«Токенизация реальных активов — это будущее финансов. Но если мы не построим безопасную инфраструктуру, это будущее будет построено на песке.»
— Эллисон Пирсон, директор по кибербезопасности Europol
В первой половине 2025 года сектор токенизированных реальных активов (RWA) столкнулся с беспрецедентным ростом кибератак: хакеры похитили более $14,6 миллиона из различных протоколов, что уже превышает общий ущерб за весь 2024 год. Этот тревожный тренд демонстрирует, что, несмотря на впечатляющий рост интереса со стороны банков, фондов и регуляторов, инфраструктура RWA остаётся одной из самых уязвимых в экосистеме Web3.
Согласно отчёту аналитической компании Cyvers, за шесть месяцев 2025 года было зафиксировано 17 инцидентов, связанных с RWA-протоколами, включая эксплойты смарт-контрактов, атаки на оракулы и кражи через вредоносные расширения. При этом объём убытков вырос на 124% по сравнению с H1 2024, что свидетельствует о том, что хакеры всё чаще выбирают RWA как свою главную мишень.
Этот рост совпадает с бумом в секторе: по данным DeFiLlama, общий объём заблокированных средств (TVL) в RWA-протоколах превысил $12,8 миллиарда к июлю 2025 года, что на 68% больше, чем годом ранее. Чем больше капитала вливается в сектор, тем привлекательнее он становится для злоумышленников.
Вот наиболее значимые инциденты первой половины 2025 года, которые привели к утечке $14,6 млн:
В марте 2025 года протокол Ondo Finance, один из лидеров в токенизации казначейских облигаций США, стал жертвой эксплойта. Хакер использовал уязвимость в механизме сброса прав (rights revocation) в одном из смарт-контрактов, что позволило ему обойти проверки и вывести 6,8 млн USDC. Компания заявила, что средства были застрахованы, и пострадавшие инвесторы получили компенсацию.
В мае 2025 года протокол, специализирующийся на токенизации европейских облигаций, потерял $4,2 миллиона после атаки на цепочку поставки данных. Злоумышленник скомпрометировал один из внешних оракулов, который передавал ложную цену на токенизированный актив, что позволило атакующему взять огромные займы с низким обеспечением. Инцидент стал одним из первых случаев, когда оракульная атака была применена к RWA-протоколу.
В июне 2025 года пользователи DeFi-платформы, интегрированной с RWA-пools, стали жертвами поддельного расширения для VS Code под названием "rwa-helper.sol". Оно имитировало легитимный инструмент для разработчиков, но считывало приватные ключи из файлов .env. В результате было похищено 3,6 млн USDT с кошельков пользователей, участвовавших в пулах ликвидности RWA.
Раньше основными целями для кибератак были DEX, мосты и мем-коины. Сегодня фокус сместился на RWA. Причины этого сдвига очевидны:
Протоколы RWA хранят миллионы долларов в виде токенизированных облигаций, депозитов и недвижимости. Это делает их привлекательнее, чем пулы с низколиквидными токенами.
Многие RWA-проекты находятся на ранней стадии. Их код ещё не прошёл многолетнюю проверку, как у Ethereum или Bitcoin. Новые протоколы часто привлекают инвестиции до того, как пройдут полный аудит.
RWA-протоколы зависят от множества компонентов: смарт-контрактов, оракулов, централизованных эмитентов, банковских интеграций. Каждое звено — это потенциальная точка отказа.
Многие команды RWA состоят из финансистов и юристов, а не из опытных разработчиков Web3. Это приводит к игнорированию лучших практик безопасности.
Как сказал аналитик Chainalysis: «RWA — это молоко в Web3. Сладкое, ценное и привлекательное для всех, кто ищет лёгкую добычу.»
Хакеры используют несколько ключевых методов для взлома RWA-инфраструктуры:
Наиболее распространённый способ. Уязвимости в логике контрактов (например, в механизмах синтеза, сброса прав или управления ликвидностью) позволяют злоумышленникам обходить проверки и выводить средства.
Поскольку RWA-токены привязаны к реальным активам, их цена зависит от внешних данных. Если хакер скомпрометирует оракул, он может ввести ложную цену и обмануть протокол.
Многие RWA-протоколы используют кросс-чейн мосты для передачи активов. Эти мосты часто становятся слабым звеном, как в случае с Harmony и Wormhole.
Как показал случай с rwa-helper.sol, хакеры всё чаще атакуют не сам протокол, а его пользователей и разработчиков через фишинг и вредоносное ПО.
Некоторые проекты уже внедряют меры защиты, но их недостаточно для полной безопасности.
Компании вроде Ondo и Maple Finance проводят аудиты у CertiK, OpenZeppelin, Zellic. Однако аудит не гарантирует отсутствие уязвимостей — он проверяет только код на момент проверки.
Некоторые протоколы работают с Nexus Mutual, InsurAce, Bridge Mutual для страхования средств. Но покрытие часто ограничено, а выплаты могут задерживаться.
Использование мульти-оракульных решений (Chainlink, Pyth) снижает риск атаки на один источник данных.
Ключевые изменения в протоколе требуют одобрения комитета или голосования сообщества, что замедляет атаку.
Однако, как отметил Хакан Унал из Cyvers: «Безопасность RWA — это не просто код. Это и юридические соглашения, и физическая безопасность, и доверие к эмитенту.»
Рост числа взломов уже оказывает влияние на весь сектор:
При этом большинство пострадавших инвесторов — это не крупные фонды, а розничные пользователи, которые вложили сбережения, ожидая стабильного дохода.
Чтобы остановить рост взломов, индустрия должна перейти от реактивной к проактивной безопасности.
Разработчикам RWA необходимо глубокое понимание кибербезопасности Web3. Курсы от Secureum, Immunefi, Trail of Bits должны стать обязательными.
Системы вроде Cyvers, Chainalysis, TRM Labs должны отслеживать подозрительные транзакции и паттерны поведения.
Необходимы общие стандарты для RWA-протоколов, как это сделано для смарт-контрактов (например, ERC-20). Организации вроде OpenZeppelin и ConsenSys уже работают над этим.
Протоколы должны предлагать щедрые награды white-hat хакерам за обнаружение уязвимостей. Призовой фонд должен составлять не менее 10–15% от TVL.
Снижение зависимости от централизованных эмитентов и банковских интеграций. Развитие децентрализованных оракулов и юридических рамок для DAO.
Токенизация реальных активов — одна из самых перспективных тенденций в Web3. По прогнозам Boston Consulting Group, к 2030 году рынок RWA может достичь $16 триллионов. Однако этот потенциал может быть уничтожен, если безопасность останется на втором плане.
Ключевые выводы:
Как сказал Чарльз Гильем из Ledger: «В Web3 деньги — это код. А код без безопасности — это дырявый кошелёк.»
Будущее финансов может быть токенизированным, но только в том случае, если оно будет построено на надёжном фундаменте. Пока RWA остаётся уязвимым, каждый новый миллиард, вложенный в сектор, — это и возможность, и риск.
