Взлом Bitget на $351,6 млн: за атакой стоит Lazarus?

Первый перевод был достаточно небольшим, чтобы выглядеть безобидно: 0,84 ETH отправили с кошелька с меткой Bitget на недавно созданный адрес. Но то, что последовало за ним, безобидным уже не назвать. Стейблкоины, токенизированное золото, Ether, Avalanche, BNB и, возможно, 93,7 млн XRP перемещались между несколькими сетями, а получившие их кошельки быстро конвертировали и распределяли активы.

Уведомление генерального директора Bitget Грейси Чен о безопасности в связи с инцидентом с горячим кошельком на сумму $351,6 млн, опубликованное в X, по состоянию на 24 сентября 2026 года.

В уведомлении Bitget о безопасности сумма затронутых средств оценивается примерно в $351,6 млн. Биржа заявила, что ее системы обнаружили несанкционированные переводы 24 сентября в 18:31 UTC, при этом холодные кошельки оставались в безопасности, балансы пользователей отображались корректно, а вывод средств был приостановлен на время проверки безопасности. Это важные сведения, однако они пока не объясняют, как сервис для работы с кошельками сформировал транзакции, которые компания не намеревалась авторизовать.

Отсутствие этого объяснения — главный вопрос во всей истории. Генеральный директор Bitget Грейси Чен заявила, что, возможно, была скомпрометирована цепочка поставок, затронувшая серверную службу кошельков, а не произошла утечка закрытого ключа. Кроме того, ончейн-исследователь Specter связал часть перемещений украденных XRP со средствами, связанными со взломом AFX в июле 2026 года. Ту атаку приписали TraderTraitor — кластеру киберугроз, связанному с Корейской Народно-Демократической Республикой (КНДР). Связь достаточно конкретна, чтобы провести расследование, но имеющихся данных недостаточно, чтобы с уверенностью утверждать, что за атакой на Bitget стоит Lazarus Group.

Что произошло при взломе Bitget

Публичная история транзакций складывалась постепенно, поэтому первые оценки были намного ниже итоговой суммы, указанной Bitget. Поначалу аналитики сосредоточились на сетях, совместимых с виртуальной машиной Ethereum (EVM), и оценили сумму примерно в 170–183,8 млн долларов. Позднее Bitget включил в свою оценку в размере $351,6 млн более широкий набор активов и сетей. Это очевидное расхождение не обязательно является противоречием, однако сверка по каждой отдельной транзакции не была опубликована.

Наиболее ясная первоначальная последовательность событий выглядит следующим образом:

• Первоначальная проверка: перевод в размере 0,84 Ether поступил на новый адрес примерно в ту же минуту, когда, по заявлению Bitget, их системы безопасности обнаружили инцидент.

• Отток стейблкоинов: по имеющимся данным, на адрес поступило около 34,75 млн Tether, 12,85 млн USD Coin и 3000 единиц Tether Gold с кошельков, помеченных как принадлежащие бирже.

• Быстрая конвертация: в сети Arbitrum с отдельного нового адреса потратили около 19,67 млн USDT0 на покупку примерно 7111 Ether через UniswapX и 1inch Fusion. По имеющимся данным, некоторые сделки исполнялись с премией до 5%, что указывает на приоритет скорости над ценовой эффективностью.

• Дополнительные сети: по имеющимся данным, из инфраструктуры Bitget в сети Avalanche было выведено около 821 012 Avalanche, а позднее — 8,2 млн USD Coin. В более полной реконструкции также фигурировала активность в BNB Chain.

• Операции с XRP: по имеющимся данным, два кошелька, помеченных как принадлежащие Bitget, отправили в общей сложности 93,7 млн XRP на новый адрес XRP Ledger. По ценам, указанным на момент инцидента, стоимость этой операции составляла около $143 млн, что может объяснить значительную часть расхождения между первоначальными общими оценками по EVM-сетям и оценкой Bitget.

Первичное сообщение Bitget об инциденте с кошельком 24 сентября 2026 года, оценке объема затронутых средств и временной приостановке вывода средств от Bitget, дата обращения: 25 сентября 2026 года, около 02:40 UTC.

На данный момент сумму в $351,6 млн корректно называть объемом затронутых средств. Это еще не окончательный расчет чистых убытков. При расчете окончательной суммы следует вычесть активы, которые остались под контролем Bitget, были заморожены эмитентами или биржами, возвращены либо восстановлены. К моменту завершения исследования ни по одной из этих категорий публичная сверка проведена не была.

Временные рамки также заслуживают внимания. Обнаружение инцидента в 18:31 UTC не привело к немедленному прекращению всех зафиксированных перемещений средств. Перевод 8,2 млн USD Coin в сети Avalanche был восстановлен по данным блокчейна примерно в 20:55 UTC — более чем через два часа. Возможны несколько объяснений: подписанные транзакции могли уже находиться в очереди, для локализации инцидента в разных сетях могли потребоваться отдельные меры либо скомпрометированный канал мог сохранять возможность отправки транзакций. Пока Bitget не опубликует журналы подписания и хронологию локализации инцидента, обнаружение и локализацию не следует считать одним и тем же событием.

Почему первоначальные оценки потерь были ниже

В блокчейн-инцидентах точная сумма убытков редко бывает известна сразу. Аналитики обнаруживают разные адреса в разное время, метки кошельков могут обновляться с задержкой, а один и тот же объем средств может учитываться несколько раз по мере обмена или перевода через мост. Поэтому сложение всех сумм из обновляемой в реальном времени ленты привело бы к завышению убытков.

