Как именно взламывают DeFi-протоколы, почему они по-прежнему так уязвимы и как защитить свои средства — разбираем в статье. А чтобы узнать, как криптокошелек<\/a> для бизнеса поможет работать с активами безопасно и конфиденциально, заполните форму.<\/p>\n\n\n\n Flash-loan — это механизм получения мгновенного займа без залога, при условии его возврата в рамках одной транзакции. В DeFi такие займы изначально задумывались как инструмент арбитража, но на практике стали эффективным оружием для атак. <\/p>\n\n\n\n В 2025 году flash-loan продолжают использоваться хакерами для манипуляции ценами активов, вывода ликвидности и обхода логических ограничений протоколов. Часто используется комбинация: флеш-займ + манипуляция ценой + ошибка в расчетах. Это делает защиту особенно сложной для молодых DeFi-проектов. <\/p>\n\n\n\n В апреле 2025 года протокол Impermax на блокчейне Base стал жертвой<\/a> flash-loan атаки. Злоумышленник использовал флеш-займ для взаимодействия с пулами Uniswap V3, манипулируя расчетом комиссии и позицией LP. <\/p>\n\n\n\n Из-за ошибки в логике Impermax V3 система неверно учитывала прирост комиссионного дохода. Хакер добился переоценки залога и получил избыточные средства, которые затем успешно вывел. <\/p>\n\n\n\n Ущерб: $152 000-$300 000.<\/strong><\/p>\n\n\n\n В мае 2025 года был взломан<\/a> недавно запущенный деривативный протокол Dexodus Finance. Хакер взял flash-loan в размере около $10 500 и провел атаку через повторное использование oracle-подписей. <\/p>\n\n\n\n Он установил искусственно заниженную цену ETH ($1 816 вместо рыночной), открыл позицию с кредитным плечом x100 и зафиксировал прибыль. Уязвимость заключалась в том, что протокол не проверял свежесть oracle-подписей — это дало возможность использовать старые данные. <\/p>\n\n\n\n Ущерб: ~ $300 000.<\/strong><\/p>\n\n\n\n Уязвимости в коде смарт-контрактов — одна из главных причин успешных атак. К ним относятся: <\/p>\n\n\n\n Крупный эксплойт произошел в мае 2025 году на децентрализованной бирже Cetus, которая работает на блокчейне Sui. Хакер нашел ошибку в программе биржи, где неправильно считалась «виртуальная ликвидность» в одном из пулов.<\/p>\n\n\n\n Злоумышленник воспользовался уязвимостью integer overflow и внес очень маленькое количество токенов в пул. Из-за ошибки в коде контракт подумал, что у него появилось огромное количество ликвидности. После хакер взял мгновенный кредит и смог вывести из пула настоящие деньги, получив десятки миллионов долларов. <\/p>\n\n\n\n Ущерб: ~ $223 млн<\/strong>, однако валидаторы успели заморозить ~ $160 млн и частично вернуть средства.<\/p>\n\n\n\n Оракул (oracle) — это внешний источник данных, через который смарт-контракт получает цены активов. Злоумышленники используют уязвимости для искусственного искажения цен и последующего обмана протоколов. <\/p>\n\n\n\n В апреле 2025 годы через уязвимый оракул был атакован<\/a> протокол Loopscale на Solana. Он получал данные о ценах токенов с DEX без дополнительной проверки. Хакер взял flash-loan и провернул сделку с токеном RateX PT в низколиквидной паре, сильно завысив его цену всего за одну транзакцию. <\/p>\n\n\n\n Система увидела завышенную цену и позволила взять крупный займ под этот актив. Атакующий тут же вывел ликвидность, а когда цена вернулась к реальной, залога оказалось недостаточно — протокол