Редкая по масштабам атака на безопасность вернула весь крипторынок к суровой реальности. Как только появилась эта новость, котировки резко просели, а среди розничных инвесторов распространилась паника. Многие сразу задаются одним и тем же вопросом: почему за инцидент с безопасностью на бирже в итоге расплачиваются все розничные инвесторы и вся отрасль?
Многие розничные инвесторы считают это несправедливым: хакерская атака стала возможной из-за уязвимостей в системе безопасности платформы, а за обслуживание, управление доступом и процедуру подписания транзакций отвечает биржа. Почему же после инцидента мы должны нести последствия в виде падения цен, панических распродаж активов и сокращения ликвидности?
Здесь нужно разделять две вещи: кто возмещает прямые убытки и кто несёт рыночные риски.
На этот раз Binance официально заявила, что использует фонд SAFU и собственные средства для покрытия прямых убытков пользователей, пострадавших от кражи. Теоретически активы на счетах отдельных пользователей не будут обнулены напрямую. Но это лишь гарантия покрытия убытков на бумаге: компенсировать потерю доверия к рынку не сможет ни один фонд.
На крипторынке нет ни центрального банка, ни страхования вкладов. Стоит крупной платформе столкнуться с инцидентом безопасности — и доверие всех участников к этой отрасли пошатнётся. В панике многие предпочитают вывести средства, и BTC, ETH и множество альткоинов падают одновременно. Даже если количество монет на вашем счёте не изменилось, рыночная стоимость ваших активов тоже снижается. Такова цепочка последствий, которую розничным инвесторам приходится принимать на себя.
Многие ветераны рынка часто говорят: выбирая криптовалютную отрасль, нужно принимать и присущие ей риски. Звучит жестоко, но логика проста: до сих пор в этой отрасли нет зрелой и единой системы правовых гарантий, а также строгого надзора, страхования и гарантий выплат, как в традиционных финансах. Если атакуют традиционный банк, его поддерживают надзорные органы и система страхования вкладов. А в криптоотрасли само доверие — самый хрупкий фундамент. Стоит крупной платформе дать сбой — и оценка всей отрасли пересматривается. Цену утраты доверия разделяют все участники рынка. Дело не в несправедливости — таковы нынешние правила этой отрасли.
А теперь второй ключевой вопрос: почему криптовалюты так легко крадут?
Многие считают, что сам блокчейн невозможно взломать. Но всё как раз наоборот: базовый реестр блокчейна трудно изменить, однако безопасность активов зависит от приватных ключей, подписей, разрешений и работы централизованных платформ.
Во-первых, транзакции в блокчейне необратимы. Если у злоумышленника есть действительная подпись и разрешение от приватного ключа, то после подтверждения транзакции средства сразу переводятся — нет ни службы поддержки, ни банка, ни суда, которые могли бы одним нажатием отменить перевод. Завладев активами, хакеры могут быстро разбить их на части, перевести между сетями и прогнать через миксеры. Отследить и заморозить такие средства крайне сложно. Даже если эмитент стейблкоина сможет заморозить часть средств, вернуть всё будет непросто.
Во-вторых, большинство бирж используют централизованное хранение. Блокчейн изначально задумывался как децентрализованная система, но люди привыкли держать монеты на биржах — фактически они доверяют платформе свои приватные ключи. Горячие кошельки платформ должны постоянно быть онлайн и подписывать запросы на вывод средств, поэтому они становятся лакомой целью для хакеров. В этой атаке злоумышленники проникли на устройства сотрудников, отвечающих за эксплуатацию и поддержку систем, получили действительные разрешения на подпись и воспользовались новым механизмом делегирования EIP-7702, чтобы получить возможность массово снимать монеты. Уязвимость была не в самом блокчейне, а в людях, правах доступа и процессах эксплуатации систем.
В-третьих, порог для проведения атак постоянно снижается. С распространением инструментов ИИ стоимость фишинга, создания троянов, поиска уязвимостей и атак с использованием социальной инженерии значительно упала. Хакерам больше не нужна первоклассная техническая команда, чтобы атаковать сотрудников платформы или цепочки эксплуатации и поддержки систем. При этом технологии отрасли быстро развиваются: постоянно появляются новые протоколы и функции, и многие из них запускают, не завершив полноценные проверки безопасности, оставляя лазейки.
