Zmiana o wartości 763,9 mln dolarów: dlaczego audyty inteligentnych kontraktów nie zdołały zapobiec najgorszemu kwartałowi w historii Web3

Podsumowanie bezpieczeństwa w II kwartale 2026 r.

Drugi kwartał 2026 r. był najpoważniejszym okresem dla bezpieczeństwa Web3 od drugiego kwartału 2025 r., kiedy to cyberprzestępcy wykradli 763,9 mln dolarów w wyniku 67 incydentów związanych z bezpieczeństwem. Najważniejszą zmianą w tym kwartale była fundamentalna zmiana w profilach podatności: kod nie jest już głównym celem ataków; są nim mechanizmy kontroli operacyjnej i zarządzanie kluczami.

Ponad 88% całkowitych strat wynikało z naruszeń operacyjnych, a nie z błędów w logice inteligentnych kontraktów. Kapitał instytucjonalny już dostosowuje się do tej sytuacji, przenosząc priorytety due diligence z audytów punktowych na ciągłe monitorowanie, zarządzanie dostępem uprzywilejowanym oraz ramy autoryzacji z udziałem wielu podmiotów.

Według kwartalnego raportu firmy Hacken dotyczącego bezpieczeństwa i zgodności z przepisami, naruszenia związane z kluczami i infrastrukturą stanowiły 88,3% wszystkich skradzionych środków, czyli około 674,5 mln dolarów. Błędy w inteligentnych kontraktach pozostały najczęstszym rodzajem ataku — 44 z 67 incydentów — ale stanowiły jedynie około 11% całkowitych strat. Około 75,5% wszystkich strat wynikało z zaledwie dwóch incydentów przypisywanych północnokoreańskim podmiotom stanowiącym zagrożenie, podczas gdy tylko 9% monitorowanych projektów stosuje ciągłe monitorowanie, a 4% łączy audyty, programy nagród za wykrycie błędów oraz monitorowanie na żywo.

Kluczowym wnioskiem z drugiego kwartału jest fakt, że doszło do naruszenia bezpieczeństwa 14 poddanych audytowi protokołów — co stanowi wyraźny wskaźnik pogłębiającej się rozbieżności między tym, co faktycznie ocenia audyt inteligentnego kontraktu, a tym, gdzie faktycznie uderzają cyberprzestępcy. Dla ekspertów ds. bezpieczeństwa naruszenia te obnażają fatalną wadę polegającą na traktowaniu przeglądu kodu w danym momencie jako wszechstronnej tarczy ochronnej.

„Największym błędnym przekonaniem jest to, że audyt jest certyfikatem bezpieczeństwa” – powiedział Leo Fan, założyciel firmy Cysic. „W rzeczywistości jest to ocena o określonym zakresie, dotycząca konkretnego kodu w konkretnym momencie. Audyt nie obejmuje automatycznie urządzeń podpisujących, infrastruktury chmurowej, uprawnień operacyjnych, wdrożonego kodu bajtowego, późniejszych aktualizacji, zależności od podmiotów zewnętrznych ani starych kontraktów, które nadal mogą być wywoływane”.

Eric Swartz, współzałożyciel i główny partner oraz radca prawny w Panther Hollow Ventures, zgodził się, że traktowanie audytów jako mety naraża protokoły na ryzyko. „Audyt pokazuje, jak system wyglądał w konkretnym momencie” – powiedział Swartz. „Nie gwarantuje jednak, że przyszłe aktualizacje, zmiany operacyjne lub nowe metody ataku nie spowodują pojawienia się ryzyka. Najlepsze zespoły traktują audyty jako jeden z elementów znacznie szerszego programu bezpieczeństwa”.

