154 
- Із січня до червня 2025 року галузь втратила понад $3,1 млрд — більше, ніж за весь 2024 рік.
- Майже 60% втрат пов’язані з уразливостями управління доступом.
- Хакери активізували фішинг через підроблені дзвінки від Coinbase і шкідливі dApps.
Згідно зі свіжим звітом компанії Hacken, збитки криптоіндустрії в першій половині 2025 року досягли $3,1 млрд. Це перевищує загальний обсяг втрат за весь 2024 рік. Основні причини — провали в управлінні правами доступу, компрометація приватних ключів і смартконтрактів, а також фішингові атаки.
Особливу тривогу в аналітиків викликає зростання соціальної інженерії та вразливостей у протоколах DeFi. Команда Incrypted вивчила звіт і отримала ексклюзивні коментарі від представників Hacken.
Уразливості доступу на $2 млрд
Найбільшої шкоди завдала категорія атак, пов’язаних з управлінням доступом. Вони склали $1,83 млрд, тобто 59% усіх збитків. Основна причина — неправильний розподіл ролей, помилки в логіці прав і залежність від уразливих інтерфейсів для мультипідписів. Злом Bybit зі збитками в $1,46 млрд став найбільшим не тільки за згаданий період, а й за всю історію індустрії.
Hacken зазначає, що аналогічні вразливості було виявлено в менших протоколах: так, злом UPCX приніс хакерам $70 млн, а проєкт KiloEx втратив $7,5 млн. При цьому II квартал показав помітне зниження масштабів — з $1,6 млрд до $190,5 млн, але сама загроза зберігається. Хакери продовжують шукати поодинокі ключі з повними правами або недоступні ролі без обмеження прав.
«Експлойти контролю доступу виникають через слабкі операційні практики безпеки, які використовують більшість криптокомпаній, як CeFi, так і DeFi. Гарячі гаманці централізованих бірж спустошуються в основному через витоки приватних ключів і “supply chain” атак. Децентралізовані проєкти, зі свого боку, зазнають значних втрат через компрометацію девайсів, які зберігають seed-фразу, приватний ключ або використовуються для підписання транзакцій», — заявив керівник відділу цифрової криміналістики та реагування на інциденти Hacken Єгор Рудиця.
За словами експерта, вірусні репозиторії на сайті Bitbucket, фейкові розширення для браузера або фішингові посилання Calendly — це лише кілька векторів атак. Дослідник Hacken вважає, що для уникнення таких атак розробникам необхідно:
- використовувати холодні гаманці для зберігання ключів;
- орієнтуватися на мультипідписи та таймлоки для критичних операцій;
- отримувати доступ до приватного ключа тільки зі спеціального пристрою, який не застосовується для інших завдань;
- впровадити моніторинг підозрілої активності та аномалій протоколу в реальному часі.
«Щодня нові DeFi-проєкти зламують, коли пристрій деплоєра або члена команди виявляється скомпроментованим через вірусне ПЗ», — підкреслив Рудиця.
Атаки на DeFi
Смартконтракти стали ще однією масштабною проблемою. Збитки за цією категорією склали $263 млн за вказаний період. Головним інцидентом став злом Cetus Protocol, унаслідок якого було вкрадено $223 млн за 15 хвилин. Водночас аналітики зазначили, що II квартал став найгіршим для DeFi з початку 2023 року.
У компанії також звернули увагу на першу в історії атаку на hook-механіку в Uniswap V4. Зловмисники використовували відсутність базової перевірки та викрали $12 млн із Cork Protocol.
На думку Hacken, індустрії потрібно не просто писати безпечний код, а оперативно моніторити та реагувати на підозрілу поведінку контрактів — особливо під час впровадження нових функцій.
Фішинг і фейк-дзвінки ціною в сотні мільйонів
Соціальна інженерія залишається однією з найнебезпечніших і наймасштабніших загроз у Web3, зазначають експерти. За даними звіту Hacken, за перше півріччя 2025 року саме ця категорія атак завдала галузі збитків на суму близько $600 млн.
Під соціальним інжинірингом маються на увазі методи, за яких зловмисники маніпулюють довірою користувачів. Часто такі атаки відбуваються через фішинг, фейкові дзвінки та підроблені інтерфейси.