остался с убытками. <\/p>\n\n\n\n Ущерб Loopscale: ~ $5.8 млн<\/strong>. В ходе переговоров с хакерами удалось вернуть $2.9 млн за вознаграждение. <\/p>\n\n\n\n По аналогичной схеме в июне 2025 года протокол Resupply, обслуживавший синтетический токен reUSD, понес<\/a> серьезные убытки. Хакер воспользовался тем, что цена обеспечения в системе определялась через ResupplyPair — пул, подключенный к DEX без дополнительных проверок. <\/p>\n\n\n\n Далее: flash-loan, крупная сделка, поднятие цены токена, залог по завышенной цене и вывод reUSD.<\/p>\n\n\n\n Ущерб Resupply: ~ $9.6 млн.<\/strong><\/p>\n\n\n\n Кроссчейн-мосты нужны, чтобы отправлять криптовалюту между разными блокчейнами. Для этого они используют депозитные контракты или эскроу-системы. Такие мосты часто становятся целью атак, потому что в них хранится много средств, а механизмы проверки сложные и могут содержать уязвимости. <\/p>\n\n\n\n Основные векторы атак:<\/strong><\/p>\n\n\n\n В июне 2025 года Хакер взломал<\/a> Force Bridge — мост между Nervos, Ethereum и BNB Chain — и похитил миллионы долларов. Уязвимость он нашел в слабой системе контроля доступа при мониторинге в реальном времени. Сначала злоумышленник тестировал атаку, выведя всего $25, а затем провел полноценный эксплойт. <\/p>\n\n\n\n Ущерб: ~ $3.8 млн.<\/strong><\/p>\n\n\n\n Только за первую половину 2025 года пользователи потеряли более $1,7 млрд из-за компрометации кошельков и еще $410 млн в результате фишинга — это около 35% всех мировых криптопотерь за этот период.<\/p>\n\n\n\n Человеческий фактор — главная уязвимость вне блокчейна, используемая для атак. Хакеры обманывают сотрудников или пользователей, чтобы получить доступ к ключам, приватным кошелькам, seed-фразам или модулям инфраструктуры. В ход идет всё: от фишинговых сайтов до инсайдерских утечек. Такие атаки опасны как для DeFi-проектов и централизованных бирж, так и для платежных бизнес-инструментов. <\/p>\n\n\n\n Чтобы снизить риски компаний, важно правильно настраивать уровни доступа для сотрудников. Например, в криптокошельке BitHide предусмотрен доступ в соответствии с ролью: сотрудники могут видеть только те функции и данные, которые нужны им для работы, без доступа к управлению всеми кошельками или админ-настройкам. <\/p>\n\n\n\n Крупнейшая централизованная биржа Bybit стала жертвой атаки, проведенной с помощью социальной инженерии и компрометации подписного интерфейса. Группа Lazarus взломала рабочее окружение одного из разработчиков кошелька и подменила интерфейс подписания транзакций. В результате трое валидаторов непреднамеренно одобрили транзакцию, изменившую логику контракта. <\/p>\n\n\n\n Ущерб: ~ $1.4 млрд.<\/strong><\/p>\n\n\n\n В мае 2025 года хакеры использовали<\/a> новую функцию делегирования в Ethereum — EIP‑7702. Пользователи MetaMask получали фишинговые pop-up окна с запросом «подтвердить делегирование». Один из пользователей потерял $146 551 в ETH за одну транзакцию. <\/p>\n\n\n\n Пользователям DeFi важно помнить о рисках фишинговых ссылок. В другом материале рассказали, как работает модель мошенничества Drainer-as-a-Service<\/a>, за прошлый год через дрейнеры было похищено почти $500 млн. <\/p>\n\n\n\n Злоумышленники переводят украденные токены на децентрализованные обменники (DEX), чтобы конвертировать их в стейблкоины. Также они используют миксеры, такие как