Samuel Videau, dyrektor ds. technicznych w Genius, zauważył, że sekcja dotycząca zakresu w raporcie z audytu często ujawnia, czego nie poddano ocenie. „Prawie 90% strat w drugim kwartale wynikało z kluczy, podmiotów podpisujących i infrastruktury – wszystkich elementów znajdujących się poza sekcją dotyczącą zakresu – a 14 skontrolowanych projektów i tak zostało oskubanych” – powiedział Videau. „Raport z audytu to nie to samo, co program bezpieczeństwa”.

Himanshu Sahay, dyrektor ds. technologii i współzałożyciel firmy Arch, podkreślił, że audyty nie mogą funkcjonować w oderwaniu od innych działań. „Audyt to ważna, punktowa ocena kodu i architektury, które zostały poddane przeglądowi, ale nie może on uwzględnić każdego ryzyka operacyjnego ani przyszłych zmian w systemie” – powiedział Sahay. „Bezpieczeństwo należy traktować jako ciągły proces”.

Omijanie kodu: słaby punkt infrastruktury poza łańcuchem bloków

W międzyczasie, w miarę jak zabezpieczenia inteligentnych kontraktów stają się coraz bardziej dojrzałe, a logika w łańcuchu bloków coraz trudniejsza do przełamania, osoby stanowiące zagrożenie zdecydowanie zmieniły taktykę. Zamiast próbować sforsować silnie strzeżone drzwi wejściowe, atakujący systematycznie całkowicie omijają kod, aby wykorzystać słaby punkt infrastruktury poza łańcuchem bloków.

„Najbardziej niedocenianym obszarem jest płaszczyzna sterowania poza łańcuchem: urządzenia podpisujące, procedury generowania i rotacji kluczy, tożsamości w chmurze, potoki CI/CD, usługi zaplecza, walidatory mostków oraz ścieżki administracyjne awaryjne” – powiedział Fan. „Zespoły często zabezpieczają magazyn kluczy, ale poświęcają mniej uwagi temu, jak klucze są faktycznie wykorzystywane… w przypadku naruszenia bezpieczeństwa atakujący mogą generować transakcje, które są technicznie prawidłowe w łańcuchu bloków, co znacznie utrudnia zapobieganie i wykrywanie”.

Sam obwód chmury daje wielu programistom Web3 fałszywe poczucie bezpieczeństwa.

„Największym błędnym założeniem jest przekonanie, że korzystanie z usług dużego dostawcy chmury automatycznie zapewnia bezpieczeństwo aplikacji” – powiedział Jerald David, dyrektor generalny firmy Lynq. „Dostawcy chmury zabezpieczają infrastrukturę bazową, ale zespoły nadal ponoszą odpowiedzialność za konfigurację systemów, zarządzanie danymi uwierzytelniającymi oraz przyznawanie uprawnień dostępu”.

Tymczasem Videau ostrzegł, że niewłaściwa architektura może zniweczyć ochronę zapewnianą przez multisig. „Cała operacja opiera się na rolach usługowych z nadmiernymi uprawnieniami oraz potokach CI/CD, które mają dostęp do kluczy produkcyjnych, a jeśli jedno konto usługowe może odczytać twój klucz podpisujący, twój multisig jest tylko pozorem” – powiedział Videau. „Kolejnym wektorem ataku są przestarzałe kontrakty, które wciąż posiadają uprawnienia administracyjne: kod, który wdrożyłeś dwa lata temu, stanowi otwartą furtkę, a atakującym nie obchodzi, co uznajesz za objęte zakresem”.

W miarę jak instytucjonalni inwestorzy dostosowują swoje modele ryzyka, poprzeczka dla alokacji kapitału znacznie się podniosła. Termin „gotowość instytucjonalna” nie jest już definiowany przez czysty raport z audytu, ale przez dowód dojrzałości operacyjnej, zarządzanie na poziomie korporacyjnym oraz odporne mechanizmy kontroli zarządzania kluczami.

„Najpierw zwracam uwagę na dojrzałość operacyjną” – powiedział David. „Czy zespół potrafi jasno wyjaśnić, w jaki sposób kapitał przepływa przez system, gdzie znajdują się kluczowe punkty kontroli i jak monitorowane jest ryzyko? Instytucje potrzebują przewidywalności i przejrzystości”.

