Bitget потеряла 387,5 млн долларов в результате крупнейшего криптограбежа 2026 года, и ни один приватный ключ не был украден. Атакующие подделали собственный уровень авторизации биржи — та же схема уязвимости, что и у Bybit в 2025 году, — и менее 0,1% похищенного можно заморозить. Вот что это означает для трейдеров.
Безопасность криптобиржи снова дала сбой — и дело было не в ключах
24 сентября 2026 года с криптобиржи Bitget за менее чем час было выведено $387,5 млн. Никто не украл приватные ключи. Никто не взломал пароли. Никто не подкупил сотрудников. Злоумышленники проникли во внутреннюю систему биржи, подали в неё поддельные транзакционные данные и наблюдали, как система одобрения платформы выпускает деньги наружу — потому что система искренне считала переводы легитимными. Это крупнейшее криптограбёж 2026 года на данный момент, и оно знаменует собой резкий поворот в понимании того, как на самом деле происходит сбой безопасности криптобирж.
Ключевые выводы
- Взлом Bitget на сумму 387,5 млн долларов 24 сентября 2026 года стал крупнейшей криптокражей года на данный момент, при этом злоумышленники ни разу не использовали ни одного приватного ключа.
- Вектор атаки, подделка слоя авторизации биржи, аналогичен взлому Bybit на 1,5 млрд долларов в феврале 2025 года.
Северокорейские группы, связанные с государством, увеличили объем краж криптовалют в 2026 году более чем на 1 млрд долларов, к примерно 2 млрд долларов, украденных в 2025 году.
- Эмитенты стейблкоинов заморозили лишь около $318 000 от похищенных средств; большая часть остального находится в XRP и ETH, которые ни один эмитент не может заморозить.
- Десятилетие, потраченное на усиление защиты ключей, не помогло, поскольку атака переместилась на более высокий уровень.
Почему безопасность криптобирж продолжает давать сбои?
На протяжении десятилетия безопасность в криптоиндустрии строилась на одном принципе: не твои ключи — не твои монеты. Индустрия потратила миллиарды на усиление защиты ключей — холодное хранение, аппаратные модули безопасности (HSM), многосторонние вычисления, хранилища с воздушным зазором, схемы мультиподписи 11 из 15. И какое-то время это работало. Атаки на сами ключи становились всё сложнее и реже.
Так что злоумышленники сменили цели.
Взлом Bitget — это наиболее очевидное доказательство того, что вся модель угроз индустрии теперь устарела. Атака была направлена не на замок. Она была направлена на консьержа — слой авторизации, программное обеспечение и людей, которые решают, является ли транзакция подлинной, прежде чем ключу будет разрешено действовать. Скомпрометируйте этот слой, и ключ с радостью подпишет всё, что ему поднесут.
Как именно произошел взлом Bitget?
Главный исполнительный директор Bitget описал это просто: злоумышленник получил доступ к критически важной внутренней системе в инфраструктуре кошельков компании, использовал ее для подделки данных транзакций и запустил собственный процесс авторизации биржи для вывода средств. Ключ подписи не был затронут. Была скомпрометирована доверенная система.
Это не кража ключей. Это компрометация доверия. И это та же самая схема, что и кража на Bybit в феврале 2025 года, когда $1.5 млрд исчезли не потому, что ключи были украдены, а потому, что злоумышленники подделали то, что видели на своих экранах люди, подписывающие транзакции, обманом заставив их одобрить переводы с холодных кошельков, которые они считали рутинными.
Два крупнейших взлома в истории криптоиндустрии теперь имеют одинаковую структуру: злоумышленник никогда не побеждает криптографию. Он побеждает процесс принятия решений, который находится поверх нее. Bitget привлекла Mandiant и SlowMist для расследования, а следственные команды отслеживают движение средств вместе с фирмами по анализу блокчейна TRM Labs и Elliptic. Вывод формируется быстро: периметр, который криптобиржи десятилетиями укрепляли, больше не является целью для этого класса злоумышленников.
Кто выигрывает, а кто проигрывает от этого сдвига?
