Почему взламывают криптокошельки: украденные ключи дороже ошибок в коде

Чаще всего взламывают криптокошельки через ключи и людей, которые их хранят. В отчёте CertiK за первое полугодие 2026 года самым дорогим типом атак стала компрометация кошельков.

За полгода CertiK насчитала потери на $1,32 млрд в 344 инцидентах. Три самых дорогих типа атак:

• компрометация кошельков: $444,5 млн в 33 инцидентах;
• фишинг: $366,3 млн в 63 инцидентах;
• уязвимости в коде: $151,6 млн в 204 инцидентах.

По нашему подсчёту, один взлом кошелька в среднем стоил около $13,5 млн, а одна ошибка в коде около $740 тыс.

Ошибки в коде случаются примерно в шесть раз чаще, но в сумме принесли втрое меньше. Фишинговая атака в среднем обошлась в $5,8 млн.

Четыре пути к вашим деньгам

Первый путь это украденная сид-фраза. У кого она есть, тот владеет кошельком, и взламывать больше ничего не нужно. Фразы утекают через скриншоты, заметки в облаке, шпионские программы и фальшивую поддержку. В октябре пользователь Trust Wallet связал потерю $68 тыс. со шпионской программой на iPhone.

Второй путь это подпись. Фишинговый сайт просит подписать разрешение, по которому контракт потом сможет забрать ваши токены. В кошельке это выглядит как обычное окно подтверждения, и вы его нажимаете.

Третий путь называют отравлением адреса. Злоумышленник подкладывает в историю транзакций похожий адрес и ждёт, когда вы его скопируете. В декабре 2025 года трейдер так потерял около $50 млн в USDT, хотя перед этим отправил пробный перевод.

Четвёртый путь обходится без программ: деньги отдают под угрозой насилия. Такие нападения называют атаками с гаечным ключом. По данным CertiK, к маю 2026 года в мире подтвердили 34 такие атаки.

Большинство из них, 82%, пришлись на Европу. Потери за первые четыре месяца года CertiK оценила в $101 млн.

Где больше всего жертв

Личные кошельки отдельно считает Chainalysis. В 2025 году она насчитала 158 тыс. взломов.

Пострадавших было не меньше 80 тыс. Больше всего жертв пришлось на сеть Solana, около 26,5 тыс. Чаще всего в пересчёте на активные кошельки воровали в Ethereum и Tron. Наш чек-лист защиты разбирает эти цифры подробнее.

Что это значит для вас

Злоумышленникам нужны от вас две вещи: сид-фраза и подпись. Держите фразу вне любых устройств, подключённых к интернету, и читайте, что именно кошелёк просит подписать, прежде чем согласиться.

Аппаратный кошелёк закрывает путь через шпионские программы: вредонос на телефоне не прочитает ключ, которого там нет. От плохой подписи он не спасёт, поэтому вторая привычка всё равно нужна. Способы защиты по каждому пути мы собрали в отдельном разборе.

Данные о потерях взяты у CertiK и Chainalysis, средние суммы на инцидент мы посчитали сами. Материал носит общий характер и не заменяет проверку безопасности вашей собственной схемы хранения.