Tornado Cash и Railgun, чтобы скрыть происхождение средств. Для бизнеса критически важно проверять все входящие активы<\/a> на AML-риск<\/a>, чтобы исключить риск блокировок. <\/p>\n\n\n\n Аналитики отмечают, что хакеры, похитившие приватные ключи, чаще всего сразу используют мосты и миксеры, а остальные — работают через DEX. Такие операции значительно затрудняют отслеживание средств, однако современные блокчейн-аналитические инструменты зачастую позволяют<\/a> выявить пути отмывания и схожие схемы в разных инцидентах. <\/p>\n\n\n\n Иногда биржи и протоколы публично предлагают «белые бонусы» — программы вознаграждения за возврат украденных средств. В таких случаях хакеры частично или полностью возвращают похищенное, как это случилось с уже упомянутым Loopscale. Также известны и другие успешные кейсы переговоров с хакерами: <\/p>\n\n\n\n ZKSync Era. После взлома, связанного с компрометацией одного из внутренних кошельков, из протокола ZKSync было выведено $5 млн. Команда обратилась к хакеру с предложением вернуть средства с сохранением анонимности и выплатой 10% «белого бонуса». Атакующий полностью вернул украденное. Одним из заметных кейсов стала операция против российской криптобиржи Garantex<\/a>, проведенная в марте 2025 года. В результате совместных действий правоохранительных органов США, Германии и Финляндии были заморожены активы<\/a> на сумму свыше 28 миллионов долларов, а также изъяты серверы и домены, связанные с деятельностью биржи. По данным расследования, через Garantex за несколько лет прошло более $96 млрд. <\/p>\n\n\n\n В США и Европе усилилась практика уголовного преследования криптомошенников. В июне 2025 года в Нью-Йорке был подан<\/a> иск против организаторов схемы Понци на сумму 330 миллионов фунтов стерлингов. Совместная работа правоохранителей позволила заблокировать счета, домены и платформы, задействованные в махинациях. <\/p>\n\n\n\n Хотя большинство DeFi-атак происходит на уровне смарт-контрактов и инфраструктуры протоколов, именно пользователи чаще всего несут прямые убытки. Чтобы минимизировать риски потерь, важно соблюдать базовые правила безопасности. <\/p>\n\n\n\n Приватные ключи — это главный доступ к вашим деньгам. Никогда не храните их в заметках, облачных хранилищах или на компьютере без защиты. Компаниям следует использовать разработанные специально для них решения, как некастодиальный криптокошелек<\/a> BitHide. Его ПО работает на сервере клиента, никакие третьи лица не имеют доступа ни к приватным ключам, ни к активам, ни к данным бизнеса. <\/p>\n\n\n\n Мошенники создают фишинговые копии популярных DeFi-сервисов. Перед тем как подключать MetaMask или другой кошелек, всегда проверяйте адрес сайта. Используйте только официальные ссылки — например, с CoinGecko, CoinMarketCap. <\/p>\n\n\n\n Даже проверенный проект может быть взломан. Храните в DeFi только ту сумму, которую готовы потерять. Основные активы<\/a> лучше держать на холодном кошельке. <\/p>\n\n\n\n Когда вы подтверждаете доступ к токенам в DeFi-приложениях, они могут сохраняться навсегда. Это создает риск, особенно если проект взломают. Проверяйте и отзывайте старые разрешения через специализированные сервисы. <\/p>\n\n\n\n Если кошелек просит подтвердить «делегирование», «approve» или странную операцию, остановитесь и проверьте, к чему это может привести. Одна ошибка — и