Milliárdokat menthetnek meg a kriptós cégek – ha végre komolyan veszik a biztonságot

2026-ban sem javult érdemben a helyzet: a kriptoszektorból ellopott összegek továbbra is rekordközelben járnak. A Chainalysis és az Immunefi adatai szerint az elmúlt évek mintázata változatlan – a projektek nagy része csak akkor veszi komolyan a biztonságot, amikor már késő. A kár pedig nemcsak pénzben mérhető: egyetlen nagyobb hack elegendő ahhoz, hogy egy platform örökre elveszítse a felhasználók bizalmát.

A 2025-ös év különösen fájdalmas volt. Az első félévben több mint 2 milliárd dollárt loptak el különféle kriptoszolgáltatóktól, az év végére pedig ez az összeg elérte a 4,3 milliárd dollárt – ez utóbbit a Chainalysis már korábban előre jelezte, és sajnos nem tévedett. Bitcoin és a teljes kriptoipar reputációja szempontjából ez nem mellékes szám.

Az alapvető hiba: a biztonság mint egyszer elvégzett feladat

Mitchell Amador, az Immunefi – egy web3 biztonságra specializálódott bug bounty platform – vezérigazgatója szerint a probléma gyökere szemléletbeli. A legtöbb csapat a biztonságot még mindig csak egy „elindulás előtti ellenőrzőpontnak” tekinti: megrendelnek egy auditot, kipipálják a feladatot, majd továbblépnek.

„Túl sok projekt úgy indul el, hogy utána már nem is frissíti a kockázati modelljeit” – mondja Amador. Közben integrálnak új funkciókat, módosítanak az irányítási struktúrákon, frissítik az okosszerződéseket – de nem ellenőrzik újra a sebezhetőségeket. Ez olyan, mint ha valaki beépíttetne egy riasztót, majd évekig nem cserélné az elemeket.

A helyzetet tovább rontja, hogy a DeFi-protokollok és a centralizált tőzsdék fejlesztési üteme rendkívül gyors. Ami ma biztonságos, holnap már rés lehet a pajzson – különösen, ha a kód egy másik protokollal integrálódik, amelynek saját sebezhetőségei vannak.

Statikus biztonság helyett folyamatos védelem

A megoldás Amador szerint az, hogy a biztonságot folyamatos infrastruktúraként kell kezelni, nem egyszeri „biztosításként”. Ez konkrétan a következőket jelenti:

Valós idejű monitoring: automatizált rendszerek, amelyek szokatlan tranzakciómintákat, likviditásmozgásokat vagy szerződéshívásokat azonnal jelzik
Rendszeres, ismételt auditozás: nem csak induláskor, hanem minden nagyobb frissítés után
Bug bounty programok: nyilvános, jól finanszírozott hibabejelentési rendszerek, amelyek valódi ösztönzőt adnak a fehér kalapos hackereknek
Emberközpontú reagálási protokollok: előre meghatározott lépések arra az esetre, ha mégis betörnek – ki dönt, mikor állnak le, hogyan kommunikálnak a felhasználókkal
Multisig és időzáras mechanizmusok: amelyek megakadályozzák, hogy egyetlen kompromittált kulcs azonnal katasztrofális veszteséget okozzon

Ezek nem forradalmi ötletek. A hagyományos pénzügyi szektorban ezek alapkövetelmények. A kriptoiparban azonban sokáig luxusnak számítottak – és ez a hozzáállás dollármilliárdokba került.

Kapcsolódó olvasnivaló:

Bitcoin és a szektor egésze: miért közös probléma ez?

Fontos különbséget tenni: a Bitcoin hálózatát eddig nem törték fel. A protokoll szintjén a Bitcoin biztonsági mérlege rendkívül erős – közel másfél évtizede fut megállás nélkül, és a PoW-konszenzus-mechanizmus egyelőre megállta a helyét. Az elmúlt évek nagy hackjei jellemzően tőzsdéket, DeFi-protokollokat, hidakat és tárcaszolgáltatókat érintettek – nem magát a Bitcoin-réteget.

Ez azonban nem jelent teljes felmentést a Bitcoin-ökoszisztéma számára. A Lightning Network fejlődésével, a Bitcoin-alapú DeFi-kísérletek szaporodásával és a különféle wrapper-tokenekkel (mint a WBTC) a kockázatok itt is megjelennek. Ha valaki Bitcoint tart egy kompromittált platformon, a Bitcoin biztonsága mit sem számít – a pénz akkor is elvész.

A szektor egésze szempontjából pedig minden egyes nagy hack visszaveti az intézményi elfogadást. Egy alapkezelő, aki kriptoallokáción gondolkodik, nem tesz különbséget egy DeFi-protokoll hibája és a Bitcoin között – a média mindet „kriptohackként” tálal.

Ki viseli a felelősséget?

