Bitget взломали на $351,6 млн: за этим стоит Lazarus?

Первый перевод был достаточно небольшим, чтобы выглядеть безобидно: 0,84 Ether были отправлены с кошелька с пометкой Bitget на недавно созданный адрес. Дальше всё было иначе. Стейблкоины, токенизированное золото, Ether, Avalanche, BNB и, возможно, 93,7 миллиона XRP перемещались по нескольким сетям, а кошельки получателя быстро конвертировали и распределяли активы.

Уведомление генерального директора Bitget Грейси Чен о взломе горячего кошелька на сумму 351,6 миллиона долларов от X, по состоянию на 24 сентября 2026 года.

Уведомление Bitget о безопасности оценивает сумму затронутых средств примерно в 351,6 миллиона долларов. Биржа заявляет, что её системы обнаружили несанкционированные переводы 24 сентября в 18:31 по всемирному координированному времени, холодные кошельки остались в безопасности, балансы пользователей были корректными, а вывод средств приостановили на время проверки безопасности. Это важные сведения, но они пока не объясняют, каким образом сервис кошельков создал транзакции, которые компания не намеревалась санкционировать.

Именно это отсутствующее объяснение является центральной частью истории. Генеральный директор Bitget Грейси Чен описала возможную компрометацию цепочки поставок, затронувшую внутренний сервис кошельков, а не утечку закрытого ключа. Отдельно блокчейн-исследователь Specter связал часть следа украденных XRP со средствами, связанными со взломом AFX в июле 2026 года. Тот более ранний инцидент приписали TraderTraitor — кластеру угроз, связанному с Корейской Народно-Демократической Республикой (КНДР). Связь достаточно конкретна для расследования, но недостаточно подтверждена, чтобы считать установленным фактом причастность к атаке на Bitget группировки Lazarus Group.

Что произошло во время взлома Bitget

Открытая история транзакций складывалась поэтапно, поэтому первые оценки оказались значительно ниже итоговой цифры Bitget. Ранние трекеры сосредоточились на сетях, совместимых с Ethereum Virtual Machine (EVM), и насчитали около 170–183,8 миллиона долларов. Позже Bitget включила в оценку 351,6 миллиона долларов более широкий набор активов и сетей. Кажущееся расхождение не обязательно является противоречием, однако сверка по каждой транзакции опубликована не была.

Наиболее ясная ранняя последовательность выглядит так:

• Первоначальный тест: Перевод 0,84 Ether поступил на новый адрес примерно в ту же минуту, когда, по заявлению Bitget, её системы безопасности обнаружили инцидент.

• Отток стейблкоинов: Сообщается, что адрес получил около 34,75 миллиона Tether, 12,85 миллиона USD Coin и 3 000 единиц Tether Gold с кошельков, помеченных как принадлежащие бирже.

• Быстрая конвертация: В сети Arbitrum отдельный новый адрес использовал около 19,67 млн USDT0 для покупки примерно 7 111 эфиров через UniswapX и 1inch Fusion. Сообщается, что при некоторых сделках переплата достигала 5%, что указывает: скорость была важнее эффективности цены.

• Дополнительные сети: Из инфраструктуры с маркировкой Bitget в сети Avalanche были переведены около 821 012 Avalanche, а позднее — 8,2 млн USD Coin. Активность в сети BNB Chain также фигурировала в более полной реконструкции.

• Операция с XRP: По сообщениям, два кошелька с маркировкой Bitget отправили в общей сложности 93,7 млн XRP на новый адрес XRP Ledger. По ценам, указанным во время инцидента, эта операция стоила около 143 млн долларов и могла объяснить значительную часть разницы между ранними итогами по EVM и оценкой Bitget.

Первоначальное сообщение Bitget об инциденте с кошельками 24 сентября 2026 года, оценке затронутых средств и временной приостановке вывода средств от Bitget, получено 25 сентября 2026 года примерно в 02:40 UTC.

Пока что «затронутые» — точное слово для суммы в 351,6 млн долларов. Это пока не окончательный расчёт чистого убытка. Из итоговой суммы следует вычесть активы, которые оставались под контролем Bitget, были заморожены эмитентами или биржами, возвращены либо восстановлены. На момент завершения исследования ни одна из этих категорий публично не была сверена.

Время событий также заслуживает внимания. Обнаружение в 18:31 UTC не сразу остановило все заявленные перемещения. Перевод 8,2 млн USD Coin в сети Avalanche был реконструирован примерно в 20:55 UTC, более чем через два часа. Возможны несколько объяснений: подписанные транзакции могли быть поставлены в очередь заранее, для разных сетей могли потребоваться отдельные меры сдерживания или скомпрометированный канал всё ещё мог отправлять транзакции. Пока Bitget не опубликует журналы подписания и хронологию сдерживания, обнаружение и локализацию нельзя считать одним и тем же событием.

Почему ранние оценки убытков были ниже

Инциденты в блокчейне редко сопровождаются точным счётом. Аналитики видят разные адреса в разное время, маркировка кошельков может запаздывать, а один и тот же пул средств может отображаться несколько раз при обмене или переводе через мост. Поэтому сложение каждого числа из оперативной ленты преувеличило бы размер убытка.

Три проблемы учёта повлияли на оценки Bitget:

• Переводы и обмены пересекаются: Если 19,67 млн USDT0 конвертировать в 7 111 эфиров, долларовую стоимость обоих активов нельзя складывать как два отдельных убытка.

• Мосты создают две видимые операции: Актив может покинуть один блокчейн и появиться в другом. Подсчёт обеих сторон без сопоставления события в мосте приводит к дублированию одной и той же стоимости.

