Что-то мне кажется, что на гитхабе таких репозиториев дефи-проектов, где случайно или намеренно хранятся приватные ключи и другая чувствительная информация, может быть немало. А учитывая то, как развивается ИИ, то не исключено, что хакеры могут начать массово шерстить подобные репозитории в поисках приватных ключей.

Думаете, всё ещё остаются протоколы, о которых можно сказать, что у них околонулевые риски? При таком количестве взломов и краж мне всё меньше в это верится. Не то чтобы я пойду туда за 4-5% годовых на стейблы (у меня и стейблы-то только на платёжной карточке есть), но всё-таки интересно, что можно советовать людям, ищущим надёжный дефай, который невозможно взломать.

У меня другое мнение по этому поводу, у меня по прежнему всё работает как швейцарские часы. Высокие риски в крипте были всегда, что касается работы, конкретно, в DeFi , то по моему, эти риски стали меньше. Риски в любых финансовых технологиях, не только в крипте, будут всегда, но рисками можно управлять.

Да, биткойн является инвестицией в чистом виде на дистанции 5+ лет при условии, что этих биткойнов много_{(у каждого своя оценка, что такое много, это далеко не всегда целый биткойн).} В ситуации когда количество биткойна сильно меньше, чем хотелось бы, а средства на увеличение этого количества сильно ограничены, инструменты DeFi позволяют достичь желаемой цели без дополнительных вложений. Это требует некоторых усилий по приобретению новых компетенций и добавляет головной боли, но оно того стоит. Если даже эти усилия не приведут к созданию состояния из карманных расходов в школе, приобретённые компетенции точно не будут лишними. Ну или, как в моём случае, что б мозги на пенсии не ржавели,... тоже польза, как ни как.

Я собрал с Defillama сведения об активах, заблокированных в разных дефай-протоколах. Она мне выдала вот такую разбивку:


Token breakdown - это общие количества токенов, которые Defillama отдаёт по API, умноженные на текущие курсы этих токенов.
/v2/chains deniminator - это TVL, который Defillama считает самостоятельно и выдаёт на главной странице сайта.

Между этими двумя цифрами есть небольшое расхождение (я так и не понял, откуда оно берётся), но оно мало на что влияет.

Действительно, получается, что основные активы там - не стейблы, как я всегда думал, а криптовалюты типа ETH и BTC. Да, похоже, что весь так называемый отток - это вовсе не отток, а всего лишь снижение курсов.

Хакеры полностью опустошили протокол конфиденциальности Hinkal

3 июля, хакеры вывели из протокола конфиденциальности Hinkal около 830 000 стейблкоинов USDC. Общая заблокированная стоимость активов (TVL) в Hinkal составляла всего $829 000 на пяти блокчейнах, то есть злоумышленники фактически опустошили весь протокол.
Специалисты по кибербезопасности компании CertiK выяснили, что злоумышленники использовали внешний аккаунт с адресом 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20, совершив несколько вызовов «Transact». Прежде неизвестные выполнили так называемый «депозит без доказательства» (proofless deposit) в одном из смарт-контрактов Hinkal, чтобы вывести средства.

Для сокрытия происхождения похищенных активов злоумышленники оперативно конвертировали украденные USDC в эфир. Затем внесли 410 ETH на сумму около $700 000 в криптомиксер Tornado Cash, а 44,67 эфиров перевели через децентрализованный мост Thorchain с блокчейна Эфириума в Биткоин. Украденные средства оказались на адресе, начинающемся с bc1qr2sf.

Хакеры атаковали Summer.fi: из DeFi-протокола похищено $6 млн

Blockaid зафиксировал эксплойт, приведший к выводу около $6 млн с Summer.fi.
SUMR снизился на 5,3% сегодня, тогда как основные криптоактивы торговались в плюсе.
Годовая доходность по пострадавшему хранилищу LVUSDC кратковременно выросла до примерно 2,08 млн%.

В ходе атаки на DeFi-протокол Summer.fi похищено около $6 млн
Blockaid сообщила, что система мониторинга зафиксировала инцидент в понедельник утром. Объем потерь оценивается примерно в $6 млн. В посте указаны ончейн-адреса, связанные с атакой:

Адрес злоумышленника: 0x7BF716167B48CF527725722C6d79494b45B3BDCa
Смарт-контракт эксплойта: 0x0514F827C129C16418a0933E03C99A6AF982FC61
Пострадавшие контракты Summer.fi и Lazy Summer:
0x98C49e13bf99D7CAd8069faa2A370933EC9EcF17
0xA9ca4909700505585B1aD2a1579dA3b670FFA9c4
0xE9cDA459bED6dcfb8AC61CD8cE08E2D52370cB06

Крупнейший в экосистеме Hedera лендинговый протокол Bonzo Lend подвергся атаке с ущербом более $9 млн. Согласно предварительному расследованию команды Bonzo Finance, злоумышленник скомпрометировал сторонний ценовой оракул и завысил котировки токена SAUCE в триллион раз. В результате он заимствовал USDC и wHBAR под практически нулевое обеспечение в 250 SAUCE.

Полный отчет об инциденте Bonzo Lend: https://bonzo.finance/blog/bonzo-lend-incident-report-oracle-provider-exploit

Это самый интересный инцидент на фоне остальных банальных взломов. Вот тут подробно: https://rekt.news/ru/bonkdao-rekt
Не понятно только что теперь хотят предъявить - взлома нет, все по протоколу. Коммерческая идея один токен - один голос привела к своему закономерному финалу, с учетом низкого порога для принятия решения (потому что "явка" всегда ничтожная). Таких дырявых DAO оказывается еще куча есть.

Протокол Solana DeFiTuna пострадал от эксплойта на $580 тыс.
Протокол DeFi на платформе Solana потерял 580 000 долларов, и более важная деталь заключается в том, где именно произошла утечка.

16 июля DeFiTuna сообщила, что примерно за семь часов до этого злоумышленник использовал уязвимость в пулах кредитования платформы, похитив 580 000 долларов и оставив пул кредитования USDC на платформе с дефицитом в 580 000 долларов. Команда заявила, что выявила и нейтрализовала вектор атаки, что расследование продолжается, и что она «работает над возвратом средств», дополнительная информация будет предоставлена ​​позже. По меркам сурового 2026 года для Solana, сумма невелика.