На оценки Bitget повлияли три проблемы учета:

• Переводы и обмены пересекаются: если 19,67 млн USDT0 конвертируются в 7111 Ether, долларовую стоимость обоих активов нельзя складывать как два отдельных убытка.

• Мосты создают две видимые стороны операции: актив может покинуть одну сеть и появиться в другой. Если учесть обе стороны, не сопоставив их с операцией через мост, одна и та же стоимость будет продублирована.

• Во время атаки цены менялись: Ether активно скупали, пока трекеры оценивали стоимость потока средств. Расчет, выполненный десятью минутами позже, мог дать другую итоговую сумму в долларах даже без новых хищений.

Операция с XRP остается крупнейшим невыясненным элементом. Если 93,7 млн XRP контролировал тот же злоумышленник, то активность в EVM вместе с переводом XRP значительно приближает внешнюю реконструкцию к сумме в $351,6 млн. Если адрес назначения использовался для внутренних задач Bitget или принадлежал другому законному контрагенту, расхождение потребовало бы иного объяснения. Одних публичных меток недостаточно для определения владельца.

Активность в Ethereum, связанная с основным адресом инцидента Bitget, по данным Etherscan на 25 сентября 2026 года. 

Надлежащий разбор инцидента устранил бы большую часть этой неопределенности, если бы в нем были опубликованы затронутые адреса, хеши транзакций, внутренние роли кошельков, переведенные и конвертированные активы, замороженные и возвращенные суммы, а также окончательная сумма невозмещенного ущерба. Без такого реестра оценка в $351,6 млн выглядит достоверной как внутренний итог Bitget, но не поддается независимому воспроизведению.

Как кошелек может отправить действительную транзакцию, которую биржа не намеревалась проводить

Блокчейн проверяет только соответствие транзакции установленным правилам криптографической авторизации. Он не знает, одобрила ли платеж служба управления рисками биржи, видел ли сотрудник правильный адрес назначения и не передала ли скомпрометированная серверная система ложные сведения о переводе исправно работающему модулю подписания.

Это различие помогает понять предварительное объяснение Чэнь. По ее словам, инцидент мог быть похож на атаку на цепочку поставок, при которой сторонний инструмент, используемый Bitget, повлиял на критически важный серверный сервис кошельков. Согласно этому объяснению, поддельные сведения о переводе поступили на машину подписания, хотя злоумышленник не извлекал закрытый ключ напрямую. Вероятность участия инсайдера была названа низкой, но не исключена полностью, а окончательный вектор атаки продолжали расследовать.

При обычном выводе средств перед их перемещением должны сработать несколько согласованных механизмов контроля:

1. Клиент или внутренний казначейский процесс создает легитимный запрос на перевод.

2. Проверки учетной записи, устройства, адреса и рисков определяют, будет ли запрос одобрен.

3. Механизм политик проверяет актив, сеть, адрес назначения, сумму, частоту операций и порог согласования.

4. Один или несколько компонентов подписания авторизуют точные данные транзакции.

5. Сервис трансляции отправляет подписанную транзакцию в сеть.

6. Системы мониторинга сопоставляют результат с утвержденным бизнес-запросом и пресекают последующие аномальные действия.

Компрометации одного этапа может быть недостаточно, если остальные механизмы контроля действительно независимы. Предварительное объяснение Bitget вызывает опасения, что доверенный программный компонент мог быть настолько тесно интегрирован в процесс подписания, что мог влиять на то, что одобрял модуль подписания. Если модуль подписания проверял лишь поступление запроса от разрешенного сервиса, а не независимо сверял адрес назначения и сумму с неизменяемой записью об одобрении, действительные подписи все равно могли авторизовать вредоносные переводы.

Наиболее вероятные сценарии отказа механизмов контроля

Ни один из следующих сценариев не доказан, однако из каждого можно извлечь отдельный урок:

• Скомпрометированное обновление ПО или поставщик: злоумышленник модифицирует зависимость, административный инструмент или сервис, используемый в процессе работы с кошельками. Биржа может доверять запросам, поступающим от этого компонента.

• Кража учетных данных серверной системы: учетная запись сервиса, учетные данные API, сеанс или привилегированный токен позволяют злоумышленнику выдавать себя за авторизованную внутреннюю систему.

• Обход модуля политик: запрос на подписание поступает в модуль подписания без применения обычных лимитов, белых списков адресов, проверок частоты операций или порогов одобрения.

• Манипуляция интерфейсом подписания: операторы одобряют одну транзакцию, а система подписания получает другую. Это возможно, если отображаемые данные и подписываемая полезная нагрузка не связаны между собой независимым образом.

• Компрометация долей ключа или модулей подписания: схема с мультиподписью или многосторонними вычислениями (MPC) все равно может дать сбой, если злоумышленник скомпрометирует достаточное число модулей подписания, координатор или связанный с ними процесс одобрения.

• Привилегированный доступ сотрудника или подрядчика: авторизованное лицо либо злоумышленник, использующий его доступ, отправляет или одобряет вредоносные переводы. Сейчас Bitget считает участие инсайдера маловероятным, но они не опубликовали доказательств, исключающих такую версию.

Описание горячих, теплых и холодных кошельков Bitget не позволяет определить, какой именно сценарий реализовался. Горячий кошелек предназначен для частых онлайн-транзакций. Теплый кошелек обычно предусматривает более строгий процесс одобрения или дополнительную изоляцию, сохраняя при этом операционную доступность. В холодном кошельке полномочия на подписание хранятся офлайн или иным образом отделены от повседневных систем, подключенных к интернету. Эти категории описывают предполагаемое назначение, а не фактические механизмы контроля, применявшиеся к каждому адресу в ночь взлома.

