როდესაც ახალი ამბები იტყობინება, რომ ჰაკერებმა ასობით მილიონი დოლარის კრიპტოვალუტა მოიპარეს, ბევრს მარტივი სურათი წარმოუდგენია: თითქოს ბლოკჩეინი გატყდა. თუმცა უმეტეს გახმაურებულ შემთხვევაში პრობლემა არ ყოფილა Bitcoin, Ethereum ან განაწილებული რეესტრის იდეა. ჩვეულებრივ ზიანდება ის, რაც კრიპტოვალუტის გარშემო არსებობს: ბირჟები, საფულეები, cross-chain bridge-ები, სმარტ კონტრაქტები, შიდა პროცესები, ინტერფეისები, თანამშრომელთა წვდომები და გასაღებების შენახვის სისტემები.

ამიტომ ყველაზე დიდი კრიპტოჰაკების ისტორია მხოლოდ დრამატული ქურდობების ჩამონათვალი არ არის. ეს არის ბაზრის მომწიფების ისტორიაც. თითოეულმა დიდმა ინციდენტმა ინდუსტრიას აჩვენა, სად იყო მისი სუსტი წერტილები.

რას ესხმიან თავს ყველაზე ხშირად კრიპტოინდუსტრიაში

კრიპტოვალუტა იზოლირებულად არ არსებობს. აქტივების ყიდვის, გაყიდვის, გაცვლის ან გადარიცხვისთვის მომხმარებელი, როგორც წესი, სერვისებთან ურთიერთობს: ბირჟებთან, swap-პლატფორმებთან, საფულეებთან, DeFi პროტოკოლებთან, cross-chain bridge-ებთან, გადახდის გადაწყვეტილებებთან და კასტოდიულ პლატფორმებთან. თითოეულ ამ კომპონენტს რისკის საკუთარი ზონა აქვს.

ბირჟამ შეიძლება წვდომები ცუდად მართოს. hot wallet შეიძლება ინტერნეტთან იყოს დაკავშირებული და მოსახერხებელი სამიზნე გახდეს. სმარტ კონტრაქტში შეიძლება ლოგიკური ხარვეზი იყოს. ქსელებს შორის bridge-მა შეიძლება უზარმაზარი თანხები ერთ ტექნიკურად რთულ ადგილზე მოაქციოს. თანამშრომელი, ადმინისტრატორი ან თავად მომხმარებელი კი შეიძლება phishing-ის, ყალბი ბმულებისა და სოციალური ინჟინერიის სამიზნე გახდეს.

სუსტი რგოლი თითქმის ყოველთვის არა ბლოკჩეინის შიგნით, არამედ იმ წერტილში ჩნდება, სადაც აქტივები სერვისების, კომპანიებისა და ადამიანების კონტროლქვეშ გადადის.

Mt. Gox: როდესაც ბაზარმა ჯერ არ იცოდა, როგორ შეენახა მილიარდები

2010-იანი წლების დასაწყისში Mt. Gox უბრალოდ ერთ-ერთი ყველაზე დიდი ბირჟა არ იყო. ის მსოფლიოში Bitcoin-ტრანზაქციების დაახლოებით 70%-ს ამუშავებდა. იმ პერიოდის მომხმარებლების უმეტესობისთვის ეს იყო კრიპტოვალუტის სამყაროში შესვლის მთავარი და ხშირად ერთადერთი გზა.

2014 წლის თებერვალში ყველაფერი ჩამოიშალა. ბირჟამ გაკოტრება გამოაცხადა და განაცხადა, რომ დაახლოებით 850,000 BTC გაქრა, საიდანაც დაახლოებით 750,000 მომხმარებლებს ეკუთვნოდათ. მაშინდელი კურსით ეს ასობით მილიონი დოლარი იყო. დღევანდელ ფასებში კი ეს მაჩვენებელი იმდენად დიდია, რომ მისი წარმოდგენაც რთულია.

