פריצות הקריפטו ברבעון השלישי הגיעו ל-1.18 מיליארד דולר, ורוב הנזק הגיע דרך ספקים ותשתיות

פריצות וגניבות בתעשיית הקריפטו הסתכמו ב-1.18 מיליארד דולר ברבעון השלישי של 2026, ב-107 אירועים מתועדים, לפי הדוח הרבעוני של חברת האבטחה Hacken. כ-77% מהסכום, כ-906 מיליון דולר, הגיעו מספקים שנפרצו, מכלי פיתוח, מתיקוני אבטחה שפורסמו ברבים ולא הותקנו בפועל, ומרכיבים אחרים שנשארו מחוץ לסקירות האבטחה. לפי Hacken, זה הרבעון עם הנזק הגדול ביותר מאז הרבעון הראשון של 2025, כשההפסד של 1.4 מיליארד דולר ב-Bybit לטובת צפון קוריאה דחף את הסך הרבעוני ל-1.6 מיליארד דולר.

ארבע פרשות שהכריעו את הרבעון

הנזק מרוכז מאוד. כ-80% מההפסדים נרשמו בארבעת האירועים הגדולים, ו-98 מתוך 107 האירועים הסתיימו בהפסד של פחות מ-10 מיליון דולר. ההפסד החציוני עמד על 670 אלף דולר. ממוצע פשוט היה מציג תמונה מעוותת: 1.18 מיליארד חלקי 107 נותן כ-11 מיליון דולר לאירוע, פי 16 בערך מהחציון.

סכום ארבעת האירועים הוא כ-942 מיליון דולר, כלומר כ-79.8% מהסך הכולל. המקרה של Coldcard רלוונטי במיוחד למחזיקים פרטיים, כי מדובר במכשיר מסוג ארנק קר, שנועד לשמור מפתחות מחוץ להישג ידם של תוקפים ברשת.

במספר האירועים, החוזים החכמים היו וקטור התקיפה הנפוץ ביותר: 71 אירועים והפסדים של 228 מיליון דולר. רוב הפריצות היו באגים בקוד של חוזים, אבל רוב הכסף נגנב במקום אחר.

הפרצה שמחוץ לביקורת האבטחה

ביקורת אבטחה טיפוסית בודקת את הקוד שהפרוטוקול עצמו כתב. לפי הדוח, עיקר הנזק ברבעון הזה הגיע מסביב לקוד הזה: מספק שמספק רכיב, מכלי שהמפתחים משתמשים בו, או מתיקון שכבר פורסם ועדיין לא הוטמע. הקטגוריה האחרונה בעייתית במיוחד, כי פרסום תיקון חושף בעצם את החולשה, וכל יום שעובר בלי התקנה משאיר חלון פתוח לתוקף.

Hacken קראה לתעשייה לחזק את אבטחת הסייבר של ספקי צד שלישי, כלי פיתוח ותשתיות חיצוניות. החברה גם המליצה להרחיב את הביקורות כך שיכללו אורקלים (שירותים שמזינים לחוזה נתונים מבחוץ, כמו מחירים), גשרים בין רשתות, מערכות משמורת, גורמי חתימה ורכיבים מורשים נוספים, כלומר רכיבים שיש להם הרשאות מיוחדות בתוך המערכת.

לאן הלך הכסף: מוחזר, מכוסה או אבוד

מתוך 1.18 מיליארד הדולר, כ-387 מיליון הוחזרו או בוטלו, כ-33% מההפסד הגולמי. אחרי הפריצה ל-Liquid Network, גורמים שהציגו את עצמם כ״כובעים לבנים״ החזירו 272 מיליון דולר, כ-85% מהסכום שנגנב. ב-Tectonic, מאמתי רשת Cronos גלגלו לאחור 114 דקות של היסטוריית בלוקצ'יין שכבר נסגרה, וביטלו כ-111.2 מיליון דולר מתוך 120.4 מיליון דולר של הלוואות שנפגעו. הצעד הזה החזיר כסף, אבל הוא מזכיר שבחלק מהרשתות עסקה ״סופית״ יכולה להתבטל בהחלטה של קבוצת מאמתים. במקביל, מנפיקות הסטייבלקוין Circle ו-Tether הקפיאו כ-340 אלף דולר שנקשרו לגניבה מ-Bitget.