• Цены изменились во время атаки: Ether активно покупали, пока трекеры оценивали объём средств. Расчёт, выполненный десятью минутами позже, мог дать другую итоговую сумму в долларах даже без новых хищений.

Операция с XRP остаётся крупнейшей неразрешённой частью. Если 93,7 миллиона XRP контролировались тем же злоумышленником, активность в EVM и перевод XRP значительно приблизят внешнюю реконструкцию к $351,6 миллиона. Если этот адрес назначения использовался внутренней функцией Bitget или другим законным контрагентом, разрыв потребует иного объяснения. Одни лишь публичные метки не позволяют определить владельца.

Активность в Ethereum, связанная с основным адресом инцидента Bitget, о котором сообщалось, за период с Etherscan, данные получены 25 сентября 2026 года. 

Грамотный итоговый отчёт об инциденте устранил бы большую часть этой неопределённости, опубликовав затронутые адреса, хэши транзакций, роли внутренних кошельков, переведённые активы, конвертированные активы, замороженные суммы, возвращённые суммы и окончательный непокрытый убыток. Без такого реестра оценка в $351,6 миллиона выглядит достоверной как внутренняя итоговая сумма Bitget, но не может быть независимо воспроизведена.

Как кошелёк может отправить действительную транзакцию, которую биржа никогда не санкционировала

Блокчейн проверяет только то, соответствует ли транзакция криптографическим правилам авторизации. Он не знает, одобрила ли платёж команда биржи по управлению рисками, видел ли сотрудник правильный адрес назначения или передала ли скомпрометированная серверная часть ложные данные о переводе исправно работающему подписывающему устройству.

Это различие помогает понять предварительное объяснение Чэнь. Она сказала, что инцидент может напоминать атаку через цепочку поставок, при которой сторонний инструмент, использовавшийся Bitget, затронул критически важный сервис серверной части, управляющий кошельком. Согласно этой версии, поддельная информация о переводе попала на устройство для подписи, хотя злоумышленник не извлекал закрытый ключ напрямую. Возможность участия инсайдера была названа маловероятной, но не исключённой, а окончательный вектор атаки всё ещё расследовался.

При обычном выводе средств перед их перемещением несколько средств контроля должны подтвердить друг друга:

1. Клиент или внутренний казначейский процесс создаёт законный запрос на перевод.

2. Проверки аккаунта, устройства, адреса и рисков определяют, разрешён ли запрос.

3. Механизм политик проверяет актив, сеть, адрес назначения, сумму, частоту операций и порог одобрения.

4. Один или несколько компонентов подписи подтверждают точные данные транзакции.

5. Сервис трансляции отправляет подписанную транзакцию в сеть.

6. Системы мониторинга сопоставляют результат с утверждённым бизнес-запросом и останавливают аномальную последующую активность.

Компрометация любого одного этапа может оказаться недостаточной, если остальные средства контроля действительно независимы. Опасение в предварительной версии Bitget заключается в том, что доверенный программный компонент мог находиться достаточно близко к процессу подписания, чтобы повлиять на то, что одобрил подписант. Если подписант проверял только то, что запрос поступил от разрешённого сервиса, вместо независимого подтверждения адресата и суммы по неизменяемой записи об одобрении, действительные подписи всё ещё могли разрешить вредоносные переводы.

Наиболее вероятные пути отказа средств контроля

Нижеописанное не доказано, но каждый вариант приводит к отдельному выводу:

• Компрометация поставщика или обновления программного обеспечения: Злоумышленник повреждает зависимость, административный инструмент или сервис, используемый в процессе работы кошелька. Биржа может доверять запросам, исходящим от этого компонента.

• Кража серверных учётных данных: Учётная запись сервиса, учётные данные интерфейса прикладного программирования, сеанс или привилегированный токен позволяют злоумышленнику имитировать авторизованную внутреннюю систему.

• Обход механизма политик: Запрос на подписание достигает подписанта без применения обычных ограничений, списков разрешённых адресов, проверок скорости операций или порогов одобрения.

• Манипуляция интерфейсом подписания: Операторы одобряют одну транзакцию, тогда как система подписания получает другую. Это может произойти, если отображение и подписываемая полезная нагрузка не связаны друг с другом независимо.

• Компрометация доли ключа или подписанта: Схема с мультиподписью или многосторонними вычислениями (MPC) всё ещё может дать сбой, если злоумышленник скомпрометирует достаточное число подписантов, координатора или окружающий их процесс одобрения.

• Доступ привилегированного сотрудника или подрядчика: Авторизованный сотрудник или злоумышленник, использующий его доступ, отправляет или одобряет вредоносные переводы. В настоящее время Bitget считает внутреннюю атаку маловероятной, но не опубликовала доказательства, однозначно исключающие такую возможность.

Описание Bitget горячих, тёплых и холодных кошельков не позволяет установить, какой именно путь дал сбой. Горячий кошелёк предназначен для частых онлайн-транзакций. Тёплый кошелёк обычно добавляет более строгие процедуры одобрения или изоляцию, сохраняя доступность для операционной работы. Холодный кошелёк хранит полномочия на подписание офлайн или иным образом отделёнными от обычных систем, подключённых к интернету. Эти обозначения описывают предполагаемое использование, а не фактические средства контроля, применявшиеся к каждому адресу в ночь взлома.

Сторонние трекеры также пометили как минимум один источник как холодную инфраструктуру, тогда как Bitget заявляет, что ни один холодный кошелёк не был скомпрометирован. Возможно, одна из сторон использует иную классификацию. Конфликт можно разрешить только сопоставив публичные адреса с их внутренними ролями и объяснив, как использовался каждый подписант.

