От Mt. Gox и Bitfinex до Bybit и Bitget — точки входа для атак на биржи постоянно меняются и усложняются. После взлома Binance в 2019 году снова столкнулась с тем же вопросом: кто понесет убытки?
Если расположить случаи взлома бирж за последние десять с лишним лет на одной временной шкале, станет заметна явная перемена:
Убытки растут, но злоумышленники все реже пытаются напрямую взламывать холодные кошельки. Чаще всего их мишенью становятся горячие кошельки, закрытые ключи, процедуры подписи, внутренние устройства и каналы связи между биржами и сторонними сервисами.
—
От горячих кошельков до закрытых ключей: самые ранние способы атаки
В феврале 2014 года Mt. Gox сообщила о пропаже примерно 850 000 биткоинов, стоимость которых по тогдашнему курсу составляла около 450 млн долларов. Активы не вывели одномоментно — они утекали на протяжении длительного времени. Потеря контроля над горячими кошельками и недостаточная защита закрытых ключей в итоге привели к банкротству крупнейшей на тот момент биткоин-биржи.
В августе 2016 года с Bitfinex похитили 119 756 биткоинов — примерно на 72 млн долларов по тогдашнему курсу. Злоумышленники обошли процедуры мультиподписного хранения и авторизации на бирже и инициировали несанкционированные переводы. Позднее часть активов удалось вернуть, но пользователям все равно пришлось столкнуться с распределением убытков и долгим процессом компенсаций.
В январе 2018 года с японской биржи Coincheck похитили NEM на сумму около 523 млн долларов. Большая часть активов хранилась в подключенных к сети горячих кошельках без мультиподписи. После утечки закрытых ключей средства вывели одним переводом, и в итоге Coincheck компенсировала пользователям убытки из собственных средств.
Общее в инцидентах этого периода очевидно:
Активы по-прежнему хранились на биржах, но ключи, кошельки и процедуры авторизации не были по-настоящему изолированы друг от друга.
В мае 2019 года сама Binance подверглась масштабной атаке. Хакеры вывели из горячих кошельков Binance 7 000 биткоинов стоимостью около 40 млн долларов на тот момент. По данным Binance, злоумышленники получили API-ключи пользователей, данные для двухфакторной аутентификации и другую информацию с помощью фишинга, вирусов и иных методов, после чего массово инициировали вывод средств.
Тогда убытки в итоге покрыл фонд SAFU, и пользователи не понесли прямых потерь. После проверки безопасности Binance возобновила работу. Так сформировалась модель реагирования на инциденты безопасности: «платит платформа, пользователи не страдают».
—
От кражи ключей — к атакам на процессы
Позднее злоумышленники стали обходить отдельные кошельки и вместо этого атаковать рабочие процессы и системы управления правами доступа бирж.
В сентябре 2020 года произошла утечка закрытых ключей горячих кошельков KuCoin; убытки составили около 280 млн долларов. Проекты, биржа и компании по кибербезопасности совместно отслеживали средства, вернув примерно 84% активов. Остальные убытки покрыли за счет страховки и средств компании.
В декабре 2021 года горячие кошельки BitMart подверглись атаке; убытки оценивались примерно в 150–196 млн долларов. По общедоступным данным, инцидент был связан с утечкой закрытых ключей горячих кошельков. BitMart впоследствии пообещала компенсировать пострадавшим пользователям потери за счет собственных средств и страховки.
В 2023 году с CoinEx вывели активы примерно на 70 млн долларов. Большинство наблюдателей связали это с утечкой закрытых ключей горячих кошельков. В том же году с Poloniex похитили активы примерно на 125 млн долларов: злоумышленники перевели средства в нескольких блокчейнах, но платформа не раскрыла полностью первоначальный способ проникновения.
Методы атак меняются:
От «получить закрытый ключ» → к «обойти права доступа» → к «подделать транзакцию».
—
Стороннее программное обеспечение тоже становится точкой входа для атак
Два инцидента 2024 года уже гораздо ближе к современным моделям атак.
В мае с японской биржи DMM Bitcoin похитили около 4 502,9 биткоина стоимостью примерно 305 млн долларов по тогдашнему курсу. Компания не раскрыла в полной мере первоначальный способ проникновения; позднее Федеральное бюро расследований США связало атаку с группировкой TraderTraitor, предположительно связанной с Северной Кореей.
В июле с WazirX похитили активы примерно на 235 млн долларов. Предположительно, злоумышленники воспользовались расхождением между интерфейсом транзакций мультиподписного кошелька и данными для подписи, чтобы побудить причастных лиц одобрить вредоносную транзакцию. После этого WazirX и кастодиальный сервис Liminal вступили в спор о распределении ответственности.
В феврале 2025 года с Bybit похитили активы примерно на 1,46–1,5 млрд долларов. До тех пор это было крупнейшее в истории ограбление биржи.
Случай Bybit показал одну важную вещь:
Мультиподпись не означает абсолютную безопасность.
Злоумышленники не взламывали закрытые ключи холодных кошельков напрямую. Вместо этого они использовали расхождения между отображением транзакции и данными в процессе подписи, чтобы побудить подписывающих одобрить вредоносную транзакцию. Позднее Федеральное бюро расследований США связало атаку с группировкой TraderTraitor, предположительно связанной с Северной Кореей.
