Napad na Bybit iz veljače 2025. s oko 1,5 milijardi dolara štete odskakao je toliko da je praktički resetirao ljestvicu najvećih incidenata u industriji. Razlika u odnosu na ranije cikluse nije samo u iznosima, nego i u tome gdje sustavi pucaju.

U slučaju Bybita, prema dostupnim analizama, kompromitirana nije bila samo jedna točka u lancu, nego povjerenje u cijeli operativni proces. Napadači su preko računala povezanog s vanjskim pružateljem usluge ubacili zlonamjerni kod u proceduru potpisivanja transakcija, pa je ono što je internim kontrolama i korisnicima izgledalo kao regularan prijenos zapravo bilo usmjeravanje sredstava na adrese pod kontrolom napadača. To je i najvažnija lekcija tog slučaja: sigurnost više ne završava na pametnom ugovoru, nego na svakom računalu i svakom koraku kroz koji transakcija prolazi.

Drugi i treći najveći slučaj na popisu, KelpDAO i Drift, dodatno potvrđuju isti obrazac. Kod KelpDAO-a u travnju 2026. ukradeno je oko 292 milijuna dolara nakon kompromitacije sustava za provjeru međulančanih transakcija. Drugim riječima, problem nije bio u samoj logici protokola, nego u infrastrukturi koja je trebala potvrditi da je prijenos između lanaca valjan.

Posljedica je bila klasičan primjer onoga što mostove između blockchainova čini tako rizičnima: sustav je prihvatio lažnu potvrdu kao legitimnu i oslobodio stvarna sredstva bez stvarnog pokrića. Napadači pritom nisu morali razbiti temeljnu kriptografiju, bilo je dovoljno kompromitirati sloj povjerenja koji stoji između dva lanca.

Drift je, s druge strane, pokazao koliko skupo može stajati kombiniranje društvenog inženjeringa i preširokih privilegija. Nakon što su došli do povlaštenog pristupa, napadači su ubacili lažni token, napuhali mu vrijednost i zatim ga iskoristili kao kolateral za izvlačenje oko 285 milijuna dolara stvarne imovine. To je scenarij koji se u raznim varijacijama stalno vraća: kompromitira se administrativni sloj, a zatim se financijska logika sustava okrene protiv samog sustava.

Kripto pada na cijelom lancu povjerenja

Kad se pogledaju najveći incidenti posljednjih godinu i pol, postaje jasno da glavni problem više nisu samo greške u protokolu ili loše napisan pametni ugovor. Sve češće pucaju partnerske integracije, alati za potpisivanje, mostovi između lanaca i operativne procedure koje bi trebale osigurati da se ništa ne dogodi izvan predviđenog toka. Upravo zato napadači sada traže najslabiju kariku izvan jezgre sustava, ondje gdje je obrana često slabija, a posljedice jednako razorne.

Za burze i DeFi platforme poruka je prilično neugodna, ali jasna: nije dovoljno auditirati kod i čekati da to riješi problem. Potrebni su nadzor u stvarnom vremenu, strože kontrole privilegiranih pristupa, višeslojna provjera kritičnih transakcija i ozbiljniji nadzor nad vanjskim dobavljačima. Dok se to ne dogodi, najveći kripto hakovi neće biti iznimka, nego očekivani trošak sustava koji je i dalje veći nego što si industrija voli priznati.