saatusliku vea, milleks on käsitleda ühekordset koodiülevaatust kõikehõlmava turvakilbina.

„Suurim väärarusaam on see, et audit on turvasertifikaat,“ ütles Cysici asutaja Leo Fan. „Tegelikult on see konkreetse koodibaasi piiratud ulatusega hindamine kindlal ajahetkel. Audit ei hõlma automaatselt allkirjastajate seadmeid, pilveinfrastruktuuri, operatsioonilisi õigusi, kasutusele võetud baitkoodi, hilisemaid uuendusi, kolmandate osapoolte sõltuvusi ega vanu lepinguid, mida on endiselt võimalik käivitada.”

Eric Swartz, Panther Hollow Venturesi asutaja, täispartner ja peajurist, kordas, et auditite käsitlemine lõppeesmärgina jätab protokollid haavatavaks. „Audit näitab, milline süsteem oli teatud ajahetkel,“ ütles Swartz. „See ei taga, et tulevased uuendused, operatsioonilised muudatused või uued rünnakumeetodid ei too kaasa riske. Kõige tugevamad meeskonnad näevad auditeid osana palju laiemast turvaprogrammist.“

Geniuse tehnoloogiajuht Samuel Videau märkis, et auditiaruande ulatuse osa paljastab sageli just selle, mida ei hinnatud. „Peaaegu 90% teise kvartali kahjudest tulid võtmetest, allkirjastajatest ja infrastruktuurist – kõik need jäävad ulatuse osast välja – ning 14 auditeeritud projekti tühjendati niikuinii,“ ütles Videau. „Hinnanguaruanne ei ole turvaprogramm.“

Arch’i tehnoloogiajuht ja kaasasutaja Himanshu Sahay rõhutas, et auditid ei saa toimida eraldiseisvalt. „Audit on läbivaadatud koodi ja arhitektuuri oluline hetkehinnang, kuid see ei suuda arvesse võtta kõiki operatsioonilisi riske ega süsteemi tulevasi muudatusi,“ ütles Sahay. „Turvalisust tuleb käsitleda kui pidevat protsessi.“

Koodi möödahiilimine: ahela-välise infrastruktuuri nõrk koht

Samal ajal, kui nutilepingute kaitsemeetmed on küpsenud ja ahelasisest loogikat on üha raskem ohustada, on ründajad otsustavalt suunda muutnud. Selle asemel, et murda läbi tugevalt valvitud esiuksed, hiilivad ründajad süstemaatiliselt koodist täielikult mööda, et ära kasutada ahela-välise infrastruktuuri nõrka kohta.

„Kõige alahinnatum pind on ahelaväline juhtimistasand: allkirjastajaseadmed, võtmete genereerimise ja vahetamise protseduurid, pilveidentiteedid, CI/CD-torustikud, tagapõhiteenused, silla valideerijad ja hädaolukorra haldusteed,“ ütles Fan. „Meeskonnad tagavad sageli võtmete turvalise hoidmise, kuid pööravad vähem tähelepanu sellele, kuidas võtmeid tegelikult kasutatakse… kui need on ohustatud, saavad ründajad luua tehinguid, mis on ahelas tehniliselt kehtivad, muutes ennetamise ja avastamise palju raskemaks.“

Pilve perimeeter ise tekitab paljudele Web3-arendajatele vale turvatunde.

„Suurim eeldus on, et suure pilveteenuse pakkuja kasutamine muudab rakenduse vaikimisi turvaliseks,“ ütles Lynqi tegevjuht Jerald David. „Pilveteenuse pakkujad tagavad alusinfrastruktuuri turvalisuse, kuid meeskonnad vastutavad endiselt selle eest, kuidas süsteeme konfigureeritakse, kuidas haldatakse autentimisandmeid ja kellel on juurdepääs.“

Videau hoiatas samal ajal, et ebaõige arhitektuur võib mitme allkirja kaitse tühistada. „Kogu operatsioon töötab liiga laia juurdepääsuõigusega teenusrollide ja CI/CD-torustike baasil, mis võivad puutuda kokku tootmisvõtmetega, ning kui üks teenusekonto suudab sinu allkirjastamisvõtit lugeda, on sinu mitme allkirja süsteem pelgalt näitemäng,“ ütles Videau. „Teine ohuallikas on vananenud lepingud, millel on endiselt administraatoriõigused: kaks aastat tagasi välja antud kood on avatud uks ning ründajatele on ükskõik, mida teie oma ulatusse arvate.“

Kuna institutsionaalsed investeerijad kalibreerivad oma riskimudeleid ümber, on kapitali paigutamise lävend märkimisväärselt tõusnud. „Institutsioonidele sobivust“ ei määratleta enam puhtast auditiaruandest, vaid operatiivse küpsuse, ettevõttetasemelise juhtimise ja vastupidavate võtmehalduse kontrollimehhanismide tõendamisest.