Холодные кошельки не были взломаны напрямую, но транзакции все же одобрили. Поэтому вопрос безопасности сместился от «где хранятся активы» к тому, «кто одобряет транзакции и что именно он видит».
—
Bitget: предупреждение перед инцидентом с Binance
24 сентября 2026 года в 18:31 UTC злоумышленники инициировали несанкционированные переводы из некоторых горячих и теплых кошельков Bitget. В 19:05 UTC система сверки средств Bitget обнаружила аномалию, после чего компания немедленно приостановила вывод средств на всей платформе.
Bitget первоначально оценил убытки примерно в 351,6 млн долларов. После переклассификации транзакций в блокчейнах Zcash, TRON и других сумма убытков была пересмотрена до примерно 387,5 млн долларов, а окончательная подтвержденная сумма, указанная на официальной странице, составила около 388 млн долларов.
По данным Bitget, причиной атаки стала эксплуатация злоумышленниками уязвимости нулевого дня в стороннем продукте безопасности. Они похитили учетные данные для доступа к внутренней сети, затем подделали инструкции на вывод средств, обошли систему контроля рисков и напрямую передали команды на перевод в систему кошельков.
В этом инциденте холодные кошельки не пострадали; компания также заявила, что закрытые ключи не были скомпрометированы. Балансы пользователей Bitget не пострадали, убытки покрывает фонд защиты пользователей, а вывод средств возобновлялся поэтапно — до 2 октября.
Инцидент с Bitget подает очевидный сигнал:
Настоящая опасность может таиться не в самом кошельке, а в программном обеспечении, устройствах и правах доступа, связанных с ним.
—
Binance: границы безопасности вновь прорваны
По восстановленной на основе общедоступных данных блокчейна картине, ранним утром 30 октября 2026 года в горячем кошельке Binance с меткой «Binance 14» была зафиксирована подозрительная авторизация. Несколько минут спустя из него массово вывели различные активы, после чего начались последовательные переводы средств между несколькими горячими кошельками в разных блокчейнах.
В тот же день утром Binance приостановила ввод и вывод средств и заявила, что средства пользователей в безопасности, а компания покроет все убытки.
Согласно предварительным результатам расследования Binance, инцидент мог быть связан со взломом ноутбука инженера DevOps. Злоумышленники использовали его, чтобы проникнуть в контейнер службы и инициировать несанкционированные транзакции на вывод средств.
Binance заявила, что на данный момент не обнаружила доказательств утечки закрытых ключей кошельков. Однако дальнейшее расследование выявило и другие точки проникновения, поэтому компьютер сотрудника — лишь предварительная зацепка, а не окончательно установленная причина.
Что касается суммы, Chainalysis оценивает стоимость похищенных активов примерно в 5,9 млрд долларов, TRM Labs — более чем в 6 млрд долларов. Официальная оценка Binance на данный момент такова:
Общий ущерб от инцидента составляет около 6,3 млрд долларов.
Binance заявила, что около 3 млрд долларов в активах уже заморожены или находятся под защитой. Кроме того, компания зарезервировала более 6,34 млрд долларов собственных средств для покрытия последствий инцидента, причем около 5 млрд долларов уже выделены в соответствующих затронутых токенах.
Эти средства — резерв для компенсаций, а не новая сумма похищенных средств; их нельзя напрямую складывать с 3 млрд долларов замороженных активов.
Заявления CZ касались главным образом трех вопросов:
Средства пользователей в безопасности; судя по всему, инцидент действительно стал результатом хакерской атаки;
В Binance не произошло краха по сценарию FTX, поскольку инцидент больше похож на отдельный сбой безопасности, последствия которого компания может покрыть за счет своего баланса;
Работа по восстановлению активов уже началась: Binance может постепенно восполнить затронутые токены за счет торговых комиссий и операций на рынке.
По состоянию на вечер 30 октября 2026 года: пострадали активы на сумму около 6,3 млрд долларов, около 3 млрд долларов уже заморожены или находятся под защитой, а Binance подготовила более 6,34 млрд долларов собственных средств для покрытия убытков. Однако окончательный чистый ущерб, фактически возвращенная сумма и полный путь атаки пока не подтверждены.
Поэтому этот инцидент нельзя упрощенно трактовать как «Binance в итоге потеряла 6,3 млрд долларов».
В 2019 году Binance покрыла убытки примерно в 40 млн долларов за счет фонда SAFU. На этот раз масштаб инцидента достиг 6,3 млрд долларов, а точка входа злоумышленников сместилась от пользовательских API и горячих кошельков к внутренним устройствам, стороннему программному обеспечению и административным правам доступа.
От Mt. Gox до Bitget и Binance — безопасность бирж уже не сводится к различию между холодными и горячими кошельками.
Главный вопрос, на который должен ответить этот инцидент, — не только в том, есть ли у Binance средства для компенсаций.
Когда границы безопасности бирж раз за разом нарушаются, кто в итоге несет убытки — платформа или пользователи?