Сторонние трекеры также отнесли как минимум один источник к холодной инфраструктуре, тогда как Bitget утверждает, что ни один холодный кошелек не был скомпрометирован. Возможно, стороны используют разные классификации. Противоречие можно устранить, только сопоставив публичные адреса с их внутренними ролями и объяснив, как управляли каждым подписантом.

Почему важна скорость конвертации

По всей видимости, злоумышленник не собирался хранить аккуратно сформированную корзину похищенных активов. Стейблкоины и токенизированное золото создают очевидную проблему для похитителя: эмитенты могут заморозить выявленные балансы. Ether обладает большей ликвидностью на децентрализованных площадках и не имеет центрального эмитента с аналогичным механизмом заморозки.

Поэтому уплата премии за приобретение Ether через агрегаторы выглядит не настолько нерациональной, как может показаться сначала. Опытный злоумышленник может согласиться на невыгодное исполнение, если с каждой минутой растет вероятность того, что эмитент, мост, биржа или сервис валидаторов заблокирует следующий шаг. Характер конвертации указывает на подготовку, доступ к заранее выбранным маршрутам и готовность пожертвовать частью стоимости ради повышения мобильности средств.

Однако он не позволяет установить личность злоумышленника. Быстрая конвертация стейблкоинов стала стандартной практикой при многих крупных хищениях криптовалюты. Этот метод может служить дополнительным аргументом в пользу более широкой атрибуции, но сам по себе не может быть её основанием.

Почему подозрение пало на хакеров, связанных с КНДР

Версия о КНДР опирается на три разных вида доказательств: поведение, напоминающее прежние хищения, связанные с государственными структурами; закрытые технические индикаторы, описанные генеральным директором Bitget; и публичное ончейн-заявление, связывающее часть маршрута XRP с более ранним взломом AFX. Эти уровни доказательств неодинаково убедительны, а объединение не превращает их автоматически в доказательство.

1. Схема отмывания знакома, но не уникальна

Первая зацепка — скорость действий злоумышленника. Стейблкоины и Tether Gold конвертировали в Ether, средства распределили между новыми адресами, а активность охватила несколько сетей. В уведомлении Федерального бюро расследований о Bybit говорилось, что после хищения в феврале 2025 года участники TraderTraitor быстро конвертировали украденные активы и распределяли их между тысячами адресов в нескольких блокчейнах.

Подобное сходство объясняет, почему версия о КНДР возникла так быстро. Однако это по-прежнему самое слабое звено доказательства. Преступные группировки копируют успешные маршруты отмывания средств, агрегаторы выбирают схожие пути для не связанных между собой пользователей, а у любого злоумышленника, располагающего токенами, которые можно заморозить, есть такой же стимул перевести их в более устойчивый к цензуре актив. «Они быстро обменяли активы на Ether» — это совпадение поведения, а не уникальный признак.

2. Bitget утверждает, что индикаторы IP и VPN похожи на признаки группы из КНДР

Чэнь также упомянула IP-адреса и выбор виртуальных частных сетей (VPN), которые следователи связали с группой, имеющей отношение к КНДР. Внутренние журналы доступа могут иметь значение, если они указывают на ту же редкую инфраструктуру, которая ранее контролировалась известным злоумышленником, особенно в сочетании с согласующимися данными об устройствах, вредоносном ПО, доменах или аутентификации.

Эти материалы не были представлены общественности. IP-адрес может принадлежать коммерческому VPN, скомпрометированному серверу, резидентскому прокси-сервису или другой жертве. Несколько субъектов могут использовать одну конечную точку, а осторожный злоумышленник способен намеренно задействовать инфраструктуру, связанную с конкурентом. Совпадение IP-адресов становится убедительным доказательством лишь в том случае, если следователи объяснят, как была установлена принадлежность адреса, кто контролировал его в соответствующий момент и какие другие индикаторы были с ним связаны.

Гипотеза Bitget об атаке на цепочку поставок согласуется с известными методами работы КНДР, однако такое соответствие не доказывает причастность. В совместном предупреждении по кибербезопасности TraderTraitor описываются методы социальной инженерии и троянизированные приложения для работы с криптовалютами, с помощью которых злоумышленники выходили на сотрудников и проникали в системы компаний. В более позднем сообщении ФБР о хищении Bitcoin у DMM объясняется, как в рамках одной операции были связаны поддельный рекрутер, вредоносное тестовое задание по программированию, кража данных сеанса и манипуляция легитимным запросом на транзакцию.

Эти прецеденты показывают, что операторы из КНДР атаковали не только закрытые ключи, но и человеческий фактор и программные компоненты, связанные с криптокошельками. Однако они не свидетельствуют о том, что для атаки на Bitget использовался тот же метод проникновения. Бирже еще предстоит определить скомпрометированный компонент, маршрут первоначального доступа, затронутые учетные данные и сбой политики подписания.

3. TraderTraitor — конкретное обозначение угрозы, а не синоним любого взлома в криптоиндустрии

TraderTraitor — это название, используемое правительством США для обозначения конкретной вредоносной киберактивности Северной Кореи, направленной против индустрии блокчейна и криптовалют. В зависимости от ведомства, компании в сфере безопасности, операции и периода эта же более широкая экосистема может также обозначаться как Lazarus Group, APT38, Jade Sleet, UNC4899 или Slow Pisces.

Эти обозначения частично пересекаются, но не являются взаимозаменяемыми. Атрибуция связанного с AFX кластера группе TraderTraitor не доказывает, что все связанные адреса контролируются одними и теми же лицами, и не подтверждает, что при взломе Bitget использовалось то же вредоносное ПО или действовала та же группа первоначального доступа. В крупных программах, связанных с государствами, могут участвовать разные операторы, инфраструктура, посредники и специалисты по отмыванию средств.

