Надійність криптобіржі: Proof of Reserves, страховий фонд і ліцензії за 10 хвилин

Коротко: як за 10 хвилин перевірити будь-яку криптобіржу

Безпечна криптобіржа — це не майданчик, який жодного разу не зламували, а майданчик, де злам не перетворюється на втрату ваших грошей. Різницю добре видно на свіжому прикладі: 24 вересня 2026 року з гарячих і теплих гаманців Bitget вивели близько $387 млн, і біржа одразу заявила, що збиток покриває її захисний фонд. FTX у 2022-му та Mt.Gox у 2014-му такого запасу не мали — обидві збанкрутували разом із грошима клієнтів.

Тому запитання «яка біржа найнадійніша» поставлене неточно. Рейтинг застаріває після першого ж інциденту, а метод перевірки працює для будь-якого майданчика. Він зводиться до чотирьох запитань:

1. Proof of Reserves. Чи публікує біржа звіт про резерви щомісяця, чи є коефіцієнт для кожної монети, а не лише загальний, і чи можна самому знайти свій баланс у дереві Меркла.
2. Захисний фонд. Скільки в ньому грошей на конкретну дату, як змінюється його вартість, чи виходять звіти і що саме фонд покриває.
3. Ліцензії та штрафи. Чи є біржа в офіційному реєстрі регулятора (у ЄС — реєстр MiCA в ESMA) і чи платила вона штрафи за відмивання грошей.
4. Історія інцидентів. Не сам факт зламу, а поведінка після нього: чи закрито розрив, за скільки годин, чи вийшов публічний звіт про причини.

Надійна криптобіржа не провалює жодного з чотирьох пунктів. Провал хоча б в одному — привід тримати на майданчику лише робочу суму, а решту зберігати у власному гаманці.

Перший пункт до кінця проходить лише клієнт: свій баланс у дереві Меркла можна знайти тільки з особистого кабінету. Потренуватися зручно на Binance: звіт про резерви там виходить щомісяця, а захисний фонд SAFU — найбільший серед бірж із таблиці нижче. Решту трьох пунктів звіряйте за таблицями — у Binance там є й мінуси: ліцензії MiCA біржа не має, а врегулювання з Мін’юстом США на $4,3 млрд — одне з найбільших в історії галузі. Для порівняння: у Bybit звіт про резерви з 2024 року перевіряє аудитор Hacken, зате страховий фонд покриває лише ліквідації на деривативах.

Злам Bitget на $387 млн: що сталося і чого він навчає

Злам Bitget — найбільша крадіжка з біржі у 2026 році й найкращий навчальний кейс для цієї теми. Моніторинг біржі помітив несанкціоновані перекази о 18:31 UTC 24 вересня 2026 року. Перша оцінка генеральної директорки Грейсі Чен — $351,6 млн, а до 25 вересня сума зросла до $387–387,5 млн, коли до підрахунку додали активи в мережах Zcash і TRON (CoinPaprika і PYMNTS, 24–25 вересня 2026).

GPT-6.1 Astra не вийде в жовтні: модель обманювала й діяла без дозволу

Ринки прогнозів Polymarket і Kalshi: три суди в США та блокування в Україні

ШІ-відео з померлими: NO FAKES Act, закони ЄС і України та як видалити фейк

OpenAI і Anthropic розслідують десятки тисяч інцидентів агентів: злами й чужі ключі

Агенти OpenAI 16 500 разів сканували портал ООН UNCTADstat, підбираючи поля API

Що важливо для методу перевірки:

• Ключі не вкрали. За словами Чен, зловмисники зламали внутрішню систему гаманців і підробили дані про перекази, а власний механізм схвалення біржі випустив кошти як справжні заявки. Це помилка в логіці, а не витік приватних ключів, і жоден звіт про резерви її заздалегідь не покаже.
• Холодні гаманці вціліли. У Bitget трирівнева схема: гарячі, теплі й холодні гаманці. Постраждала лише частина гарячого й теплого шарів — це й обмежило збиток.
• Фонд більший за збиток. User Protection Fund Bitget на 25 вересня 2026 року мав понад $464 млн, тобто із запасом перекривав украдене.
• Вивід заморозили. Депозити й торгівля працювали, а вивід коштів зупинили на час перевірки. Станом на 26 вересня 2026 року він залишався на паузі; біржа оголосила поетапний запуск: BTC — з 28 вересня, ETH — з 29-го, USDT — з 30-го, решта токенів, фіат і P2P — з 2 жовтня (The Cryptonomist, 26 вересня 2026).

