Ang $763.9 Milyong Paglipat: Bakit Hindi Napigilan ng mga Smart Contract Audit ang Pinakamasamang Quarter ng Web3

Paghahati-hati ng Seguridad sa Q2 2026

Ang ikalawang quarter ng 2026 ang pinakamatinding panahon para sa seguridad ng Web3 mula pa noong ikalawang quarter ng 2025, kung saan nakakuha ang mga threat actor ng $763.9 milyon sa 67 insidente sa seguridad. Ang pinakamatingkad na pagbabago ng quarter ay isang pundamental na paglipat sa mga profile ng kahinaan: Hindi na ang code ang pangunahing attack surface; ito na ay ang mga kontrol sa operasyon at pamamahala ng susi.

Mahigit 88% ng kabuuang pagkalugi ay nagmula sa mga kompromiso sa operasyon sa halip na mga depekto sa lohika ng smart contract. Umaangkop na ang institusyonal na kapital, inililipat ang mga prayoridad sa due diligence palayo sa mga audit na pang-isang sandali at patungo sa tuloy-tuloy na monitoring, pamamahala ng privileged access, at mga balangkas ng awtorisasyong may maraming kalahok.

Ayon sa quarterly security and compliance report ng Hacken, ang mga kompromiso sa susi at imprastraktura ang umabot sa 88.3% ng lahat ng ninakaw na pondo, o humigit-kumulang $674.5 milyon. Nanatiling pinakakaraniwang uri ng pag-atake ang mga bug sa smart contract — 44 sa 67 insidente — ngunit kumatawan lamang sa humigit-kumulang 11% ng kabuuang pagkalugi. Humigit-kumulang 75.5% ng lahat ng pagkalugi ay nagmula sa dalawang insidente lamang na iniuugnay sa mga North Korean threat actor, habang 9% lamang ng mga sinusubaybayang proyekto ang nagpapanatili ng tuloy-tuloy na monitoring at 4% ang pinagsasama ang mga audit, bug bounty at live monitoring.

Isang pangunahing natuklasan mula sa ikalawang quarter ay nabreached ang 14 na na-audit na protocol—isang malinaw na indikasyon ng lumalawak na agwat sa pagitan ng kung ano ang tunay na sinusuri ng smart contract audit at kung saan talaga tumatama ang mga threat actor. Para sa mga eksperto sa seguridad, inilalantad ng mga paglabag na ito ang nakamamatay na kapintasan ng pagtrato sa code review sa isang takdang oras bilang isang panlahat na pananggalang sa seguridad.

“Ang pinakamalaking maling akala ay na ang audit ay isang sertipiko ng seguridad,” sabi ni Leo Fan, founder ng Cysic. “Ito ay talagang isang scoped assessment ng isang partikular na codebase sa isang partikular na sandali. Ang audit ay hindi awtomatikong sumasaklaw sa mga signer device, cloud infrastructure, operational permissions, deployed bytecode, mga susunod na upgrade, third-party dependencies o mga lumang kontrata na nananatiling maaaring tawagin.”

Si Eric Swartz, founding general partner at general counsel ng Panther Hollow Ventures, ay sumang-ayon na ang pagtrato sa mga audit bilang finish line ay nag-iiwan sa mga protocol na lantad. “Ipinapakita ng audit kung ano ang itsura ng isang sistema sa isang partikular na sandali,” sabi ni Swartz. “Hindi nito ginagarantiya na ang mga susunod na upgrade, pagbabago sa operasyon o mga bagong pamamaraan ng pag-atake ay hindi magpapakilala ng panganib. Nakikita ng pinakamahuhusay na team ang mga audit bilang isang bahagi lamang ng mas malawak na programa sa seguridad.”

Binanggit ni Samuel Videau, CTO sa Genius, na ang seksyon ng saklaw ng isang audit report ay madalas na nagbubunyag kung ano ang hindi nasuri. “Halos 90% ng pagkalugi sa Q2 ay nagmula sa mga susi, signer at imprastraktura, na lahat ay nasa labas ng saklaw na iyon, at 14 na na-audit na proyekto ang na-drain pa rin,” sabi ni Videau. “Ang report card ay hindi ang programa sa seguridad.”

Binigyang-diin ni Himanshu Sahay, CTO at co-founder ng Arch, na hindi maaaring tumayo mag-isa ang mga audit. “Ang audit ay isang mahalagang point-in-time na pagtatasa ng code at arkitektura na nirebyu, ngunit hindi nito kayang isaalang-alang ang bawat operational risk o pagbabago sa hinaharap sa isang sistema,” sabi ni Sahay. “Kailangang tratuhin ang seguridad bilang tuloy-tuloy na proseso.”

Paglampas sa Code: Ang Mahinang Bahagi ng Off-Chain Infrastructure

Samantala, habang humihinog ang mga depensa ng smart contract at ang on-chain logic ay lalo nang nagiging mahirap ikompromiso, decisively na nag-pivot ang mga threat actor. Sa halip na pasukin ang mabigat na binabantayang pangunahing pintuan, sistematiko nilang nilalampasan ang code nang buo upang pagsamantalahan ang mahina at malambot na bahagi ng off-chain infrastructure.

“Ang pinaka-minamaliit na surface ay ang off-chain control plane: signer devices, mga pamamaraan sa pagbuo at pag-rotate ng key, cloud identities, CI/CD pipelines, backend services, bridge validators at emergency admin paths,” sabi ni Fan. “Madalas na sinisiguro ng mga team ang key storage pero mas kaunti ang atensyon sa kung paano talaga ginagamit ang mga susi… kapag nakompromiso, maaaring makabuo ang mga attacker ng mga transaksyong teknikal na valid onchain, na ginagawang mas mahirap ang pag-iwas at pag-detect.”