המפעילים כיסו עוד 410 מיליון דולר מכספם. קרן הגנת המשתמשים של Bitget כיסתה 387 מיליון דולר, ו-Triple-A, Coinsbuy ו-TAC החזירו כ-22 מיליון דולר. המשתמשים קיבלו את כספם בחזרה, אבל הנכסים הגנובים נשארו אצל התוקפים. כ-384 מיליון דולר, 32% מההפסד הגולמי, לא הוחזרו ולא כוסו.

בחישוב לכל 100 דולר שנגנבו ברבעון, כ-33 דולר חזרו או בוטלו, כ-35 דולר כוסו מקופת המפעילים (410 חלקי 1,180), וכ-32 דולר אבדו. הדרכים שבהן הכסף חזר שונות מאוד זו מזו. ב-Bitget הפיצוי הגיע מקרן של הבורסה, ב-Liquid Network ההחזר היה תלוי בהחלטה של מי שלקח את הכסף, וב-Tectonic הוא הגיע מהתערבות של מאמתי הרשת.

דרום קוריאה מחמירה אחרי 130 ליקויים

במקביל הודיעה ועדת השירותים הפיננסיים של דרום קוריאה (FSC) על תוכנית להקשחת דרישות הסייבר למוסדות פיננסיים. הרקע הוא חקירה של אירועי אבטחה ב-16 חברות, ובהן בורסות קריפטו, וסקירה רוחבית שמצאה ליקויים ב-130 מתוך 555 חברות פיננסיות. לפי ה-FSC, כ-100 אלף פריטי מידע של לקוחות נחשפו, כולל שמות, פרטי קשר ומספרי זיהוי. בין החברות שנפגעו נמצאות Streami, המפעילה של Gopax, ופלטפורמת המסחר Prabang, שדיווחה בעבר כי פריצה ב-2 באוקטובר חשפה מידע אישי של חלק מלקוחותיה.

ה-FSC מתכוונת לשפר את ניטור האיומים, להגביר את תדירות הערכות האבטחה ולהגדיל את האחריות של מנהלים. לפי ההצעה, מוסדות גדולים יעברו הערכת פגיעויות לפחות פעמיים בשנה. הרגולטור מתכנן לשפר את מערכות שיתוף המידע, שוקל שימוש בבינה מלאכותית לניטור אבטחה בחברות קטנות, ושוקל גם לאפשר בדיקות נוספות מחוץ ללוח הזמנים הרגיל כשמתגלה איום דחוף. ה-FSC עדיין בודקת אם נעשה שימוש ב-AI בתקיפות ואם עומדים מאחוריהן אותם תוקפים.

איך משקיעים בישראל מצמצמים חשיפה לכשלי ספקים

הדוח של Hacken מצביע על כך שהסיכון הגדול נמצא ברכיבים שאתם לא רואים, אצל ספקים ובתשתיות. מכאן נגזרים כמה צעדים מעשיים:

• אם אתם מחזיקים בארנק חומרה, עדכנו קושחה רק מהאתר הרשמי של היצרן, ועקבו אחרי הודעות האבטחה שלו. תיקון שפורסם ולא הותקן הוא אחד מהגורמים שהדוח מונה. המדריך שלנו לשמירת ביטקוין בבטחה עוסק בארנקים ובגיבוי מילות שחזור.
• לפני שאתם משאירים יתרה בבורסה, בדקו אם יש לה קרן הגנת משתמשים ומה גודלה. במקרה של Bitget, הקרן היא שכיסתה 387 מיליון דולר מהפסדי הלקוחות.
• פיזור בין פלטפורמות ובין ארנקים מקטין את הנזק מכשל של ספק אחד.
• למי שרוצה חשיפה למחיר בלי לנהל מפתחות, קרנות מחקות ביטקוין נסחרות בישראל מאז 31 בדצמבר 2024, בדמי ניהול של כ-0.2% בשנה ובניכוי מס במקור על ידי הבנק. אפשרות נוספת היא קרנות סל אמריקאיות על ביטקוין ואת'ר דרך חשבון מסחר ישראלי רגיל, וגם שם הבנק או הברוקר מנכים את המס. פרטים נוספים במדריך איך קונים ביטקוין בישראל.
• נותני שירותי קריפטו בישראל מקבלים רישיון מרשות שוק ההון, וכדאי לבדוק את מעמדה של פלטפורמה לפני שמפקידים בה כסף.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.