Schimbarea de 763,9 milioane de dolari: De ce auditurile contractelor inteligente nu au putut împiedica cel mai slab trimestru al Web3

Analiza securității în trimestrul al doilea al anului 2026

Al doilea trimestru al anului 2026 a fost cea mai gravă perioadă pentru securitatea Web3 de la al doilea trimestru al anului 2025, actorii rău intenționați sustrăgând 763,9 milioane de dolari în urma a 67 de incidente de securitate. Schimbarea definitorie a trimestrului a fost o modificare fundamentală a profilurilor de vulnerabilitate: codul nu mai reprezintă principala suprafață de atac; în schimb, aceasta este reprezentată de controalele operaționale și de gestionarea cheilor.

Peste 88% din pierderile totale au provenit din compromiteri operaționale, mai degrabă decât din defecte ale logicii contractelor inteligente. Capitalul instituțional se adaptează deja, reorientând prioritățile de due diligence de la auditurile punctuale către monitorizarea continuă, guvernanța accesului privilegiat și cadrele de autorizare cu mai mulți participanți.

Conform raportului trimestrial de securitate și conformitate al Hacken, compromiterile cheilor și ale infrastructurii au reprezentat 88,3% din totalul fondurilor furate, adică aproximativ 674,5 milioane de dolari. Bug-urile din contractele inteligente au rămas cel mai frecvent tip de atac — 44 din 67 de incidente — dar au reprezentat doar aproximativ 11% din pierderile totale. Aproximativ 75,5% din totalul pierderilor au provenit din doar două incidente atribuite actorilor de amenințare din Coreea de Nord, în timp ce doar 9% dintre proiectele monitorizate mențin o monitorizare continuă și 4% combină auditurile, programele de recompense pentru descoperirea de bug-uri și monitorizarea în timp real.

O constatare esențială din al doilea trimestru este că 14 protocoale auditate au fost compromise — un indicator clar al decalajului tot mai mare între ceea ce evaluează de fapt un audit al contractelor inteligente și locul în care actorii rău intenționați lovesc efectiv. Pentru experții în securitate, aceste breșe scot la iveală defectul fatal al tratării unei revizuiri a codului la un moment dat ca pe un scut de securitate atotcuprinzător.

„Cea mai mare concepție greșită este că un audit reprezintă un certificat de securitate”, a declarat Leo Fan, fondatorul Cysic. „De fapt, este o evaluare limitată a unei baze de cod specifice, la un moment dat. Un audit nu acoperă automat dispozitivele semnatare, infrastructura cloud, permisiunile operaționale, bytecode-ul implementat, actualizările ulterioare, dependențele de terți sau contractele vechi care rămân activabile.”

Eric Swartz, partener general fondator și consilier juridic general al Panther Hollow Ventures, a susținut, la rândul său, că tratarea auditurilor ca pe o linie de sosire lasă protocoalele expuse. „Un audit îți arată cum arăta un sistem la un moment dat”, a spus Swartz. „Nu garantează că actualizările viitoare, schimbările operaționale sau noile metode de atac nu vor introduce riscuri. Cele mai puternice echipe privesc auditurile ca pe o parte a unui program de securitate mult mai amplu.”

Samuel Videau, director tehnic (CTO) la Genius, a remarcat că secțiunea privind domeniul de aplicare al unui raport de audit dezvăluie adesea ceea ce nu a fost evaluat. „Aproape 90% din pierderile din trimestrul al doilea au provenit din chei, semnatari și infrastructură, toate aflate în afara acelei secțiuni privind domeniul de aplicare, iar 14 proiecte auditate au fost oricum golite de fonduri”, a spus Videau. „Raportul de evaluare nu reprezintă programul de securitate.”

Himanshu Sahay, director tehnic (CTO) și cofondator al Arch, a subliniat că auditurile nu pot fi considerate izolate. „Un audit reprezintă o evaluare importantă la un moment dat a codului și a arhitecturii care au fost analizate, dar nu poate ține cont de fiecare risc operațional sau de fiecare schimbare viitoare a unui sistem”, a spus Sahay. „Securitatea trebuie tratată ca un proces continuu.”

Ocolirea codului: punctul vulnerabil al infrastructurii off-chain

Între timp, pe măsură ce mecanismele de apărare ale contractelor inteligente se maturizează și logica on-chain devine din ce în ce mai greu de compromis, actorii rău intenționați și-au schimbat decisiv strategia. În loc să spargă ușile principale bine păzite, atacatorii ocolesc sistematic codul în întregime pentru a exploata punctul vulnerabil al infrastructurii off-chain.

„Suprafața cea mai subestimată este planul de control off-chain: dispozitivele de semnare, procedurile de generare și rotație a cheilor, identitățile din cloud, pipeline-urile CI/CD, serviciile backend, validatoarele de bridge și căile de administrare de urgență”, a spus Fan. „Echipele asigură adesea stocarea cheilor, dar acordă mai puțină atenție modului în care acestea sunt utilizate efectiv… atunci când sunt compromise, atacatorii pot genera tranzacții care sunt valabile din punct de vedere tehnic în lanț, ceea ce face prevenirea și detectarea mult mai dificile.”