Почему важна скорость конвертации

Похоже, злоумышленник не был заинтересован в хранении аккуратного набора похищенных активов. У стейблкоинов и токенизированного золота есть очевидная проблема для вора: эмитенты могут заморозить идентифицированные балансы. Ether более ликвиден на децентрализованных площадках и не имеет централизованного эмитента с аналогичным механизмом заморозки.

Поэтому уплата премии за приобретение Ether через агрегаторы выглядит менее иррациональной, чем может показаться на первый взгляд. Изощрённый злоумышленник может согласиться на невыгодное исполнение, поскольку каждая минута повышает вероятность того, что эмитент, мост, биржа или сервис валидаторов заблокирует следующий шаг. Характер конвертаций указывает на подготовку, доступ к заранее выбранным маршрутам и готовность потерять часть стоимости ради повышения мобильности.

Это не позволяет установить личность злоумышленника. Быстрая конвертация стейблкоинов стала стандартной практикой во многих крупных кражах криптовалют. Этот метод может подтвердить более широкую атрибуцию, но сам по себе не может служить достаточным доказательством.

Почему подозревают хакеров, связанных с КНДР

Теория о КНДР опирается на три разных вида доказательств: поведение, напоминающее предыдущие кражи, связанные с государствами, закрытые технические индикаторы, описанные генеральным директором Bitget, и публичное утверждение в блокчейне, связывающее часть цепочки XRP с предыдущей атакой на AFX. Эти уровни доказательств неодинаково сильны, и их объединение не превращает их автоматически в доказательство.

1. Поведение при отмывании средств знакомо, но не является уникальным

Первая подсказка — скорость действий злоумышленника. Стейблкоины и Tether Gold были конвертированы в Ether, средства разделены между новыми адресами, а активность распространилась на несколько сетей. Это уведомление Федерального бюро расследований о Bybit описывало, как участники TraderTraitor быстро конвертировали украденные активы и распределяли их по тысячам адресов и нескольким блокчейнам после кражи в феврале 2025 года.

Именно это сходство объясняет, почему КНДР так быстро оказалась в центре обсуждения. Это по-прежнему самый слабый уровень доказательств. Преступные группировки копируют успешные маршруты отмывания, агрегаторы выбирают похожие пути для несвязанных пользователей, а любой злоумышленник, владеющий замораживаемыми токенами, заинтересован в переходе к активу, более устойчивому к цензуре. «Они быстро обменяли средства на Ether» — это совпадение поведения, а не уникальный идентификатор.

2. Bitget заявляет, что индикаторы IP-адресов и VPN напоминают группу из КНДР

Чэнь также упомянул адреса интернет-протокола (IP) и варианты использования виртуальных частных сетей (VPN), которые следователи связали с группой, имеющей связи с КНДР. Внутренние журналы доступа могли бы иметь значение, если бы показывали ту же редкую инфраструктуру, ранее контролировавшуюся известным субъектом, особенно в сочетании с согласующимися данными об устройстве, вредоносном ПО, домене или аутентификации.

Публике эти материалы не представлены. IP-адрес может принадлежать коммерческому VPN, взломанному серверу, резидентскому прокси или другой жертве. Несколько субъектов могут проходить через одну и ту же конечную точку, а осторожный злоумышленник может намеренно использовать инфраструктуру, связанную с конкурентом. Совпадение IP-адреса становится убедительным только тогда, когда следователи объясняют, каким образом был атрибутирован адрес, кто контролировал его в соответствующую минуту и какие другие индикаторы передавались вместе с ним.

Гипотеза Bitget об атаке через цепочку поставок совместима с известными методами КНДР, но совместимость не является атрибуцией. Совместная консультация по кибербезопасности TraderTraitor описывает социальную инженерию и троянизированные криптовалютные приложения, использовавшиеся для получения доступа к сотрудникам и системам компаний. Более поздний отчёт ФБР о краже биткоинов DMM объясняет, как в рамках одной операции были связаны фальшивый рекрутер, вредоносное тестовое задание по программированию, украденная информация о сеансе и манипуляция законным запросом на проведение транзакции.

Эти примеры показывают, что операторы из КНДР атаковали человеческий и программный уровни, связанные с криптовалютными кошельками, а не только закрытые ключи. Однако они не доказывают, что против Bitget использовался тот же способ проникновения. Бирже по-прежнему необходимо установить скомпрометированный компонент, первоначальный путь доступа, затронутые учётные данные и сбой политики подписания.

3. TraderTraitor — это конкретное обозначение угрозы, а не синоним любого взлома криптовалюты

TraderTraitor — название, используемое правительством США для обозначения определённой вредоносной киберактивности Северной Кореи, направленной против индустрии блокчейна и криптовалют. Та же более широкая экосистема также может обозначаться такими названиями, как Lazarus Group, APT38, Jade Sleet, UNC4899 или Slow Pisces, в зависимости от ведомства, компании по кибербезопасности, операции и периода.

Эти названия пересекаются по смыслу, но не являются взаимозаменяемыми сокращениями. Утверждение о том, что кластер, связанный с AFX, был приписан TraderTraitor, не доказывает, что каждым связанным адресом управляют те же люди, и не доказывает, что при атаке на Bitget использовались те же вредоносные программы или та же команда, обеспечивающая доступ. Крупные программы, связанные с государством, могут включать разных операторов, владельцев инфраструктуры, посредников и специалистов по отмыванию средств.

