21–24 июня 2026 года аналитики КоинКит зафиксировали два инцидента с суммарным ущербом около $2,62 млн. Механики совершенно разные: первый случай — классическая манипуляция ценой через мгновенный кредит в сети BNB Smart Chain. Второй — более редкая и технически серьёзная уязвимость в криптографии подписей, из-за которой злоумышленники смогли математически вычислить приватные ключи реальных пользователей в сети Cardano.
DLMC Token: временный кредит стоил контракту $222 тыс.
Дата: 24 июня 2026
Сеть: BNB Smart Chain
Ущерб: ~$222,5 тыс.
Транзакция: 0x151025d3f0a782340a74d30ef33a5fad044b838e74437a803f0652e70c231306
Что произошло
Контракт DLMC Token сам рассчитывал цену своего токена по простой формуле: чем больше BSC-USD (токенизированный доллар в сети BNB Smart Chain) лежит внутри контракта — тем выше цена DLMC. Идея понятна, но у неё была критическая слабость: контракт не различал, откуда именно пришли деньги — от реального покупателя или из мгновенного кредита.
Злоумышленник воспользовался этим через флэш-лоан — кредит без залога, который берётся и возвращается в рамках одной транзакции. Он взял 1 420 000 BSC-USD на PancakeSwap и через вспомогательные контракты закинул их в DLMC. Цена токена мгновенно взлетела с $0,46 до $24,98 — рост почти в 55 раз. Затем злоумышленник продал DLMC обратно контракту уже по этой искусственно завышенной цене. Контракт воспринял её как настоящую и выплатил 1 646 119 BSC-USD из своего резерва.
После возврата флэш-кредита в размере 1 420 000 BSC-USD у злоумышленника осталось 222 560 BSC-USD чистого ущерба — разница между тем, что контракт заплатил, и тем, что было возвращено кредитору.
Почему это стало возможным
Контракт доверял своему же балансу как источнику истины о цене. Это надёжно работает в обычных условиях, но разрушается при флэш-лоане: злоумышленник временно «накачал» баланс огромной суммой, цена взлетела, а после сделки кредит вернулся — и контракт остался с дырой в резерве.
Защита от таких атак существует: можно использовать внешние ценовые оракулы — независимые источники данных о рыночной цене, которые не зависят от мгновенных изменений баланса внутри контракта. Здесь такой защиты не было.
Движение средств
После получения 222 560 BSC-USD на адрес 0x701Bb7B460ae231DBBcFA3d87f0aB5B458429699 средства были обменяны и через цепочку промежуточных адресов переброшены в сеть Ethereum. Там все средства ушли в миксер Tornado Cash, что существенно затрудняет дальнейшее отслеживание.
SecondFi: математика раскрыла приватные ключи на $2,4 млн в Cardano
Дата: 21–23 июня 2026
Сеть: Cardano
Ущерб: ~16 млн ADA (~$2,4 млн)
Что произошло
SecondFi — платформа на блокчейне Cardano, которая создаёт и обслуживает кошельки для своих пользователей. С 21 по 23 июня 2026 года с 374 адресов на платформе было выведено около 16 млн токенов ADA (собственная криптовалюта блокчейна Cardano). SecondFi подтвердил: три из четырёх волн выводов были совершены внешними злоумышленниками.
Суть проблемы — в ошибке собственного программного обеспечения SecondFi для создания кошельков, а не в уязвимости самого блокчейна Cardano.
Чтобы понять механику, нужно разобраться в двух понятиях.
Приватный ключ — это секретный код, дающий полный контроль над кошельком. Тот, у кого есть приватный ключ, может свободно распоряжаться всеми средствами на кошельке.
Nonce (читается «нонс») — это одноразовое случайное число, которое используется при каждой подписи транзакции. Оно должно быть по-настоящему случайным и никогда не повторяться. Это критически важно: если nonce окажется предсказуемым или будет использован дважды, математика криптографии позволяет по публичным данным из блокчейна вычислить приватный ключ.
Именно это и произошло. Модуль подписи транзакций в ПО SecondFi использовал ошибочную детерминированную схему nonce — то есть «случайные» числа на самом деле не были достаточно случайными. Каждая подпись транзакции оставляла в публичных данных блокчейна следы, по которым злоумышленники математически восстановили приватные ключи затронутых адресов.
Важный момент, который SecondFi отдельно подчеркнул: простое восстановление кошелька по сид-фразе в другом приложении не решает проблему. Сид-фраза — это набор слов, из которого генерируются адреса и ключи кошелька. При восстановлении по той же сид-фразе создаются те же самые адреса и ключи — а они уже скомпрометированы. Пострадавшим необходимо создавать новые кошельки с новыми сид-фразами и переводить туда средства.
После обнаружения инцидента SecondFi перевёл платформу в режим обслуживания, остановил фронтенд (интерфейс сайта для пользователей) и выпустил исправление для незатронутых кошельков. Около 129 млн ADA были экстренно направлены к независимому кастодиану — хранителю активов — для защиты средств незатронутых пользователей.
Почему это стало возможным
Криптографическая ошибка в схеме nonce — одна из наиболее серьёзных уязвимостей при работе с подписями. Она не требует взлома сервера или кражи базы данных: злоумышленнику достаточно публичных данных из блокчейна и математических вычислений. По сути, ключи были «спрятаны» в открытом месте — нужно было лишь знать, как их оттуда извлечь.
Движение средств
Аналитики «КоинКит» выделили двух злоумышленников.
Злоумышленник А действовал в первой и второй волне, опустошив 171 кошелёк. Средства собирались на трёх адресах:
— addr1q9j7f598x988unr4zhjulft205jqnn9ewgwkhes5smf2sr6jsw98nm4qq38jw9epe587twavuhuhj5d8r92rjvmyjlzs9lqc3x
— addr1q9wudkfeelzwev427yvapkmqexmet8q4vl303m7a4eerwtvt6rq00zyuqzeuw759vgqtdky0gyxnqx27n8q4k6h79yhsqelma8
— addr1q82jlp2u0ezv2hsf6f40fkrv49hd72yv442nmrr5qeultpqamepaykp3m564hnd4zp75wxxds2j6d3ywvc8prhf2kcxqn6nql3
Центральный адрес для комиссий и сдачи: addr1q8acx4h5a38x6ekpsp0x7aelw6mflt78khmz8lz75rtnqvn07w88zx2e89tgzqr3x0mecngqlg87kq9surhk48hj79mqcezfa8
Злоумышленник B действовал в третьей волне, опустошив 203 кошелька. На его адресе-сборщике на момент расследования остаётся 4 020 468 ADA:
addr1q8m5wdncq7rwum73r5cyyr82qx2xjem5k4ehapl3wy36aaerj829vasl3amtcwshgvnn6a25dr850tfw6qaj420d2szsslkku6
Заключение
Два инцидента за четыре дня — два разных урока.
DLMC Token напоминает: если контракт сам считает себе цену, злоумышленник может эту цену временно нарисовать. Флэш-лоан — всего лишь инструмент; уязвимость была в доверии контракта к собственному балансу без защиты от внешних манипуляций.
SecondFi — более редкий и серьёзный случай. Криптографическая ошибка в nonce позволила математически вычислить приватные ключи из публичных данных блокчейна. Никакого взлома серверов, никакой кражи паролей — только математика. Это напоминает о том, что безопасность кошелька зависит не только от надёжности самого блокчейна, но и от качества кода, который этот кошелёк создаёт и обслуживает.
Команда КоинКит продолжает отслеживать движение средств по обоим инцидентам.
