«Когда доверие к протоколу строится на одном-единственном ключе, это не инновация. Это бомба замедленного действия.»
— Виталик Бутерин, сооснователь Ethereum
В сентябре 2025 года проект Sf.fund, позиционировавшийся как децентрализованный фонд для стейкинга и управления активами, потерпел катастрофический крах после масштабной атаки. По данным аналитических компаний Cyvers и PeckShield, злоумышленники, связываемые с северокорейской хакерской группой Lazarus Group, эксплуатировали критическую уязвимость в кросс-чейн мосте проекта, что позволило им похитить около 99% всех средств фонда.
Инцидент привёл к полному обесцениванию токена $SFF, который за считанные часы упал более чем на 99%, и поставил под сомнение будущее всего проекта. Сообщество было шокировано тем, что такая серьёзная уязвимость осталась незамеченной при запуске, особенно учитывая, что Sf.fund продвигался как безопасное и надёжное решение для долгосрочных инвестиций.
Как отметил Чарльз Гильем из Ledger: «Самый большой риск DeFi — это не взлом контракта. Это когда ты сам даёшь доступ к своему кошельку.»
Sf.fund (Seedify’s Fund) был создан как часть экосистемы Seedify, известной своими launchpad-платформами для игровых проектов. Цель фонда — аккумулировать средства пользователей и направлять их в высокодоходные стратегии, включая стейкинг, ликвидность и инвестиции в ранние стадии Web3-стартапов.
Проект заявлял о своих преимуществах:
На момент атаки TVL (Total Value Locked) фонда составлял порядка $75 миллионов. Однако анализ после взлома показал, что его архитектура была далека от истинной децентрализации.
По данным расследования Cyvers, атака была проведена с использованием классической, но чрезвычайно эффективной тактики, характерной для Lazarus Group.
Злоумышленники получили контроль над одним из главных адресов управления Sf.fund. Предполагается, что это могло быть сделано через:
Получив доступ к админ-панели, хакеры инициировали серию транзакций через внутренний мост Sf.fund, предназначенный для перемещения активов между сетями. Уязвимость заключалась в том, что:
Хакеры начали переводить активы из пулов фонда:
Общая сумма убытков оценивается в $74,25 миллиона. Средства были быстро перемещены через Tornado Cash и другие миксеры, что затрудняет их отслеживание.
Как сказал представитель PeckShield: «Это был не взлом кода. Это был захват власти. И он стал возможен благодаря одной точке отказа.»
Реакция рынка была мгновенной и разрушительной.
Цена токена Sf.fund упала более чем на 99% за несколько часов. Ранее торгующийся на уровне $0,42, он опустился до менее чем $0,004, фактически став бесполезным.
Тысячи пользователей потеряли свои сбережения. Особенно сильно пострадали те, кто недавно вложился, основываясь на рекламных кампаниях и партнерских программах.
Уже поступают сообщения о подготовке коллективных исков против команды Sf.fund. Инвесторы требуют возмещения убытков, обвиняя проект в недостаточной безопасности и прозрачности.
Репутация всей экосистемы Seedify серьёзно пострадала. Пользователи теперь сомневаются в безопасности даже тех продуктов, которые не были напрямую скомпрометированы.
Как отметил Хакан Унал из Cyvers: «Когда фонд, созданный для защиты активов, становится их могилой, это не просто провал. Это предательство.»
Анализ показывает, что атака была полностью предотвратима.
Несмотря на декларации о DAO и голосовании, ключевые функции (вывод средств, деплой контрактов) зависели от одного или двух центральных адресов.
Критически важные операции не требовали одобрения нескольких сторон, что создавало идеальные условия для компрометации.
Контракты моста и управления не прошли полноценного аудита у таких компаний, как CertiK или OpenZeppelin. Отчёт о security review, если он и существовал, не был опубликован.
Не было внедрено базовых мер:
Стремление быстрее запуститься и привлечь пользователей перевесило над необходимостью обеспечить максимальную безопасность.
Как сказал Скотт Дьюк Коминерс из a16z: «Безопасность не должна конкурировать с ростом. Она должна быть его фундаментом.»
Случай Sf.fund — не единичный инцидент, а часть тревожной тенденции.
| Проект | Сумма убытков | Причина | Результат |
|---|---|---|---|
| Sf.fund | $74,25 млн | Захват админ-ключа, уязвимость моста | Крах фонда, обвал токена |
| Kinto | $1,9 млн | Неаудированный код | Закрытие проекта |
| Nemo Protocol | $2,6 млн | Проигнорированная уязвимость | Патч, план компенсации |
| Lykke | $22,8 млн | Атака Lazarus Group | Закрытие, судебные иски |
| Cetus Protocol | $223 млн | Арифметическое переполнение | Частичное восстановление |
Как видно, большинство крупных взломов происходят из-за человеческих ошибок и игнорирования базовых принципов безопасности, а не из-за сложных эксплойтов.
Чтобы избежать подобных катастроф, необходим системный подход.
Как сказал Паоло Ардоино из Tether: «Доверие нельзя купить. Его можно только заслужить — каждый день.»
Инцидент с Sf.fund должен стать поворотным моментом для всей индустрии.
Переход к системам, которые работают без админ-ключей, используя on-chain scheduling и децентрализованные механизмы принятия решений.
Постоянный мониторинг состояния фонда, открытые dashboards, автоматические алерты при аномалиях.
Проекты могут стремиться к статусу RWA (токенизированные реальные активы), что потребует соответствия стандартам KYC/AML и финансовой отчётности.
Использование ИИ для прогнозирования рисков, анализа смарт-контрактов и выявления мошеннических схем.
Сотрудничество с компаниями вроде Nexus Mutual для страхования средств пользователей от хаков.
Как сказал Эллисон Пирсон из Europol: «Каждый новый взлом — это шаг к созданию глобальных стандартов безопасности. Мы должны учиться на чужих ошибках, пока не стало слишком поздно.»
Крах Sf.fund — это не просто потеря денег. Это пример того, как игнорирование основ безопасности может привести к полному коллапсу, несмотря на громкие обещания и маркетинг.
Ключевые выводы:
Как сказал Андреас Антонопулос: «В DeFi, цена доверия — это всё. И она может упасть до нуля за одну транзакцию.»
История Sf.fund — это мрачное напоминание о том, что в мире, где технологии позволяют полный контроль над активами, ответственность за их защиту лежит на каждом участнике: от разработчика до самого последнего инвестора. И пока проекты будут ставить скорость выше безопасности, мы будем продолжать видеть одни и те же катастрофы — просто с новыми названиями и большими суммами. Настоящая децентрализация начинается тогда, когда никто не может ничего украсть — потому что нет, кому доверять.