Останній пункт часто пропускають. Навіть коли фонд усе покриває, клієнт на кілька днів утрачає доступ до грошей, а ринок тим часом рухається далі. Звідси практичний висновок: велика сума на одній біржі залежить від однієї кнопки «пауза виводу».

Атрибуцію варто читати обережно. Керівництво Bitget вказало на сліди, схожі на попередні операції Північної Кореї, але станом на 26 вересня 2026 року це версія самої біржі, а не висновок незалежного розслідування. Як на майданчику влаштовані копітрейдинг і ліцензії, ми розбирали в огляді біржі Bitget — після зламу він добре ілюструє пункти 2 і 3.

Скільки вкрали в крипті за 2025–2026: цифри за періодами

Цифри нижче охоплюють усю криптогалузь (біржі, DeFi-протоколи, мости), а не лише біржі. У новинах про зломи легко сплутати роки й методики, тому ось зведення за перевіреними звітами:

Головний контраст: у першому півріччі 2026 року TRM Labs нарахувала рекордні 207 зламів, а сума збитку впала до $972 млн проти $2,3 млрд роком раніше — приблизно в 2,4 раза (TRM Labs, 1 липня 2026). Атак стало більше, але без мегакрадіжки на кшталт Bybit середній удар менший. Круглі цифри «понад $2 млрд за рік» у переказах майже завжди стосуються або першого півріччя 2025-го, або всього 2026-го вже з Bitget.

Друга тенденція — концентрація. Частка Північної Кореї в украденому зросла з менш ніж 10% у 2020–2021 роках до 22% у 2022-му, 37% у 2023-му, 39% у 2024-му, 64% у 2025-му та 76% за січень–квітень 2026-го (TRM Labs). Для біржі це означає, що проти неї працює не одинак, а державна група з бюджетом і терпінням.

Proof of Reserves: що насправді доводить звіт біржі, а що ні

Proof of Reserves (PoR) — це звіт, у якому біржа показує, що тримає на своїх блокчейн-адресах не менше монет, ніж винна клієнтам. Якщо зовсім коротко, це фотографія на дату, яка порівнює дві суми: гроші клієнтів і монети в гаманцях біржі.

Як працює перевірка через дерево Меркла

Механіка у великих бірж схожа:

1. Біржа робить анонімний знімок усіх клієнтських балансів і збирає їх у дерево Меркла — структуру, де кожен баланс перетворюється на хеш, а всі хеші зводяться в один корінь.
2. Корінь публікують. Змінити хоча б один баланс, не змінивши корінь, неможливо — підміну одразу видно.
3. Біржа підписує повідомлення зі своїх блокчейн-адрес і так доводить, що керує ними.
4. Суму на адресах порівнюють із сумою зобов’язань із дерева. Коефіцієнт понад 100% означає, що монет більше, ніж боргів.
5. Клієнт знаходить свій ідентифікатор у дереві й сам переконується, що його баланс урахований.

Добрий приклад детального звіту — OKX. У 45-му щомісячному звіті від 30 липня 2026 року біржа показала $23,1 млрд у BTC, ETH, USDT і USDC з коефіцієнтами 105%, 103%, 112% і 101% відповідно, а перевірити, чи врахований ваш баланс, пропонує відкритим інструментом на zk-STARK. Kraken регулярно проводить PoR із незалежною аудиторською фірмою і публікує готові фрагменти коду на Python, Rust і Go, якими клієнт сам перераховує свій лист дерева.

Починати варто з офіційної сторінки звіту на сайті біржі, а не з переказів: цифри в пресрелізах і сторонніх оглядах нерідко розходяться з первинним документом.

Чотири речі, яких звіт про резерви не доводить

• Платоспроможність. PoR доводить активи, але не всі зобов’язання: кредити біржі, борги перед партнерами й позабалансові ризики до дерева не потрапляють. Повна картина називається Proof of Solvency — це резерви плюс аудитовані зобов’язання.
• Стан між знімками. Звіт фіксує одну дату. Кастодіан Cobo прямо вказує на слабке місце: під дату перевірки монети можна тимчасово позичити й повернути після неї.
• Хто насправді володіє монетами. Підпис з адреси доводить контроль над ключем, але не відсутність змови з власником коштів.
• Захист від зламу. Кейс Bitget це показав: із резервами все було гаразд, а гроші пішли через помилку в логіці схвалення виводів.

Показова історія: у грудні 2022 року аудиторська мережа Mazars припинила роботу з криптоклієнтами, зокрема з Binance, пояснивши рішення тим, як публіка розуміє такі звіти (CNBC, 16 грудня 2022). Це не означає, що PoR марний. Це означає, що звіт — необхідна, але не достатня умова.

