Exploit (ang. exploit) to wykorzystanie błędu lub niezamierzonego zachowania oprogramowania w celu osiągnięcia korzyści, której system nie przewidywał – najczęściej wyprowadzenia środków. W kryptowalutach słowo to oznacza zwykle atak na smart kontrakt: atakujący nie łamie żadnych haseł, tylko wywołuje funkcje kontraktu w taki sposób, że kod sam oddaje mu pieniądze.
Exploit a hack
Oba słowa bywają używane zamiennie, ale warto je rozróżniać, bo wskazują inne źródło ryzyka.
| Cecha | Exploit | Hack (kompromitacja) |
|---|---|---|
| Co zawodzi | logika kodu lub ekonomia protokołu | klucze, infrastruktura, ludzie |
| Jak wygląda atak | poprawne formalnie transakcje, które kod przyjmuje | przejęcie kluczy, podmiana interfejsu, phishing |
| Co mogło zapobiec | audyt, testy, weryfikacja formalna | bezpieczeństwo operacyjne, multisig, oddzielenie kluczy |
Najczęstsze rodzaje exploitów w DeFi
- Reentrancy – ponowne wejście do funkcji przed aktualizacją stanu, np. wielokrotna wypłata tego samego salda.
- Manipulacja oracle – zaniżenie lub zawyżenie ceny, z której korzysta protokół, często przy użyciu flash loana.
- Błędy logiki i uprawnień – funkcja dostępna dla każdego, choć powinna być tylko dla administratora, albo błędny warunek wypłacalności.
- Błędy zaokrągleń i precyzji – drobne różnice powtarzane tysiące razy w jednej transakcji.
- Exploity mostów – fałszywe potwierdzenie depozytu po jednej stronie mostu i wybicie tokenów po drugiej.
Głośne przypadki
| Rok | Projekt | Skala | Charakter |
|---|---|---|---|
| 2016 | The DAO | ok. 3,6 mln ETH | exploit reentrancy; skończył się hard forkiem Ethereum |
| 2022 | Ronin (most Axie Infinity) | ok. 600 mln USD | hack – przejęcie 5 z 9 kluczy walidatorów |
| 2023 | Euler Finance | ok. 200 mln USD | exploit logiki z użyciem flash loana; środki zostały potem zwrócone |
| 2025 | Bybit | ok. 1,5 mld USD w ETH | hack – podmiana transakcji podpisywanej w multisigu cold walleta |
Przypadek Bybit pokazuje, że największe straty nie zawsze wynikają z błędu w kodzie kontraktu – zawiodła infrastruktura i proces podpisywania.
Przykład: co exploit oznacza dla użytkownika
Załóżmy, że masz 10 000 USDC w puli pożyczkowej, w której łącznie leży 50 mln USDC. Atakujący wyprowadza 15 mln. Jeśli protokół nie ma funduszu ubezpieczeniowego i rozkłada stratę proporcjonalnie, każdy depozytariusz traci 30% – Ty 3 000 USDC. Do tego zwykle dochodzi zamrożenie wypłat na czas analizy.
Jeśli trzymasz dodatkowo token zarządzania tego protokołu wart 5 000 USD, a po ogłoszeniu exploita kurs spada o 40%, tracisz kolejne 2 000 USD. Ryzyko protokołu uderza więc podwójnie: w depozyt i w token.
Jak projekty się bronią
- Wielokrotne audyty i programy bug bounty.
- Testy fuzzingowe i weryfikacja formalna krytycznych funkcji.
- Sprawdzone biblioteki, np. OpenZeppelin.
- Timelock i multisig dla zmian w kontraktach, możliwość wstrzymania działania.
- Limity wypłat i monitoring on-chain z automatycznymi alertami.
Najczęstsze błędy
- Uznawanie audytu za gwarancję bezpieczeństwa.
- Trzymanie dużej części kapitału w jednym, młodym protokole z wysokim APY.
- Kupowanie tokena „na dołku” tuż po exploicie, zanim znany jest zakres strat.
- Pozostawianie nieograniczonych zgód (approve) dla kontraktów, z których już nie korzystasz.
Perspektywa tradera
Informacja o exploicie rozchodzi się w minutach, a token protokołu zwykle reaguje gwałtownym spadkiem i skokiem wolumenu. Ryzykiem są też luki cenowe – stop loss może zostać zrealizowany dużo niżej niż zakładałeś. Dla pozycji w DeFi ustal limit kapitału na jeden protokół i traktuj go jak ryzyko kontrahenta. Po exploicie sprawdź, czy dotknięty jest tylko jeden kontrakt, czy cały system, i czy projekt ma środki na pokrycie strat – dopiero wtedy oceniaj, czy spadek jest przesadzony.
Najczęstsze pytania
Czym exploit różni się od hacka?
Exploit wykorzystuje błąd w logice kodu lub protokołu. Hack to zwykle przejęcie kluczy, infrastruktury lub oszukanie ludzi.
Czy audyt chroni przed exploitem?
Zmniejsza ryzyko, ale go nie eliminuje. Wiele zaatakowanych protokołów miało audyty.
Czy po exploicie można odzyskać środki?
Czasem tak – przez negocjacje z atakującym, zamrożenie środków na giełdach lub fundusz ubezpieczeniowy. Często jednak strata jest trwała.
Co zrobić, gdy protokół, z którego korzystam, padł ofiarą exploita?
Sprawdź oficjalne komunikaty, cofnij zgody dla zagrożonych kontraktów i nie klikaj w linki „rekompensat” z nieoficjalnych źródeł.
Czym jest flash loan w kontekście exploitów?
To pożyczka bez zabezpieczenia spłacana w tej samej transakcji. Daje atakującemu duży kapitał do manipulacji ceną lub stanem protokołu.
Tekst ma charakter edukacyjny i nie stanowi rekomendacji inwestycyjnej.
