Аудитовані DeFi протоколи втратили $885 млн через атаки, які відбулися повністю за межами їхньої аудиторської сфери

У децентралізованому фінансуванні термін "аудит" часто розглядається як вердикт щодо цілого проєкту.

На практиці аудит охоплює певний код, складові та версії на конкретний момент часу, тоді як зміни поза межами цього аудиту можуть мати інший рівень гарантій. Остаточний звіт, підготовлений дослідниками з компанії ack3 та Чеського технічного університету, розглянув 135 інцидентів за перше півріччя 2026 року з загальними збитками у 939,86 мільйона доларів.

Окремо було виявлено публічні аудити для 68 випадків.

З них 46 інцидентів були класифіковані як такі, що виходять за межі аудиторських перевірок, 20 – в межах принаймні одного аудиту, а два – як нерозв'язані.

Група "поза аудитом" становила 67,6% інцидентів, але 94,4% від загальних збитків. Дослідження вказує на серйозну проблему з гарантією.

Проєкт може чесно стверджувати, що він пройшов аудит, однак це не дає користувачам впевненості, що система, яка працює, була відповідно перевірена. Дані показують, що 68 випадків, які потрапили в дослідження, зазнали збитків у 721,24 мільйона доларів, з яких 680,97 мільйонів походить саме з "поза-аудитних" інцидентів.

Хоча в дослідженні не було надано чіткої бази для порівняння, воно підкреслює: історія аудитів і їхній обсяг – це різні змінні.

Аудитовані смарт-контракти не надають автоматичних гарантій для оновлень чи інших компонентів. Кейс ICON Network і aelf демонструють цю різницю.

У випадку ICON, невідповідність в перевірці веде до значних втрат, тоді як у aelf не вистачає доказів, щоб пов'язати інцидент з конкретним аудитом, залишаючи сумніви в потребі актуалізації аудиторських записів.

Обидва випадки підкреслюють необхідність актуальних доказів безпеки, які вказують на специфічні версії та компоненти, щоб користувачі мали змогу оцінити справжній стан безпеки системи.