Perimetrul cloud în sine oferă un fals sentiment de siguranță pentru mulți dezvoltatori Web3.

„Cea mai mare presupunere este că utilizarea unui furnizor major de servicii cloud face ca o aplicație să fie sigură în mod implicit”, a spus Jerald David, CEO al Lynq. „Furnizorii de servicii cloud asigură securitatea infrastructurii de bază, dar echipele sunt în continuare responsabile pentru modul în care sunt configurate sistemele, modul în care sunt gestionate datele de autentificare și cine are acces.”

Videau, între timp, a avertizat că o arhitectură necorespunzătoare poate anula protecția multisig. „Întreaga operațiune se desfășoară pe roluri de serviciu cu permisiuni excesive și pe pipeline-uri CI/CD care pot accesa cheile de producție, iar dacă un singur cont de serviciu poate citi cheia ta de semnare, multisig-ul tău este doar de fațadă”, a spus Videau. „Contractele învechite care încă dețin drepturi de administrator reprezintă un alt vector de atac: codul pe care l-ați lansat acum doi ani este o poartă deschisă, iar atacatorilor nu le pasă ce considerați dvs. că se încadrează în domeniul de aplicare.”

Pe măsură ce alocatorii instituționali își recalibrează modelele de risc, standardele pentru alocarea capitalului au crescut semnificativ. Termenul „pregătit pentru instituții” nu mai este definit de un raport de audit fără nereguli, ci de dovada maturității operaționale, a guvernanței la nivel de întreprindere și a controalelor reziliente de gestionare a cheilor.

„Mă uit în primul rând la maturitatea operațională”, a spus David. „Poate echipa să explice clar cum circulă capitalul prin sistem, unde se află punctele-cheie de control și cum sunt monitorizate riscurile? Instituțiile au nevoie de previzibilitate și transparență.”

Sahay a remarcat că niciun control singular nu garantează, de unul singur, sprijinul instituțional. „Instituțiile doresc să înțeleagă cum se accesează sistemele critice, cum sunt gestionate permisiunile, cum este monitorizată activitatea și ce procese există în cazul în care ceva nu merge bine”, a spus Sahay. „Combinația dintre controale solide, transparență și disciplină operațională este cea care, în cele din urmă, creează încredere.”

Atunci când evaluează protocoalele, Fan se concentrează pe harta privilegiilor: cine poate transfera active, înlocui semnatarii sau modifica măsurile de protecție. „Dacă ar trebui să identific un singur control care să fie cel mai strâns asociat cu încrederea instituțională, acesta ar fi autorizarea multipartită pentru fiecare cale de transfer de active și de actualizare”, a spus Fan. „Instituțiile doresc dovezi că acțiunile unilaterale sunt imposibile.”

Swartz a adăugat că instituțiile acordă prioritate modului în care echipele gestionează adversitățile. „Instituțiile știu că niciun protocol nu este complet lipsit de riscuri”, a spus Swartz. „Ceea ce contează este dacă echipa dispune de o guvernanță bună, de controale interne solide, de transparență în ceea ce privește riscurile și de un plan clar de reacție atunci când ceva nu merge bine.”

Cei cinci experți sunt de acord că Web3 trebuie să adopte arhitecturi de apărare stratificate, care să includă monitorizare în timp real, gestionarea disciplinată a cheilor și programe de recompense pentru descoperirea de bug-uri, pentru a se proteja împotriva amenințărilor în continuă evoluție.

„Activele digitale funcționează non-stop, dar anumite părți ale infrastructurii care le susține funcționează încă conform programelor financiare tradiționale”, a remarcat David. „Pe măsură ce piața devine tot mai instituționalizată, infrastructura care susține circulația și decontarea capitalului trebuie să devină, la rândul ei, mai rezilientă.”

Privind spre a doua jumătate a anului 2026: realinierea sistemelor de apărare

Între timp, experții avertizează că a doua jumătate a anului 2026 va aduce mai mult din același lucru. În loc să-și irosească eforturile încercând să reverse-engineereze contractele inteligente auditate, se așteaptă ca actorii rău intenționați să continue să exploateze calea cea mai ușoară: controalele operaționale, țintele umane și infrastructura cheie.

„Mă aștept ca atacurile operaționale asupra controlului accesului să continue să domine pierderile: inginerie socială, furtul credențialelor, compromiterea semnatarilor, intruziuni în cloud sau CI/CD și atacuri asupra infrastructurii validatorilor off-chain”, a prezis Fan. „Bug-urile individuale ale contractelor inteligente vor continua, dar atacatorii vor viza în continuare cea mai scurtă cale către autoritate.”

Videau a concluzionat cu un apel la realinierea cheltuielilor de securitate la riscul real: „Cheltuiți acolo unde se înregistrează pierderile. Aproape 90% din fondurile furate au fost transferate prin chei, semnatari și infrastructură, însă bugetele continuă să fie alocate auditurilor de contracte. Cele mai grave atacuri vor fi cele pe care nimeni nu le-a prevăzut, așa că construiți-vă sistemele de securitate ca și cum perimetrul vostru ar fi deja compromis.”