«Ми закликаємо власників криптоактивів уважно перевіряти параметри транзакцій, які вони збираються підписати, не переходити за підозрілим посиланням і не запускати незнайомий код, ретельно не перевіривши виконувані файли», — заявив Рудиця.
Найрезонансніший інцидент у цій категорії — крадіжка $330 млн у біткоїнах у літнього інвестора зі США. Шахраї представилися співробітниками служби підтримки та переконали його самостійно переказати кошти на підконтрольні їм адреси. Випадок став найбільшим індивідуальним розкраданням в історії індустрії.
Ще $100 млн користувачі втратили внаслідок фейкових дзвінків нібито від імені співробітників Coinbase. Приводом для атаки став витік користувацьких даних — злочинці використовували їх для персоналізованого обману. На додаток до цього хакери розміщували шкідливі dApps, копіювали інтерфейси популярних гаманців і навіть підмінювали проєкти з відкритим вихідним кодом на GitHub, вбудовуючи в них шкідливий код.
Крім того, зловмисники активно використовують підроблені дзвінки для рейдів на віддалених працівників і команди розробників. Подібні атаки, за словами експертів, добре продумані та ретельно підготовлені.
«Ми спостерігаємо стрімке зростання кількості скомпроментованих девайсів користувачів з миттєвою крадіжкою всіх криптоактивів. На жаль, багато українців також стають жертвами фішингових атак, більшість з яких організовуються Північною Кореєю. Вони спрямовані на фрілансерів і розробників у Web3-екосистемі», — попередив Рудиця.
На думку аналітика, подібні атаки часто відбуваються, коли користувачі хочуть влаштуватися на роботу. Вони потрапляють на фейкового інтерв’юера, після чого претендентам надають репозиторій, що має спеціальний скрипт. З його допомогою хакери компрометують комп’ютер користувача за кілька секунд.
«Усі ваші криптоактиви в такому разі втрачені миттєво», — зазначив представник Hacken.
Окремий вектор атак — розширення браузерів, особливо в екосистемі Chrome. Через них зловмисники отримують доступ до гаманців і сесій користувачів, підробляючи інтерфейси або перехоплюючи дані.
Експерти Hacken зазначили, що в разі загальних фішингових атак більшість користувачів надавали зловмисникам доступ до своєї seed-фрази або самостійно переказували криптовалюту на адресу зловмисників.
Захист як найкраща версія себе
У компанії заявили, що криптовалютні біржі можуть підвищити безпеку своїх платформ. Для цього їм варто інтегрувати низку практик:
- введення від 48 до 72 годин очікування на виведення коштів після зміни паролів, пошти або двофакторної аутентифікації (2FA);
- ідентифікація підозрілої активності за акаунтом (нові девайси, VPN-логіни та інші аспекти);
- імплементація холодного зберігання коштів користувачів, замість гарячих гаманців.
Окремі поради на прохання Incrypted аналітики Hacken надали самим користувачам. Власникам цифрових активів заради їхньої безпеки рекомендують:
- не переходити за посиланням через SMS або Telegram-чати;
- отримавши лист на електронну пошту від біржі, ретельно перевірити адресу відправника. Важливо, щоб це був офіційний акаунт платформи;
- використовувати холодні криптогаманці;
- застосовувати для захисту застосунки-аутентифікатори замість SMS для 2FA.
«2025 рік чітко показав, що головною вразливістю Web3 стає не код, а люди. Соціальна інженерія та фішинг призвели до рекордних втрат — понад $600 млн тільки за II квартал. Більшість атак успішні через банальну довіру: шкідливі посилання, фальшиві вакансії, підписання небезпечних транзакцій. Особливо загрожує нова хвиля атак розробникам», — заявила співзасновниця Hacken Євгенія Брошеван.
Вона підкреслила, що безпека у сфері Web3 починається з базової «цифрової гігієни». Використання холодних гаманців, обережність із кодом і перевірка кожної транзакції. До того ж Брошеван закликала біржі впроваджувати захисні механізми — від таймлоків до моніторингу аномальної активності.
«Захист користувачів — це спільна відповідальність», — підбила підсумок співзасновниця Hacken.
Нагадаємо, ми писали, що в Україні викрили міжнародну схему пов’язаного з криптовалютами шахрайства.