Терминология важна, потому что фраза «Lazarus взломал Bitget» звучит как окончательный вывод. Имеющиеся на дату среза доказательства позволяют сделать более узкое утверждение: Связанные с КНДР злоумышленники считаются подозреваемыми, поскольку сторонний исследователь связал цепочку XRP с маршрутом средств фонда AFX, ассоциируемым с TraderTraitor, а Bitget заявляет, что внутренние IP- и VPN-индикаторы указывают в том же направлении.

4. Что превратило бы подозрение в обоснованную атрибуцию

Более убедительное публичное обоснование должно объединять независимые доказательства из нескольких уровней:

• Воспроизводимое отслеживание блокчейна: Точные хеши транзакций XRP и межсетевых транзакций, события мостов, адреса под контролем злоумышленников, правила кластеризации и объяснение любых связей через общие сервисы.

• Доказательства, связанные с инфраструктурой: Домены, серверы, сертификаты, VPN-аккаунты, история использования прокси или операционные ошибки, связанные с инфраструктурой, ранее контролировавшейся тем же злоумышленником.

• Доказательства вторжения: Вредоносные программы, скрипты, трафик командования и управления, кража учётных данных, перехват сессий или скомпрометированный пакет поставщика с совпадениями в коде или инфраструктуре.

• Согласованность временной шкалы: Доказательство того, что злоумышленник контролировал связанные адреса и инфраструктуру на момент обоих инцидентов — AFX и Bitget.

• Независимая проверка: Названная криминалистическая компания, консорциум бирж или государственный орган, воспроизводящий результат, а не просто повторяющий обозначение из социальных сетей.

• Атрибуция со стороны государственного органа: Заявление правительства, идентифицирующее злоумышленника и публикующее достаточное количество адресов или технических индикаторов, чтобы отрасль могла принять меры.

Случай с Bybit в 2025 году служит полезным ориентиром. Через пять дней после кражи ФБР публично возложило ответственность за инцидент на Северную Корею, упомянуло TraderTraitor, описало методы отмывания средств и перечислило десятки связанных адресов Ethereum. На момент завершения работы над этой статьёй делу Bitget всего несколько часов. Пока отсутствие аналогичного подтверждения неудивительно, но это означает, что формулировки должны оставаться предварительными.

5. Что могло бы ослабить версию о КНДР

Текущая гипотеза ослабнет, если предполагаемое пересечение с AFX окажется общим адресом биржи, моста или сервиса; если адрес назначения XRP не контролировался злоумышленником; если хронология покажет, что общий кошелёк сменил владельца; или если атрибуцию AFX нельзя будет независимо воспроизвести. Она также ослабнет, если данные внутренней системы Bitget укажут на другую хакерскую группировку или действующего из корыстных побуждений инсайдера.

Существует и риск ложного флага. После того как методы отмывания средств Lazarus стали широко известны, другая группировка может их имитировать. Скопировать маршрут обмена легко. Воссоздать долгоживущий кластер кошельков, частную инфраструктуру, линию происхождения вредоносного ПО и операционные ошибки гораздо сложнее.

Поэтому наиболее справедливый вывод таков: убедительная зацепка, неполная атрибуция. Версия о КНДР имеет больше оснований, чем анонимный слух, поскольку включает предполагаемую связь средств между инцидентами и отдельную улику, связанную с инфраструктурой на стороне компании. Однако этого всё ещё недостаточно, чтобы утверждать, что взлом Bitget совершила группировка Lazarus.

Что Bitget ещё необходимо объяснить

В первом уведомлении биржа ответила на самые срочные вопросы клиентов: инцидент произошёл, вывод средств был приостановлен, а компания заявила, что балансы и холодные кошельки остаются в безопасности. В следующем отчёте необходимо перейти от заверений к доказательствам.

Необходимо предоставить конкретные сведения:

• Первопричина: Какое программное обеспечение, поставщик, сервис, учётные данные или уровень согласования были скомпрометированы?

• Процесс подписания: Создавал ли злоумышленник новые подписи, изменял ли данные транзакций перед подписанием или злоупотреблял уже авторизованными транзакциями?

• Затронутая инфраструктура: Какие адреса были горячими, тёплыми или холодными и какие средства контроля кошельков применялись к каждому из них?

• Локализация: Почему заявленные переводы продолжались после обнаружения инцидента и когда вредоносный канал действительно был отключён?

• Сверка убытков: Как биржа получает сумму в 351,6 миллиона долларов по разным активам и блокчейнам, не учитывая обмены или мосты дважды?

• Возврат средств: Какая сумма была заморожена, возвращена или восстановлена и какая часть всё ещё находится вне контроля Bitget?

• Доступ клиентов: Когда возобновятся выводы, в каких сетях и с какими лимитами или условиями очереди?

• Устранение последствий: Какие меры контроля были изменены, прежде чем тому же пути подписания транзакций или бэкенда снова можно было доверять?

• Атрибуция: Какие доказательства подтверждают подозрение на КНДР и воспроизвёл ли эти результаты названный внешний расследователь?

Примерно в 02:40 UTC 25 сентября выводы всё ещё были официально приостановлены, а обещанный 24-часовой отчёт об инциденте ещё не должен был быть опубликован. То, что депозиты и торговля продолжали работать, не отвечает на тот же вопрос, что и выводы. Баланс во внутреннем реестре приобретает практическую значимость, когда клиент может погасить его через работающий и безопасный канал вывода.

Может ли Фонд защиты Bitget покрыть убыток?

Bitget заявляет, что его Фонд защиты пользователей содержит более 464 миллионов долларов и полностью покрывает затронутую сумму в 351,6 миллиона долларов. В публичных материалах 5 500 биткоинов указаны как основной актив фонда. При цене биткоина около 84 403 долларов эта позиция стоила бы примерно 464,2 миллиона долларов.

