Що сталося
DeFi став помітно безпечнішим — але небезпечним по-новому. Шестирічний звіт платформи Immunefi (дані 2020–2025) показав: втрати від експлойтів упали з піку $2,62 млрд у 2022 році до $534 млн у 2024-му — приблизно на 80%. Водночас аналітики попереджають: ризик не зник, а змінив форму — тепер одна помилка в коді мультичейн-протоколу здатна обнулити одразу кілька мереж.
Деталі
- Втрати падають. $2,62 млрд (2022) → $534 млн (2024), −80%. У 2025-му був частковий відскок до ~$680 млн (−74% від піку), але він припав на кілька великих інцидентів, а не на загальне зростання. Медіанний збиток на інцидент стиснувся з $6 млн (2022) до $1,5 млн (2025) — Immunefi.
- Старі вектори майже закрили. Частка зломів мостів обвалилася з 73% усіх втрат у 2022-му до 3% у 2025-му; флеш-лоан атаки — з 54% (2020) до менш ніж 1%. Індустрія навчилася захищати найдорожчі точки.
- Новий головний вектор — логіка протоколу. На помилки в коді самих застосунків припало близько 89% втрат 2025 року (CryptoSlate). У мультичейн-деплої той самий контракт живе на 5–6 мережах, тож єдиний баг реплікується на всі одразу.
- Свіжий приклад — Balancer V2. 3 листопада 2025-го атакувальник використав арифметичну помилку округлення в пулах і вивів ~$128 млн із шести мереж (Ethereum, Base, Arbitrum, Polygon та ін.) менш ніж за пів години. До злому код пройшов 11 незалежних аудитів (Check Point Research).
Що це означає
Цифри чесні: індустрія справді закрила «класику» — мости та флеш-лоани, на яких втрачали мільярди. Але мультичейн-експансія створила нову концентрацію ризику. Раніше діра в одному контракті била по одній мережі; тепер той самий код розгорнуто на пів десятка блокчейнів, і одна математична помилка спустошує їх одночасно.
Для користувача висновок незатишний, але корисний: «протокол пройшов аудит» більше не дорівнює «безпечно» — Balancer пройшов одинадцять. І розмазування коштів по кількох мережах одного протоколу не диверсифікує ризик, якщо під ними спільний контракт. Практичніше тримати в будь-якому DeFi-протоколі лише ту суму, втрату якої переживете, і дивитися не лише на дохідність, а й на те, як команда реагує на відомі класи вразливостей.
