2.1 млрд $ в криптовалюті: як атаки фронтенду зламали безпеку
Патерн на $2.1 млрд, який ніхто не хотів бачити
Того четверга TRM Labs опублікував звіт за H1 2025: 2.1 мld доларів США вкрадено з криптоекосистем. Не через груб-форс хаки блокчейну чи вилучення кошиків «валютних великанів». А через щось тихе, небачене: витік приватних ключів та урази фронтенду.
Я створив моделі для цього з перших днів у своїй FinTech стартап. Ми не гонимо за хайпом — ми гонимо за даними, що рухають, як кров’ по стеку. Вектор атак? Інтерфейси користувача — де розробники довіряють сховищу браузера без MFA, де сесiйнi токени живуть незахищеними у localStorage.
Реальна мета — інфраструктура
Це не «криптограбеж», як його подають ЗМІ-ЗМІ-медія. Це архитектурнi невдачi — недолуги, закладенi у UX-шару dApp. Один неправильно сконфігурований CORS-заголовок може спорожити весь скарб швидше, ніж будь-яка атака блокчейну.
Ми вимыряли: із 75 основних інцидентив цього року понад 80% походило з фронтенд-доступу + витоку облоблення — не ентрапия-драйвен майнинг-шаха, а ледзька людська поведанка на масштаб.
Чому це має значення (та чому ВИ ПРОПУСКАЄТЕ)
Мова не про загублення приватних ключів на USB (мем). Ми говоримо про React-компоненти з жорстко закодованими секретами, що потрапили до продакшену бо «це працювало локально».
Я перезапустив модель три рази — кожного разу певерджуючи: якщо ти можеш отримати доступ без автентифiкацїї — ти його втратиш.
Ринок не панкує, колись кошики кров’ю — вона рацionaliзує це.
Ваша черга тепер
Перевирте інструменти свого dApp сьогоднi. Якщо ваш localStorage тримає Bearer-token без шифрування… вже частина набору даних.
AlgoSphinx
Гарячий коментар (4)
ক্রিপ্টো চুরির সবচেয়ে বড় হামলা? না। সবচেয়ে বড় ‘হামলা’—ব্রাউজারের localStorage-এ Bearer tokenটা unencrypted! 😅 আমি তোমাকেও MFA-এর ‘পথ’খুঁইছি। গতকালের ‘ভয়’—আপনার dApp-এর dev tools-এ ‘কফি’টা गरमला। অথচ wallet-এ ‘blood through the stack’? সবচেয়ে big loss? দিয়াইছি——‘আপনার code’টা production-এ ‘worked locally.’ #DhakaCryptoCoffee #CORSHahay কমেন্টটা দিন—আপনি passwordটা backup कরলেন?
Вот ведь и правда: криптовалюту украли не хакеры с брутфорсом, а разработчики, забывшие MFA в localStorage. У нас тут не кошмары — это баг в реакте! Кто-то закоммитил секрет в продакшен… и теперь вся казна утекает через кросс-домен. Проверьте свои даппы сегодня — если токен не зашифрован… вы уже банкрот. 😅 #Кто ещё доверяет фронтенду?
¡Otra vez con el localStorage sin MFA! ¿Cómo te atreves a confiar en un token desencriptado mientras tu hija de 4 años pide más Netflix? En España pensamos que el cracker es el vecino… pero aquí lo que roba es la arquitectura del miedo. ¡No son hackers! Son tus propios errores de desarrollo… y sí, tu cookie aún vive.
¿Y tú? ¿Guardas tu clave privada como si fuera la receta de abuela? 😅