Терминология важна, поскольку фраза «Lazarus взломали Bitget» звучит как окончательный вывод. Доступные на момент окончания сбора данных доказательства допускают более узкую формулировку: субъекты, связанные с КНДР, находятся под подозрением, поскольку сторонний следователь связал маршрут XRP с движением средств AFX, ассоциированным с TraderTraitor, а Bitget утверждает, что внутренние индикаторы IP и VPN указывают в том же направлении.

4. Что превратило бы подозрение в обоснованную атрибуцию

Более убедительная публичная аргументация должна объединять независимые доказательства из нескольких источников:

• Воспроизводимое отслеживание в блокчейне: точные хеши транзакций XRP и межсетевых транзакций, события мостов, контролируемые злоумышленником адреса, правила кластеризации и объяснение любых связей через общие сервисы.

• Доказательства на уровне инфраструктуры: домены, серверы, сертификаты, учетные записи VPN, история прокси или операционные ошибки, связанные с инфраструктурой, которую ранее контролировал тот же субъект.

• Доказательства вторжения: вредоносное ПО, скрипты, трафик системы управления и контроля, кража учетных данных, перехват сеансов или скомпрометированный пакет поставщика, код или инфраструктура которого частично совпадает с использованными в других атаках.

• Согласованность хронологии: доказательства того, что субъект контролировал связанные адреса и инфраструктуру во время инцидентов как с AFX, так и с Bitget.

• Независимая проверка: воспроизведение вывода известной криминалистической компанией, консорциумом бирж или государственным органом вместо простого повторения теории из социальных сетей.

• Атрибуция государственным органом: заявление государственного органа, в котором указан субъект и опубликовано достаточно адресов или технических индикаторов, чтобы отрасль могла принять меры.

Случай со взломом Bybit в 2025 году служит полезным ориентиром. Через пять дней после кражи ФБР публично заявило, что за инцидентом стоит Северная Корея, назвало группировку TraderTraitor, описало схему отмывания средств и опубликовало список из десятков связанных с ней адресов Ethereum. На момент завершения работы над этой статьёй с момента инцидента с Bitget прошло всего несколько часов. Отсутствие аналогичного подтверждения пока неудивительно, но это означает, что формулировки должны оставаться предварительными.

5. Что может ослабить версию о причастности КНДР

Текущая гипотеза станет менее убедительной, если предполагаемое пересечение с AFX окажется общим адресом биржи, моста или сервиса; если адрес назначения XRP не контролировался злоумышленником; если хронология покажет, что общий кошелек сменил владельца; или если саму атрибуцию AFX невозможно будет независимо воспроизвести. Она также ослабнет, если серверные доказательства Bitget укажут на другую группу злоумышленников или финансово мотивированного инсайдера.

Существует и риск операции под чужим флагом. Поскольку схемы отмывания средств Lazarus широко известны, другая группа может их имитировать. Скопировать маршрут обмена несложно. Гораздо сложнее воспроизвести кластер давно используемых кошельков, частную инфраструктуру, родословную вредоносного ПО и операционные ошибки.

Поэтому наиболее справедливый вердикт — это правдоподобная версия, но атрибуция не окончательна. Версия о КНДР содержательнее анонимного слуха, поскольку включает предполагаемую связь движения средств между инцидентами и отдельную зацепку со стороны компании на уровне инфраструктуры. Однако она пока не соответствует стандарту, необходимому для утверждения, что взлом Bitget осуществила Lazarus Group.

Что еще предстоит объяснить Bitget

Первое уведомление биржи ответило на самые срочные вопросы клиентов: инцидент произошел, вывод средств был приостановлен, а компания заявила, что балансы и холодные кошельки остаются в безопасности. Следующий отчет должен перейти от заверений к доказательствам.

Необходимо предоставить чёткую недостающую информацию:

• Основная причина: какое ПО, поставщик, сервис, учетные данные или уровень одобрения были скомпрометированы?

• Процесс подписания: создавал ли злоумышленник новые подписи, манипулировал ли данными транзакций перед подписанием или злоупотребил уже авторизованными транзакциями?

• Затронутая инфраструктура: какие адреса относились к горячим, теплым или холодным кошелькам и какие механизмы контроля кошельков применялись к каждому из них?

• Локализация инцидента: почему переводы, согласно сообщениям, продолжались уже после обнаружения и когда вредоносный маршрут был фактически отключен?

• Сверка убытков: как биржа получила сумму $351,6 млн по разным активам и блокчейнам, не учитывая обмены или мосты дважды?

• Возврат средств: сколько средств было заморожено, возвращено или восстановлено и какая сумма остается вне контроля Bitget?

• Доступ клиентов: когда возобновится вывод средств, в каких сетях и с какими лимитами или условиями очереди?

• Устранение последствий: какие меры контроля были изменены, прежде чем тот же процесс подписания или серверный канал снова можно было считать надежным?

• Атрибуция: какие доказательства подтверждают подозрение в отношении КНДР и воспроизвел ли их известный внешний следователь?

Примерно в 02:40 UTC 25 сентября вывод средств все еще был официально приостановлен, а срок публикации обещанного отчета об инциденте в течение 24 часов еще не наступил. То, что депозиты и торговля продолжают работать, не дает ответа на тот же вопрос, что и вывод средств. Баланс во внутреннем реестре имеет практическое значение, когда клиент может получить его через работающий и безопасный механизм вывода.

Может ли Фонд защиты Bitget покрыть убыток?

