Что произошло
Компания Blockaid, которая защищает криптокошельки и протоколы, 19 октября выпустила отчёт 2026 Fund Recovery Threat Landscape. Она проследила судьбу денег из 60 крупных ончейн-взломов с 5 января по 5 августа 2026 года — вместе они унесли около $1,18 млрд. На дату среза, 2 сентября, жертвам вернули $9,8 млн, то есть меньше 1%. Ещё $81,4 млн заморожено, но владельцам пока не отдано, а $287,1 млн лежат на известных адресах хакеров в активах, которые заморозить некому.
Детали
Главная цифра — скорость. В 59 случаях с полной трассировкой украденное начинало двигаться в медиане через 17 минут после атаки: в 22% случаев — в первую же минуту, к концу первого часа — в 68%.
Порядок выхода тоже показателен. Первым делом, в типичном случае через 18 минут, деньги идут на DEX — децентрализованную биржу, где стейблкоин вроде USDC, который эмитент может заблокировать, меняют на ETH, у которого эмитента нет. Централизованные биржи появляются примерно через 19 часов, мосты — через 2,7 дня, миксеры — через 6,3 дня. По выводу Blockaid, шанс вернуть деньги обычно теряется на первом обмене, а не в миксере.Что показал отчёт (оценка на 2 сентября 2026) Сумма Украдено в 60 инцидентах $1,18 млрд Возвращено жертвам $9,8 млн Заморожено, но не возвращено $81,4 млн На виду, но заморозить нельзя (16 инцидентов) $287,1 млн Заморозить можно, но никто не сделал (19 инцидентов) $97,2 млн
Хоть что-то вернуть или заморозить удалось лишь в 5 случаях из 60, и 99% этих $91,2 млн дали механизмы самих сетей и протоколов. Совет безопасности Arbitrum 20 апреля заморозил 30 766 ETH (около $71 млн) после взлома KelpDAO, валидаторы Stellar изолировали $6,9 млн после атаки на Blend. Блокировка адреса эмитентом стейблкоина и заморозка депозита на бирже не дали за год ни доллара.
Около $229 млн из тех $287,1 млн, что на виду, но вне досягаемости, — это взлом Solana-протокола Drift 1 апреля: 107 165 ETH на трёх адресах. Elliptic оценивал ущерб в $286 млн и связывает атаку с хакерами КНДР: украденное меняли на USDC, переводили мостом на Ethereum и там конвертировали в ETH.
Что это значит
Отчёт касается прежде всего тех, кто держит деньги внутри DeFi-протоколов — в лендингах, мостах, рестейкинге. Фишинг частных кошельков Blockaid намеренно не считал, речь о взломах самих площадок. Для их пользователей вывод жёсткий: в 55 случаях из 60 не заморожено и не возвращено ничего.
Почему решают минуты: за 17 минут вручную не успевает среагировать ни пользователь, ни команда протокола. Срабатывают только заранее встроенные рычаги — совет безопасности, пауза контрактов, валидаторы, способные отклонить транзакции. Есть ли такой механизм у протокола и кто им управляет, видно в его документации ещё до депозита. Расчёт на заморозку USDC эмитентом или на биржу в 2026 году не оправдался: оба канала дали $0. Чем такая модель отличается от банка и биржи, мы разбирали в материале о том, кто держит ключи и кто замораживает средства.
Горизонт открыт: $287,1 млн можно будет заморозить, как только они попадут на биржу или в стейблкоин, а уход в миксер оборвёт след. У Drift в конце июля 23 095 ETH ушли именно в миксер. Пересчёт Blockaid обещает при следующем срезе данных.
Контекст
В июле Blockaid выпустила отчёт за первое полугодие — 212 взломов на $1,1 млрд. Новый документ отвечает на следующий вопрос: что стало с украденными деньгами.
