Криптовалютна обмінна система Kelp DAO була піддана кібератакі, і майже всі 220 мільйонів доларів США були вимиті — блокчейн-трекінг виявився безсилним перед THORChain, Wasabi та Tornado Cash. Це не випадковий випадок — Radiant Capital щойно припинив роботу після атаки на 50 мільйонів доларів США, а вразливість Gnosis Pay продовжує розвиватися. Довірча книга міжблокчейн-мостів постійно переписується. Хакери використали THORChain, щоб перевести 175 мільйонів ETH у біткойни, а потім змішати та розділити кошти, що призвело до зростання обсягу транзакцій THORChain до 394 мільйонів доларів США за один день. Приватні інструменти не є новинкою, але цей масштаб виявив структурну проблему: чим більшою стає міжблокчейн-ліквідність, тим досконалішими стають канали вимивання грошей хакерами. Єдині заморожені 71 мільйон доларів США ETH зараз перебувають у правовому спорі — родичі жертв з Північної Кореї вимагають їх конфіскації для компенсації. За судовим забороною, чи вдасться повернути ці кошти, залишається невідомим. Безпечні припущення DeFi зміщуються від «код — це закон» до «закон — це остання лінія оборони». Для ринку це не історія про «вичерпання негативних чинників». Після кожної атаки протоколи поглиблюють аудит, але хакери також еволюціонують. Зростання вартості довіри міжблокчейн-мережам неодмінно вплине на фінансові ставки, TVL та поведінку користувачів — чи ви готові розміщувати свої активи в мережах, які можуть бути проникнуті каналами вимивання грошей? $btc #eth #defi #chaindata #ai

Не всі невдачі DeFi починаються з хаків. Firelight охопить як технічні, так і економічні невдачі, включаючи поганий борг та структурні порушення у відношеннях між забезпеченням та активами позик. Кожен клейм буде підтверджений чіткими тригерами та перевірюваними даними в блокчейні.

З запуском програми баг-баунтів надійшло величезна кількість повідомлень. Щоб надати кожному звіту належну увагу, ми призупиняємо прийом нових повідомлень, поки працюємо над чергою. Ми повідомимо про оновлення, коли програма знову відкриється. Дякуємо всім, хто вже взяв участь.

Хі. Лише ті, хто може заплатити $1 млн за заходи безпеки, залишаються на ринку. > Під час сканування Mythos було виявлено понад 20 критичних уразливостей у власному коді Palo Alto Networks, що призвело до витрати більше ніж мільйона токенів.

Bitcoin. Немає жодного крипто. «DAO більше не має жодного життєздатного шляху в майбутнє». Нездатна відновитися після кібератаки, яка коштувала їй приблизно 50 мільйонів доларів, Radiant Capital закриває свої двері.

Відновлення від білого хати: дослідник Флоран співпрацював із командою HongCoin, щоб розблокувати ~1 003 ETH (~$2 млн), які застрягли в контракті на повернення коштів ICO 2016 року через баги старої логіки переповнення/повернення. #Ethereum #SmartContractSecurity

Reentrancy розшифровано — ця помилка смартконтракту все ще виводить мільйони в 2026 році, і шаблон Checks-Effects-Interactions, який її зупиняє в коді Reentrancy — це не магія. Це помилка порядку: ваш контракт оновлює свій стан ПІСЛЯ того, як здійснює зовнішній виклик, а не до нього, і атакуючий знову викликає його під час цієї прогалини. Виправте порядок — і помилка зникне. DAO втратив близько 3,6 млн ETH (приблизно $60 млн, близько 5% усіх ETH, що тоді існували) через саме цю помилку 17 червня 2016 року. Наслідки призвели до розколу Ethereum на ETH і ETC. Десять років потому вона все ще виводить кошти. Solv Protocol втратив $2,73 млн через reentrancy 5 березня 2026 року, а в травні 2026 року було вкрадено близько $52 млн у різних onchain-протоколах (DeFiLlama через CryptoTimes, 31 травня 2026 року). Вразливий шаблон: прочитати баланс, надіслати ETH за допомогою низькорівневого виклику, а потім встановити баланс на нуль. Функція receive() атакуючого повторно входить у withdraw(), перш ніж нуль буде застосовано, і цикл продовжується, поки контракт не спорожніє. Два виправлення, які використовуються разом: Checks-Effects-Interactions. Спочатку перевірте, потім оновіть ВСІ стани, а потім здійсніть зовнішній виклик останнім. Перемістіть balances[msg.sender] = 0 вище виклику — тоді повторний виклик прочитає нуль і скасується. Захист nonReentrant від OpenZeppelin. Мутекс у сховищі (NOT_ENTERED до ENTERED), який скасовує повторний вхід. Використовуйте його РАЗОМ із CEI, а не окремо. Дві речі, які більшість розробників все ще неправильно роблять. 1. .transfer() більше не є захистом: ліміт газу 2300 перестав бути безпечним припущенням після того, як EIP-1884 підвищив вартість SLOAD у 2019 році. Використовуйте .call{value:}("") разом із CEI. 2. Тільки для читання reentrancy обходить стандартний захист, оскільки функція view, що читає під час оновлення, повертає пошкоджені дані і може отруїти оракул цін (dForce, $3,64 млн). Тільки для освітніх цілей. Не фінансова порада. Підпишіться на щоденні інсайти — де блокчейн зустрічається з ІШ, один задовольняючий свайп за раз. #Solidity #SmartContractSecurity #Web3Security #Ethereum #DeFi #SmartContracts #BlockchainDeveloper #SolidityDev #EVM #OpenZeppelin #Reentrancy #Web3Dev #BlockchainSecurity #DeFiSecurity #SmartContractAudit #CodeSecurity #OnChain #BlockchainEducation