Як прочитати звіт за дві хвилини: шукайте регулярність (щомісячні звіти без пропусків важать більше за один гарний), коефіцієнт для кожної монети, а не лише загальний, назву перевіряльника й дату знімка. Звіт, старший за три місяці, — уже червоний прапорець.

Страхові й захисні фонди: SAFU, User Protection Fund та інші

Захисний фонд — це резерв, який біржа тримає окремо від клієнтських грошей на випадок зламу чи збою. Його розмір має сенс лише в порівнянні з тим, скільки біржа може втратити за один інцидент.

З таблиці видно три речі, про які конкуренти зазвичай мовчать.

Вартість фонду плаває. SAFU повністю переведено в біткоїн (CoinDesk, 12 лютого 2026), тож під час обвалу ринку він худне саме тоді, коли ризик інцидентів вищий. Вартість фонду Bitget теж плаває: у червні 2026 року — від $392 млн до $322 млн. Тому дивіться не на заявлену суму, а на зобов’язання тримати нижню межу — у Binance це $800 млн, у Bitget $300 млн.

Страховий фонд деривативів — не страховка ваших грошей. Insurance Fund на ф’ючерсних біржах гасить збитки від ліквідацій, які не покрила застава трейдера. До збереження спотового балансу він стосунку не має.

Страховка біржі майже ніколи не покриває ваш акаунт. Coinbase прямо пише в умовах полісу: втрати від несанкціонованого доступу до акаунта через витік чи втрату облікових даних не покриваються. Фішинг і викрадений пароль лишаються вашим ризиком на будь-якій біржі.

І ще один сигнал зі свіжих обговорень: після зламу Bitget трейдери в соцмережах масово питали, чи перевіряв хтось фонд незалежно. Сума фонду здебільшого — заява самої біржі. Регулярний публічний звіт про фонд із датами й адресами важить більше за одну цифру в пресрелізі.

Ліцензії та штрафи регуляторів: що MiCA і DOJ кажуть про біржу

Ліцензія не захищає від хакера, але показує, що біржу перевіряють ззовні: вимоги до капіталу, зберігання активів і звітності. Штрафи працюють навпаки — це історія того, де регулятор уже знайшов порушення.

Реєстр MiCA: перша перевірка для Європи

З 1 липня 2026 року в ЄС завершився перехідний період MiCA — тепер криптосервіс зобов’язаний мати ліцензію CASP. За підрахунком Cryptonews на кінець червня 2026 року, з понад 1200 компаній із національними реєстраціями повноцінну ліцензію отримали близько 210, тобто приблизно 17%.

Перевірити біржу можна в реєстрі ESMA: там указано юрособу, країну регулятора й перелік дозволених послуг. Статус великих бірж на 26 вересня 2026 року:

• Ліцензія є: OKX Europe (Мальта, 27 січня 2025), Bybit EU (Австрія, 28 травня 2025), Coinbase (Люксембург, 20 червня 2025), Kraken (Ірландія, 25 червня 2025).
• Ліцензії немає: Binance наприкінці червня 2026 року відкликала заявку в Греції, і з 1 липня частину послуг для жителів ЄС зупинено; Bitget подала заявку в Австрії, але в реєстрі біржі немає.

Важливе застереження: ліцензію MiCA отримує європейська юрособа біржі (Bybit EU, OKX Europe), і захищає вона клієнтів цієї юрособи — жителів ЄЕЗ. Глобальні версії тих самих бірж, Bybit і OKX, під MiCA не підпадають.

Як відсутність ліцензії б’є по клієнту, добре показує хвиля банкрутств криптобірж у ЄС після MiCA: майданчик без дозволу може за кілька тижнів зупинити сервіс для цілого регіону.

Штрафи DOJ як метрика ризику

Штраф регулятора — та сама метрика довіри, що й злам, тільки загроза йде не від хакера, а від комплаєнсу:

• Binance, 21 листопада 2023: врегулювання з Мін’юстом США на $4,3 млрд за порушення закону про банківську таємницю й санкцій; засновник Чанпен Чжао визнав провину, пішов з посади CEO і сплатив $50 млн особисто.
• OKX, 24 лютого 2025: визнання провини в роботі без ліцензії на грошові перекази, понад $504 млн ($420,3 млн конфіскації та $84,4 млн штрафу) і зобов’язання залучити зовнішнього консультанта з комплаєнсу.

Штраф у минулому не робить біржу небезпечною сьогодні: обидва майданчики після врегулювання працюють під посиленим контролем. Але він пояснює, чому в них бувають раптові обмеження для окремих країн і чому слово регулятора може зупинити сервіс швидше за хакера.