При такой цене расчёты сходятся, но запас прочности меньше, чем предполагает заголовок:

• Номинальное покрытие: Около 132% от оценочной суммы затронутых средств.

• Требуемое количество биткоинов: Примерно 4 166 биткоинов, чтобы покрыть 351,6 миллиона долларов.

• Использованная часть фонда: Около 75,7%, если весь убыток будет покрыт из этой позиции в биткоинах.

• Номинальный остаток: Около 1 334 биткоина без учёта транзакционных издержек, изменения цены, других правомерных требований или влияния на рынок.

• Безубыточная цена: Цена около 63 927 долларов за биткоин уменьшила бы стоимость 5 500 биткоинов до размера заявленного убытка.

Что ещё важнее, фонд представляет собой резерв под контролем компании, а не государственное страхование депозитов. Публичные данные пока не показывают, отделены ли эти активы, не обременены ли они, могут ли быть немедленно переведены и выделены ли они официально для этого инцидента. Теперь полезный вопрос заключается не в том, превышают ли 464 миллиона долларов сумму в 351,6 миллиона долларов. Вопрос в том, можно ли проверить фонд и задействовать его, не создав вторую проблему с ликвидностью.

Сентябрьский отчёт о подтверждении резервов (PoR) добавляет контекст, но не ставит точку. До взлома Bitget опубликовал совокупный коэффициент резервирования 135% по 19 активам. Этот снимок мог показать, что покрывающие активы превышали соответствующие включённые обязательства на момент измерения. Он не может показать положение после инцидента, доказать, что были включены все обязательства, или подтвердить безопасность контроля над кошельками.

Что трейдерам следует проверить после взлома любой биржи

Безопасность биржи нельзя свести к одному процентному показателю, сертификату, фонду в стиле страхового или заявлению о хранении средств в холодных кошельках. Полезный подход — изучить несколько уровней и понять, что каждый из них может и не может доказать.

• Поведение при выводе средств: Проверьте, работают ли выводы для активов и сетей, которыми вы действительно пользуетесь. Небольшой успешный вывод информативнее, чем отображение внутреннего баланса.

• Подтверждение резервов: Ищите свежие снимки активов и обязательств, доказательства владения кошельками, исторические отчёты и способ проверить, был ли включён ваш собственный баланс.

• Операционная безопасность: Изучите структуру хранения, разделение подписантов, контроль адресов, мониторинг, реагирование на инциденты и независимое тестирование.

• Раскрытие корпоративной информации: Проверьте операционную организацию, юрисдикцию, юридические условия, финансовую отчётность и то, учитываются ли активы клиентов отдельно.

• История инцидентов: Читайте отчёты по итогам инцидентов, а не только объявления. Качество реакции видно по публикуемым адресам, временным шкалам, первопричинам и подробностям устранения последствий.

• Контроль аккаунта: Включите двухфакторную аутентификацию (2FA) через приложение, используйте уникальный пароль, активируйте антифишинговый код, проверьте активные устройства и включите списки разрешённых адресов для вывода, если такая функция доступна.

• Ограничения хранения: Храните на централизованной платформе только сумму, необходимую для торговли или ближайших переводов. Самостоятельное хранение устраняет риск хранения средств биржей, но создаёт собственные риски управления ключами и восстановления доступа.

Сравнение крупных криптовалютных бирж по прозрачности

Это не рейтинг безопасности. В каждой строке описан общедоступный способ проверки, доступный 25 сентября 2026 года, и вопрос, на который он может помочь ответить. Ни один из них не доказывает, что биржу невозможно взломать, что она раскрыла все обязательства или что она сохранит возможность вывода средств во время кризиса.

Что на самом деле показывает сравнение бирж

Таблица не определяет одного универсального победителя, поскольку биржи раскрывают разные виды доказательств. Coinbase предоставляет стандартную корпоративную отчетность в виде квартальных финансовых отчетов и ежегодных независимых аудитов. Binance и OKX публикуют криптографические системы резервов с данными о кошельках и инструментами проверки пользователей. Kraken сочетает проверку на уровне аккаунта с коэффициентами резервов для поддерживаемых активов, тогда как Bybit и Toobit предлагают пользователям способы на основе дерева Меркла проверить, были ли их балансы включены в конкретный снимок резервов.

Эти раскрытия отвечают на связанные, но разные вопросы:

• Доказательство резервов: Показала ли биржа достаточно обеспечивающих активов, чтобы соответствовать учтенным балансам клиентов на определенный момент времени?

• Проверка включения пользователя: Может ли отдельный пользователь подтвердить, что его баланс был учтен среди заявленных обязательств?

• Подтверждение владения кошельками: Доказала ли биржа контроль над адресами, представленными в качестве резервов?

• Финансовая отчетность: Как выглядят общие активы, обязательства, доходы, расходы, риски и корпоративные обязательства компании?

• Оценка безопасности: Проверяли ли внешние специалисты отдельные компоненты платформы, приложения, инфраструктуру хранения или внутренние средства контроля?

• Фонды защиты: Создала ли биржа отдельный фонд, который может использоваться для реагирования на определенные инциденты безопасности?

Ни один отдельный показатель не дает полной картины. Биржа может иметь достаточно резервов и все же столкнуться с компрометацией кошелька. Она может успешно пройти оценку безопасности, а затем внедрить уязвимую интеграцию. Она может поддерживать фонд защиты, не доказывая, насколько быстро этот фонд может быть задействован. Она также может публиковать аудированную финансовую отчетность, не предоставляя пользователям криптографического способа проверить включение их индивидуальных балансов.

