Каждая моя публикация за последние недели заканчивается одной и той же фразой. Всё работает на @arc testnet. Мейннет с реальными средствами появится только после аудита безопасности, а не до него. Я это имел в виду. Данные этого года показывают, что эта фраза охватывает режим сбоя, который больше не является доминирующим. Поэтому я говорю это до того, как это сделает кто-то другой. DeFi потерял как минимум $1,3 млрд за первые восемь месяцев 2026 года, согласно данным, приписываемым Forbes и CertiK. Состав имеет большее значение, чем общая сумма: впервые в истории скомпрометированные приватные ключи обогнали уязвимости смарт-контрактов как основной вектор атак. Отрасль тратила десятилетие на то, чтобы сделать свой код поддающимся аудиту. Это сработало достаточно хорошо, и злоумышленники сместились. Три инцидента, одна форма. Drift, $285 млн 1 апреля. Не уязвимость протокола. Месяцы социальной инженерии для получения доступа к админ-ключу, затем вывод средств за 128 секунд. Подумайте об этих временных интервалах вместе. Месяцы против людей, две минуты против машин. Всё, что имело значение, произошло до подписания транзакции. KelpDAO, $290 млн спустя семнадцать дней — один скомпрометированный верификатор на его мосту. Одни учётные данные из набора, спроектированного так, чтобы ни один участник не мог действовать в одиночку. Третий инцидент — не протокол. Trezor не был взломан. Не кошельки, не прошивка, ни один семя или приватный ключ не были раскрыты. Их поставщик доставки ShipMonk был взломан через zero-day уязвимость SQL-инъекции максимальной критичности в Metabase — аналитическом инструменте, который они использовали. Август: ~13 689 клиентов. Затем 4 сентября: ещё ~67 000 американских клиентов из более раннего взаимодействия с ShipMonk, которое длилось с ноября 2019 по август 2021 года и, как считается, было удалено. Имена, электронные адреса, телефоны, адреса доставки. Для клиентской базы аппаратного кошелька это — список целей, а не просто раздражающие данные. Во всех трёх случаях криптография сработала. То, что сломалось — это человек с учётными данными, панелью поставщика и политикой хранения, которую никто не проверял. Всё это не то, на что смотрит аудит кода. Это не критика аудиторов — это граница их задачи. Поэтому фраза меняется. Перед переводом реальных средств: независимый аудит кода, описанный периметр подписания, инвентаризация поставщиков и периметр данных. Аудит — это одна из трёх мер. Никаких дат — намеренно. Публикация даты создаёт давление, а давление — это как раз то, что приводит к пропуску третьей меры. Та же форма проявляется где-то ещё — там, где вообще нет аудита кода. Аттестация резервов — стандартный контроль для стейблкоина: бухгалтерская фирма проверяет резервы и публикует отчёт ежемесячно. Реальный контроль, который работает при выполнении. Между этими проверками любой, кто решает принять инструмент, смотрит на цифру, которая может быть недельной давности, на рынке, который никогда не закрывается. cirBTC от @circle работает иначе. Данные о резервах публикуются в блокчейне через Chainlink Proof of Reserve, адреса резервов раскрываются, чтобы вы могли самостоятельно проверить хранящиеся активы в bitcoin и сравнить их с предложением; резервы не кредитуются, не заложены и не реиспользуются; BTC хранятся в банке-трасте с лицензией OCC. Аттестация — не бесполезна. Но периодический контроль и непрерывный контроль отвечают на разные вопросы, и только один из них можно задать в тот момент, когда вы его действительно нуждаетесь. Полный пост в комментариях 👇 #Security #DeFi #RiskManagement #cirBTC