Что произошло
DeFi стал заметно безопаснее — но опаснее по-новому. Шестилетний отчёт платформы Immunefi (данные 2020–2025) показал: потери от эксплойтов упали с пика $2,62 млрд в 2022 году до $534 млн в 2024-м — примерно на 80%. При этом аналитики предупреждают: риск не исчез, а сменил форму — теперь одна ошибка в коде мультичейн-протокола способна обнулить сразу несколько сетей.
Детали
- Потери падают. $2,62 млрд (2022) → $534 млн (2024), −80%. В 2025-м был частичный отскок до ~$680 млн (−74% от пика), но он пришёлся на несколько крупных инцидентов, а не на общий рост. Медианный убыток на инцидент сжался с $6 млн (2022) до $1,5 млн (2025) — Immunefi.
- Старые векторы почти закрыли. Доля взломов мостов рухнула с 73% всех потерь в 2022-м до 3% в 2025-м; флэш-лоан атаки — с 54% (2020) до менее 1%. Индустрия научилась защищать самые «дорогие» точки.
- Новый главный вектор — логика протокола. На ошибки в коде самих приложений пришлось около 89% потерь 2025 года (CryptoSlate). В мультичейн-деплое один и тот же контракт живёт на 5–6 сетях, поэтому единственный баг реплицируется на все сразу.
- Свежий пример — Balancer V2. 3 ноября 2025-го атакующий использовал арифметическую ошибку округления в пулах и вывел ~$128 млн с шести сетей (Ethereum, Base, Arbitrum, Polygon и др.) меньше чем за полчаса. До взлома код прошёл 11 независимых аудитов (Check Point Research).
Что это значит
Цифры честные: индустрия реально закрыла «классику» — мосты и флэш-лоаны, на которых теряли миллиарды. Но мультичейн-экспансия создала новую концентрацию риска. Раньше дыра в одном контракте била по одной сети; теперь тот же код развёрнут на полудюжине блокчейнов, и одна математическая ошибка опустошает их одновременно.
Для пользователя вывод неуютный, но полезный: «протокол прошёл аудит» больше не равно «безопасно» — Balancer прошёл одиннадцать. И размазывание средств по нескольким сетям одного протокола не диверсифицирует риск, если под ними общий контракт. Практичнее держать в любом DeFi-протоколе только ту сумму, потерю которой переживёте, и смотреть не только на доходность, но и на то, как команда реагирует на известные классы уязвимостей.