Bitget заявляет, что в его Фонде защиты пользователей хранится более $464 млн, что полностью покрывает затронутую сумму в размере $351,6 млн. В публичных материалах компании указано, что основу фонда составляют 5500 Bitcoin. При цене Bitcoin около $84 403 эта позиция стоила бы примерно $464,2 млн.

При такой цене расчеты сходятся, но запас меньше, чем можно предположить по заголовку:

• Номинальное покрытие: около 132% от оценочной суммы затронутых средств.

• Необходимое количество Bitcoin: примерно 4166 Bitcoin, чтобы получить эквивалент $351,6 млн.

• Использование фонда: около 75,7%, если весь убыток покрыть за счет этой позиции в Bitcoin.

• Номинальный остаток: около 1334 Bitcoin без учета транзакционных издержек, изменения цены, других соответствующих требованиям требований или влияния на рынок.

• Цена безубыточности: при цене около $63 927 за Bitcoin стоимость 5500 Bitcoin сравнялась бы с заявленным убытком.

Что еще важнее, фонд является резервом под контролем компании, а не застрахованным государством депозитом. Публичные данные пока не позволяют установить, являются ли эти активы обособленными, не обременены ли они обязательствами, могут ли быть немедленно переведены и выделены ли они официально для урегулирования этого инцидента. Полезный вопрос уже не в том, превышают ли $464 млн сумму $351,6 млн. Вопрос в том, можно ли проверить фонд и задействовать его без возникновения второй проблемы с ликвидностью.

Сентябрьский отчет о подтверждении резервов (PoR) дает дополнительный контекст, но не ставит точку. До взлома Bitget опубликовал данные о совокупном коэффициенте резервирования в размере 135% по 19 активам. Этот снимок мог показать, что на момент оценки объем охваченных активов превышал соответствующие учтенные балансы. Он не отражает позицию после инцидента, не доказывает включение всех обязательств и не подтверждает безопасность механизмов контроля кошельков.

Что следует проверить трейдерам после взлома любой биржи

Безопасность биржи нельзя свести к одному процентному показателю, сертификату, фонду по типу страхового или заявлению о холодном хранении. Следует изучить несколько уровней и понять, что каждый из них может и не может доказать.

• Работа вывода средств: проверьте, работает ли вывод активов в сетях, которыми вы действительно пользуетесь. Успешный вывод небольшой суммы информативнее, чем отображение внутреннего баланса.

• Доказательства резервов: ищите актуальные снимки активов и обязательств, доказательства владения кошельками, исторические отчеты и возможность проверить включение собственного баланса.

• Операционная безопасность: изучите архитектуру хранения, разделение модулей подписания, контроль адресов, мониторинг, реагирование на инциденты и независимое тестирование.

• Корпоративное раскрытие информации: проверьте операционное юридическое лицо, юрисдикцию, юридические условия, финансовую отчетность и обособленность активов клиентов.

• История инцидентов: читайте итоговые отчеты, а не только объявления. Качество реагирования видно по опубликованным адресам, хронологии, основным причинам и сведениям об устранении последствий.

• Защита учетной записи: включите двухфакторную аутентификацию (2FA) через приложение, используйте уникальный пароль, активируйте антифишинговый код, проверяйте активные устройства и применяйте белые списки адресов для вывода, если они доступны.

• Ограничение хранения: храните на централизованной платформе только сумму, необходимую для торговли или ближайших переводов. Самостоятельное хранение устраняет риск хранения на бирже, но создает собственные риски управления ключами и восстановления доступа.

Сравнение крупных криптобирж по уровню прозрачности

Это не рейтинг безопасности. В каждой строке описан общедоступный способ проверки, доступный по состоянию на 25 сентября 2026 года, и вопрос, на который он поможет ответить. Ни один из них не доказывает, что биржу невозможно взломать, что биржа раскрыла все обязательства или что вывод средств останется доступным во время кризиса.

Что на самом деле показывает сравнение бирж

Таблица не определяет единственного победителя, поскольку биржи раскрывают разные виды доказательств. Coinbase предоставляет традиционную корпоративную отчетность в виде квартальных финансовых отчетов и ежегодных независимых аудитов. Binance и OKX публикуют криптографические системы подтверждения резервов с данными кошельков и инструментами проверки для пользователей. Kraken сочетает проверку на уровне учетной записи с коэффициентами резервирования поддерживаемых активов, а Bybit и Toobit предлагают пользователям способы на основе дерева Меркла, позволяющие проверить включение их балансов в конкретный снимок резервов.

Эти раскрытия отвечают на связанные, но разные вопросы:

• Подтверждение резервов: показала ли биржа достаточный объем охваченных активов, соответствующий учтенным балансам клиентов на определенный момент времени?

• Проверка включения пользователя: может ли отдельный пользователь подтвердить, что его баланс был учтен в заявленных обязательствах?

• Доказательства владения кошельками: продемонстрировала ли биржа контроль над адресами, заявленными в качестве резервов?

• Финансовая отчетность: как выглядят совокупные активы, обязательства, выручка, расходы, риски и корпоративные обязательства компании?

• Оценки безопасности: тестировали ли внешние специалисты отдельные компоненты платформы, приложения, инфраструктуру хранения или внутренние механизмы контроля?

• Фонды защиты: выделила ли биржа отдельный пул средств, который можно использовать при определенных инцидентах безопасности?

Ни один отдельный элемент не дает ответов на все вопросы. Биржа может иметь достаточные резервы и при этом столкнуться с компрометацией кошелька. Она может пройти оценку безопасности, а затем внедрить уязвимую интеграцию. Она может поддерживать фонд защиты, не доказывая, насколько быстро его можно задействовать. Она также может публиковать аудированную финансовую отчетность, не предоставляя пользователям криптографического способа проверить включение их индивидуальных балансов.

