Hacken: Институции переходят от аудитов к действиям после $764M Q2 криптоэксплойтов

Институциональные инвесторы смотрят дальше смарт-контрактов и их аудитов после того, как традиционные сигналы доверия — такие как прошлые аудиты и операционная история — не смогли предсказать, какие крипто-проекты будут взломаны во 2 квартале 2026 года, говорится в материале Hacken. Сдвиг произошёл на фоне квартала, в котором скомпрометированные ключи, сигнатуры (signers) и инфраструктура составили 88,3% примерно из $764 млн украденных средств, как подробно описано в отчёте Hacken о безопасности и комплаенсе за 2 квартал 2026 года. Федерико Баджиотти, руководитель группы по управлению рисками в Abraxas Capital, сказал, что «недостаточная безопасность по отношению к сумме риска» чаще всего становилась сигналом, из-за которого компания отказывалась от в целом привлекательной позиции. В свою очередь, Раджив Бамра, глава направления цифровой экономики в Moody's Ratings, отметил, что операционная устойчивость стала «практическим фильтром», через который учреждения оценивали безопасность, комплаенс и управление.

Отчёт Hacken за 2 квартал 2026 года показывает низкое внедрение мониторинга

Отчёт Hacken о безопасности и комплаенсе за 2 квартал 2026 года отслеживал 1 427 крипто-проектов с капитализацией выше $1 млн. В отчёте говорится, что лишь 9% из этих проектов имели мониторинг от третьей стороны, а 4% — комбинировали мониторинг с активной наградой за найденные уязвимости (bug bounty) и аудитом безопасности. Набор данных включал активы, размещённые на 50 крупнейших централизованных биржах по Trust Score от CoinGecko, при этом исключались обёрнутые токены (wrapped assets), стейблкоины и токенизированные реальные активы. Hacken отметил, что его данные опирались на публично наблюдаемые и раскрытые контроли, то есть частные договорённости могли не быть учтены.

В отчёте сказано, что проекты, не способные предоставлять регулярные доказательства операционной безопасности, могут сталкиваться с более высоким воспринимаемым риском, снижением объёма инвестиций и более сложным доступом к страхованию или контрагентам. Скомпрометированные ключи, сигнатуры и инфраструктура составили 88,3% примерно из $764 млн украденных средств в 2 квартале 2026 года.

Институциональная due diligence расширяется до операционных контролей

Институциональная due diligence начинает включать изменения в наборе сигнатур (signer-set), обеспечение активами (collateral backing), зависимости от третьих сторон, готовность к реагированию на инциденты, а также охват и актуальность аудитов, говорится в отчёте. Abraxas Capital теперь прямо проверяет наличие таймлоков (timelocks), белых списков адресов вывода средств, мультипартийных контролей, а также зависимостей, связанных с одним ключом или одним верификатором.

Такой сдвиг заметен и в регуляторном и отраслевом внимании. В отчёте Cointelegraph от 10 июля главный операционный директор BitGo Джоди Меттлер (Jody Mettler) сказала, что институциональные клиенты начали задавать более подробные вопросы о контролях доступа у провайдеров кастоди (custody providers), о реагировании на инциденты и бизнес-непрерывности — по мере того как европейские регуляторы изучают операционную устойчивость в рамках Закона о цифровой операционной устойчивости (Digital Operational Resilience Act, DORA).

Взломанные проекты проходили аудит, но пострадали из-за слабостей инфраструктуры

Hacken заявила, что 14 проектов, подвергшихся эксплуатации во 2 квартале 2026 года, ранее проходили аудит. Однако большинство потерь происходило в областях вне стандартного охвата проверок смарт-контрактов. Затронутые поверхности включали устройства сигнатур (signer devices), валидаторы мостов (bridge validators), инфраструктуру бэкенда, админ-ключи и более старые контракты, которые оставались в работе, несмотря на то что они были де-факто устаревшими (deprecated).

FAQ

Что выяснил Hacken в своём отчёте за 2 квартал 2026 года о мониторинге от третьих сторон в крипто-проектах?

В отчёте Hacken о безопасности и комплаенсе за 2 квартал 2026 года говорится, что только 9% из 1 427 отслеживаемых крипто-проектов имели мониторинг от третьей стороны, а 4% совмещали мониторинг с активным bug bounty и аудитом безопасности. В отчёте рассматривались проекты с капитализацией выше $1 млн, размещённые на 50 крупнейших централизованных биржах по CoinGecko Trust Score.

Почему институциональные инвесторы смотрят дальше аудитов смарт-контрактов?

Институциональные инвесторы смотрят дальше аудитов смарт-контрактов, потому что традиционные сигналы доверия, такие как прошлые аудиты и операционная история, не смогли предсказать, какие крипто-проекты будут взломаны во 2 квартале 2026 года. Скомпрометированные ключи, сигнатуры и инфраструктура составили 88,3% примерно из $764 млн украденных средств за квартал, а 14 взломанных проектов ранее были проаудированы, как отмечает Hacken.

Как изменилась институциональная due diligence для крипто-проектов?

Институциональная due diligence теперь включает изменения в наборе сигнатур (signer-set), обеспечение активами (collateral backing), зависимости от третьих сторон, готовность к реагированию на инциденты, а также охват и актуальность аудитов. Abraxas Capital прямо проверяет наличие таймлоков (timelocks), белых списков адресов вывода средств, мультипартийных контролей, а также зависимостей, связанных с одним ключом или одним верификатором, согласно отчёту Hacken за 2 квартал 2026 года.