Победителей легко заметить. Компании по расследованиям и анализу блокчейна — Mandiant, SlowMist, TRM Labs, Elliptic — получают оплату за погоню за деньгами, и их бизнес процветает. Возникающая ниша безопасности на уровне авторизации, поставщики которой мониторят внутренние рабочие процессы транзакций, а не только хранение ключей, получили кейс, который определит эту категорию. Страховые андеррайтеры, которые годами утверждали, что риск бирж является операционной проблемой, а не криптографической, внезапно выглядят пророческими.
Проигравшие менее очевидны. Биржи с разветвленной внутренней инфраструктурой стали предпочтительной целью — каждый внутренний сервис представляет собой потенциальную уязвимость, а сложность системы играет на руку злоумышленникам. Розничные пользователи, которые по-прежнему считают, что их средства в безопасности, поскольку хранятся в холодных кошельках, опираются на устаревшее десятилетней давности предположение. Холодное хранение защищает приватные ключи. Оно не защищает процесс одобрения транзакций.
Затем есть реакция заморозки. Circle и Tether, эмитенты стейблкоинов, которые могут блокировать адреса, заморозили около 318 000 долларов от похищенного. Это менее 0,1% от общей суммы. Основную часть добычи составили XRP — около 102,93 миллиона токенов, и ETH — около 31 890 токенов, нативные активы без центрального эмитента, способного их заморозить. Любимый аварийный тормоз индустрии структурно бесполезен против именно тех активов, которые злоумышленники предпочитают красть. Это не ошибка. Это проектирование.
Происходило ли это раньше, и что изменилось сейчас?
Bitget — не аномалия. Это последняя ступень десятилетней эскалации:
- 2014, Mt. Gox: кража приватного ключа горячего кошелька, примерно 850 000 BTC.
- 2016, Bitfinex: кража мультисиг-ключа, примерно 120 000 BTC.
- 2022, Ronin: компрометация ключа валидатора плюс социальная инженерия, около $600 миллионов.
- 2025, Bybit: обман подписанта через поддельный интерфейс, около $1,5 миллиарда.
- 2026, Bitget: спуфинг на уровне авторизации, около $387,5 миллиона.
Каждая ступень отдаляет атакующего от криптографии и приближает к человеческим и программным решениям, которые её окружают. Математика никогда не была слабым звеном. Слабым звеном был рабочий процесс.
Что изменилось сейчас — это атакующий. Государственная хакерская структура Северной Кореи, известная под различными названиями: Lazarus, TraderTraitor и WaterPlum, поставила это на промышленную основу. По оценкам Chainalysis, кражи, связанные с КНДР, превысили $2 миллиарда только в 2025 году, а добыча на Bitget выводит 2026 год за отметку $1 миллиарда, при этом впереди ещё несколько месяцев. Это не хакер, использующий случайные скрипты. Это хорошо финансируемая операция, работающая как программа по генерации доходов, с терпением размещать фальшивых ИТ-подрядчиков внутри целевых компаний на месяцы, и она относится к биржам так, как фонд относится к рынку: системно и ради прибыли.
Куда это движется в течение одного-трёх лет?
Неудобная правда заключается в том, что ситуация ухудшится, прежде чем улучшится. Сходятся три силы.
Первая — это ИИ. Те же классы моделей, которые обмениваются кредитами для блокировки миллиардов долларов мошенничества, могут быть направлены в другую сторону: генерировать убедительные транзакционные данные, автоматизировать обнаружение уязвимостей в авторизации и масштабировать атаки, которые ранее требовали глубоких человеческих знаний. Автономные агенты уже продемонстрировали, что могут находить и объединять уязвимости программного обеспечения для получения повышенного доступа в тестовых системах. Слой авторизации скоро столкнется с противниками, которые никогда не спят и никогда не делают опечаток.
Вторая — это автономность. По мере того как кошельки становятся агентными, с ботами и ИИ-ассистентами, подписывающими транзакции от имени пользователя, человек в цикле исчезает. Когда машина авторизует перевод, поддельные данные больше не имеют скептически настроенного человека, который мог бы их обнаружить. Вопрос перестает быть о том, кто держит ключ, и становится о том, кто или что авторизует машину.
Третья — это сами активы. По мере того как все больше ценности перемещается в нативные активы и уходит от замораживаемых стейблкоинов, сценарий восстановления с заморозкой, внесением в черный список и возвратом средств теряет свою эффективность. Реалистичный уровень восстановления при атаке по типу Bitget на нативные активы фактически равен нулю.