Полезное сравнение заключается не только в том, какая биржа показывает самый высокий процент. Важно, сколько независимых уровней можно проверить, насколько они актуальны и соответствует ли доказательство оцениваемому риску.

Почему подтверждение резервов не доказывает безопасность кошельков

PoR может подтвердить, что на определенный момент времени существовали активы, покрывающие учтенные остатки средств клиентов. Этот механизм не предназначен для доказательства того, что системы, контролирующие эти активы, невозможно взломать.

Инцидент Bitget особенно наглядно демонстрирует это различие. Сентябрьский отчет компании показывал совокупный коэффициент резервирования в размере 135% по 19 активам до взлома. Заявленный профицит не помешал несанкционированному маршруту транзакций переместить средства. Расследуемая проблема касается операций с кошельками, авторизации транзакций или связанного с ними ПО, а не только наличия активов в резервных кошельках до инцидента.

Отчет о резервах может помочь ответить на следующие вопросы:

• Были ли охваченные балансы клиентов включены в расчет обязательств?

• Содержали ли раскрытые кошельки достаточный объем соответствующих активов?

• Могли ли пользователи проверить свое включение с помощью пути Меркла или другого криптографического метода?

• Есть ли архив отчётов, позволяющий сравнивать данные за разные периоды?

Как правило, он не может ответить на следующие вопросы:

• Может ли скомпрометированная серверная система отправить вредоносный запрос на подписание?

• Применяются ли политики вывода средств независимо от приложения, создающего транзакцию?

• Может ли сотрудник, подрядчик или поставщик влиять на несколько уровней одобрения?

• Включены ли все корпоративные долги, условные обязательства, займы и юридические обязательства?

• Будет ли вывод средств работать в обычном режиме во время инцидента безопасности или шока ликвидности?

• Можно ли получить доступ к средствам фонда защиты немедленно и без ограничений?

• Сохранит ли следующая версия ПО механизмы контроля, проверенные в ходе предыдущей оценки?

Поэтому прозрачность резервов и безопасность транзакций необходимо оценивать отдельно. PoR в основном подтверждает обеспеченность активами на заявленный момент времени. Безопасность кошельков касается того, как транзакции запрашиваются, одобряются, подписываются, передаются в сеть, отслеживаются и останавливаются при возникновении проблем.

Bybit служит полезным историческим примером. До взлома в 2025 году биржа публиковала сведения о резервах и предоставляла инструменты проверки для пользователей, однако инцидент был связан с другой проблемой в процессе подписания. Доказательства резервов сохраняли ценность, но не защищали от манипуляций с транзакциями.

Теперь Bitget предстоит предоставить аналогичные объяснения. Новый снимок резервов мог бы помочь оценить финансовые последствия убытка. Однако он не заменит необходимость технического отчета о скомпрометированном сервисе и отказавших механизмах контроля авторизации.

Как интерпретировать коэффициенты резервирования без заблуждений

Коэффициент резервирования выше 100% звучит обнадеживающе, но показатель требует контекста. Коэффициент 106% означает, что на момент снимка раскрытые резервы по этому активу примерно на 6% превышали соответствующие учтенные балансы. Это не означает, что у всей биржи есть 6-процентный запас капитала для покрытия любых возможных убытков.

Полезность этого процентного показателя определяется несколькими факторами:

• Охват активов: отчет по нескольким крупным активам не эквивалентен отчету по 19 или 22 активам.

• Охват обязательств: в отчете следует объяснить, какие типы учетных записей, займы, маржинальные позиции и другие обязательства вошли в расчет.

• Дата снимка: отчет, составленный до инцидента, не может подтвердить финансовое положение биржи после крупного убытка.

• Подтверждение владения кошельками: читатели должны иметь возможность увидеть, как биржа подтвердила контроль над раскрытыми ею адресами.

• Проверка пользователем: общий коэффициент убедительнее, если клиенты могут самостоятельно проверить включение своих балансов.

• Историческая непрерывность: регулярные архивные отчеты упрощают выявление резких изменений в резервах или охвате.

• Внешняя проверка: независимая проверка может повысить уверенность, хотя личность проверяющего, методология и охват проверки по-прежнему важны.

Более высокий процент может отражать реальный профицит, но на него также могут влиять узкий набор обязательств, временные балансы, колебания цен активов или исключение продуктов, не охваченных отчетом. Сравнение общих процентных показателей без учета охвата создает ложную иерархию.

По той же причине меньшую биржу, отчитывающуюся по четырем активам, нельзя считать более прозрачной, чем крупную только потому, что один из ее показателей выше. Имеют значение широта охвата отчета, методология расчета обязательств, доказательства по кошелькам, частота публикации и процесс проверки пользователями.

Позиция Toobit в сравнении

Публичные раскрытия информации Toobit охватывают два отдельных вопроса. Сентябрьский отчет о резервах показывает, превышали ли четыре крупных актива соответствующие балансы пользователей на момент конкретного снимка. На страницах безопасности описано, как эти активы и учетные записи пользователей защищаются в ходе обычной работы.

Эти раскрытия полезнее рассматривать отдельно. Коэффициент резервирования может показать обеспечение активами на определенный момент, а доказательство Меркла помогает пользователю проверить, был ли баланс учетной записи включен в заявленный набор обязательств. Ни то, ни другое не доказывает, что каждый кошелек, внутренняя система или будущая транзакция останутся защищенными.