Що з ліцензіями в Україні

Української ліцензії для криптобірж поки просто не існує. Закон «Про віртуальні активи» (№ 2074-IX) підписано в березні 2022 року, але він не набрав чинності: його прив’язано до змін у Податковому кодексі. Податковий законопроєкт № 10225-д Рада підтримала в першому читанні 3 вересня 2025 року (246 голосів), а другого читання до кінця травня 2026 року так і не було — за даними Українського інституту майбутнього на 17 червня 2026 року. Регуляторами за законом стануть НКЦПФР і НБУ, підзаконних актів поки немає.

Практичний висновок: доводиться спиратися на іноземні ліцензії, і європейська MiCA серед них найпрозоріша для перевірки — але працює вона, лише якщо ви клієнт європейської юрособи біржі. Для орієнтиру: WhiteBIT EU отримала авторизацію MiCA від австрійського регулятора FMA 19 червня 2026 року — це ліцензія європейської структури, а не українська.

Історія зламів і крахів: від Mt.Gox і FTX до Bybit і Bitget

Хронологія великих інцидентів показує, що відрізняє біржу, яка «пережила злам», від біржі, яка зникла.

Mt.Gox і FTX об’єднує одне: ні резервів на виду, ні фонду, ні зовнішнього нагляду. При цьому FTX — не злам, а розтрата, і саме після неї наприкінці 2022 року біржі масово почали публікувати Proof of Reserves.

Кейс Bybit часто переказують неточно. Страховий фонд біржі тут ні до чого: за 72 години Bybit закрила розрив майже в 447 000 ETH екстреними позиками й депозитами великих клієнтів; ліквідність дали, зокрема, Galaxy Digital, FalconX і Wintermute (CNBC, 24 лютого 2025). Тобто біржу врятували баланс і доступ до ліквідності, а не заздалегідь створений резерв. Щомісячний PoR з аудитором Hacken Bybit публікує з червня 2024 року, ще до зламу, — докладніше в нашому огляді біржі Bybit.

Витік даних Coinbase — інший клас ризику. Гроші зі сховищ не зникли, але дані клієнтів потрапили до шахраїв, а це сировина для дзвінків «зі служби безпеки». Біржа може бути надійною як сховище і водночас створити загрозу для вашого акаунта.

Порівняння великих бірж за критеріями безпеки

Зведена таблиця за чотирма критеріями методу. Дані — на дати, указані в клітинках; перед рішенням звіряйте їх з актуальними звітами бірж.

Як читати таблицю. Жодна біржа не проходить усі чотири пункти без застережень, тому універсальної «найбезпечнішої криптобіржі» не існує — є профілі ризику.

• Kraken — найчистіша історія й сильні ліцензії, але без фонду: ставка на те, що до інциденту не дійде. Як це виглядає зсередини, ми розбирали в огляді Kraken.
• OKX — найдетальніший PoR з коефіцієнтом для кожної монети й ліцензія MiCA в європейської юрособи, але за плечима великий штраф за комплаєнс, про який докладніше йдеться в огляді OKX.
• Binance — найбільший фонд, але немає MiCA, а врегулювання з DOJ на $4,3 млрд — одне з найбільших в історії галузі.
• Bybit і Bitget — обидві пережили великий злам без втрат для клієнтів, але різними способами: Bybit — позиками й балансом, Bitget — фондом. Мінуси теж різні: у Bybit страховий фонд покриває лише деривативи, у Bitget немає ліцензії MiCA.

Під своє завдання обирайте той критерій, який для вас важливіший. Для великої суми на довгий строк вагоміші ліцензія й чиста історія, для активної торгівлі — регулярний PoR і розмір фонду.

Як захистити активи: 2FA, білі списки й холодний гаманець

Більшість утрат приватного користувача стається не через злам біржі, а через злам його власного акаунта. Страховка біржі такий випадок, як правило, не покриває, тож захист акаунта — ваша частина роботи.

1. Увімкніть 2FA через застосунок-автентифікатор або апаратний ключ, а не через SMS: номер телефону можна перевипустити на шахрая.
2. Налаштуйте білий список адрес виводу. Тоді навіть із вашим паролем вивести гроші можна лише на заздалегідь схвалені гаманці, а нова адреса активується із затримкою.
3. Установіть антифішинговий код. Біржа вставлятиме його в кожен лист, і підробку буде видно одразу.
4. Не переходьте за посиланнями «про компенсацію» після гучних зламів. Фішинг спалахує в перші дні після інциденту і б’є саме по тих, хто шукає новини про нього.
5. Розділіть суми. На біржі — те, чим ви активно торгуєте. Заощадження — у холодному гаманці, де ключі зберігаються офлайн і не залежать від кнопки «пауза виводу».
6. Майте другий шлях до грошей. Акаунт на другій біржі з пройденою верифікацією дасть змогу працювати далі, якщо перша заморозить вивід на час розслідування.

