«Каждый смарт-контракт — это не просто код. Это обещание безопасности. И когда это обещание нарушается, страдает доверие ко всей экосистеме.»
— Эллисон Пирсон, директор по кибербезопасности Europol
В сентябре 2025 года сообщество Ethereum столкнулось с ещё одним болезненным напоминанием о рисках децентрализованных финансов (DeFi). Проект Kinto, Layer-2 решение, позиционировавшееся как инновационная платформа для кредитования и деривативов, объявил о полном закрытии операций после масштабного взлома, в результате которого было похищено около 577 ETH (на тот момент — $1,9 миллиона). Сразу после анонса цена токена K упала более чем на 94%, а команда, не получавшая зарплату с июля, признала, что не может восстановить финансирование.
Решение о закрытии, анонсированное 7 сентября в X (бывший Twitter), стало финальной точкой в истории, которая начиналась как амбициозный проект и превратилась в ещё одну предупредительную сказку для DeFi-индустрии. Несмотря на попытки реанимации через программу «Phoenix», слабые рыночные условия, потеря доверия инвесторов и невозможность привлечь новые средства сделали продолжение деятельности невозможным.
Как отметил Хакан Унал из Cyvers: «В DeFi нет второго шанса. Одна уязвимость — и доверие разрушено навсегда.»
Kinto был запущен как Ethereum Layer-2 проект, сочетающий функции децентрализованной биржи деривативов (perps) и протокола кредитования. Его ключевыми особенностями были:
Проект позиционировался как конкурент для таких платформ, как GMX и Hyperliquid, и привлёк внимание разработчиков и трейдеров. Однако его судьба была решена в июле 2025 года, когда злоумышленники нашли критическую уязвимость в коде.
Атака была возможна из-за критической уязвимости в стандарте ERC-1967 Proxy — широко используемом шаблоне OpenZeppelin для создания обновляемых смарт-контрактов. Этот паттерн позволяет разработчикам вносить изменения в логику контракта без изменения его адреса, что удобно, но создаёт риски, если админ-ключи скомпрометированы или логика управления небезопасна.
Хакеры воспользовались этой уязвимостью, чтобы:
В результате было похищено 577 ETH, что полностью опустошило резервы протокола и сделало невозможным выполнение обязательств перед пользователями.
Как сказал Зак Чжоу (ZachXBT): «Upgradeable contracts — это удобно до тех пор, пока кто-то не получит доступ к кнопке "обновить" и не заменит ваш код на "передай мне всё".»
После атаки команда Kinto запустила экстренную инициативу под названием «Phoenix Program» (Программа Феникс) с целью реанимировать проект.
Меры включали:
Однако усилия оказались тщетными. По данным команды:
В итоге команда приняла решение о добровольном закрытии, заявив: «Мы закроемся ответственно, вернём, что сможем сегодня, и продолжим бороться за возврат средств завтра.»
Несмотря на закрытие, команда предприняла шаги для минимизации ущерба для пострадавших.
Kinto объединил оставшиеся активы (около $800 000) в безопасный кошелёк, контролируемый фондом. Эти средства будут распределены в следующем порядке:
Несмотря на закрытие, запланированный ERA airdrop будет проведён 15 октября 2025 года, как и обещалось. Это стало редким жестом уважения к сообществу в подобных ситуациях.
Падение Kinto — это не единичный случай, а симптом системных проблем в DeFi.
Использование обновляемых контрактов — это компромисс между гибкостью и безопасностью. Каждый проект, использующий OpenZeppelin UUPS или Transparent Proxy, должен понимать, что централизованные элементы управления (admin keys) — это главная точка риска.
Многие проекты не имеют страховки, многоуровневой мультиподписи или программ bug bounty, что делает их уязвимыми к атакам.
Зависимость от airdrop’ов и высоких ставок по вкладам создаёт пузырь, который лопается при первых признаках кризиса.
Несмотря на наличие аудитов от известных фирм, уязвимости в логике могут быть упущены, особенно в сложных системах с множеством интеграций.
Как отметил Чарльз Гильем из Ledger: «Безопасность — это не разовое событие. Это непрерывный процесс, в котором нет места самодовольству.»
Kinto — не первый и, к сожалению, не последний DeFi-проект, закрывшийся после хака. Вот как он соотносится с другими катастрофами:
| Проект | Причина краха | Ущерб | Последствия |
|---|---|---|---|
| Kinto | Уязвимость в ERC-1967 Proxy | $1,9 млн | Полное закрытие, частичный возврат |
| Celsius | Непрозрачность, чрезмерное плечо | $4,7 млрд | Банкротство, судебные разбирательства |
| Venus Protocol | Фишинг, кража ключей | $13,5 млн | Приостановка пулов, расследование |
| Lykke | Атака Lazarus Group | $22,8 млн | Закрытие, иски инвесторов |
В отличие от Celsius, Kinto не участвовал в рискованных операциях. Его крах был вызван чисто технической ошибкой — что делает его особенно поучительным.
Закрытие Kinto — это трагедия для его команды и пользователей. Но для всей индустрии это ценный урок.
Ключевые выводы:
Как сказал Андреас Антонопулос: «В DeFi вы не теряете деньги из-за рынка. Вы теряете их из-за кода. Или из-за того, что забыли проверить код.»
История Kinto — это не просто история о хаке. Это напоминание о том, что в мире, где каждый контракт — это закон, одна ошибка в коде может стоить миллиона. И пока проекты будут ставить скорость выше безопасности, мы будем видеть всё больше таких «Фениксов», которые так и не смогут подняться из пепла.
