Злам Bitget на $387,5 млн: виплата може з’їсти 83,5% фонду захисту користувачів

Коротко (TL;DR)

• Що сталося. Злам Bitget виявили 24 вересня 2026 року о 18:31 UTC: атакувальники вивели з гарячих і «теплих» гаманців біржі $387,5 млн (перша офіційна оцінка — $351,6 млн). Ключі, за даними розслідування, не викрадено — атакувальники підмінили дані транзакцій у зламаній бекенд-системі гаманців.
• Хто платить. За словами CEO Ґрейсі Чен, збиток повністю вкладається в покриття User Protection Fund — резерву в 5 500 BTC, який вона оцінила більш ніж у $464 млн на 25 вересня. Якщо платити лише з фонду, піде близько 83,5% резерву.
• Головний ризик. Фонд зберігається в біткоїні, а не в доларах. Коли BTC коштує менше ніж приблизно $70,5 тис., його доларової вартості вже не вистачило б на цей збиток, а в серпні курс опускався ще нижче.
• Що це за фонди. «Страховим фондом» біржі називають різні речі: SAFU Binance і фонд Bitget компенсують злами, а Insurance Fund Bybit закриває збитки ф’ючерсних ліквідацій. Це не страховка в юридичному сенсі, а резерв самої компанії.
• Що робити. За графіком, оголошеним 26 вересня, виведення повертали поетапно з 28 вересня до 2 жовтня. Торговий залишок на біржі — робочий інструмент, довгострокові заощадження надійніше тримати у власному гаманці.

Злам Bitget 24 вересня: що вивели і як обійшли захист

Bitget — централізована біржа, заснована у 2018 році й зареєстрована на Сейшелах; за даними Bloomberg з посиланням на сайт біржі, вона має 120 млн зареєстрованих користувачів. Комісії, ліцензії та інші умови майданчика ми розбирали в огляді біржі Bitget — тут лише інцидент і його наслідки.

Сума збитку зростала в міру підрахунку. Це не нові крадіжки, а уточнення того самого інциденту:

Як обійшли захист. Bitget має трирівневу схему гаманців. Гарячий гаманець постійно підключений до мережі й обслуговує поточні виведення, холодний зберігається офлайн, «теплий» стоїть посередині. За словами Чен, атакувальники «скомпрометували критичну бекенд-систему» і «підробили дані транзакцій» (Bloomberg через Insurance Journal). За попередньою версією, система гаманців сприйняла підроблені інструкції як справжні й сама провела перекази: приватних ключів атакувальники не отримали, холодні гаманці не зачеплено.

Звідси висновок, важливіший за суму: захист ключів не рятує, якщо зламано шар, який готує та схвалює перекази. Очільник FailSafe Анейрін Флінн сказав Bloomberg, що цей злам «руйнує ілюзію, ніби великі біржі розв’язали проблему безпеки гарячих гаманців».

Що вивели. Ether, XRP, BNB, AVAX, USDT і USDC у кількох мережах, а також ZEC і TRX, знайдені під час перерахунку. Близько $183 млн атакувальники обміняли на ETH (дані Lookonchain). Частину коштів заморожено за допомогою бірж, фондів блокчейнів і компаній із безпеки. Розслідування ведуть Mandiant і SlowMist, а біржа платить 5% від суми, яку допоможуть заморозити або повернути.

Черга на вихід зі стейкінгу Ethereum зросла до 836 тис. ETH через MetaMask Staking

Девід Робінсон залишив OpenAI після 3,5 року і вимагає захисту ШІ «як на АЕС»

Bitget дорікнула DeFi-протоколам: заморожено лише $821 тис. із викрадених $387,5 млн

Голосові дипфейки шахраїв по телефону: ознаки, кодове слово і що робити

Закриття CoinEx і виведення коштів: що зробити до 22 грудня і куди перенести USDT

Хто стоїть за атакою — версія, а не факт. Чен пов’язала атаку з хакерами КНДР: за її словами, IP-адреси схожі на VPN-інфраструктуру, яку раніше використовувало північнокорейське угруповання. Elliptic, за даними The Hacker News, знайшла зв’язки з адресами, через які відмивали гроші після попередніх атак, приписаних КНДР, зокрема зламу Bybit у 2025 році. Незалежного підтвердження від правоохоронців на 26 вересня немає.