Полезно сравнивать не просто то, какая биржа показывает наибольший процент. Важно, сколько независимых уровней можно проверить, насколько актуальны эти уровни и соответствуют ли доказательства оцениваемому риску.

Почему Proof of Reserves не может доказать безопасность кошельков

PoR может показать, что на определенный момент времени имелись обеспечивающие активы, соответствующие учтенным балансам клиентов. Этот метод не предназначен для доказательства того, что системы, контролирующие эти активы, невозможно скомпрометировать.

Инцидент с Bitget особенно наглядно показывает это различие. В сентябрьском отчете до взлома был указан совокупный коэффициент резервов 135% по 19 активам. Заявленный профицит не предотвратил несанкционированную транзакцию, через которую были перемещены средства. Рассматриваемая проблема связана с операциями кошельков, авторизацией транзакций или окружающим их программным обеспечением, а не просто с тем, находились ли активы в резервных кошельках до инцидента.

Отчет о резервах может помочь ответить на следующие вопросы:

• Были ли учтенные балансы клиентов включены в расчет обязательств?

• Содержали ли раскрытые кошельки достаточное количество соответствующих активов?

• Могли ли пользователи проверить свое включение с помощью пути Меркла или другого криптографического метода?

• Существует ли история отчетов, которую можно сравнивать во времени?

Как правило, он не может ответить на следующий вопрос:

• Может ли скомпрометированный бэкенд отправить вредоносный запрос на подпись?

• Применяются ли политики вывода средств независимо от приложения, создающего транзакцию?

• Может ли сотрудник, подрядчик или поставщик влиять на несколько уровней утверждения?

• Включены ли все корпоративные долги, условные обязательства, кредиты и юридические обязательства?

• Будут ли выводы средств продолжаться в обычном режиме во время инцидента безопасности или шока ликвидности?

• Можно ли получить доступ к фонду защиты немедленно и без ограничений?

• Сохранит ли следующий выпуск программного обеспечения средства контроля, проверенные в ходе предыдущей оценки?

Поэтому прозрачность резервов и безопасность транзакций требуют раздельной оценки. PoR в основном касается обеспечения активами на определённый момент времени. Безопасность кошелька касается того, как транзакции запрашиваются, утверждаются, подписываются, транслируются, отслеживаются и блокируются, когда что-то идёт не так.

Bybit служит полезным историческим примером. До взлома в 2025 году биржа публиковала сведения о резервах и предлагала инструменты проверки пользователей, однако инцидент был связан с другой проблемой — процессом подписания. Доказательства наличия резервов по-прежнему имели ценность, но не служили защитой от манипуляций с транзакциями.

Теперь Bitget сталкивается с аналогичной необходимостью дать объяснения. Новый снимок резервов мог бы помочь оценить финансовые последствия потери. Однако он не заменит необходимость технического описания скомпрометированной службы и не сработавших средств контроля авторизации.

Как читать коэффициенты резервов и не вводить себя в заблуждение

Коэффициент резервов выше 100% звучит обнадёживающе, но этому показателю необходим контекст. Коэффициент 106% означает, что раскрытые резервы данного актива примерно на 6% превышали соответствующие включённые в расчёт балансы на момент снимка. Это не означает, что у всей биржи есть 6%-ный запас капитала на случай любых возможных потерь.

Полезность этого процентного показателя определяется несколькими деталями:

• Охват активов: Отчёт по четырём основным активам не равнозначен отчёту по 19 или 22 активам.

• Охват обязательств: В отчёте должно быть указано, какие типы счетов, кредиты, маржинальные позиции или другие обязательства вошли в расчёт.

• Дата снимка: Отчёт, составленный до инцидента, не может установить финансовое положение биржи после крупной потери.

• Данные о кошельках: Читатели должны иметь возможность увидеть, как биржа подтвердила контроль над раскрытыми адресами.

• Проверка пользователей: Заявленный коэффициент более убедителен, когда клиенты могут самостоятельно проверить, что их балансы были учтены.

• Историческая непрерывность: Регулярно архивируемые отчёты упрощают выявление резких изменений резервов или покрытия.

• Внешняя проверка: Независимая проверка может повысить уверенность, хотя по-прежнему важны проверяющий, методология и охват проверки.

Более высокий процент может отражать реальный профицит, но также может быть обусловлен узким набором обязательств, временными остатками, изменениями цен активов или исключением продуктов, не вошедших в отчёт. Сравнение заявленных процентов без сопоставления охвата создаёт ложную иерархию.

По той же причине не следует считать меньшую биржу, отчитывающуюся по четырём активам, более прозрачной, чем крупную биржу, только потому, что один из её процентов выше. Важны все факторы: широта отчёта, методология учёта обязательств, подтверждение кошельков, периодичность и процесс верификации пользователей.

Место Toobit в сравнении

Публичные раскрытия Toobit охватывают два отдельных вопроса. Сентябрьский отчёт о резервах показывает, превышали ли четыре основных актива соответствующие пользовательские балансы на конкретный момент времени. На страницах о безопасности описано, как, по заявлению биржи, эти активы и пользовательские аккаунты защищаются в ходе обычной работы.

Эти раскрытия полезнее рассматривать отдельно. Коэффициент резервов может показать обеспеченность активами в определённый момент, тогда как доказательство Меркла может помочь пользователю проверить, вошёл ли баланс аккаунта в заявленный набор обязательств. Ни то ни другое не доказывает, что каждый кошелёк, внутренняя система или будущая транзакция останутся защищёнными.

Коэффициенты резервов Toobit за сентябрь

Коэффициенты резервов Toobit для BTC, ETH, USDT и USDC по состоянию на1 сентября 2026 года, в формате UTC, по данным Toobit, доступ к которым осуществлён 25 сентября 2026 года.