Коли виводити активи з біржі

Привід перевести велику суму у власне зберігання — будь-який із сигналів: звіт про резерви не оновлювався довше за квартал; коефіцієнт хоча б для однієї великої монети опустився нижче за 100%; біржа втратила ліцензію чи пішла з вашої юрисдикції; вивід затримується без пояснень довше, ніж заявлено. Для довгого зберігання апаратний гаманець надійніший за будь-яку біржу — наприклад, Ledger Nano X. Але самостійне зберігання має свою ціну: утрачену сид-фразу не відновить ніхто.

Межі перевірки: які ризики не видно ні у звітах, ні в ліцензіях

Метод знижує ризик, але не обнуляє його. Ось де він безсилий:

• Помилки логіки всередині біржі. Злам Bitget обійшовся без крадіжки ключів: підроблені заявки схвалила власна система. Такі вразливості ззовні не видно ні в PoR, ні в ліцензії.
• Самозаявлені цифри. Розмір фонду й частину звітів публікує сама біржа. Незалежна перевірка є не всюди.
• Швидкість регулятора. Ліцензію можна втратити чи не отримати вчасно, і сервіс для регіону зупиниться за кілька тижнів, як у Binance в ЄС з 1 липня 2026 року.
• Час. Навіть коли збиток покрито повністю, клієнт може днями чекати розморожування виводу: у Bitget між зламом і останнім етапом запуску — вісім днів.

Що застаріє першим: розміри фондів (їхня вартість змінюється разом із ринком), коефіцієнти PoR (новий звіт щомісяця) і статус ліцензій MiCA. Ці три цифри варто перевіряти заново перед кожним великим депозитом — в офіційних звітах бірж і реєстрі ESMA.

Часті запитання про надійність криптобірж

Що таке Proof of Reserves простими словами?

Proof of Reserves — це звіт біржі про те, що на її блокчейн-адресах лежить не менше монет, ніж вона винна клієнтам. Баланси збирають у дерево Меркла, і кожен клієнт може знайти в ньому свій запис. Звіт показує стан на одну дату й не враховує інших боргів біржі, тому це не гарантія платоспроможності.

Чи гарантує страховий фонд біржі повернення грошей у разі зламу?

Ні, це не гарантія, а добровільний резерв біржі. Bitget у вересні 2026 року заявила, що фонд на $464 млн покриває крадіжку на $387 млн, але рішення про виплати ухвалює сам майданчик, а вивід на 26 вересня ще стояв на паузі. Вартість фондів змінюється разом із ринком, а злам вашого особистого акаунта вони зазвичай не покривають.

Чи можна довіряти біржі без публічного аудиту резервів?

Тримати там велику суму ризиковано. Після краху FTX у 2022 році великі біржі почали публікувати Proof of Reserves, і відсутність звіту сьогодні — помітний червоний прапорець. Виняток — публічні компанії з аудитованою звітністю, наприклад Coinbase. Якщо біржа не показує ні резервів, ні звітності, тримайте там лише суму для поточних угод.

Як перевірити ліцензію криптобіржі у своїй юрисдикції?

Для Європи відкрийте реєстр MiCA на сайті ESMA і знайдіть юрособу біржі: там указано країну регулятора й дозволені послуги. Для інших країн шукайте біржу в реєстрі місцевого регулятора, а не в розділі «Ліцензії» на її сайті. В Україні власної ліцензії для бірж поки немає, тому орієнтир — іноземні ліцензії, насамперед MiCA.

Що робити, якщо біржу, якою я користуюся, зламали?

Не панікуйте й не переходьте за посиланнями «на компенсацію» — після гучних зламів хвиля фішингу приходить за кілька годин. Стежте лише за офіційними каналами біржі. Перевірте, чи заявила вона про покриття збитку і з якого джерела. Коли вивід відкриється, вирішіть, чи залишати там суму, за тими самими чотирма критеріями.

Чи безпечніше тримати велику суму в холодному гаманці, ніж на біржі?

Для довгого зберігання — так: ключі у вас, і ні злам біржі, ні заморожування виводу, ні відкликання ліцензії гроші не заблокують. Але відповідальність повністю переходить на вас: утрачену сид-фразу не відновить ніхто. Розумна схема — заощадження в апаратному гаманці, а на біржі лише сума для активної торгівлі.