Криптовалютный рынок в течение нескольких дней столкнулся с серией масштабных атак. На Neutron злоумышленник захватил контроль над сетью всего за $20 тысяч, одновременно платформа Duelbits потеряла около $7 млн через компрометацию приватного ключа.
Атака на Neutron началась с предложения голосования под названием «AIATO: AI Agent Takeover». В нём скрывались 11 команд, способные менять администраторов критических контрактов Astroport и Drop. Правила сети позволяли одобренному голосованием предложению переписать права доступа без взлома самих контрактов.
За 11 минут до окончания голосования атакующий купил 31,62 млн NTRN токенов за 20 199 USDC и делегировал их. Стоимость токенов, защищавших управление сетью, составляла около $113 тысяч, однако через эти же полномочия можно было управлять активами на $9,4 млн. Аналитики GoPlus Security рассчитали диспропорцию между ценой входа и стоимостью контролируемых средств.
Злоумышленник действовал методично. Час до окончания голосования он загрузил в сеть код с функцией автоматического вывода средств. После одобрения предложения десять контрактов переместили на вредоносную версию, и опустошение началось. Активная фаза атаки заняла около 24 минут. Валидаторы Cosmos Hub остановили соседний блокчейн, а после перезапуска изъяли 1,2 млн ATOM с адреса атакующего в мультиподпись для возврата.
Атака на Neutron не требовала взлома кода. Злоумышленник использовал полномочия, которые сама архитектура сети выдавала успешному голосованию. Защитные механизмы оказались слабее стоимости активов, которыми система позволяла управлять.
24 сентября аналитики Scam Sniffer обнаружили подозрительные переводы из горячих кошельков Duelbits. Первоначально ущерб оценили в $4,2 млн, подозревая компрометацию приватного ключа. Позже, когда в расчёт вошли активы на других сетях, включая 8,1 BTC, сооснователь платформы подтвердил общий убыток около $7 млн.
Scam Sniffer зафиксировала движение 836 ETH, 1,62 млн USDT, 97 тысяч USDC, 209 BNB и 192 тысяч TRX. Большую часть активов обменяли на Ethereum. Около 2234 ETH стоимостью примерно $6 млн собрались на одном адресе. Duelbits отключила сайт и сообщила, что пользовательские средства не затронуты. Конкретная причина взлома пока не раскрыта.
Эти события произошли на фоне взлома криптобиржи Bitget 24 сентября, когда из горячих кошельков украли $351,6 млн. Украденные токены также переводили в Ethereum.
Проблемы безопасности повторяются. Весной 2026 года 12 атак за 18 дней нанесли DeFi-сектору $606 млн убытков. Всё реже нарушители используют традиционные уязвимости смарт-контрактов — вместо этого они действуют через административные полномочия, социальную инженерию и кража приватных ключей.
Кража приватных ключей остаётся критической уязвимостью. По анализу SecurityLab, 40% ущерба от крупных криптоатак приходится именно на компрометацию ключей. Истории Neutron и Duelbits показывают две стороны одной проблемы: огромные суммы могут зависеть либо от слишком дешёвого права голоса в управлении, либо от одного секрета, открывающего доступ к хранилищу.
