Спостерігаю за ситуацією з безпекою DeFi цього року, і чесно кажучи, виглядає досить похмуро. Ми навіть не на півшляху до 2026 року, а цифри вже вражають — понад 137 мільйонів доларів викрадено на 15 різних протоколах лише за перші кілька місяців. Що гірше? Лише 9 мільйонів доларів було відновлено. Це рівень відновлення, який більшість людей не прийняли б у традиційному банку, не кажучи вже про галузь, яка має бути бездовірливою і прозорою.

Збитки розподілені між досить відомими іменами. Step Finance зазнав найбільших втрат — 27,3 мільйона доларів після компрометації приватного ключа. Truebit не відстав далеко з втратою 26,2 мільйона через вразливість у смарт-контракті. Потім йдуть Resolv, що втратив понад 25 мільйонів через недолік у процесі створення токенів, і SwapNet, що втратив 13,4 мільйона через експлойт довільного виклику. Це не маленькі проєкти, які зазнали краху — це протоколи, якими реально користуються.

Що дратує, так це те, що більшість цих атак не повинні були статися. Витоки приватних ключів? Це основи операційної безпеки, а не якісь передові експлойти. Маніпуляції з оракулами та баги з повторним входом? Ці вразливості мають задокументовані захисти вже роками. Той факт, що вони все ще працюють, свідчить про те, що галузь не навчається на своїх помилках досить швидко. Є логічні помилки, провали в валідації, проблеми з обмеженням пропозиції — все це попереджали ще на ранніх етапах DeFi.

YieldBlox DAO фактично вдалося відновити 7,2 мільйона доларів із їхніх 11 мільйонів збитків, і це єдиний протокол, який повернув щось суттєве. Інші у списку — SagaEVM з 7 мільйонами, Makina з 5 мільйонами, IoTeX з 4,4 мільйонами, Aperture Finance та Venus Protocol по 3,7 мільйона — фактично позбавлені шансів.

Якщо цей темп збережеться, 2026 рік може стати одним із найгірших за історією для безпеки DeFi. Нові протоколи запускаються без належних аудитів, розширюючи поверхню атаки швидше, ніж будь-хто може захиститися. За 3 місяці збитки вже склали 137 мільйонів доларів, а рівень відновлення — лише 6,5%, що важко назвати достатнім. Для системи, побудованої на обіцянці бездовірливих систем, це досить незручна ситуація.