Сентябрьские коэффициенты резервирования Toobit

Коэффициенты резервирования Toobit для BTC, ETH, USDT и USDC по состоянию на 1 сентября 2026 года, UTC, по данным Toobit на 25 сентября 2026 года.

На момент этого снимка все четыре коэффициента превышали 100%. Это означает, что раскрытые резервы по каждому охваченному активу превышали соответствующие балансы пользователей, включенные в отчет. Величина превышения над 100% зависела от актива и варьировалась от 2% для Ether до 6% для Tether.

Эти процентные показатели нельзя складывать или рассматривать как единый коэффициент капитала всей биржи. В каждом случае резерв определенного актива сравнивается с соответствующим учитываемым балансом пользователей. Например, коэффициент Tether 106% сам по себе ничего не говорит об обязательствах, номинированных в другом активе.

Охват не менее важен, чем процентные показатели. Этот отчет охватывает четыре широко используемых актива, тогда как раскрытия Bitget и OKX включают большее число активов. Отчет Toobit полезен для проверки четырех указанных резервов, но не подтверждает обеспечение каждого токена или продукта, доступного на платформе.

Как пользователи могут проверить включение баланса

Опубликованный коэффициент резервирования остается показателем на уровне компании до тех пор, пока пользователи не смогут проверить, были ли их собственные балансы учтены при расчете обязательств. Для этой цели на странице подтверждения резервов Toobit представлены корень Меркла и процедура проверки.

Дерево Меркла преобразует записи отдельных учетных записей в криптографические хеши и объединяет их в одно корневое значение. Затем пользователь может проверить, что его баланс был включен в снимок, не раскрывая информацию о счетах всех остальных клиентов.

Корень Меркла Toobit и интерфейс проверки включения учетной записи в систему подтверждения резервов, по данным Toobit на 25 сентября 2026 года.

Инструмент Меркла устраняет важный недостаток простого объявления о резервах. Он позволяет пользователям проверить, были ли учтены их счета, вместо того чтобы просить их полагаться лишь на совокупный процент.

Однако такая проверка также имеет ограничения. Включение показывает, что баланс вошел в заявленную структуру обязательств. Само по себе это не доказывает, что были учтены все обязательства, что заявленные активы не были обременены или что биржа сохранит тот же уровень резервов после формирования снимка.

Полезная личная проверка должна дать ответы на три вопроса:

1. Соответствует ли запись проверки правильной дате аудита?

2. Включает ли она активы и балансы, которыми пользователь владел на момент снимка?

3. Можно ли проверить доказательство с помощью предоставленной процедуры проверки или инструмента с открытым исходным кодом?

Успешная проверка включения подтверждает связь между аккаунтом пользователя и опубликованным отчётом о резервах. Она не превращает отчет в полноценный финансовый аудит.

Механизмы контроля резервов

Обеспечение резервов и безопасность кошельков относятся к разным рискам. Снимок резервов может показать, покрывали ли выбранные активы соответствующие балансы пользователей в определенный момент времени. Следующий вопрос — как биржа защищает эти активы, контролирует доступ к транзакциям и реагирует на подозрительную активность.

Toobit делит систему Bee-Safe на шесть направлений:

• Подтверждение резервов: обеспечение активами, которое пользователи могут проверить через систему резервов биржи.

• Устойчивая инфраструктура: мультиоблачная инфраструктура, предназначенная для поддержания доступности платформы и торговой активности.

• Превентивные меры защиты: многофакторная аутентификация, холодное хранение и постоянные аудиты.

• Безопасность данных: архитектура нулевого доверия, шифрование и механизмы обнаружения фишинга.

• Полная конфиденциальность: меры защиты данных, включая безопасность с нулевым разглашением и биометрические средства контроля.

• Круглосуточная активная защита: непрерывный мониторинг и поддержка, предназначенные для обнаружения подозрительной активности и реагирования на нее.

Система Bee-Safe на Toobit, охватывающая подтверждение резервов, устойчивость инфраструктуры, защиту учетных записей, безопасность данных, конфиденциальность и активный мониторинг, по данным Toobit на 25 сентября 2026 года.

Эти уровни охватывают риски, которые коэффициент резервирования не может измерить. Подтверждение резервов касается обеспечения активами, а средства аутентификации и защиты от фишинга действуют на уровне учетной записи. Холодное хранение связано с обеспечением сохранности активов, шифрование защищает конфиденциальные данные, а непрерывный мониторинг призван выявлять аномальную активность до того, как она распространится.

Система показывает, какие меры защиты действуют на платформе, однако наличие механизма контроля не доказывает, что он безупречно сработает при каждом инциденте. Его практическая ценность зависит от реализации, тестирования, независимой проверки и обновления при обнаружении новых уязвимостей.

Взвешенная оценка раскрытия информации Toobit

Toobit предоставляет три видимых уровня прозрачности:

1. Коэффициенты резервирования по активам для четырех крупнейших активов в сентябрьском отчете.

2. Включение баланса на основе дерева Меркла, которое пользователи могут проверить по соответствующему снимку.

3. Опубликованные механизмы безопасности, охватывающие доступ к учетным записям, хранение, инфраструктуру, тестирование и подготовку к инцидентам.

Такое сочетание дает пользователям больше возможностей для проверки, чем общее заявление о безопасности активов. Объявление о резервах предоставляет фиксированные исторические показатели, панель PoR — способ проверки, а страница «Безопасность» описывает механизмы контроля, которыми, по заявлению Toobit, защищены резервы.