ამ ისტორიაში ყველაზე შემაშფოთებელი ის არის, რომ პრობლემები ერთ დღეში არ გაჩენილა. გამოძიებების მიხედვით, თანხების ნაწილი წლების განმავლობაში, 2011 წლიდან ქრებოდა. ბირჟის შიგნით სათანადო აღრიცხვა არ არსებობდა. გასაღებები დაუდევრად ინახებოდა. თანხების მოძრაობაზე კონტროლი თითქმის არ იყო. მენეჯმენტმა ან ვერ შენიშნა, რა ხდებოდა, ან არსებითი ზომები არ მიიღო.

მოგვიანებით ძველ საფულეებში დაახლოებით 200,000 BTC იპოვეს, რომლებიც, როგორც ჩანს, უბრალოდ დავიწყებული იყო. კრედიტორები საკუთარ თანხებს ათ წელზე მეტხანს ელოდნენ, ხოლო დაბრუნების ვადა შემდეგ კვლავ 2026 წლის ოქტომბრამდე გადაიწია. ამ საქმეს იაპონიაში ბირჟის ხელმძღვანელის, მარკ კარპელესის, სისხლისსამართლებრივი დევნაც მოჰყვა.

Mt. Gox მთელი ბაზრისთვის მტკივნეული გაკვეთილი გახდა. სერვისის პოპულარობა არაფერს ამბობს მისი შიდა ინფრასტრუქტურის ხარისხზე. მილიონობით მომხმარებელმა თანხები პლატფორმას მიანდო ისე, რომ ვერ ამოწმებდა, როგორ მუშაობდა სინამდვილეში შენახვის სისტემა. როდესაც ყველაფერი ცხადი გახდა, უკვე გვიანი იყო.

Coincheck: hot wallet-ები და კომფორტის ფასი

2018 წლის იანვარში იაპონურმა ბირჟა Coincheck-მა დაახლოებით 523 მილიონი NEM ტოკენი დაკარგა, რაც მაშინდელი კურსით დაახლოებით 530 მილიონ დოლარს შეადგენდა. ეს ჰაკი განსაკუთრებულია, რადგან პრობლემის თავიდან აცილება მარტივად შეიძლებოდა. NEM-ის დეველოპერებმა ბირჟას წინასწარ შესთავაზეს multi-signature დაცვის მექანიზმი, ანუ სისტემა, სადაც ტრანზაქციას ერთი გასაღების ნაცვლად რამდენიმე მხარის დადასტურება სჭირდება. Coincheck-მა ამაზე უარი თქვა.

ყველა ტოკენი ერთ hot wallet-ში ინახებოდა, რომელიც მუდმივად იყო ინტერნეტთან დაკავშირებული და დამატებითი დაცვის გარეშე მუშაობდა. როგორც კი თავდამსხმელებმა ამ საფულეზე წვდომა მიიღეს, მათ ერთდროულად ყველაფრის გატანა ვერაფერმა შეუშალა, და სწორედ ასე მოხდა.

Coincheck-მა დაზარალებულ მომხმარებლებს საბოლოოდ საკუთარი სახსრებიდან აუნაზღაურა ზიანი, დაახლოებით 425 მილიონი დოლარი. ასეთი რეაქცია ინდუსტრიაში იშვიათია და ბირჟას ძვირი დაუჯდა. მოგვიანებით პლატფორმა საინვესტიციო ჯგუფმა Monex-მა შეიძინა და მან მუშაობა ახალი მენეჯმენტის ქვეშ გააგრძელა.

მაგრამ ამ ისტორიის მთავარი საკითხი ის არ არის, ვინ ვის გადაუხადა. მთავარი ისაა, რომ აქტივების hot wallet-ში დამატებითი დაცვის გარეშე შენახვა შეგნებული არჩევანია სიჩქარისა და მოხერხებულობის სასარგებლოდ და უსაფრთხოების ხარჯზე. cold wallet მუდმივად არ არის ინტერნეტთან დაკავშირებული და ყოველდღიური ოპერაციებისთვის მოუხერხებელია, სწორედ ამიტომ მისი შეტევა ბევრად რთულია. Coincheck-მა კომფორტზე დადო ფსონი და სხვისი ნახევარი მილიარდი დოლარი რისკზე დააყენა.

