Security

Платформа для повторного стейкінгу біткоїна BounceBit повідомила, що після нещодавнього експлойту поступово припинятиме роботу свого власного L1-блокчейна. Компанія зосереджує бізнес на BTC-реcтейкінгу, і цей інцидент безпосередньо призвів до зупинки операцій базової публічної мережі. Команда проєкту не розкрила деталей атаки та масштабу збитків, однак рішення про згортання L1 вже стало суттєвим ударом по фундаментальних показниках проєкту.

Maya Protocol призупинив усі операції після багатовекторної атаки з використанням кількох вразливостей. Зловмисник викрав нативні токени CACAO та значний обсяг кросчейн-активів, а розмір збитків не розкривається. Протокол, який працює як децентралізована кросчейн-платформа ліквідності, зазнав ушкодження ключових активів і ліквідності відповідних пулів, що посилило занепокоєння щодо безпеки кросчейн-інфраструктури.

Після злому KelpDAO 18 квітня загальна заблокована вартість (TVL) Aave досі нижча на 43% і на 67% відстає від 52-тижневого максимуму. Хакери внесли викрадений rsETH у Aave та позичили під нього реальний ETH, унаслідок чого Aave і Compound отримали близько $246 млн сукупних проблемних боргів. TVL Aave знизився з $26.4 billion перед атакою до $14.9 billion, що посилило тиск на можливості кредитування та волатильність. Токен AAVE наступного дня після інциденту подешевшав приблизно на 20% і зараз торгується близько $89, залишаючись нижче рівня до атаки.

Найбільший в Ізраїлі регульований криптоброкер Bits of Gold повідомив про несанкціонований доступ до допоміжної системи аналізу даних, через що могли бути розкриті персональні дані приблизно 25万 користувачів. У витоку могли опинитися ім’я, номер посвідчення особи, телефон, електронна пошта, IP-адреса, дані банківського рахунку та публічні адреси криптогаманців. Компанія заявила, що інцидент стався кілька днів тому, і вона розпочала розслідування. Потенційно скомпрометована інформація може бути використана для фішингу, підміни особи та соціальної інженерії, що створює ризики для безпеки користувачів.

10 березня 2026 року в Aave помилка конфігурації ризикового оракула CAPO обмежила ончейн-курс wstETH приблизно на 2.85% нижче ринку, що спричинило ліквідації близько 10938 wstETH. Обсяг ліквідацій оцінили у близько 2600万-2700万美元, а ліквідатори отримали 499-512 ETH прибутку. 15 лютого 2026 року Moonwell через помилку в керованій голосуванням зміні некоректно налаштував обгортку Chainlink OEV, через що cbETH був оцінений приблизно в 1.12美元 замість близько 2200美元 і 1096.317 cbETH було ліквідовано, залишивши протокол із приблизно 178万美元 поганого боргу.

Міст, що з’єднує XRP Ledger із tx-ланцюгом, став об’єктом атаки через вразливість у логіці виявлення депозитів. Зловмисник сформував транзакції без фактичного надходження коштів, але зміг на tx-ланцюгу карбувати бриджований XRP і згодом обміняти його на реальний XRP. Приблизно 200,000 XRP було виведено 94 платежами, кожен з яких мав коректні підписи 17 із 28 ретрансляторів, а записи самого мосту також фіксували депозити як справжні. Реєстр Ripple не був скомпрометований, але txEcosystem заявив, що бриджований XRP у його мережі більше не має повного забезпечення.

Harmony Protocol повідомив про інцидент із несанкціонованим карбуванням токенів ONE, що стався 12 серпня. Первинний аналіз підтвердив випуск 4 000 000 000 ONE, однак подальша ончейн-реконструкція виявила емісію близько 3 010 000 000 000 ONE на чотири адреси зловмисників через шість підроблених кросшард-транзакцій. Команда заявила, що виправила вразливість перевірки кросшард-«квитанцій» і баг у перевірці кворуму prestaking-комітету, а також розгорнула Mainnet v2026.1.1. Команда готує відкат мережі до блоку 92,730,034 та призупинила роботу мостів.

Harmony опублікувала звіт про вразливість карбування, пов’язану з багом CrossShard Receipt Replay, який дозволяв багаторазово обробляти дійсні квитанції та створювати нові токени без відповідних списань. Першу хвилю несанкціонованого карбування спочатку підтвердили на рівні 400 million ONE, тоді як загальний обсяг підробленої міжшардової емісії оцінюється приблизно у 3.01 trillion ONE, дані ще перевіряють, повідомляє Foresight News. Екстрений патч активували 12 August, і вразливість усунено, а кросчейн-сервіси призупинено. Команда координує з валідаторами та біржами підготовку до відкату до стану до вразливості з цільовим блоком 92,730,034, при цьому Shard 0 зупинено на блоці 92,753,555 для підтримки операції.

Фундація повідомила про оновлення щодо мосту та заявила, що всім постраждалим користувачам буде компенсовано втрати в повному обсязі, а відсутні резерви $XRP будуть поповнені для відновлення забезпечення bridged XRP у співвідношенні 1:1. Після відновлення резерви можна буде перевірити ончейн. Вразливість, за даними Фундації, вже виявлено та виправлено, а міст тимчасово призупинено до завершення незалежного аудиту безпеки. Також буде оприлюднено повний технічний звіт із деталями механізму відновлення, а користувачів закликали остерігатися шахраїв і стежити за оновленнями лише через офіційні канали.

Токени команди та провідних інвесторів DATA Foundation не почали розблоковуватися 13 серпня, хоча ця дата фігурувала в раніше оприлюдненому графіку пропозиції. 25 червня організація повідомила, що команда та провідні інвестори продовжили локап ще на 18 місяців, але не уточнила, коли стартує цей період і якою буде нова дата розблокування. Частки Early Backers і Core Contributors у первинному розподілі сумарно становлять 41,6% від 1 billion token, а в окремому матеріалі зазначалося, що 12 липня Pump Fun має розблокувати $127M інсайдерських токенів — приблизно удвічі більше за нещодавній середній денний обсяг торгів.