A felelősség kérdése összetett. A fejlesztői csapatok nyilvánvalóan felelnek a kódjukért – de a befektetők és a kockázatitőke-alapok szerepe sem elhanyagolható. Ha egy VC azzal a logikával finanszíroz egy projektet, hogy „majd a növekedés után foglalkozunk a biztonsággal”, azzal tulajdonképpen a felhasználókat teszi ki a kockázatnak.

Az Immunefi adatai szerint a bug bounty programok drámaian hatékonyak tudnak lenni: a platform keretein belül bejelentett hibák révén eddig több mint 100 millió dollárnyi potenciális kárt előztek meg – miközben a kifizetett jutalmak töredékét tették ki ennek. Ez tiszta matematika: a megelőzés sokkal olcsóbb, mint a kár.

A szabályozás szerepe

2026-ra a szabályozói nyomás is erősödött. Az EU MiCA-keretrendszere egyre több piaci szereplőre vonatkozik, és bár a biztonsági előírások részletei még formálódnak, az irány egyértelmű: a hatóságok elvárják majd a minimális biztonsági sztenderdek dokumentálását. Ez önmagában nem old meg mindent – a szabályozás jellemzően lassabb, mint a hackerek –, de legalább alapkövetelményeket teremt.

Az Egyesült Államokban a SEC és a CFTC hatásköri vitái közepette egyelőre kevésbé koordinált a szabályozói kép. Ami azonban biztos: ha egy tőzsde vagy DeFi-platform jelentős hackot szenved el, a hatóságok gyorsan megjelennek – és akkor a kérdések sokkal kellemetlenebbek.

Mit tehet az egyéni felhasználó?

A nagy kép mellett érdemes a praktikus tanácsokra is kitérni, hiszen a kár végső soron a felhasználóknál csapódik le.

Ne tartsd az összes kriptódat tőzsdén. A „not your keys, not your coins” elv 2026-ban is érvényes – hardveres tárca (Ledger, Trezor) használata alapvető óvintézkedés
Ellenőrizd, hogy van-e a platformnak bug bounty programja. Ha nincs, az rossz jel – azt jelenti, hogy a fejlesztők nem invitálják a külső szemléletet
Vizsgáld meg az audit történetét. Egy jó projekt nyilvánosan közzéteszi az auditjelentéseket, és reagál a megtalált hibákra
Legyen óvatos az új protokollokkal. A „battle-tested” kód sokszor unalmas – de az unalom itt erény
Diverzifikálj platformok szerint is, ne csak eszközök szerint. Ha egy tőzsde összeomlik, ne vigyen magával mindent

Összefoglalás

A kriptobiztonság 2026-ban sem megoldott probléma – és ez nem technológiai korlát kérdése, hanem elsősorban szemlélet és ösztönzők kérdése. A fejlesztői csapatok egy részénél a piacra kerülési sebesség még mindig veri a gondos biztonsági tervezést. Amíg ez így marad, a milliárdos hack-számok is maradnak.

A Bitcoin-hálózat maga stabilan áll – de az ökoszisztéma körülötte tele van gyenge pontokkal. Aki komolyan veszi a kriptoban tartott vagyonát, annak érdemes komolyan vennie azt is, hogy hol és hogyan tárolja azt. A biztonság nem opcionális kiegészítő – az alapinfrastruktúra része kellene, hogy legyen.

Gyakori kérdések

Mennyi pénz tulajdonképpen egy év alatt elloptak a kriptócégektől?

2025-ben 4,3 milliárd dollárt loptak el különféle kriptoszolgáltatóktól, ez pedig duplája az év első felének (2 milliárd dollár). A Chainalysis ezt már előre jelezte.

Miért nem elég egyszer auditáltatni az okosszerződéseket?

Mivel az okosszerződések integrálódnak más protokollokkal, új funkciókat adnak hozzá és az irányítási struktúrákat módosítanak. Ezek a változások új sebezhetőségeket hoznak, amelyeket újra ellenőrizni kell.

Mit jelent a statikus biztonsággal szemben a folyamatos védelem?

A statikus biztonsággal egy egymarad auditot végeznek, majd azt feltételezik, hogy a kód biztonságos marad. A folyamatos védelem azt jelenti, hogy rendszeres tesztelés, bug bounty programok és frissített kockázati modellek segítségével azonnal reagálnak az új fenyegetésekre.

Miért veszélyes a fejlesztési sebesség a DeFi-ben biztonsági szempontból?

Az új funkciók és integrációk olyan sebezhetőségeket vezethetnek be, amelyeket a statikus auditálás nem fedett fel. A gyors fejlesztés gyakran a biztonság rovására megy, ha nincs folyamatos monitoring.

Megvan-e a módja annak, hogy a cégek visszakérjék az ellopott kriptókat?

Az ellopott pénz általában irretrievable marad, ezért az egyetlen valódi megoldás a proaktív biztonság és a hack megelőzése. A bug bounty programok és a folyamatos auditálás drágábbak, de sokkal kevésbé költségesek, mint egy nagyobb hack.