У першому кварталі 2025 року індустрія Web3 знову нагадала, що найбільші збитки спричиняють не лише «хакери з нульовими днями», а й слабкі процеси та людський фактор. Сукупні втрати майже дотягнулися до $2 млрд, і це стало тривожним сигналом для бірж, DeFi-протоколів та інвесторів. Досвідчений експерт з кібербезпеки підкреслює: правильно вибудувана операційна дисципліна часто дає більше, ніж точкові технічні патчі.
Чому Web3 втрачає мільярди: не тільки смартконтракти, а й процеси
Розбір інцидентів за I квартал 2025 року показує парадокс: уразливості смартконтрактів дали невелику частку загальних втрат, тоді як основний удар припав на операційні помилки, недостатні заходи безпеки та соціальну інженерію. Це означає, що ризик часто живе поза кодом: у доступах, регламентах, ролях і швидкості реакції. Для Web3-сектора це особливо болісно, адже транзакції незворотні, а репутаційні втрати множать фінансові.
Практичний приклад: централізована біржа може мати сильну периметрову безпеку, але програти через неправильне управління ключами або слабкий контроль доступу до гарячих гаманців. У DeFi інша картина: навіть за якісного аудиту смартконтракту протокол може втратити кошти через помилки в налаштуваннях адмін-прав або через компрометацію мультипідпису. Тому оцінка ризиків має включати не лише аудит коду, а й перевірку «ланцюга людей і процесів» навколо активів.
Типова помилка команд — сприймати кібербезпеку як разову дію: провели аудит, увімкнули мультипідпис і заспокоїлися. Експерт радить мислити циклічно: інвентаризація активів, моделювання загроз, контроль змін, регулярні перевірки доступів і навчання персоналу. Важливо також мати зрозумілий план реагування на інциденти та контактні лінії з провайдерами, біржами й аналітиками. Короткий висновок: у Web3 «процеси» захищають не гірше за «технології», якщо вони живі та перевіряються.
Операційні помилки, мультипідписи та контроль доступу: де найчастіше «протікає»
Операційні помилки стали ключовим драйвером інцидентів, і це включає все — від неправильних прав у хмарі до невдалих процедур підпису транзакцій. Мультипідпис сам по собі не гарантує безпеку: якщо учасники підпису працюють з незахищених пристроїв, зберігають seed-фрази поруч із робочими матеріалами або не перевіряють «що саме підписується», система перетворюється на формальність. Додатково ризик посилюють поспіх, нічні релізи та відсутність другої пари очей.
Практичний розбір: часто атакувальники не «ламають» криптографію, а підміняють контекст. Наприклад, через фішинг або соціальну інженерію співробітнику підсовують транзакцію, яка виглядає як рутинне переміщення ліквідності, але фактично дає дозвіл на виведення активів. Інший сценарій — слабкий контроль доступу: один акаунт має надмірні права, а журнали дій не моніторяться. Навіть у DeFi це можливо, якщо адмін-ключі або ролі керування налаштовані без принципу мінімальних привілеїв.
Найпоширеніші промахи — відсутність сегментації доступів, нерегулярна ротація ключів, зберігання критичних секретів у небезпечних місцях та ігнорування перевірок після змін у команді. Фахівець радить: налаштувати багаторівневу авторизацію, використовувати апаратні гаманці для підписантів, впровадити політики «двох кроків» для великих переказів і обов’язкові «time-lock» механізми там, де це можливо. Підсумок: контроль доступу та дисципліна підпису — найкоротший шлях до зменшення втрат.
Уроки гучних інцидентів: біржі, rug pull і менш помітні атаки на DeFi
Найбільші заголовки зазвичай отримують зломи централізованих бірж, і випадок із Bybit, де викрадали понад $1,46 млрд, показав масштаб ризиків зберігання активів у великих кастодіальних системах. Такі події швидко підривають довіру інвесторів, провокують відтік ліквідності та змушують переоцінювати моделі зберігання. Водночас інциденти типу rug pull — як історія з токеном LIBRA, де інсайдери заробили понад $300 млн, — демонструють іншу проблему: ризик управління та чесності емітента.
Практичний висновок для команд і користувачів: потрібні різні запобіжники для різних загроз. Для бірж критичні холодні сховища, розділення гарячих/холодних гаманців, незалежні процедури виведення і постійний моніторинг аномалій. Для токенів і запусків важлива прозорість: розподіл токенів, вестинг, публічні гаманці команди, контроль ліквідності, обмеження привілеїв та зрозуміла модель оновлень. Для DeFi показові кейси втрат на кшталт Infini, zkLend чи Ionic: суми менші, але повторюваність вказує на системні прогалини в операційній безпеці.
Найчастіша помилка — реагувати лише на «великий» інцидент і не помічати дрібні сигнали: підозрілі дозволи, нетипові транзакції, зміну поведінки акаунтів або нові домени, що імітують бренд. Досвідчений експерт радить вводити постійне спостереження за ризиками: алерти на великі перекази, контроль approvals, перевірку адрес контрагентів і сценарії дій при підозрі на компрометацію. Короткий підсумок: гучні кейси вчать тому, що превенція дешевша за відновлення, а інсайдерські ризики не менш небезпечні за хакерські атаки.
Web3 у 2025 році потребує не лише сильнішого коду, а й зрілих практик управління: доступами, ключами, ролями та інцидент-менеджментом. Майже $2 млрд втрат за квартал — це наслідок прогалин у процесах, соціальної інженерії та надмірної довіри до формальних «галочок» на кшталт мультипідпису. Практична порада: почати з регулярного перегляду прав доступу та сценаріїв підпису транзакцій, адже саме там найчастіше ховається критичний ризик.