Ang cloud perimeter mismo ay nagbibigay ng maling pakiramdam ng seguridad para sa maraming Web3 developer.

“Ang pinakamalaking palagay ay na ang paggamit ng isang pangunahing cloud provider ay ginagawa nang ligtas ang isang application bilang default,” sabi ni Jerald David, CEO ng Lynq. “Sinisiguro ng mga cloud provider ang underlying infrastructure, pero responsibilidad pa rin ng mga team kung paano kino-configure ang mga sistema, paano pinamamahalaan ang mga kredensyal at sino ang may access.”

Samantala, nagbabala si Videau na maaaring mapawalang-bisa ng maling arkitektura ang proteksyon ng multisig. “Ang buong operasyon ay tumatakbo sa mga service role na sobra ang permission at mga CI/CD pipeline na puwedeng umabot sa production keys, at kung ang isang service account ay kayang basahin ang signing key mo, ang multisig mo ay palabas lang,” sabi ni Videau. “Ang mga deprecated contract na may hawak pa ring admin rights ay isa pang vector: Ang code na inilabas mo dalawang taon na ang nakalipas ay isang buhay na pinto, at walang pakialam ang mga attacker kung ano ang itinuturing mong saklaw.”

Habang muling inaayon ng mga institutional allocator ang kanilang mga risk model, tumaas nang malaki ang pamantayan para sa pag-deploy ng kapital. Ang “institution-ready” ay hindi na itinatakda ng isang malinis na audit report, kundi ng patunay ng operational maturity, enterprise-grade governance, at matatag na mga kontrol sa key-management.

“Una kong tinitingnan ang operational maturity,” sabi ni David. “Kaya ba ng team na malinaw na ipaliwanag kung paano gumagalaw ang kapital sa sistema, nasaan ang mga pangunahing punto ng kontrol at paano mino-monitor ang mga panganib? Kailangan ng mga institusyon ang prediktabilidad at transparency.”

Binanggit ni Sahay na walang iisang kontrol ang naggagarantiya ng suporta ng institusyon sa sarili nito. “Gustong maunawaan ng mga institusyon kung paano ina-access ang mga kritikal na sistema, paano pinamamahalaan ang mga permission, paano mino-monitor ang aktibidad at anong mga proseso ang umiiral kapag may maling nangyari,” sabi ni Sahay. “Ang kombinasyon ng matitibay na kontrol, transparency at disiplina sa operasyon ang sa huli ay bumubuo ng kumpiyansa.”

Sa pagsusuri ng mga protocol, nakatuon si Fan sa privilege map: sino ang makakagalaw ng mga asset, makakapagpalit ng mga signer o makakapagbago ng mga safeguard. “Kung kailangan kong tukuyin ang isang kontrol na pinaka-nauugnay sa kumpiyansa ng institusyon, iyon ay ang multiparty authorization sa bawat landas ng paggalaw ng asset at pag-upgrade,” sabi ni Fan. “Gusto ng mga institusyon ng ebidensya na imposible ang unilateral na aksyon.”

Idinagdag ni Swartz na inuuna ng mga institusyon kung paano hinaharap ng mga team ang kahirapan. “Alam ng mga institusyon na walang protocol na ganap na walang panganib,” sabi ni Swartz. “Ang mahalaga ay kung ang team ay may maayos na governance, matitibay na internal control, transparency sa paligid ng panganib at malinaw na plano sa pagtugon kapag may maling nangyari.”

Sumang-ayon ang limang eksperto na dapat tanggapin ng Web3 ang layered defense stacks na nagsasama ng real-time monitoring, disiplinadong pamamahala ng susi at tumutugong bug bounties upang maprotektahan laban sa nagbabagong mga banta.

“Ang mga digital asset ay tumatakbo 24/7, pero ang ilang bahagi ng imprastrakturang sumusuporta sa mga ito ay umaandar pa rin ayon sa tradisyunal na iskedyul ng pananalapi,” puna ni David. “Habang mas nagiging institusyonal ang merkado, kailangan ding maging mas resilient ang imprastrakturang sumusuporta sa paggalaw at settlement ng kapital.”

Pagtingin sa H2 2026: Muling Pag-aayon ng Defense Stacks

Samantala, nagbabala ang mga eksperto na ang ikalawang kalahati ng 2026 ay magdadala pa rin ng kapareho. Sa halip na mag-aksaya ng oras sa pagtatangkang i-reverse-engineer ang mga na-audit na smart contract, inaasahang patuloy na pupukpukin ng mga threat actor ang landas na may pinakamababang resistensya: mga kontrol sa operasyon, mga target na tao, at key infrastructure.

“Inaasahan kong patuloy na mangingibabaw sa mga pagkalugi ang mga pag-atake sa operational access-control: social engineering, pagnanakaw ng kredensyal, kompromiso sa signer, cloud o CI/CD intrusion at mga pag-atake sa off-chain validator infrastructure,” hula ni Fan. “Magpapatuloy ang mga indibidwal na bug sa smart contract, pero patuloy na tututukan ng mga attacker ang pinakamaikling landas patungo sa awtoridad.”

Nagtapos si Videau sa panawagang iayon ang paggasta sa seguridad sa aktuwal na panganib: “Gumastos kung saan naroon ang mga pagkalugi. Halos 90% ng ninakaw na pondo ay dumaan sa mga susi, signer at imprastraktura, ngunit ang mga badyet ay patuloy na ibinubuhos sa mga contract audit. Ang pinakamasasamang pag-atake ay ang mga hindi nahulaan ninuman, kaya magtayo na parang wala na ang perimeter mo.”