В течение одного-трех лет ожидается, что доминирующей станет новая категория безопасности: непрерывный мониторинг на основе поведения самого слоя авторизации. Не то, насколько безопасен ключ, а то, имеет ли транзакция смысл с учетом всего, что знает система.
Что это означает для трейдеров?
Ничто из этого не является прогнозом цены. Это карта рисков, и есть несколько стратегических последствий, которые стоит обдумать.
Контрагентский риск на биржах больше не ограничивается опасениями о несостоятельности. Это повторяющаяся, сложная угроза со стороны государственных акторов. Вопрос к бирже должен быть не в том, есть ли у нее холодное хранилище, потому что оно есть у всех, а в том, как она проверяет вывод средств перед их подписанием.
Фонд защиты пользователей — это страховка, а не защита. Фонд Bitget в размере $464 миллионов покрывает убытки, и это покрытие реально. Но покрытие — это не предотвращение. Фонд, который выплачивает средства после взлома, не то же самое, что система, которая предотвращает его.
Знайте, где находится экспозиция. Нативные активы, такие как XRP и ETH, являются предпочтительной добычей именно потому, что их нельзя заморозить, что означает, что восстановление украденных нативных активов биржами сводится к нулю. Тип актива определяет уровень риска независимо от площадки.
Самостоятельное хранение исключает слой авторизации биржи из уравнения, но только если человек больше доверяет собственной операционной безопасности, чем защищенной институции. Для большинства людей этот компромисс на самом деле не изменился. Изменилась честность: ни одна модель хранения не является безопасной, уязвимы они по-разному.
Вопрос, который крипто-индустрия должна задать себе
Десятилетие индустрия рассказывала себе утешительную историю: защищай ключи, и ты в безопасности. Кража на Bitget, как и взлом Bybit до него, стала опровержением. Атакующим больше не важны ключи. Они осознали, что настоящий актив — это разрешение на их расходование.
Если следующее поколение краж не будет касаться ни одного приватного ключа, открытым вопросом для всей индустрии становится то, что именно защищается и кто остался, чтобы этому помешать.
FAQ
Был ли взлом Bitget осуществлен через украденный приватный ключ?
Нет. В пост-инцидентном отчете Bitget исключена кража криптографических ключей. Злоумышленники скомпрометировали бэкенд-систему, обрабатывающую транзакции кошельков, и подали в нее поддельные данные транзакций, в результате чего собственный процесс авторизации биржи одобрил выплаты, как если бы они были рутинными. Ключи не трогали; скомпрометированы были данные, которым доверяли ключи.
Это тот же случай, что и взлом Bybit?
Структурно — да. Как взлом Bybit на $1,5 млрд в феврале 2025 года, так и взлом Bitget на $387,5 млн в сентябре 2026 года обошли ключи и атаковали слой одобрения. Bybit был обманут на экране подписывающего устройства; Bitget был обманут внутри собственной бэкенд-системы. Криптография выдержала в обоих случаях; не выдержал процесс принятия решений.
Почему Circle и Tether заморозили только около 318 000 долларов?
Потому что стейблкоины составляли лишь малую часть добычи. Основную часть украденных средств составляли нативные активы, XRP и ETH, у которых нет центрального эмитента с возможностью блокировки адресов. Это выявляет структурное ограничение подхода индустрии к заморозке и восстановлению средств: он работает только с активами, которыми кто-то контролирует.
Кто стоит за взломом Bitget?
Идентификация пока остается рабочей гипотезой. Bitget указал на группы, спонсируемые государством Северной Кореи, а методы и схемы отмывания совпадают с деятельностью Lazarus и TraderTraitor, стоящей за взломами Bybit и Ronin. Mandiant и SlowMist проводят судебно-медицинское расследование.
Находятся ли средства клиентов под угрозой?
Bitget заявляет, что его Фонд защиты пользователей, в котором хранится более 464 миллионов долларов, достаточен для покрытия полного ущерба, и биржа поэтапно восстанавливает вывод средств. Более широкий урок заключается не в платежеспособности одной биржи, а в модели угроз всей индустрии: ни одна система хранения средств не является неуязвимой, все они лишь по-разному подвержены рискам.