Пользователь Solana потерял $1,8 млн в STONKS из-за свопа в пуле Raydium

Крупные обмены криптовалют через пулы ликвидности нередко заканчиваются почти полной потерей средств, и блокчейн здесь работает без сбоев. Сделки исполняются по подписанным параметрам, однако итоговая цена может оказаться несопоставимой со стоимостью актива до операции.

Своп, который стоил $1,8 млн ≈ 5,46 млн BYN

Свежий эпизод произошёл в сети Solana. Владелец около 7,8 миллиона токенов STONKS, которые оценивались примерно в 1,8 миллиона долларов, провёл обмен по маршруту Raydium с крайне низкой ликвидностью. На выходе он получил около 26,8 RAY — примерно 25 долларов ≈ 75,79 BYN.

Технически транзакция прошла без нарушений: токены списались, обмен состоялся, результат записан в блокчейн. Проблема была в цене исполнения — пул не мог обработать такой объём без резкого сдвига баланса. Когда ордер многократно превышает доступную ликвидность, он сам двигает цену против отправителя.

Похожий случай стал заметен в марте 2026 года. Пользователь менял USDT на сумму около 50 миллионов долларов ≈ 152 млн BYN на AAVE через интерфейс Aave и после завершения операции получил 324 AAVE стоимостью примерно 36 000 долларов ≈ 109 тыс. BYN. Основатель проекта Стани Кулечов пояснил, что система предупредила об экстремальном проскальзывании из-за необычно крупного ордера и запросила отдельное подтверждение — пользователь отметил нужный пункт на мобильном устройстве и продолжил.

Разработчик Aave Мартин Грабина уточнил, что ключевой причиной потерь стало влияние самой сделки на цену: ордер оказался слишком крупным относительно доступной ликвидности. CoW Swap заявила, что признаков взлома или злонамеренных действий не обнаружила, а сделка прошла по параметрам подписанного ордера. Позднее Aave решила вернуть пользователю около 600 000 долларов ≈ 1,82 млн BYN комиссий, полученных в результате этой транзакции.

В ноябре 2025 года с аналогичной ошибкой столкнулся держатель Cardano: 14,4 миллиона ADA стоимостью около 6,9 миллиона долларов ≈ 20,9 млн BYN были обменяны всего на 847 695 USDA. Потери из-за нехватки ликвидности составили примерно 6,05 миллиона долларов. Небольшая тестовая транзакция перед этим не показала, что произойдёт при обмене всей суммы.

Адрес, который выглядит правильным

Бывает и так, что сеть отправляет активы именно туда, куда указал подписант, — но получатель оказывается чужим. В мае 2024 года владелец 1155 WBTC стоимостью около 68 миллионов долларов пострадал от отравления адреса. При такой атаке злоумышленник создаёт визуально похожий адрес и отправляет с него небольшую сумму на кошелёк жертвы, чтобы подделка появилась в истории операций.

Кража приватного ключа не требуется: владелец сам копирует похожий адрес из истории, сверив лишь начало и конец строки, и переводит средства. На ошибочный адрес ушли 1155 WBTC, позднее эти активы оценивались примерно в 71 миллион долларов. История транзакций, которой пользуются как защитой от опечаток, в такой схеме становится инструментом обмана.

Иногда для потери не нужен и злоумышленник. В 2024 году пользователь Renzo перепутал при копировании адрес собственного кошелька с адресом связанного технического смарт-контракта и отправил туда активы примерно на 25 миллионов долларов. После неудачных попыток вернуть средства он предложил 2,5 миллиона долларов за помощь в восстановлении доступа.

Ошибались и компании. Wintermute передала разработчикам Optimism адрес мультиподписного кошелька Ethereum, не проверив, сможет ли контролировать такой же адрес в сети Optimism. Тестовые переводы перед основной операцией проводились, но проблема выяснилась только после отправки 20 миллионов OP.

Разрешение опаснее перевода

Часть потерь начинается не с отправки токенов, а с подписи, дающей смарт-контракту доступ к активам. Такое согласие может действовать недели и месяцы после завершения операции, о нём владелец кошелька уже не помнит, а контракт продолжает им пользоваться.

В январе 2026 года эксплуатировали уязвимость в DEX-агрегаторе SwapNet, интегрированном с Matcha Meta. Потери составили около 13,4 миллиона долларов, почти вся сумма — 13,34 миллиона — пришлась на один кошелёк. Причиной стала уязвимость протокола и прямые разрешения вместо One-Time Approval.

Почему возврат почти невозможен

Во всех описанных эпизодах сеть выполняла именно то, что ей поручили: своп шёл по доступной ликвидности, WBTC отправлялись на указанный адрес, контракт пользовался выданным разрешением. В традиционных финансах между человеком и исполнением платежа стоит посредник, который может ограничить сумму или остановить подозрительный перевод. При самостоятельном хранении ключа владелец сам перемещает миллионы, но вместе с посредником исчезает и защита от собственных действий.

Крупные операции требуют нескольких независимых проверок:

• сверять адрес целиком, а не только первые и последние символы;
• выбирать правильную сеть перед отправкой;
• оценивать ожидаемую сумму на выходе до подтверждения свопа;
• проверять ликвидность, особенно при крупных обменах;
• регулярно отзывать ненужные разрешения смарт-контрактов;
• использовать аппаратные кошельки для крупных сумм;
• включать двухфакторную аутентификацию там, где она доступна;
• разбирать базовые схемы фишинга и социальной инженерии, чтобы не доверять интерфейсу автоматически.

Перед подписью стоит проверять не только сумму, но и адрес, сеть, маршрут обмена, ликвидность и разрешения — в блокчейне именно эти параметры становятся окончательным приказом для сети. Полный контроль над активами означает не только свободу от посредников, но и возможность потерять деньги без посредников одной ошибочной подписью.