вы потеряете все средства на кошельке. <\/p>\n\n\n\n Не переходите по ссылкам из чатов, особенно если это «airdrop», «возврат средств» или «проверка активности». Мошенники часто маскируются под администраторов проектов или техподдержку. <\/p>\n\n\n\n Подписывайтесь на авторитетные источники (PeckShield, CertiK, ScamSniffer, Rekt.news). Чем раньше вы узнаете об атаке на протокол, тем больше шансов вывести средства до потерь. <\/p>\n\n\n\n В июне 2025 года произошли серьезные инциденты с Cointelegraph и CoinMarketCap — хакеры использовали уязвимости в интерфейсных элементах (баннеры, картинки «doodles»), чтобы внедрить фишинговые всплывающие окна с призывами подключить кошелек и подтвердить «вознаграждение» — в результате некоторые пользователи потеряли средства. <\/p>\n\n\n\n DeFi продолжает оставаться одной из самых рискованных сфер криптоиндустрии: атаки становятся всё более изощренными, ущерб от них исчисляется миллиардами, а пользователи и бизнесы теряют активы<\/a> в один клик. Основные угрозы — ошибки в смарт-контрактах, манипуляции ценами через оракулы, уязвимости мостов и человеческий фактор. <\/p>\n\n\n\n Защитить свои средства и инфраструктуру возможно только при комплексном подходе: технической безопасности, правильной настройке доступа и использовании безопасных инструментов для работы с криптой.<\/p>\n\n\n\nМетоды взлома DeFi<\/h2>\n\n\n\n
![\"\"](\"https:\/\/blog.bithide.io\/wp-content\/uploads\/2025\/07\/DeFi-Hacks_-Methods-and-Case-studies_Diagram-RU.png\")
<\/figure>\n\n\n\nFlash-loan атаки<\/h3>\n\n\n\n
Пример: атака на Impermax<\/h4>\n\n\n\n
Пример: атака на Dexodus Finance<\/h4>\n\n\n\n
Эксплойты смарт-контрактов<\/h3>\n\n\n\n
\n
Пример: Cetus Protocol<\/h4>\n\n\n\n
Манипуляция оракулами<\/h3>\n\n\n\n
Пример: Loopscale и Resupply<\/h4>\n\n\n\n
Атаки на мосты и кроссчейн-протоколы<\/h3>\n\n\n\n
\n
Пример: Force Bridge<\/h4>\n\n\n\n
Фишинг и социальная инженерия (компрометация ключей)<\/h3>\n\n\n\n
![\"\"](\"https:\/\/blog.bithide.io\/wp-content\/uploads\/2025\/07\/DeFi-Hacks_-Methods-and-Case-studies_social-engineering.png\")
<\/figure>\n\n\n\nПример: Взлом Bybit<\/h4>\n\n\n\n
Пример: MetaMask<\/h4>\n\n\n\n
Что происходит после взломов<\/h2>\n\n\n\n
Отмывание через DEX и миксеры<\/h3>\n\n\n\n
Переговоры и возврат средств<\/h3>\n\n\n\n
zkLend. Платформа<\/a> zkLend в феврале 2025 года потеряла около $9 млн из-за ошибки в смарт-контракте. Сразу после инцидента разработчики предложили хакеру 10% от суммы за добровольный возврат. Уже через сутки часть средств была возвращена, а диалог с атакующим продолжался через анонимные каналы.<\/p>\n\n\n\nЗаморозка и изъятие средств<\/h3>\n\n\n\n
![\"\"](\"https:\/\/blog.bithide.io\/wp-content\/uploads\/2025\/07\/DeFi-Hacks_-Methods-and-Case-studies_frozen.png\")
<\/figure>\n\n\n\nРасследования и судебные иски<\/h3>\n\n\n\n
Как защититься от DeFi-атак<\/h2>\n\n\n\n
1. Используйте некастодиальные кошельки<\/h3>\n\n\n\n
2. Проверяйте сайты перед подключением кошелька<\/h3>\n\n\n\n
3. Не оставляйте большие суммы в протоколах<\/h3>\n\n\n\n
4. Отзывайте разрешения на токены<\/h3>\n\n\n\n
5. Не подписывайте неизвестные транзакции<\/h3>\n\n\n\n
6. Будьте осторожны в социальных сетях и мессенджерах<\/h3>\n\n\n\n
7. Следите за новостями<\/h3>\n\n\n\n
8. Будьте осторожны с UX-элементами<\/h3>\n\n\n\n
Заключение<\/h2>\n\n\n\n