კარგი გაცვლითი კურსი და სასიამოვნო ინტერფეისი ბირჟის მხოლოდ ხილული ნაწილია. აქტივების შენახვის არქიტექტურა თითქმის ყოველთვის კადრს მიღმა რჩება. მომხმარებლები მის შესახებ, როგორც წესი, მხოლოდ მაშინ იგებენ, როდესაც რამე არასწორად მიდის.

Poly Network და Wormhole: როდესაც კოდის შეცდომა ძალიან ძვირი ჯდება

DeFi-ის ზრდასთან ერთად რისკებიც უფრო რთული გახდა. თუ ადრე მთავარი საფრთხე ცენტრალიზებულ ბირჟებს უკავშირდებოდა, მოგვიანებით ყურადღება სმარტ კონტრაქტებსა და იმ პროტოკოლებზე გადავიდა, რომლებიც ავტომატურად მუშაობენ.

Poly Network და Wormhole ამის ორი თვალსაჩინო მაგალითია. 2021 წლის აგვისტოში თავდამსხმელმა Poly Network-ს შეუტია, პროტოკოლს, რომელიც აქტივების სხვადასხვა ბლოკჩეინს შორის გადაადგილებას უზრუნველყოფს. მოწყვლადობა სმარტ კონტრაქტის ლოგიკაში იყო, კერძოდ იმ ნაწილში, რომელიც განსაზღვრავდა, ვის ჰქონდა თანხების გადარიცხვის პარამეტრების შეცვლის უფლება. ჰაკერმა იპოვა გზა, რომ კონტრაქტი დაერწმუნებინა: თითქოს ის უფლებამოსილი მისამართი იყო. ასე მან ერთდროულად რამდენიმე ქსელში, Ethereum-ში, BSC-სა და Polygon-ში, საფულეებზე კონტროლი მოიპოვა.

რამდენიმე საათში პროტოკოლიდან 610 მილიონ დოლარზე მეტი გავიდა. ეს დღემდე DeFi-ის ისტორიაში ერთ-ერთ ყველაზე დიდ ჰაკად ითვლება.

შემდეგ მოულოდნელი რამ მოხდა. ჰაკერმა თანხების დაბრუნება დაიწყო. მისი თქმით, შეტევის მიზანი მოწყვლადობის დემონსტრირება იყო და არა ქურდობა. საბოლოოდ მთელი თანხა დაბრუნდა, ხოლო Poly Network-მა თავდამსხმელს უსაფრთხოების მრჩევლის როლიც კი შესთავაზა. ბაზარმა შვებით ამოისუნთქა, მაგრამ დაძაბული შეგრძნება დარჩა, რადგან იგივე მოწყვლადობის შემდეგი აღმომჩენი შეიძლება სრულიად სხვაგვარად მოქცეულიყო.

2022 წლის თებერვალში Wormhole-მა იგივე ლოგიკა აჩვენა, მაგრამ სხვა შედეგით. Wormhole არის bridge Solana-სა და Ethereum-ს შორის. თავდამსხმელმა ციფრული ხელმოწერების შემოწმების მექანიზმში მოწყვლადობა იპოვა. პრობლემა ის იყო, რომ კონტრაქტი ენდობოდა გარკვეული ტიპის service account-ს, რომელიც სისტემის მიმდინარე ვერსიაში აღარ გამოიყენებოდა, თუმცა ამ ანგარიშების სტატუსის შემოწმება საკმარისად მკაცრი არ იყო.

ჰაკერმა ეს გამოიყენა, საჭირო ხელმოწერა გააყალბა და Solana-ს მხარეს 120,000 wrapped ETH შექმნა ისე, რომ Ethereum-ის მხარეს რეალური უზრუნველყოფა არ არსებობდა. პროტოკოლიდან ერთი ოპერაციით დაახლოებით 320 მილიონი დოლარი გავიდა. თანხები საბოლოოდ Jump Crypto-მ აღადგინა, კომპანიამ, რომელიც პროექტს აფინანსებდა. მომხმარებლები ზარალს გადაურჩნენ, მაგრამ მხოლოდ იმიტომ, რომ bridge-ის უკან დიდი რესურსების მქონე ინვესტორი იდგა. DeFi პროტოკოლების უმეტესობას ასეთი ბალიში არ აქვს.