На тот момент все четыре коэффициента превышали 100%. Это означает, что раскрытые резервы по каждому охваченному активу превышали соответствующие пользовательские балансы, включённые в отчёт. Превышение 100% различалось по активам: от 2% для эфира до 6% для Tether.

Эти проценты не следует складывать или рассматривать как единый коэффициент капитала всей биржи. Каждый из них сопоставляет резерв конкретного актива с соответствующим включённым пользовательским балансом. Например, коэффициент Tether в размере 106% сам по себе ничего не говорит об обязательствах, выраженных в другом активе.

Охват важен не меньше, чем проценты. Этот отчёт охватывает четыре широко используемых актива, тогда как раскрытия Bitget и OKX включают большее число активов. Отчёт Toobit полезен для проверки резервов четырёх названных активов, но не подтверждает обеспеченность каждого токена или продукта, доступного на платформе.

Как пользователи могут проверить включение баланса

Опубликованный коэффициент резервов остаётся показателем на уровне компании, пока пользователи не смогут проверить, были ли их собственные балансы включены в расчёт обязательств. Страница Proof of Reserves компании Toobit предоставляет для этого корень Меркла и процедуру проверки.

Дерево Меркла преобразует записи отдельных счетов в криптографические хеши и объединяет их в одно корневое значение. Пользователь может проверить, входил ли его баланс в снимок данных, не раскрывая информацию о счетах всех остальных клиентов.

Корень Меркла Toobit и интерфейс проверки включения счёта в систему Proof of Reserves, источник: Toobit, дата обращения — 25 сентября 2026 года.

Инструмент Меркла устраняет важный недостаток простого объявления о резервах. Он даёт пользователям возможность проверить, были ли учтены их счета, вместо того чтобы просить их принимать только совокупный процент.

Однако у такой проверки есть ограничения. Включение показывает, что баланс вошёл в заявленную структуру обязательств. Оно не доказывает независимо, что были включены все обязательства, что раскрытые активы не обременены, или что биржа сохранит тот же объём резервов после снимка данных.

Полезная самостоятельная проверка должна отвечать на три вопроса:

1. Соответствует ли запись проверки правильной дате аудита?

2. Включает ли она активы и балансы, которыми пользователь владел на момент снимка данных?

3. Можно ли проверить доказательство с помощью предоставленной процедуры проверки или инструмента с открытым исходным кодом?

Успешная проверка включения укрепляет связь между счётом пользователя и опубликованным отчётом о резервах. Она не превращает отчёт в полноценный финансовый аудит.

Механизмы контроля, связанные с резервами

Обеспечение резервами и безопасность кошельков связаны с разными рисками. Снимок резервов может показать, покрывали ли выбранные активы соответствующие балансы пользователей в определённый момент времени. Следующий вопрос — как биржа защищает эти активы, контролирует доступ к операциям и реагирует при появлении подозрительной активности.

Toobit объединяет свою систему Bee-Safe в шесть направлений:

• Proof of Reserves: Обеспечение активами, которое пользователи могут проверить через систему резервов биржи.

• Отказоустойчивая инфраструктура: Мультиоблачная инфраструктура, предназначенная для поддержания доступности платформы и торговой активности.

• Проактивные меры защиты: Многофакторная аутентификация, холодное хранение и постоянные аудиты.

• Безопасность данных: Архитектура нулевого доверия, шифрование и средства обнаружения фишинга.

• Полная конфиденциальность: Меры защиты данных, включающие безопасность на основе доказательства с нулевым разглашением и биометрические средства контроля.

• Круглосуточная активная защита: Непрерывный мониторинг и поддержка, направленные на выявление подозрительной активности и реагирование на неё.

Фреймворк Bee-Safe компании Toobit, охватывающий подтверждение резервов, устойчивость инфраструктуры, защиту аккаунтов, безопасность данных, конфиденциальность и активный мониторинг со стороны Toobit, по состоянию на 25 сентября 2026 года.

Эти уровни охватывают риски, которые коэффициент резервирования измерить не может. Подтверждение резервов касается обеспечения активами, тогда как средства аутентификации и защиты от фишинга работают на уровне аккаунта. Холодное хранение связано с хранением активов, шифрование защищает конфиденциальные данные, а непрерывный мониторинг призван выявлять аномальную активность до того, как она распространится.

Фреймворк показывает, какие меры защиты, по заявлению Toobit, внедрены, однако наличие средства контроля не доказывает, что оно будет идеально работать при каждом инциденте. Его практическая ценность зависит от того, как эти меры реализуются, тестируются, проверяются независимыми специалистами и обновляются при появлении новых уязвимостей.

Сбалансированное прочтение раскрытия информации Toobit

Toobit предоставляет три доступных для проверки уровня прозрачности:

1. Коэффициенты резервов на уровне активов для четырёх основных активов в сентябрьском отчёте.

2. Включение балансов на основе Merkle которое пользователи могут проверить по соответствующему снимку данных.

3. Опубликованные меры безопасности охватывающие доступ к аккаунтам, хранение активов, инфраструктуру, тестирование и подготовку к инцидентам.

Такое сочетание даёт пользователям больше возможностей для проверки, чем общее заявление о безопасности активов. Объявление о резервах предоставляет фиксированные исторические показатели, панель PoR — способ проверки, а страница Security описывает меры контроля, которые, по заявлению Toobit, защищают резервы.