В-четвёртых, сложно привлечь злоумышленников к ответственности. Хакеры могут действовать из разных стран и сохранять анонимность; международное сотрудничество правоохранительных органов обходится очень дорого, а поймать преступников удаётся редко. При огромной потенциальной прибыли и низкой вероятности задержания у хакеров есть естественный стимул продолжать атаки.
Теперь главный вопрос, который волнует всех: куда двигаться дальше? Не откажутся ли от криптовалют окончательно?
Сразу скажу: окончательно от криптовалют не откажутся, но эпоха их дикого роста подходит к концу.
Криптовалюты не исчезнут, потому что блокчейн как технология имеет практическую ценность. Подтверждение прав на активы, расчёты в блокчейне, трансграничные расчёты и клиринг, токенизация активов реального мира (RWA) — всё это направления, которые продолжают изучать институты по всему миру. Но нерегулируемый крипторынок, основанный исключительно на спекуляциях, без правил хранения активов и надзора, будет постепенно сжиматься.
В будущем отрасль разделится на два чётких направления:
Первое — путь строгого регулирования и соблюдения требований. MiCA в ЕС и постепенно вводимые в США правила регулирования криптоотрасли распространят лицензирование на биржи, стейблкоины и поставщиков услуг хранения активов. В будущем от регулируемых платформ будут требовать регулярного аудита резервов, страхования активов, раздельного хранения и разграничения прав доступа, а также регулярных проверок безопасности. Условия хранения активов больше не будут определяться только самой платформой — за этим будут следить независимые организации. Будущие биржи станут больше похожи на регулируемых брокеров, а не на бесконтрольные платформы. Расходы на безопасность и соблюдение требований значительно возрастут, а небольшие биржи будут быстрее уходить с рынка.
Второе — подлинно децентрализованное самостоятельное хранение. Пользователи сами контролируют приватные ключи и аппаратные кошельки, не передавая активы на хранение биржам. Преимущество в том, что не нужно беспокоиться о краже активов с платформы. Но всю ответственность за безопасность пользователь берёт на себя: потерял сид-фразу или стал жертвой фишинга — убытки придётся покрывать самому, и никто не придёт на помощь.
А проекты и небольшие платформы без реального обеспечения активами, существующие лишь за счёт спекуляций на громких обещаниях и с совершенно невыстроенными процессами безопасности, будут постепенно покидать рынок после череды подобных чёрных лебедей. Рынок постепенно научится назначать «премию за безопасность»: охотнее платить платформам, которые обеспечивают безопасность, соблюдают требования и работают прозрачно, и голосовать ногами против высокорискованных платформ, работающих непрозрачно.
И наконец, вернёмся к розничным инвесторам: как нам приспособиться к новому этапу?
1. Не храните все свои активы на бирже в течение длительного времени. Даже крупную биржу могут взломать — крупные суммы лучше хранить самостоятельно;
2. Не ориентируйтесь только на рост цены и хорошие новости. Считайте механизмы безопасности платформы, подтверждение резервов и историю инцидентов безопасности важнейшими критериями выбора;
3. Примите реальность: премия за доходность в криптоотрасли сопряжена с более высокими рисками для безопасности и доверия. Высокая доходность не берётся из ниоткуда — её оборотная сторона заключается в возможности внезапного чёрного лебедя;
4. Снижайте кредитное плечо и контролируйте размер позиций. Риски этой отрасли — это не только падение рынка, но и внезапные системные угрозы, связанные с безопасностью, регулированием и уязвимостями смарт-контрактов.
По сути, кража средств с Binance — не провал технологии блокчейна, а серьёзное испытание для модели хранения активов во всей криптоотрасли. Эта отрасль не обнулится из-за одной хакерской атаки, но рынок будет вынужден стать более упорядоченным, уделять больше внимания безопасности и работать прозрачнее. Те, кто надеялся, что он всегда будет оставаться без ограничений и приносить высокую доходность без риска, постепенно уйдут. А тем, кто останется, придётся научиться жить с рисками, присущими этой отрасли.
