Компания по блокчейн-безопасности Hacken 15 октября опубликовала квартальный отчёт, в котором насчитала $1,18 млрд похищенных средств в 107 инцидентах с июля по сентябрь — на 55% больше, чем во втором квартале. По её классификации, $906,8 млн, или 77% валовой суммы, были связаны с одним из трёх обстоятельств: скомпрометированным поставщиком или инструментом разработчиков, уже опубликованным, но не установленным исправлением либо компонентом, который не входил в последнюю проверку безопасности.

$1,18 млрд — не окончательный невозмещённый ущерб. В полном отчёте Hacken указывает, что около $387 млн вернули или отменили, ещё примерно $410 млн операторы покрыли за свой счёт; невозвращёнными и некомпенсированными остались около $384 млн. Покрытие потерь компанией не отменяет сам взлом, но не даёт приравнивать валовой отток к деньгам, которых в итоге лишились пользователи.

Вывод Hacken не означает, что аудит смарт-контракта бесполезен. Он показывает более узкую границу: отметку «аудировано» часто воспринимают как проверку всей платформы, хотя конкретный отчёт может охватывать только определённые контракты и версии, оставляя за пределами кошельки, систему подписания и стороннее ПО. В разговоре с CoinDesk сооснователь Hacken Андрей Матюхин назвал проблему именно вопросом объёма проверки.

Крупнейший пример квартала совпадает с этой логикой: Bitget предварительно связала вывод активов примерно на $388 млн с уязвимостью стороннего защитного продукта, а не с компрометацией приватных ключей. При этом Hacken сама продаёт аудиты, поэтому её классификация остаётся анализом заинтересованного поставщика, а не независимым полным реестром всех атак. Практический вывод из цифры 77% не в том, что «аудит не работает», а в том, что без перечня проверенных компонентов, версии кода и статуса исправлений значок аудита ничего не говорит о защите всей инфраструктуры.