სმარტ კონტრაქტი არ აფასებს, პატიოსან მომხმარებელთან აქვს საქმე თუ თავდამსხმელთან. ის უბრალოდ ასრულებს მასში ჩაწერილ ლოგიკას. თუ ამ ლოგიკაში შეცდომაა, ავტომატიზაცია დაცვას არ იძლევა. ჩვეულებრივი ტრანზაქციის სიჩქარით ის მცირე მოწყვლადობას უზარმაზარ პრობლემად აქცევს. DeFi-ში ავტომატიზაცია ორივე მიმართულებით მუშაობს. როდესაც პროტოკოლი სწორად ფუნქციონირებს, ყველაფერი რიგზეა. როდესაც ასე არ ხდება, შეცდომა მყისიერად ვითარდება და არავინ არის, ვინც მას გააუქმებს.

Ronin Network: რატომ გახდა bridge-ები ჰაკერების საყვარელი სამიზნე

2022 წლის მარტში გავრცელდა ინფორმაცია Ronin Network-ზე შეტევის შესახებ. ეს იყო blockchain, რომელიც თამაშ Axie Infinity-სთვის შეიქმნა. ქსელიდან დაახლოებით 173,600 ETH და 25.5 მილიონი USDC გავიდა, ჯამში დაახლოებით 625 მილიონი დოლარი. მოგვიანებით შეტევა ჩრდილოეთკორეულ ჯგუფ Lazarus-ს დაუკავშირეს.

მნიშვნელოვანია გავიგოთ, როგორ მოხდა ეს, რადგან აქ გატეხილი იყო არა კოდი ჩვეულებრივი გაგებით, არამედ წვდომების მართვის არქიტექტურა. Ronin ტრანზაქციების დასადასტურებლად ცხრა ვალიდატორის სისტემას იყენებდა. თანხის გამოსატანად მინიმუმ ხუთი მათგანის ხელმოწერა იყო საჭირო. ერთი შეხედვით ეს სანდო კონფიგურაციას ჰგავდა. მაგრამ რამდენიმე თვით ადრე Sky Mavis-მა, კომპანიამ, რომელიც Axie Infinity-ის უკან დგას, თამაშის სწრაფი ზრდის პერიოდში ქსელზე დატვირთვის შესამცირებლად პროცესი დროებით გაამარტივა.

ამისთვის მან Axie DAO-ს მისცა უფლება, ტრანზაქციებზე მისი სახელით მოეწერა ხელი. როდესაც დატვირთვა შემცირდა, ეს ტექნიკური წვდომა არავის გაუუქმებია.

თავდამსხმელებმა Sky Mavis-ის ოთხი ვალიდატორის private key დააკომპრომეტირეს, მეხუთე კი სწორედ იმ მოძველებული Axie DAO წვდომის მეშვეობით მიიღეს. ხუთი ხელმოწერა საკმარისი აღმოჩნდა. ტრანზაქციები ისე გავიდა, თითქოს ყველაფერი წესრიგში იყო.

ყველაზე შემაშფოთებელი ისაა, რომ შეტევა მხოლოდ ექვსი დღის შემდეგ აღმოაჩინეს, როდესაც მომხმარებელმა თანხის გამოტანა სცადა და ვერ შეძლო. მანამდე სისტემას არ გაუცია ავტომატური სიგნალი, რომ რაღაც უცნაური ხდებოდა.

ეს კარგად აჩვენებს, რომ შეტევის სამიზნე მხოლოდ კოდი არ არის. შეტევა შეიძლება მიმართული იყოს პროცესებზე, წვდომების მართვაზე და ძველ ნებართვებზე, რომელთა გაუქმებაც არავის გახსენებია. ინფრასტრუქტურის მეტი სირთულე ყოველთვის ნიშნავს მეტ წერტილს, რომლებიც ერთდროულად უნდა კონტროლდებოდეს.

bridge-ები კრიპტოინფრასტრუქტურის ერთ-ერთი ყველაზე მოწყვლადი ნაწილია. ისინი დიდ თანხებს აკონცენტრირებენ, ტექნიკურად რთულია და ხშირად სწრაფად შენდება მზარდი მოთხოვნის დასაკმაყოფილებლად. დაბალი საკომისიო და მაღალი სიჩქარე მხოლოდ გარედან ხილული მხარეა. მათ უკან დგას აუდიტები, არქიტექტურული გადაწყვეტილებები, გუნდის რეპუტაცია და კითხვა: რა ხდება მაშინ, როდესაც რაღაც არასწორად მიდის.

