מומחית CertiK: האקרים מובילים בינתיים במרוץ החימוש

​תעשיית הקריפטו ממשיכה להפסיד מיליארדי דולרים במתקפות האקרים. עם זאת, חלק מהאיומים הגדולים ביותר נובעים לא מחולשות בטכנולוגיית הבלוקצ'יין עצמה, אלא מחולשות במערכות ובאנשים שסביבה. בריאיון ל־Traders Union, נטלי ניוסון, חוקרת בכירה בתחום הבלוקצ'יין ב־CertiK, הסבירה מדוע ההאקרים מקדימים את אנשי אבטחת הסייבר, עד כמה ארנקי קריפטו באמת מאובטחים ומה המשתמשים יכולים לעשות כדי להגן על הכספים שלהם.

האקרים משנים את הטקטיקות שלהם

במחצית הראשונה של 2026, תעשיית הקריפטו הפסידה כ־$1.31 billion ב־344 תקריות אבטחה, לפי דוח Hack3D של CertiK. במבט ראשון, נראה שהמצב השתפר בהשוואה לשנה שעברה, אך נטלי ניוסון סבורה שהנתונים האלה מציגים תמונה מטעה.

השיפור לכאורה משקף במידה רבה את פריצת ה־Bybit בהיקף של $1.45 billion במחצית הראשונה של 2025. בנטרול התקרית הבודדת הזו, ההפסדים בתעשייה למעשה עלו בכ־28% משנה לשנה.

“הסביבה הבסיסית לא השתפרה, ובמובנים מסוימים אף הורעה. עיקר הנזק לא נגרם מפיצוח קוד מבריק, אלא מארנקים שנפגעו ומאנשים שנפלו קורבן להנדסה חברתית.”

חולשות בקוד נותרו הגורם המוביל למתקפות לפי מספר התקריות. בששת החודשים הראשונים של 2026, CertiK תיעדה 204 תקריות כאלה, שהובילו להפסדים של כ־$152 million. עם זאת, פגיעות בארנקים התגלו כהרסניות ביותר: 33 תקריות בלבד גרמו להפסדים של יותר מ־$444 million.

מתקפות פישינג היו אחראיות להפסדים נוספים של $366 million. אף שמספר תקריות הפישינג ירד ביותר ממחצית בהשוואה לשנה הקודמת, ההפסדים הכספיים ירדו ב־11% בלבד.

“התוקפים מתרחקים מקמפיינים רחבי־היקף ועוברים למספר מצומצם של מתקפות הנדסה חברתית ממוקדות מאוד, ורק ארבע תקריות היו אחראיות לכ־85% מכלל הפסדי הפישינג.”

החולשה הגדולה ביותר נמצאת מחוץ לבלוקצ'יין

האקרים נוטים לתקוף מערכות אקולוגיות שבהן מרוכזים סכומי הון גדולים. במחצית הראשונה של 2026, Ethereum תיעדה את מספר התקריות הגבוה ביותר — 153 מתקפות שהובילו להפסדים של כ־$523 million. Solana חוותה מספר מתקפות קטן משמעותית, אך ההפסדים עדיין הגיעו ל־$315 million.

חלק ניכר מהנזק נגרם משתי פריצות בלבד. באפריל גנבו התוקפים $291 million מ־Kelp DAO ו־$285 million מ־Drift Protocol. יחד, תקריות אלה היו אחראיות לכמעט 44% מכלל ההפסדים בתעשיית הקריפטו במהלך תקופת ששת החודשים.

“החולשה הגדולה ביותר אינה באמת בבלוקצ'יין עצמו. היא נמצאת בשכבת ה־off-chain שכל המערכת תלויה בה: ניהול מפתחות, תהליכי חתימה, ממשקי front-end ותשתיות כגון ספקי RPC.”

חולשות off-chain אלה מסייעות להסביר מדוע אפילו פרויקטים שעברו ביקורות אבטחה עצמאיות עדיין עלולים ליפול קורבן להאקרים.

“ביקורת היא תמונת מצב של קוד מסוים ברגע מסוים, ולא חותמת אישור קבועה.”

ניוסון מצביעה גם על נטייה גוברת של תוקפים למקד את פעילותם בחוזים חכמים ישנים שפועלים כבר יותר משנה. ייתכן שהחולשות שלהם לא התגלו בבדיקות קודמות. לכן CertiK ממליצה להשלים את הביקורות באמצעות ניטור רציף, תוכניות Bug Bounty ובדיקות אבטחה נוספות לאחר שינויים בקוד.

AI מעניק להאקרים יתרון זמני

בינה מלאכותית משנה את המאבק בין פושעי סייבר לבין החברות המגינות על תעשיית הקריפטו. האקרים יכולים כיום ליצור deepfakes משכנעים, לנסח הודעות פישינג במספר שפות ולהפוך פעולות הונאה לאוטומטיות.

AI גם מסייע לתוקפים לזהות חולשות בקוד במהירות רבה יותר, ובכך מפחית את רמת המומחיות הטכנית הנדרשת להפעלת מתקפות מתוחכמות. חברות אבטחת סייבר, מנגד, משתמשות באותה טכנולוגיה כדי לסרוק קוד בהיקפים גדולים, לזהות עסקאות חשודות ולעקוב אחר תוכניות מורכבות להלבנת מטבעות קריפטוגרפיים.

“שני הצדדים מפיקים מכך תועלת, וכרגע מדובר במרוץ חימוש של ממש.”