„Ma vaatan esmalt operatiivset küpsust,“ ütles David. „Kas meeskond suudab selgelt selgitada, kuidas kapital süsteemis liigub, kus asuvad peamised kontrollpunktid ja kuidas riske jälgitakse? Institutsioonid vajavad ettearvatavust ja läbipaistvust.“

Sahay märkis, et ükski kontrollimeede ei taga iseenesest institutsioonilist toetust. „Institutsioonid tahavad mõista, kuidas pääsetakse juurde kriitilistele süsteemidele, kuidas hallatakse õigusi, kuidas jälgitakse tegevust ja millised protsessid on olemas, kui midagi läheb valesti,“ ütles Sahay. „Just tugevate kontrollimeetmete, läbipaistvuse ja operatiivse distsipliini kombinatsioon loob lõppkokkuvõttes usalduse.“

Protokollide hindamisel keskendub Fan õiguste kaardile: kes saab varasid liigutada, allkirjastajaid asendada või turvameetmeid muuta. „Kui ma peaksin nimetama ühe kontrollimeetme, mis on institutsioonide usaldusega kõige tihedamalt seotud, oleks see mitmepoolne autoriseerimine kõigi varade liigutamise ja uuendamise protsesside puhul,“ ütles Fan. „Institutsioonid tahavad tõendeid, et ühepoolne tegutsemine on võimatu.“

Swartz lisas, et institutsioonid peavad oluliseks seda, kuidas meeskonnad toime tulevad raskustega. „Institutsioonid teavad, et ükski protokoll ei ole täiesti riskivaba,“ ütles Swartz. „Oluline on see, kas meeskonnal on hea juhtimine, tugevad sisekontrollimeetmed, läbipaistvus riskide osas ja selge tegevuskava, kuidas reageerida, kui midagi läheb valesti.“

Viis eksperti on ühel meelel, et Web3 peab võtma kasutusele mitmekihilised kaitsesüsteemid, mis hõlmavad reaalajas jälgimist, distsiplineeritud võtmehaldust ja reageerivaid veahüvitisi, et kaitsta end arenevate ohtude eest.

„Digitaalsed varad toimivad ööpäevaringselt, kuid neid toetava infrastruktuuri osad töötavad endiselt traditsiooniliste finantsgraafikute järgi,“ märkis David. „Kuna turg muutub üha institutsionaalsemaks, peab ka kapitali liikumist ja arveldusi toetav infrastruktuur muutuma vastupidavamaks.“

Pilk 2026. aasta teisele poolele: kaitsestruktuuride ümberkorraldamine

Samal ajal hoiatavad eksperdid, et 2026. aasta teine poolaasta toob kaasa veelgi sama. Selle asemel, et raisata aega auditeeritud nutilepingute tagurpidi insenerimise peale, eeldatakse, et ohuallikad jätkavad kõige kergema vastupanu teed: operatiivkontrollid, inimsihtmärgid ja võtmeinfrastruktuur.

„Ma eeldan, et kahjude põhjuseks on jätkuvalt operatiivsed juurdepääsukontrolli rünnakud: sotsiaalne insenerlus, autentimisandmete vargus, allkirjastajate kompromiteerimine, pilve- või CI/CD-süsteemidesse sissetungimine ning rünnakud ahela-välisele valideerijate infrastruktuurile,“ ennustas Fan. „Üksikud nutilepingute vead jäävad püsima, kuid ründajad keskenduvad jätkuvalt lühimale teele volitusteni.“

Videau lõpetas üleskutsega viia turvalisuskulutused vastavusse tegelike riskidega: „Kulutage seal, kus kahjud tekivad. Peaaegu 90% varastatud rahalistest vahenditest liikus läbi võtmete, allkirjastajate ja infrastruktuuri, kuid eelarved suunatakse endiselt lepingute auditeerimisele. Kõige hullemad rünnakud on need, mida keegi ei osanud ette näha, seega ehitage oma süsteem nii, nagu oleks teie perimeeter juba kadunud.“