A 763,9 millió dolláros visszaesés: Miért nem tudták megakadályozni az intelligens szerződések auditjai a Web3 legrosszabb negyedévét?

A 2026. második negyedévi biztonsági helyzet elemzése

2026 második negyedéve a Web3 biztonsága szempontjából a 2025 második negyedéve óta a legsúlyosabb időszak volt: a támadók 67 biztonsági incidens során 763,9 millió dollárt loptak el. A negyedévet meghatározó változás a sebezhetőségi profilok alapvető átalakulása volt: már nem a kód jelenti az elsődleges támadási felületet, hanem az operatív ellenőrzések és a kulcskezelés.

A teljes veszteség több mint 88%-a operatív biztonsági résekből származott, nem pedig az intelligens szerződések logikájában fellelhető hibákból. Az intézményi tőke máris alkalmazkodik ehhez, és a átvilágítási prioritásokat az egyszeri ellenőrzésekről a folyamatos megfigyelésre, a kiváltságos hozzáférés irányítására és a több résztvevős engedélyezési keretrendszerekre helyezi át.

A Hacken negyedéves biztonsági és megfelelési jelentése szerint a kulcsok és az infrastruktúra kompromittálása az összes ellopott pénzösszeg 88,3%-át, azaz körülbelül 674,5 millió dollárt tett ki. Az intelligens szerződések hibái továbbra is a leggyakoribb támadási típusnak bizonyultak – a 67 incidensből 44 ilyen volt –, de a teljes veszteségnek csupán körülbelül 11%-át tették ki. Az összes veszteség mintegy 75,5%-a csupán két, észak-koreai támadóknak tulajdonított incidensből származott, míg a nyomon követett projektek közül csupán 9% alkalmaz folyamatos felügyeletet, és 4% ötvözi az auditokat, a hibajelentési programokat és az élő felügyeletet.

A második negyedév egyik legfontosabb megállapítása, hogy 14 auditált protokollt sikerült feltörni – ez élesen jelzi a növekvő szakadékot az intelligens szerződés-audit által ténylegesen értékelt területek és a támadók tényleges támadási pontjai között. A biztonsági szakértők számára ezek a biztonsági rések nyilvánvalóvá teszik azt a végzetes hibát, hogy egy adott időpontban elvégzett kódfelülvizsgálatot mindenre kiterjedő biztonsági pajzsként kezelnek.

„A legnagyobb tévhit az, hogy az audit egy biztonsági tanúsítvány” – mondta Leo Fan, a Cysic alapítója. „Valójában egy adott kódbázis egy adott időpontban végzett, hatókörben meghatározott értékeléséről van szó. Az audit nem terjed ki automatikusan az aláíró eszközökre, a felhőalapú infrastruktúrára, az operatív jogosultságokra, a telepített bájtkódra, a későbbi frissítésekre, a harmadik féltől származó függőségekre vagy a továbbra is meghívható régi szerződésekre.”

Eric Swartz, a Panther Hollow Ventures alapító társtulajdonosa és jogi tanácsadója is egyetértett azzal, hogy az auditok célvonalnak tekintése sebezhetővé teszi a protokollokat. „Az audit arról ad képet, hogy egy rendszer egy adott pillanatban hogyan nézett ki” – mondta Swartz. „Nem garantálja, hogy a jövőbeli frissítések, üzemeltetési változások vagy új támadási módszerek nem jelentenek majd kockázatot. A legerősebb csapatok az auditokat egy sokkal szélesebb körű biztonsági program egyik elemének tekintik.”

Samuel Videau, a Genius technológiai igazgatója megjegyezte, hogy az auditjelentés hatókörre vonatkozó része gyakran feltárja, mit nem értékelték. „A második negyedévi veszteségek közel 90%-a kulcsokból, aláírókból és az infrastruktúrából származott, amelyek mind a hatókörön kívül estek, és 14 auditált projektet így is kiürítettek” – mondta Videau. „Az értékelő jelentés nem azonos a biztonsági programmal.”