Bybit: შეტევის ახალი დონე

2025 წლის თებერვალში მოხდა ჰაკი, რომელმაც შეცვალა ბაზრის წარმოდგენა იმაზე, როგორ შეიძლება საერთოდ დაესხან თავს დიდ ბირჟას. Bybit-მა დაახლოებით 1.5 მილიარდი დოლარის Ethereum დაკარგა, რაც ისტორიაში ყველაზე დიდ კრიპტოქურდობად იქცა. გატანილი იყო 401,000 ETH-ზე მეტი. FBI-მ შეტევა TraderTraitor-ს დაუკავშირა, იმავე ჩრდილოეთკორეულ ჯგუფს, რომელიც ინდუსტრიაში ბევრ სხვა დიდ ქურდობასთანაც არის დაკავშირებული.

Bybit იყენებდა Safe-ზე დაფუძნებულ multi-signature საფულეს, რომელიც ადრე Gnosis Safe-ის სახელით იყო ცნობილი და კორპორატიული კრიპტოშენახვის ერთ-ერთ ყველაზე საიმედო გადაწყვეტილებად მიიჩნევა. თითოეული ტრანზაქციის დასამტკიცებლად რამდენიმე უფლებამოსილი თანამშრომლის თანხმობა იყო საჭირო. გარედან ეს მომწიფებულ და სწორად აწყობილ სისტემას ჰგავდა.

თავდამსხმელები პირდაპირ საფულეს არ დასხმიან თავს. მათ სამიზნედ აირჩიეს ინფრასტრუქტურა, რომლის მეშვეობითაც თანამშრომლები ტრანზაქციებს ხედავდნენ და ხელს აწერდნენ. მათ ერთ-ერთი პროვაიდერის ინტერფეისის კომპრომეტირება შეძლეს, რის გამოც თანამშრომლები ეკრანზე კანონიერ ტრანზაქციას ხედავდნენ, სინამდვილეში კი ხელს აწერდნენ საფულის სმარტ კონტრაქტის ლოგიკის შეცვლას. ფაქტობრივად, მათ საკუთარი ხელით გადასცეს თავდამსხმელებს საცავზე კონტროლი. ამის შემდეგ თანხები ერთ მომენტში გაიტანეს.

შეტევა ფრთხილად იყო მომზადებული. ის brute force-ს არ ეყრდნობოდა. ის ადამიანების ნაცნობი ინსტრუმენტის მიმართ ნდობაზე იყო აგებული. თანამშრომლები ნაცნობ ინტერფეისს ხედავდნენ, თანხას ამოწმებდნენ და confirm-ს აჭერდნენ. სწორედ ეს აღმოჩნდა ბირჟის წინააღმდეგ გამოყენებული.

Bybit მთელი ბაზრისთვის შეხსენება გახდა, რომ უსაფრთხოება ერთი პარამეტრი ან ერთი ინსტრუმენტი არ არის. ეს არის სისტემა, რომელიც ყოველდღე უნდა მუშაობდეს. მნიშვნელოვანია, ვინ და როგორ აწერს ხელს ოპერაციებს, რამდენი შემოწმების ფენას გადის გადარიცხვა, როგორ კონტროლდება საეჭვო მისამართები, ვის აქვს კრიტიკულ მოქმედებებზე წვდომა და რა ხდება, როდესაც რამე გეგმის მიხედვით არ მიდის.

რა აქვს საერთო ყველაზე დიდ კრიპტოჰაკებს

ამ ისტორიების დეტალები განსხვავდება. ზოგ შემთხვევაში პრობლემა შენახვის სისტემაში იყო. ზოგან კოდში არსებობდა მოწყვლადობა. სხვაგან შეტევის სამიზნე bridge გახდა. კიდევ სხვაგან კი წვდომების ან ხელმოწერის პროცესის კომპრომეტირება მოხდა.

