Trzy mosty krypto padły w 7 godzin. Zniknęło 35 milionów dolarów

Kluczowe wnioski:

W nocy z 22 na 23 lipca ktoś opróżnił trzy różne mosty blockchain, czyli programy przerzucające pieniądze między sieciami. Łącznie wyparowało 35,55 mln USD.
Największą ofiarą jest giełda AFX Trade na Arbitrum. Straciła 24,15 mln USD po tym, jak napastnik przejął klucze podpisujące jej most.
Most jest dziś ulubionym celem włamywaczy, bo trzyma w jednym miejscu pieniądze wielu osób naraz. Jedna dziura odsłania całą pulę.
Drugi kwartał 2026 był najgorszy w historii krypto pod względem włamań. To nie jednorazowy pech, to wzorzec.

Lubię, gdy branża nazywa rzeczy po imieniu, a serwisy o bezpieczeństwie ochrzciły środę mianem „dnia hakerów". Trudno im się dziwić. W siedem godzin, między wieczorem 22 lipca a rankiem 23 lipca, padły trzy niezależne mosty blockchain. Z portfeli użytkowników zniknęło 35,55 mln USD. To nie był jeden wielki skok, tylko trzy pod rząd.

Co dokładnie padło i za ile

AFX Trade, giełda kontraktów działająca na sieci Arbitrum i rozliczająca się w stablecoinie USDC, straciła 24,15 mln USD. Napastnik przejął klucze podpisujące most, który obsługuje giełda, czyli cyfrowe pieczątki potwierdzające przelewy. Potem przerzucił skradzione USDC na Ethereum i zamienił je na około 12 467 etherów.

Druga ofiara to most Ethereum projektu VerusCoin, z którego wyprowadzono 7,55 mln USD. Tu robi się nieprzyjemnie, bo firma Blockaid, która bada takie incydenty, stwierdziła, że to ten sam kontrakt, ta sama ścieżka wejścia i ta sama klasa błędu co w maju. Dziurę znano od dwóch miesięcy i nadal nie została załatana.

Trzeci padł B² Network, tracąc 3,86 mln USD po przejęciu uprawnień do aktualizacji kontraktu, w którym użytkownicy blokują swoje monety. Zespół zaproponował potem włamywaczowi immunitet w zamian za częściowy zwrot. Taka propozycja mówi o desperacji więcej niż niejedno oświadczenie.

Dlaczego akurat mosty

Most robi jedną rzecz: blokuje twoje środki po jednej stronie i wybija ich odpowiednik po drugiej. Żeby to działało, musi trzymać w jednym kontrakcie pieniądze wielu osób jednocześnie. I tu jest cały problem. Skarbiec z jednym zamkiem, w którym leży gotówka całej okolicy, kusi bardziej niż sto oddzielnych portfeli.

Doszła do tego zmiana taktyki. Włamywacze coraz rzadziej szukają błędu w kodzie, a coraz częściej podchodzą ludzi, żeby wyłudzić klucze. Dokładnie tak padło AFX Trade. Nie złamano tam matematyki, tylko przejęto pieczątki.

To nie pech, to wzorzec

Drugi kwartał 2026 przeszedł do historii jako najbardziej zhakowany kwartał w dziejach krypto. Naliczono 70 exploitów i około 746 mln USD strat, a grupy powiązane z Koreą Północną odpowiadają za mniej więcej dwie trzecie tego, co ukradziono w pierwszym półroczu. Trzy środowe włamania nie są więc anomalią, tylko kolejnym odcinkiem tego samego serialu.

Wracam tu do swojego ulubionego tematu. Obietnica bez egzekucji jest niczym. Audyt, program nagród za znalezione luki i zapewnienia o bezpieczeństwie brzmią dobrze, dopóki majowa dziura nie zarabia w lipcu drugi raz. VerusCoin miał dwa miesiące i ich nie wykorzystał.

Co to oznacza dla Ciebie

Jeśli trzymasz środki na moście albo na giełdzie działającej między sieciami, potraktuj to jak przechowalnię, nie jak skarbiec. Zostawiaj tam tylko tyle, ile realnie potrzebujesz do transakcji, a resztę trzymaj we własnym portfelu, do którego klucze masz wyłącznie Ty. Zanim wskoczysz na nowy, modny most, sprawdź, czy zdążył załatać wcześniej zgłaszane luki. Historia VerusCoin pokazuje, że to nie jest pytanie teoretyczne.

I trzymam się realizmu, bez straszenia. Nawet most z audytem i dobrą reputacją może paść, jeśli wyciekną klucze, tak jak w AFX Trade. Nie da się tego ryzyka wyzerować, da się je za to ograniczyć wielkością tego, co tam zostawiasz. To dokładnie ten typ ryzyka, który wolę policzyć na chłodno, zanim zamienię wygodę na cudzy dostęp do moich pieniędzy.

Indeks Strachu i Chciwości

Co dokładnie padło i za ile

Dlaczego akurat mosty

To nie pech, to wzorzec

Co to oznacza dla Ciebie

O autorze

Newsletter Bitcoin.pl