Himanshu Sahay, az Arch technológiai igazgatója és társalapítója hangsúlyozta, hogy az auditok nem állhatnak önmagukban. „Az audit egy fontos, egy adott időpontban készült értékelés a vizsgált kódról és architektúráról, de nem tud minden működési kockázatot vagy a rendszer jövőbeli változásait figyelembe venni” – mondta Sahay. „A biztonságot folyamatos folyamatként kell kezelni.”

A kód megkerülése: az off-chain infrastruktúra gyenge pontja

Eközben, ahogy az intelligens szerződések védelme egyre kiforrottabbá válik, és a láncon belüli logikát egyre nehezebb feltörni, a támadók határozottan irányt váltottak. Ahelyett, hogy a szigorúan őrzött bejárati ajtókon törnének be, a támadók szisztematikusan teljesen megkerülik a kódot, hogy kihasználják a láncon kívüli infrastruktúra gyenge pontjait.

„A leginkább alábecsült támadási felület a láncon kívüli vezérlőréteg: az aláíró eszközök, a kulcsgenerálási és -cserélési eljárások, a felhőalapú identitások, a CI/CD-folyamatok, a háttérszolgáltatások, a híd-érvényesítők és a vészhelyzeti rendszergazdai útvonalak” – mondta Fan. „A csapatok gyakran gondoskodnak a kulcsok tárolásának biztonságáról, de kevesebb figyelmet fordítanak arra, hogy a kulcsokat valójában hogyan használják… ha ezeket megsértik, a támadók olyan tranzakciókat hozhatnak létre, amelyek technikailag érvényesek a láncon, ami jelentősen megnehezíti a megelőzést és az észlelést.”

Maga a felhőperem is hamis biztonságérzetet kelt sok Web3-fejlesztőben.

„A legnagyobb tévhit az, hogy egy nagy felhőszolgáltató használata alapértelmezés szerint biztonságossá teszi az alkalmazást” – mondta Jerald David, a Lynq vezérigazgatója. „A felhőszolgáltatók biztosítják az alapul szolgáló infrastruktúrát, de a csapatok továbbra is felelősek azért, hogy hogyan konfigurálják a rendszereket, hogyan kezelik a hitelesítő adatokat, és kinek van hozzáférése.”

Videau eközben arra figyelmeztetett, hogy a nem megfelelő architektúra semmissé teheti a multisig védelmet. „Az egész művelet túlzott jogosultságokkal rendelkező szolgáltatási szerepkörökön és CI/CD-folyamatokon fut, amelyek hozzáférhetnek a termelési kulcsokhoz, és ha egy szolgáltatási fiók el tudja olvasni az aláírási kulcsodat, akkor a multisig-ed csak színjáték” – mondta Videau. „Egy másik támadási felületet azok a már elavult szerződések jelentik, amelyek még mindig rendszergazdai jogokkal rendelkeznek: a két évvel ezelőtt kiadott kód egy nyitott ajtó, és a támadókat nem érdekli, hogy Ön mit tart a hatókörbe tartozó elemnek.”

Ahogy az intézményi befektetők újrakalibrálják kockázati modelljeiket, a tőkeallokáció küszöbértéke jelentősen emelkedett. Az „intézményi szintű” minősítést már nem egy tiszta auditjelentés határozza meg, hanem a működési érettség, a vállalati szintű irányítás és a rugalmas kulcskezelési ellenőrzések bizonyítéka.

„Elsősorban a működési érettséget nézem” – mondta David. „Képes-e a csapat egyértelműen elmagyarázni, hogyan áramlik a tőke a rendszeren keresztül, hol vannak a kulcsfontosságú ellenőrzési pontok, és hogyan figyelik a kockázatokat? Az intézményeknek kiszámíthatóságra és átláthatóságra van szükségük.”

