Блог
Три атаки за десять дней: поддельные мосты, ловушки для ботов и сжигающий токен
С 10 по 20 июня 2026 года три совершенно разных инцидента принесли суммарный ущерб около $13,28 млн. Secret Network, MEV-бот Jaredfromsubway.eth и пул LABUBU/OLPC — разные цели, разные методы, один результат.
Ключ к мосту лежал в открытом доступе: как злоумышленник обманул Taiko и вывел $1,7 млн
22 июня 2026 года злоумышленник нашёл приватный ключ SGX-анклава в публично доступном файле, зарегистрировал поддельные доверенные узлы и заставил мост Taiko выдать $1,7 млн без каких-либо реальных транзакций в исходной сети.
Нулевой перевод токенов, который запустил выдачу наград самому пулу: как ошибка в LBPHashrate стоила $377,6 тыс.
17 июня 2026 года злоумышленник воспользовался ошибкой в логике начисления наград Little Boy Plus, заставив пул ликвидности на PancakeSwap получить токены, которые ему не предназначались. Ущерб — около $377,6 тыс.
«Аварийный выход» без проверки получателя: второй взлом старого продукта Aztec за месяц обошёлся в $2,18 млн
17 июня 2026 года злоумышленник три раза вызвал функцию аварийного вывода Escape Hatch в старом контракте Aztec Private Rollup Bridge и вывел 1,158 ETH, 150 000 DAI и почти 0,47 renBTC — потому что контракт не проверял, имеет ли получатель право на вывод. Ущерб — около $2,18 млн.
Кошелёк создали за два часа до атаки — и тут же опустошили на $1,65 млн
15 июня 2026 года злоумышленник получил от жертвы разрешение распоряжаться её токенами и вывел 1,4 млн USDC и 139 ETH с кошелька, созданного буквально за пару часов до атаки.
Округление почти до нуля: как ошибка в формуле позволила печатать токены Thetanuts почти бесплатно
15 июня 2026 года злоумышленник искусственно обвалил количество индексных токенов старого vault Thetanuts Finance почти до нуля и воспользовался ошибкой округления, чтобы выпускать новые токены практически бесплатно. Ущерб составил около $105,5 тыс., при этом белый хакер успел спасти активов на $2 млн.
Система приняла поддельные доказательства за настоящие — и отдала $2,2 млн из законсервированного контракта Aztec
14 июня 2026 года злоумышленник обманул старый контракт Aztec Connect, подсунув ему некорректные данные. Система решила, что активы можно выводить — хотя реального основания для этого не было. Ущерб — около $2,2 млн.