Інциденти безпеки блокчейну зросли на 50% у першому півріччі 2026 року на тлі загроз ланцюгам постачання та ШІ.

Звіт SlowMist за перше півріччя зафіксував 182 інциденти безпеки блокчейну в H1 2026, що на 50% більше, ніж 121 інцидент у H1 2025, при цьому загальні збитки сягнули приблизно 956 мільйонів доларів. Падіння загальних збитків на 60% — з 2,37 мільярда доларів у H1 2025 — було зумовлене відсутністю єдиної катастрофічної події, а не зниженням частоти або складності атак. У звіті зростання кількості інцидентів пояснюється переходом до складних атак на ланцюги постачання та загроз на основі штучного інтелекту, що розширило поверхню атак за межі традиційних вразливостей смарт-контрактів. DeFi залишався найбільш цільовим сектором, на який припадає майже 64% інцидентів та приблизно 490 мільйонів доларів збитків, тоді як міжланцюгові мости генерували найвищі збитки на інцидент — близько 346 мільйонів доларів за 20 інцидентів. Ця тенденція відображає індустріалізацію кіберзагроз, що збігається з глобальною регуляторною конвергенцією щодо комплаєнсу віртуальних активів та боротьби з відмиванням грошей в Азії, Європі та Америці.

DeFi та міжланцюгові мости є рушіями збитків у H1 2026

Протоколи DeFi становили майже 64% усіх інцидентів безпеки в H1 2026 та приблизно 490 мільйонів доларів збитків, за даними SlowMist. Міжланцюгові мости виявилися найбільш фінансово збитковою категорією: лише 20 інцидентів призвели до сукупних збитків у розмірі близько 346 мільйонів доларів. Експлойт KelpDAO у квітні відповідальний за 292 мільйони доларів цієї суми. Зловмисники скомпрометували RPC-інфраструктуру LayerZero, здійснили DDoS-атаки на легітимні вузли валідаторів і підробили міжланцюгові повідомлення для карбування та виведення активів без застави. Вкрадені токени згодом використовувалися як фейкова застава на кредитних платформах, таких як Aave, що посилило збитки в усьому секторі DeFi. SlowMist пов'язав інцидент із північнокорейською групою Lazarus.

Атаки на ланцюги постачання та ШІ індустріалізують загрози блокчейну

Отруєння ланцюгів постачання посіло третє місце за кількістю інцидентів у H1 2026, але генерувало найвищі загальні збитки — приблизно 298 мільйонів доларів, переважно через випадок KelpDAO. Окрім цієї єдиної події, численні інциденти з ланцюгами постачання були спрямовані на репозиторії менеджерів пакетів, CI/CD-конвеєри, ланцюжки розповсюдження CDN та маркетплейси плагінів для ШІ-агентів, йдеться у звіті. Фішингові кампанії у H1 2026 застосували те, що SlowMist описує як модель «імітація платформи + багатоетапна взаємодія + динамічне впровадження корисного навантаження». Зловмисні розширення браузера імітували легітимні інструменти для гаманців, реклама в Google Search перенаправляла користувачів на шкідливе ПЗ, що викрадає буфер обміну, а фішингові електронні листи, замасковані під підтвердження аудиту, доставляли корисне навантаження AppleScript, здатне встановлювати постійний віддалений доступ. У кількох випадках зловмисники вбудовували фішингову інфраструктуру в довірені домени, зокрема business.google.com, щоб обійти системи автоматичного виявлення.

Штучний інтелект був задіяний на всіх етапах життєвого циклу атаки: для створення переконливого контенту для імітації особи, саморецензування шкідливого коду з метою уникнення виявлення та оптимізації скриптів соціальної інженерії, зазначається у звіті. Технологія глибоких фейків (deepfake) для голосу та відео використовувалася в кампаніях соціальної інженерії, спрямованих на осіб із високою цінністю, причому задокументовані збитки сягали мільйонів на один інцидент. Підрозділ групи Lazarus, HexagonalRodent, використовував ChatGPT та Cursor для створення фальшивих корпоративних вебсайтів і вигаданих команд менеджменту для фальшивих рекрутингових операцій, спрямованих на Web3-розробників.

Глобальні регулятори посилюють комплаєнс віртуальних активів у H1 2026

Гонконг у квітні видав першу партію ліцензій емітентам стейблкоїнів, прив'язаних до фіатних валют. Тайвань підвищив свій крипторегуляторний режим — від реєстрації з метою ПВК/ФТ до повного фінансового ліцензування. У Сполучених Штатах імплементація Закону GENIUS перейшла від законодавства до етапу пропозиції нормотворення, тоді як FinCEN та OFAC спільно видали проектні правила, що встановлюють єдину комплаєнс-рамку для ліцензованих емітентів платіжних стейблкоїнів. Європейський Союз уперше запровадив загальносекторальну заборону на транзакції з постачальниками криптоактивів, заснованими в Росії.

У звіті SlowMist робиться висновок, що поширення атак на ланцюги постачання, шахрайства за допомогою ШІ та пов'язаних із державами кіберзлочинних організацій, таких як Lazarus Group, зробило очевидним, що стійкість вимагає системного управління, яке охоплює моніторинг потоків коштів, реєстрацію VASP, верифікацію особи та транскордонне правоохоронне співробітництво.

FAQ

Що спричинило зростання на 50% кількості інцидентів безпеки блокчейну в H1 2026?
У звіті SlowMist зростання на 50% пояснюється переходом до складних атак на ланцюги постачання та загроз на основі ШІ, що розширило поверхню атак за межі традиційних вразливостей смарт-контрактів.

Який сектор блокчейну зазнав найвищих фінансових збитків у H1 2026?
Міжланцюгові мости генерували найвищі збитки на інцидент — близько 346 мільйонів доларів за 20 інцидентів, причому експлойт KelpDAO у квітні склав 292 мільйони доларів цієї суми, за даними SlowMist.

Які регуляторні заходи вжив Гонконг у H1 2026?
Гонконг у квітні видав першу партію ліцензій емітентам стейблкоїнів, прив'язаних до фіатних валют, як задокументовано у звіті SlowMist.