Sahay zauważył, że żadna pojedyncza kontrola sama w sobie nie gwarantuje wsparcia instytucjonalnego. „Instytucje chcą zrozumieć, w jaki sposób uzyskuje się dostęp do krytycznych systemów, jak zarządzane są uprawnienia, jak monitorowana jest aktywność i jakie procesy istnieją na wypadek, gdyby coś poszło nie tak” – powiedział Sahay. „To właśnie połączenie silnych mechanizmów kontroli, przejrzystości i dyscypliny operacyjnej ostatecznie buduje zaufanie”.

Oceniając protokoły, Fan skupia się na mapie uprawnień: kto może przenosić aktywa, zmieniać osoby podpisujące lub modyfikować zabezpieczenia. „Gdybym miał wskazać jeden mechanizm kontroli, który w największym stopniu wiąże się z zaufaniem instytucji, byłaby to wielostronna autoryzacja na każdym etapie przenoszenia aktywów i aktualizacji” – powiedział Fan. „Instytucje chcą dowodów na to, że jednostronne działanie jest niemożliwe”.

Swartz dodał, że instytucje przywiązują dużą wagę do tego, jak zespoły radzą sobie z trudnościami. „Instytucje wiedzą, że żaden protokół nie jest całkowicie wolny od ryzyka” – powiedział Swartz. „Liczy się to, czy zespół charakteryzuje się dobrym zarządzaniem, silnymi mechanizmami kontroli wewnętrznej, przejrzystością w zakresie ryzyka oraz jasnym planem reagowania w przypadku wystąpienia problemów”.

Pięciu ekspertów zgadza się, że Web3 musi wdrożyć wielowarstwowe systemy obronne, obejmujące monitorowanie w czasie rzeczywistym, zdyscyplinowane zarządzanie kluczami oraz elastyczne programy nagród za wykrywanie błędów, aby chronić się przed ewoluującymi zagrożeniami.

„Aktywa cyfrowe działają przez całą dobę, ale części infrastruktury je obsługującej nadal funkcjonują zgodnie z tradycyjnymi harmonogramami finansowymi” – zauważył David. „W miarę jak rynek staje się coraz bardziej zinstytucjonalizowany, infrastruktura obsługująca przepływ i rozliczanie kapitału również musi stać się bardziej odporna”.

Perspektywy na drugą połowę 2026 r.: dostosowanie struktur obronnych

Tymczasem eksperci ostrzegają, że druga połowa 2026 roku przyniesie więcej tego samego. Zamiast tracić czas na próby inżynierii odwrotnej zweryfikowanych smart kontraktów, oczekuje się, że osoby stanowiące zagrożenie będą nadal wybierać ścieżkę najmniejszego oporu: kontrole operacyjne, cele ludzkie i kluczową infrastrukturę.

„Spodziewam się, że ataki na operacyjne systemy kontroli dostępu będą nadal dominować wśród strat: inżynieria społeczna, kradzież danych uwierzytelniających, przejęcie kontroli nad osobami podpisującymi, włamania do chmury lub środowisk CI/CD oraz ataki na infrastrukturę walidatorów poza łańcuchem bloków” – przewidział Fan. „Pojedyncze błędy w inteligentnych kontraktach będą się nadal pojawiać, ale atakujący będą nadal wybierać najkrótszą drogę do przejęcia kontroli”.

Videau zakończył apel o dostosowanie wydatków na bezpieczeństwo do rzeczywistego ryzyka: „Wydawajcie tam, gdzie występują straty. Prawie 90% skradzionych środków przepłynęło przez klucze, osoby podpisujące i infrastrukturę, a mimo to budżety wciąż są przeznaczane na audyty kontraktów. Najgorsze ataki to te, których nikt nie przewidział, więc budujcie systemy tak, jakby wasza ochrona obwodowa już nie istniała”.