Ограничения должны оставаться видимыми наряду с этими преимуществами. Сентябрьский отчёт охватывает четыре актива, а не каждый токен, доступный на платформе. PoR является снимком, а не непрерывным подтверждением платёжеспособности. Включение в Merkle-структуру не раскрывает все обязательства компании. Меры безопасности могут снижать риск, но не исключают программные, поставщицкие, операционные сбои, действия инсайдеров или отказы системы подписания.

Таким образом, имеющиеся данные подтверждают обоснованный вывод: Toobit предлагает практичный и проверяемый пользователями процесс подтверждения резервов для Bitcoin, Ether, Tether и USD Coin, а также несколько публично описанных мер защиты аккаунтов и хранения активов. Читателям следует оценивать эти данные в рамках их реального охвата, а не считать взлом Bitget автоматическим доказательством того, что другая биржа безопаснее.

Что сравнительная таблица не может показать

Таблица может упорядочить раскрываемую информацию, но не способна передать опыт использования биржи в стрессовой ситуации. Исполнение выводов, скорость ответа поддержки, информирование об инцидентах, региональные ограничения, ликвидность и проверки аккаунтов могут измениться быстрее, чем отчёт о резервах.

Юридический доступ также различается в разных странах. Два пользователя, открывающие один и тот же глобальный бренд, могут взаимодействовать с разными операционными организациями, продуктами, платёжными партнёрами, схемами хранения активов или договорными условиями. Сервис, доступный в одной юрисдикции, может быть ограничен или недоступен в другой.

Перед выбором биржи читателям следует проверить:

1. Поддерживаются ли необходимые актив и сеть.

2. Текущие комиссии за пополнение, торговлю, конвертацию и вывод средств.

3. Лимиты на вывод и требования к верификации аккаунта.

4. Дату и перечень активов в последнем раскрытии информации о резервах.

5. Можно ли проверить включение индивидуального баланса.

6. Историю инцидентов биржи и качество её посмертных разборов.

7. Доступные средства защиты аккаунта и средства контроля вывода.

8. Успешно ли проходит небольшой тестовый вывод.

9. Какой объём капитала действительно необходимо оставлять на хранении у биржи.

Этот последний вопрос часто упускают из виду. Выбор биржи не означает, что все активы необходимо постоянно хранить на ней. Трейдеры могут отделить капитал для активной торговли от долгосрочных вложений и решить, какими рисками они способны управлять. Централизованное хранение создаёт платформенный риск и риск контрагента. Самостоятельное хранение исключает биржу из процесса подписания транзакций, но возлагает на владельца ответственность за приватные ключи, резервные копии, безопасность устройств, планирование наследования и необратимые ошибки.

Таким образом, это сравнение является отправной точкой для комплексной проверки. Оно показывает, какие утверждения можно проверить и где сохраняются пробелы. Оно не превращает ни одну биржу в хранителя активов без риска.

Настоящая проверка начинается после этого

Сам факт кражи больше не вызывает сомнений. Открытые вопросы заключаются в том, сможет ли Bitget предоставить воспроизводимый реестр убытков, безопасно восстановить вывод средств, доказать доступность Фонда защиты и объяснить, как доверенная система отправила несанкционированные транзакции.

Гипотезу о КНДР стоит изучать дальше, поскольку на неё указывают две независимые линии: косвенные признаки в частной инфраструктуре Bitget и предполагаемая Specter связь между маршрутом XRP и кражей AFX. Ни одна из этих линий не является достаточно публичной, чтобы считать дело закрытым. Качественный разбор инцидента должен отделять то, что биржа знает, от того, что она предполагает, а убедительная атрибуция должна позволять внешним расследователям воспроизвести цепочку.

До тех пор самое честное описание будет простым. Bitget столкнулась с крупным инцидентом с мультичейн-кошельками, затронувшим средства примерно на 351,6 млн долларов. Ведётся расследование возможного сбоя бэкенда или цепочки поставок. Предполагается, но не подтверждено, что к инциденту причастны связанные с КНДР лица. Статус вывода средств, итоговый чистый убыток, движение средств и причина сбоя контроля — это факты, которые всё ещё могут изменить картину.

Проводите собственное исследование (DYOR). Эта статья основана на публичных раскрытиях информации об инциденте и данных блокчейна, доступных на указанную дату отсечения. Она не подтверждает личность злоумышленника или платёжеспособность Bitget, не гарантирует возврат средств и не рекомендует какую-либо конкретную биржу. Перед принятием финансового решения проверьте актуальный статус вывода средств, отчёты о резервах, доступность в вашем регионе, комиссии и риски хранения активов.

Как купить криптовалюту на Toobit

Чтобы купить криптовалюту на Toobit, создайте аккаунт или войдите в него, при необходимости пройдите проверку личности и откройте страницу «Купить криптовалюту». Выберите криптовалюту, которую хотите получить, укажите доступный способ оплаты и введите сумму покупки.

Перед подтверждением транзакции проверьте указанный обменный курс, комиссии за оплату, лимиты покупки и итоговую сумму, которую вы получите. Поддерживаемые валюты, способы оплаты, требования к аккаунту и доступность продукта могут различаться в зависимости от региона.

Купите криптовалюту на Toobit прямо сейчас.

Предупреждение о рисках

Криптоактивы крайне волатильны и могут значительно потерять в стоимости. Торговля криптовалютами и их хранение сопряжены с рисками, включая рыночные убытки, инциденты безопасности и сбои, которые могут повлиять на доступ к средствам. Подтверждение резервов и фонды защиты могут обеспечить дополнительную прозрачность и защиту, но не устраняют риски. Торговля с кредитным плечом сопряжена с дополнительными рисками и может привести к быстрым убыткам или ликвидации. Всегда учитывайте своё финансовое положение и толерантность к риску перед началом торговли.