עם זאת, שני הצדדים פועלים תחת מגבלות שונות מאוד. בניגוד לפושעים, חברות אבטחת סייבר חייבות לעמוד בדרישות רגולטוריות ולהבטיח שהכלים שלהן מספקים תוצאות אמינות.

“בטווח הקצר, אני חושבת שלתוקפים יש יתרון, משום שהם מאמצים כלים חדשים ללא מגבלות של ציות רגולטורי או דיוק.”

המאזן עשוי להשתנות בטווח הארוך יותר. ניוסון סבורה שאנשי אבטחת הסייבר יוכלו בסופו של דבר להשיג יתרון בזכות הגישה שלהם לכמויות גדולות של נתונים והיכולת להרחיב את מערכי ההגנה שלהם. עם זאת, לשם כך תידרש תעשיית הקריפטו להשקיע באופן פעיל יותר בטכנולוגיות האלה.

האקרים עוברים ממתקפות דיגיטליות לאלימות פיזית

עבריינים מכוונים יותר ויותר ישירות למחזיקי מטבעות קריפטוגרפיים, תוך שימוש באלימות פיזית ובאיומים כדי להשיג גישה לנכסיהם. מתקפות כאלה עשויות לכלול חטיפות, פריצות לבתים וסחיטה. בין הקורבנות נמנים מייסדי פרויקטי קריפטו, מנהלי חברות, משקיעים אמידים ואפילו בני משפחותיהם.

פשעים אלה, המכונים מתקפות Wrench, כוללים כפייה פיזית שנועדה לאלץ קורבנות למסור את מטבעות הקריפטו שלהם. העלייה בהם נובעת מהעברות קריפטו מיידיות ובלתי הפיכות, מדליפות של מידע אישי ומהפעילות הפומבית של המשקיעים עצמם.

"יש כאן גם אירוניה: ככל שהאבטחה הדיגיטלית משתפרת, האדם הופך לדרך הקלה ביותר לחדור פנימה."

ניוסון ממליצה לאנשים שמחזיקים סכומי קריפטו משמעותיים להימנע מחשיפה פומבית של מידע על נכסיהם, ולהשתמש במנגנוני אבטחה שמונעים מאדם יחיד להעביר את כל הכספים באופן עצמאי.

בין האמצעים הללו נמנים ארנקי multisig ועסקאות נעולות בזמן. אמצעים כאלה יכולים להקשות על גניבה גם תחת כפייה פיזית, מכיוון שעבריינים אינם יכולים פשוט להשיג גישה לארנק יחיד או לאלץ את בעליו להעביר כספים מיד.

האם עדיין אפשר לסמוך על ארנקים קרים?

איומים פיזיים מעלים גם שאלות לגבי האופן שבו יש לאחסן מטבעות קריפטוגרפיים. אפילו מכשירים שנותרים מנותקים מהאינטרנט תלויים באמינות הקושחה שלהם, בשרשראות האספקה ובפעולות של בעליהם.

עם זאת, ניוסון אינה סבורה שסיכונים אלה הופכים את ארנקי החומרה למיושנים.

"אחסון קר הוא עדיין האפשרות החזקה ביותר שעומדת לרשות רוב האנשים."

המומחית ממליצה לרכוש מכשירים ישירות מהיצרנים, לאמת את הקושחה ולעדכן אותה באופן קבוע, ולשמור על ביטחון ביטויי ה-seed.

במקרה של אחזקות משמעותיות, היא ממליצה גם להשתמש בהסדרי multisig, כך שאבטחת הנכסים לא תהיה תלויה במכשיר או ביצרן יחיד. שמירת המפתחות הפרטיים במצב לא מקוון עדיין מספקת הגנה משמעותית מפני מתקפות מקוונות.

האם Web3 יוכל אי פעם להיות מאובטח?

לפי CertiK, מתוך 1.31B$ שאבדו במחצית הראשונה של 2026, רק כ-115M$ הוקפאו או הושבו. יתרת הכספים לא הוקפאה ולא הושבה במהלך תקופת הדיווח.

ההפסד הממוצע בכל תקרית עמד על כ-3.8M$, אך החציון היה נמוך משמעותית — כ-139,000$. נתון זה מצביע על מספר גדול של מתקפות קטנות יותר שפגעו בפרויקטים פחות מוכרים ובמשתמשים שלהם.

ניוסון סבורה שתעשיית הקריפטו יכולה לשפר משמעותית את האבטחה, אך לשם כך יידרש שינוי בגישה לפיתוח מוצרים.

"אף אחד לא חושב על הצפנה כשהוא משתמש בבנקאות מקוונת, וזה הסטנדרט שאליו Web3 חייב להגיע."

לדבריה, ארנקי קריפטו צריכים להסביר בבירור על מה המשתמשים חותמים ולהזהיר אותם לפני שהם מתקשרים עם שירותים שעלולים להיות זדוניים. כלים טובים יותר לשחזור גישה וכספים לאחר אירועי אבטחה חשובים באותה מידה.

משתמשים לא צריכים להכיר לעומק את טכנולוגיית הבלוקצ'יין כדי לנהל את נכסיהם בבטחה.

"הסיכון לעולם לא יהיה אפס, כפי שהוא אינו אפס במימון המסורתי, אבל הכיוון נכון."

בסופו של דבר, ההתפתחות העתידית של Web3 תהיה תלויה לא רק בשיפורים בבלוקצ'יינים ובחוזים חכמים, אלא גם במידת היעילות שבה התעשייה תוכל להגן על משתמשים מן השורה מפני טעויות, הונאות וצורות מתפתחות של מתקפות.