Автор текста: Роман Кауфман, основатель Кауфман Lab
Роман Кауфман
Наличие аудиторского заключения больше не является гарантией сохранности средств в DeFi-протоколах. Ключевым фактором риска становится не ошибка в коде, а то, кто именно имеет право вносить изменения в смарт-контракт и сколько времени занимает исполнение этих решений (timelock).
По данным сервиса DefiLlama, во II квартале 2026 года в секторе DeFi зафиксировано 99 взломов. При этом 16 инцидентов, связанных с компрометацией ключей доступа и административных прав, принесли 45% всех финансовых потерьотрасли.
Drift и Kelp перевесили все остальные из 99 взломов DeFi во втором квартале 2026Кейс Drift: как потерять $285 млн при пройденном аудите
Весной 2026 года Solana-биржа Drift лишилась порядка $285 млн (оценка аналитической компании BlockSec). До инцидента протокол считался надежным: он регулярно проходил аудит и успешно функционировал на рынке.
Допустим, в марте вы проверили Drift по всем советам и внесли тысячу USDT. Почему проверка вас не остановила？ Своих вложений в DeFi у нас нет, поэтому ответ мы собрали по аудиту, разборам взлома и базе DefiLlama.
Механика взлома
Больше всего денег из DeFi уходит через людей, которые вправе менять программу: у них крадут ключи или выманивают подписи. У Drift программу менял «сейф», мультиподпись, где для изменения хватало подписей двоих из пяти владельцев.
Аудит Drift 2024 года отметил источник цены, а в 2026-м через него увели деньги
Вор неделями выманивал их подписи поддельными запросами и 1 апреля стал управляющим. Задержки не было, права перешли сразу. Он подключил залогом бесполезную монету с ценой, которую назначил сам, и примерно за 12 минут вывел деньги. В разборе взлома от фирмы BlockSec за 3 апреля 2026 года сказано, что уязвимости в коде не было.
Поэтому первой ищите задержку (timelock): пока объявленное изменение ждёт на виду, деньги ещё можно забрать.
Почему аудит не защищает от взлома
Аудиторская проверка фиксирует состояние кода на определенную дату, но не определяет, кто и как будет управлять им завтра.
«Прошёл аудит» значит, что внешняя фирма проверила программу на определённую дату. В случае Drift аудиторская фирма Neodyme в отчёте за май 2024 года нашла одно критическое замечание, и его исправили.
Ещё аудитор отметил, что управляющий может подключить любой источник цены монеты без проверки. Опасным это не сочли, ведь такое может только управляющий. В 2026 году вор сам стал управляющим и, по разбору издания Rekt от июля, прошёл именно там.
После взлома возвращают мало и поздно
Сколько вернуть после взлома, решает сам протокол. Пострадавшим Drift выдал токены возврата, по одному за доллар потери. По объявлению Drift от 1 октября 2026 года, их выкупает фонд, в котором около 3,1 млн USDT почти на 300 млн токенов.
Продав сейчас, вы получите около 10 USDT за потерянную тысячу. Фонд растёт из выручки, но продавший токены будущих выплат не получит. А сроки выплат крупных сумм, обещанных Tether и партнёрам, пока вообще не известны.
В России особенная ситуация. Закон о цифровых валютах (282-ФЗ, с 1 сентября 2026 года) протоколы не называет. Возместить украденное он обязывает только российского посредника перед его клиентом.
После взлома DeFi-протокола Drift фонд с 3,1 млн USDT выкупает почти 300 млн токенов возврата
Как проверить протокол за три шага
Перед размещением капитала в DeFi-протоколе необходимо провести экспресс-проверку. Данные берите строго из карточки проекта на DefiLlama, а не из поиска и чатов.
Если ваши деньги уже внутри проекта, не ждите и пройдите проверку уже сегодня.
Шаг 1.
Ищите разделы Security или Governance.
- Норма:Изменения утверждаются голосованием сообщества и имеют временную задержку на исполнение (от 1 до 7 дней, как в Aave). Это дает окно возможностей для вывода средств в случае компрометации.
- Стоп-сигнал:Временная задержка отсутствует, или параметры управления не раскрыты.
Шаг 2.
В разделе defillama.com/hacks проверьте название проекта.
Норма:Проект отсутствует в базе взломов, либо прошлые убытки были полностью компенсированы из страховых фондов.
- Стоп-сигнал:Протокол взламывался, компенсации пользователям не выплачены.
Шаг 3.
В разделе Security найдите свежие аудиторские отчеты.
- Норма:Отчет подготовлен менее 2 лет назад отчетами авторитетных компаний, а критические уязвимости (Critical High) имеют статус Fixed или Resolved.
- Стоп-сигнал:Отчету более двух лет, критические уязвимости не исправлены, либо отчет не содержит конкретики по проверяемым модулям.
Если хоть на одном из шагов появился стоп-сигнал, не вносите деньги, а уже внесенное - заберите.
Все три шага пройдены？ Тогда риск известен, но безопасным вклад не стал: программу меняют и после, и деньги могут пропасть почти целиком.
Даже полное прохождение трех шагов не гарантирует 100% безопасности. В марте 2026 года протокол Drift формально соответствовал критериям надежности. Однако 27 марта (по данным TRM Labs) разработчики убрали временную задержку (Timelock) прямо в блокчейне без публичного анонса, а через пять дней произошел взлом.
Поэтому я советую класть только ту сумму, потерю которой вы переживёте.