Блог
Две атаки за четыре дня: манипуляция ценой на BSC и восстановление приватных ключей в Cardano
21–24 июня 2026 года два разных проекта потеряли суммарно около $2,62 млн. DLMC Token пострадал из-за того, что контракт не отличал реальные деньги от временного кредита. SecondFi — из-за ошибки в собственном коде подписи транзакций, позволявшей математически восстановить приватные ключи кошельков.
Вложил $2 600 — забрал $261 тыс.: как 100 нулевых переводов обманули контракт Royalties
23 июня 2026 года злоумышленник внёс $2 600 в контракт Royalties на Polygon и 100 раз провёл нулевые переводы токенов, заставив систему каждый раз заново начислять одно и то же вознаграждение. Ущерб — около $261 тыс.
Три атаки за десять дней: поддельные мосты, ловушки для ботов и сжигающий токен
С 10 по 20 июня 2026 года три совершенно разных инцидента принесли суммарный ущерб около $13,28 млн. Secret Network, MEV-бот Jaredfromsubway.eth и пул LABUBU/OLPC — разные цели, разные методы, один результат.
Ключ к мосту лежал в открытом доступе: как злоумышленник обманул Taiko и вывел $1,7 млн
22 июня 2026 года злоумышленник нашёл приватный ключ SGX-анклава в публично доступном файле, зарегистрировал поддельные доверенные узлы и заставил мост Taiko выдать $1,7 млн без каких-либо реальных транзакций в исходной сети.
Нулевой перевод токенов, который запустил выдачу наград самому пулу: как ошибка в LBPHashrate стоила $377,6 тыс.
17 июня 2026 года злоумышленник воспользовался ошибкой в логике начисления наград Little Boy Plus, заставив пул ликвидности на PancakeSwap получить токены, которые ему не предназначались. Ущерб — около $377,6 тыс.
«Аварийный выход» без проверки получателя: второй взлом старого продукта Aztec за месяц обошёлся в $2,18 млн
17 июня 2026 года злоумышленник три раза вызвал функцию аварийного вывода Escape Hatch в старом контракте Aztec Private Rollup Bridge и вывел 1,158 ETH, 150 000 DAI и почти 0,47 renBTC — потому что контракт не проверял, имеет ли получатель право на вывод. Ущерб — около $2,18 млн.
Кошелёк создали за два часа до атаки — и тут же опустошили на $1,65 млн
15 июня 2026 года злоумышленник получил от жертвы разрешение распоряжаться её токенами и вывел 1,4 млн USDC и 139 ETH с кошелька, созданного буквально за пару часов до атаки.