მაგრამ ძირითადი ლოგიკა მეორდება. დიდი ჰაკები ყველაზე ხშირად იქ ხდება, სადაც სამი ფაქტორი ერთდება: ბევრი ფული, რთული ინფრასტრუქტურა და მინიმუმ ერთი სუსტი რგოლი. ეს რგოლი შეიძლება იყოს private key, სმარტ კონტრაქტი, თანამშრომელი, admin panel, ინტერფეისი, hot wallet ან უყურადღებო მომხმარებელი.

ამიტომ კრიპტოში უსაფრთხოება ვერ დაიყვანება ერთ ფრაზამდე: „ბლოკჩეინი საიმედოა“. თავად ბლოკჩეინი შეიძლება სწორად მუშაობდეს, მაგრამ მომხმარებელმა მაინც შეიძლება დაკარგოს ფული, თუ არასწორ მისამართს შეიყვანს, phishing-ბმულს მიჰყვება ან აქტივებს ისეთ სერვისს მიანდობს, რომელსაც სათანადო კონტროლის პროცედურები არ აქვს.

როგორ შეუძლიათ მომხმარებლებს რისკების შემცირება

კარგი ამბავი ის არის, რომ საბაზისო რისკების შესამცირებლად მომხმარებელს კიბერუსაფრთხოების სპეციალისტად ქცევა არ სჭირდება. საკმარისია ფინანსური ჰიგიენის რამდენიმე წესის დაცვა.

  • არ შეინახოთ ყველა აქტივი ერთ ადგილას. კრიპტოინდუსტრიაში არსებობს ოქროს წესი: „Not your keys, not your coins.“ როდესაც თანხები ბირჟაზე ინახება, ტექნიკური თვალსაზრისით მათ სრულად თქვენ არ აკონტროლებთ. რასაც ეკრანზე ხედავთ, არსებითად ბირჟის შიდა მონაცემთა ბაზაში არსებული ჩანაწერია, დაპირება, რომ პლატფორმა ამ აქტივებს გმართებთ და გამოტანის მოთხოვნისას დაგიბრუნებთ. თუ ბირჟას ჰაკერული შეტევა დაემართა, რეგულატორებმა გაყინეს ან ის გაკოტრდა, როგორც Mt. Gox-ის შემთხვევაში მოხდა, ამ დაპირების აღსრულება შეიძლება უეცრად ძალიან რთული გახდეს. ბირჟები მოსახერხებელია ყოველდღიური ტრანზაქციებისთვის, კონვერტაციებისა და ვაჭრობისთვის. მაგრამ დიდი თანხების გრძელვადიანი შენახვისთვის პირადი საფულე უფრო უსაფრთხოა, იმ პირობით, რომ private key-ებს მხოლოდ თქვენ აკონტროლებთ.
  • გადარიცხვამდე ყოველთვის გადაამოწმეთ მისამართი. განსაკუთრებული ყურადღება მიაქციეთ პირველ და ბოლო სიმბოლოებს. დიდი ოპერაციის წინ ჯობს ჯერ მცირე სატესტო თანხა გაგზავნოთ.
  • გამოიყენეთ ორფაქტორიანი ავტორიზაცია აპლიკაციის მეშვეობით და არა მხოლოდ SMS-ით. აპლიკაციაში გენერირებული კოდების ჩაჭერა თავდამსხმელებისთვის ბევრად რთულია, ვიდრე ტექსტური შეტყობინებების.
  • არ გადახვიდეთ შემთხვევითი შეტყობინებებიდან გამოგზავნილ ბმულებზე. ნუ ენდობით „მხარდაჭერის გუნდს“, რომელიც პირველი გიკავშირდებათ პირად შეტყობინებებში და სასწრაფოდ რაღაცის დადასტურებას გთხოვთ.
  • ფრთხილად იყავით ახალ DeFi პროტოკოლებთან და bridge-ებთან. მაღალი შემოსავალი, მიმზიდველი ინტერფეისი და აქტიური Telegram-ჩატი ვერ ჩაანაცვლებს აუდიტს, მუშაობის ისტორიას და მკაფიო უსაფრთხოების მოდელს.