Наряду с этими преимуществами следует учитывать и ограничения. Сентябрьский отчет охватывает четыре актива, а не все токены, доступные на платформе. PoR — это снимок состояния на определённый момент, а не непрерывное подтверждение платёжеспособности. Включение в дерево Меркла не раскрывает все корпоративные обязательства. Механизмы безопасности могут снизить риск, но не исключают сбоев ПО, поставщиков, операционных процессов, действий инсайдеров или систем подписания.

Таким образом, доказательства позволяют сделать оговоренный вывод: Toobit предлагает практичный и проверяемый пользователями процесс подтверждения резервов для Bitcoin, Ether, Tether и USD Coin, а также несколько публично описанных механизмов защиты учетных записей и хранения. Читателям следует оценивать эти доказательства в пределах их применимости, а не считать взлом Bitget автоматическим подтверждением того, что другая биржа безопаснее.

Что не может отразить сравнительная таблица

Таблица может упорядочить раскрываемую информацию, но не может передать опыт использования биржи в кризисной ситуации. Порядок вывода средств, оперативность службы поддержки, информирование об инцидентах, региональные ограничения, ликвидность и проверки счетов могут меняться быстрее, чем данные в отчёте о резервах.

Правовая доступность также различается в зависимости от страны. Два пользователя одного глобального бренда могут взаимодействовать с разными операционными юридическими лицами, продуктами, платежными партнерами, схемами хранения или договорными условиями. Сервис, доступный в одной юрисдикции, может быть ограничен или недоступен в другой.

Перед выбором биржи читателям следует проверить:

1. Поддерживаются ли нужный актив и сеть.

2. Текущие комиссии за депозиты, торговлю, конвертацию и вывод средств.

3. Лимиты вывода средств и требования к верификации учетной записи.

4. Дату и охват активов в последнем раскрытии резервов.

5. Можно ли проверить включение индивидуального баланса.

6. Историю инцидентов биржи и качество ее итоговых отчетов.

7. Доступные средства защиты учетной записи и контроля вывода средств.

8. Успешно ли выполняется пробный вывод небольшой суммы.

9. Какой объем капитала действительно необходимо хранить на бирже.

Последний вопрос часто упускают из виду. Выбор биржи не означает, что нужно бессрочно хранить на ней все активы. Трейдеры могут отделить активный торговый капитал от долгосрочных активов и определить, какими рисками они способны управлять. Централизованное хранение создает риски платформы и контрагента. Самостоятельное хранение исключает биржу из процесса подписания, но возлагает на владельца ответственность за закрытые ключи, резервные копии, безопасность устройств, планирование наследования и необратимые ошибки.

Поэтому сравнение служит отправной точкой для комплексной проверки. Оно показывает, какие заявления можно проверить и где остаются пробелы. Оно не превращает ни одну биржу в полностью безрискового хранителя.

Настоящее испытание — то, что произойдет дальше

Сам факт хищения больше не вызывает сомнений. Открытыми остаются вопросы о том, сможет ли Bitget предоставить воспроизводимый реестр убытков, безопасно восстановить вывод средств, подтвердить доступность Фонда защиты и объяснить, как доверенная система отправила несанкционированные транзакции.

За версией о КНДР стоит следить, поскольку на нее указывают две независимые линии: закрытые инфраструктурные данные Bitget и предполагаемая связь, установленная Specter между маршрутом XRP и хищением у AFX. Ни одна из этих линий расследования пока не подкреплена достаточным объёмом публичных данных, чтобы считать дело раскрытым. Качественный итоговый отчет должен отделять известные бирже факты от ее подозрений, а достоверная атрибуция должна позволять внешним следователям воспроизвести всю цепочку.

До тех пор самое честное описание ситуации звучит просто. Bitget столкнулся с крупным инцидентом, затронувшим кошельки в нескольких блокчейнах и средства примерно на $351,6 млн. Расследуется версия о сбое серверной инфраструктуры или цепочки поставок. Есть подозрения, что к этому причастны связанные с КНДР лица, но подтверждений пока нет. Вывод средств, окончательный чистый убыток, задействование фонда и отказавший механизм контроля остаются факторами, которые еще могут изменить картину.

Всегда проводите собственное исследование (DYOR). Эта статья основана на публичных раскрытиях информации об инциденте и ончейн-данных, доступных на указанный момент окончания сбора данных. Она не подтверждает личность злоумышленника или платежеспособность Bitget, не гарантирует возврат средств и не рекомендует какую-либо конкретную биржу. Перед принятием финансового решения проверьте актуальный статус вывода средств, отчеты о резервах, доступность в вашем регионе, комиссии и риски хранения.

Как купить криптовалюту на Toobit

Чтобы купить криптовалюту на Toobit, создайте учетную запись или войдите в нее, пройдите верификацию личности, если это требуется, и откройте страницу «Купить криптовалюту». Выберите криптовалюту, которую хотите получить, доступный способ оплаты и укажите сумму покупки.

Перед подтверждением транзакции проверьте предложенный обменный курс, комиссии за оплату, лимиты покупки и итоговую сумму к получению. Поддерживаемые валюты, способы оплаты, требования к учетной записи и доступность продуктов могут различаться в зависимости от местоположения.

Купить криптовалюту на Toobit

Предупреждение о рисках

Криптоактивы отличаются высокой волатильностью и могут значительно потерять в стоимости. Торговля и хранение криптовалюты сопряжены с рисками, включая рыночные убытки, инциденты безопасности и перебои, которые могут повлиять на доступ к средствам. Подтверждение резервов и фонды защиты могут обеспечить дополнительную прозрачность и защиту, но не устраняют риски. Торговля с кредитным плечом сопряжена с дополнительным риском и может привести к быстрым убыткам или ликвидации. Перед началом торговли всегда учитывайте свое финансовое положение и допустимый уровень риска.