Sahay megjegyezte, hogy egyetlen ellenőrzési mechanizmus sem garantálja önmagában az intézményi támogatást. „Az intézmények meg akarják érteni, hogyan érhetőek el a kritikus rendszerek, hogyan kezelik a jogosultságokat, hogyan figyelik a tevékenységeket, és milyen folyamatok léteznek, ha valami baj történik” – mondta Sahay. „Végül is a szigorú ellenőrzések, az átláthatóság és a működési fegyelem kombinációja építi fel a bizalmat.”

A protokollok értékelésekor Fan a jogosultsági térképre összpontosít: ki mozgathat eszközöket, cserélhet aláírókat vagy módosíthat biztonsági intézkedéseket. „Ha ki kellene emelnem azt az ellenőrzési intézkedést, amely leginkább összefügg az intézményi bizalommal, az a többfélésű engedélyezés lenne minden eszközmozgatási és frissítési útvonalon” – mondta Fan. „Az intézmények bizonyítékot akarnak arra, hogy egyoldalú lépés nem lehetséges.”

Swartz hozzátette, hogy az intézmények kiemelten fontosnak tartják, hogyan kezelik a csapatok a nehézségeket. „Az intézmények tudják, hogy egyetlen protokoll sem teljesen kockázatmentes” – mondta Swartz. „Az a fontos, hogy a csapatnak legyen-e jó irányítása, szigorú belső ellenőrzése, átláthatósága a kockázatok tekintetében, valamint egy világos terve arra az esetre, ha valami nem úgy alakul, ahogy kellene.”

Az öt szakértő egyetért abban, hogy a Web3-nak réteges védelmi rendszereket kell bevezetnie, amelyek magukban foglalják a valós idejű felügyeletet, a fegyelmezett kulcskezelést és a gyors reagálású hibajelentési programokat a folyamatosan változó fenyegetések elleni védelem érdekében.

„A digitális eszközök éjjel-nappal működnek, de az azokat támogató infrastruktúra egyes részei még mindig a hagyományos pénzügyi ütemtervek szerint működnek” – jegyezte meg David. „Ahogy a piac egyre intézményesebbé válik, a tőke mozgását és elszámolását támogató infrastruktúrának is rugalmasabbá kell válnia.”

Kilátások 2026 második felére: a védelmi rétegek átalakítása

A szakértők ugyanakkor arra figyelmeztetnek, hogy 2026 második fele hasonló tendenciákat hoz majd. Ahelyett, hogy időt pazarolnának az auditált intelligens szerződések visszafejtésére, a fenyegető szereplők várhatóan továbbra is a legkisebb ellenállás irányába fognak haladni: az operatív ellenőrzések, az emberi célpontok és a kulcsfontosságú infrastruktúra felé.

„Arra számítok, hogy az operatív hozzáférés-ellenőrzési támadások továbbra is a veszteségek fő okai lesznek: szociális mérnökség, hitelesítő adatok ellopása, aláírók kompromittálása, felhőbe vagy CI/CD-rendszerekbe való behatolás, valamint a láncon kívüli validátor-infrastruktúra elleni támadások” – jósolta Fan. „Az egyes intelligens szerződések hibái továbbra is fennmaradnak, de a támadók továbbra is a hatalomhoz vezető legrövidebb utat fogják célba venni.”

Videau azzal a felhívással zárta gondolatait, hogy a biztonsági kiadásokat a tényleges kockázatokhoz kell igazítani: „Ott költsünk, ahol a veszteségek keletkeznek. Az ellopott pénzeszközök közel 90%-a kulcsokon, aláírókon és infrastruktúrán keresztül került át, mégis a költségvetések továbbra is a szerződés-auditokra áramlanak. A legrosszabb támadások azok lesznek, amelyeket senki sem jósolt meg, ezért úgy kell felépíteni a védelmet, mintha a védelmi vonalunk már nem is létezne.”