1.26 מיליארד דולר נגנבו בקריפטו ברביע השלישי — שני אירועים אחראים ליותר ממחצית הסכום

הסיכום הרבעוני של הפריצות וניצולי החולשות בעולם המטבעות הדיגיטליים הגיע ל-1.26 מיליארד דולר, כך לפי דיווח של Cointelegraph. הסכום הזה מתפרש על 247 אירועים נפרדים ברביע השלישי, וחודש ספטמבר לבדו אחראי לכ-768 מיליון דולר מתוכו — החודש הגרוע ביותר של 2026 מבחינת הפסדי אבטחה. הדיווח מסתמך על נתוני חברת האבטחה PeckShield, ואתר crypto.news מדווח על אותה תמונה.

כבר כאן כדאי לשים לב להבדל קטן בין הדיווחים: 766 מיליון דולר בכתבה אחת, 768 באחרת, וכ-769 בסיכום הרבעוני. הפער אינו מקרי ואינו טעות — מדובר באומדן שמרכיבות חברות אבטחה מאירועים מדווחים, לא בביקורת חשבונאית. כל ספירה כזו תלויה בשאלה אילו אירועים נכנסים לרשימה, לפי איזה שער המטבעות הגנובים מתורגמים לדולרים, ומתי. המספר שימושי להבנת סדר הגודל והמגמה; הוא אינו מדויק עד המיליון, ואין להתייחס אליו כאילו הוא כזה.

שני אירועים, רוב הסכום

הפריצה לזירת המסחר Bitget, שבה נגנבו 388 מיליון דולר, וניצול חולשה ב-Liquid Network בהיקף 320 מיליון דולר — שני אלה יחד מגיעים לכ-708 מיליון דולר. כלומר יותר ממחצית ההפסד הרבעוני כולו, ולמעשה הרוב המכריע של ספטמבר, מוסבר בשני מקרים. 245 האירועים הנותרים מתחלקים בשאר הסכום.

ההבחנה הזאת חשובה יותר מן הכותרת. שני המקרים שונים זה מזה באופיים: פריצה לזירת מסחר היא פגיעה בגוף מרכזי שמחזיק את הכספים בעבור לקוחותיו, בעוד ניצול חולשה בפרוטוקול הוא פגיעה בקוד עצמו. ההגנות שונות, הגורמים האחראים שונים, וגם סיכויי ההחזר שונים. במקרה של Liquid Network, לפי Cointelegraph, יותר מ-270 מיליון דולר הוחזרו לאחר מכן — נתון שמשנה את התמונה הכספית בפועל: במונחי הפסד נטו, הרביע קרוב יותר לרף של מיליארד דולר מאשר ל-1.26 מיליארד. סכומים חוזרים לעיתים כאשר התוקף מזוהה, כאשר הכספים ננעלים בדרך, או במסגרת פנייה מוסכמת אליו. המקורות שלפנינו אינם מפרטים מה בדיוק הביא להחזר הזה, וגם לא את המנגנון הטכני של הניצול.

הזנב הארוך שמאחורי המספר הגדול

247 אירועים ברביע הם בקצב של יותר משני אירועים ביום. אם מנטרלים את שתי הפריצות הגדולות, הסכום הנותר מתחלק להמון מקרים קטנים — ארנקים אישיים, חוזים חכמים של פרויקטים קטנים, הונאות התחזות. דווקא הקטגוריה הזאת היא שנוגעת למשתמש הפרטי, והיא כמעט אינה נראית בכותרות, מפני שאף מקרה בודד בה אינו גדול דיו כדי להיכנס אליהן.

מכאן גם מה שהנתון הרבעוני אינו מספר: הוא אינו מודד אם האבטחה בתעשייה השתפרה או הורעה. רביע שבו התרחשה פריצה אחת ענקית ייראה גרוע מרביע עם מאה פריצות בינוניות, גם אם המצב ההפוך נכון. הוא גם אינו מבדיל בין כספים של גופים מוסדיים לכספי לקוחות פרטיים, ואינו אומר דבר על השאלה מי יישא בהפסד בסופו של דבר — שאלה שבזירות מסחר נקבעת לפי מדיניות החברה והיקף הקרנות שהיא מחזיקה לכך, ולא לפי גודל הפריצה.

הכלים שקיימים, והדברים שעוד אינם ידועים

ההפרדה בין החזקה עצמית לבין החזקה אצל גוף מתווך היא הציר שסביבו סובבים רוב האירועים האלה. מי שמחזיק נכסים בזירת מסחר תלוי באבטחה של הזירה; מי שמחזיק אותם בארנק בשליטתו תלוי באבטחה שלו עצמו, כולל שמירת המפתחות וגיבויָם. לצד זה התפתחו בשנים האחרונות ארנקים מרובי חתימות, שבהם נדרשות כמה הרשאות נפרדות לאישור העברה — פתרון שמקטין את הנזק מפגיעה בגורם אחד — וכן תוכניות תגמול לחוקרי אבטחה המאתרים חולשות בקוד לפני שמנוצלות. אין בכך הבטחה, ואין פתרון שמבטל את הסיכון.

מה שטרם נמסר בדיווחים שלפנינו: כיצד בוצעה הפריצה ל-Bitget, אם הלקוחות יקבלו החזר מלא, והאם מתנהלת חקירה בעניין. הסיכום הרבעוני הבא יראה אם ספטמבר היה חריג, או ראשיתה של מגמה.

מקורות: Cointelegraph · crypto.news

המידע בכתבה נועד להרחבת הדעת בלבד ואינו מהווה ייעוץ השקעות או תחליף לייעוץ מקצועי.