User Protection Fund Bitget: $464 млн у біткоїнах і 83,5% під ударом

User Protection Fund — це власний резерв Bitget на випадок зламів та інших загальноплатформних інцидентів. За умовами на сторінці фонду, користувач може подати заявку, якщо його акаунт скомпрометовано або активи викрадено чи втрачено через подію на боці платформи, а не через його дії чи торгівлю. Кожну заявку біржа розслідує й оцінює сама.

Фонд з’явився в липні 2022 року: $200 млн у вигляді 6 000 BTC і 80 млн USDT. У листопаді 2022-го, на тлі краху FTX, Bitget збільшила його до $300 млн. Зараз у фонді рівно 5 500 BTC, стейблкоїнів у ньому немає, а доларову оцінку перераховують щодня о 00:00 UTC. Фонд, який Bitget наростила до $300 млн після краху FTX, уперше проходить справжню перевірку на міцність.

Звіримо цифри CEO власним розрахунком (курс — CoinGecko на 26 вересня 2026 року):

Частку в 83,5% порахувала Finance Magnates, а StockPil і CoinSpectator її передрукували, тож це один розрахунок, а не три незалежні. Наш перерахунок через курс BTC дає той самий результат. Есме Пау з CertiK, коментуючи першу оцінку збитку ($351,6 млн — близько трьох чвертей фонду), назвала те, що відбувається, «кризовою подією, а не просто збоєм безпеки» (Bloomberg).

Картину пом’якшують дві деталі. Перша: Чен заявила, що Bitget має понад $1 млрд власних активів, але не сказала, як виплату поділять між фондом і цим балансом. Друга: заморожені й повернені кошти зменшать підсумковий рахунок. На 26 вересня ні суму заморожених коштів, ні графік поповнення фонду не розкрито. Це заяви самої компанії, незалежної перевірки її балансу немає.

Фонд Bitget, SAFU Binance та Insurance Fund Bybit: від чого захищають

Слово «страховий» стоїть у назвах механізмів, які захищають від різних речей. Плутати їх небезпечно: читач бачить у біржі «фонд на сотні мільйонів» і вважає, що його депозит застраховано від зламу, хоча фонд може бути зовсім не про це.

Binance SAFU — що це. Binance SAFU fund (Secure Asset Fund for Users) — резерв Binance, створений у 2018 році з частини торгових комісій. Назва виросла з мему 2018 року навколо фрази засновника біржі «Funds are safe»: SAFU водночас і абревіатура, і відсилання до цього мему. Згідно з FAQ біржі, SAFU покриває втрати користувачів, чиї акаунти скомпрометовано через вразливість у системах Binance. Заявку подають протягом 90 днів, рішення ухвалює біржа.

Перед конвертацією SAFU тримали в стейблкоїнах, тому його доларова вартість від курсу не залежала. З 30 січня до 12 лютого 2026 року Binance перевела стейблкоїни фонду в біткоїн: за даними CoinDesk, у SAFU тепер 15 000 BTC, близько $1 млрд на момент конвертації. Фонд має публічне правило: якщо його вартість падає нижче $800 млн, Binance доливає його до $1 млрд. Резерв зберігає регульований кастодіан Nest Clearing and Custody в ADGM (Абу-Дабі).

Insurance Fund Bybit — зовсім інший механізм. Це резерв ф’ючерсного ринку Bybit. Коли позицію трейдера ліквідують, її закривають за ціною банкрутства — рівнем, на якому застава (маржа) повністю вичерпана. Якщо ринок дозволив закрити позицію краще за цю ціну, залишок маржі йде до фонду. Якщо гірше — різницю покриває фонд. Коли фонд вичерпано, вмикається ADL (auto-deleveraging, автоматичне скорочення позицій): збиток закривають коштом прибутку інших трейдерів. Такі резерви мають багато деривативних бірж, це стандартна механіка ринку безстрокових контрактів. Від крадіжки зі спотового рахунку Insurance Fund не захищає.

Головне, що видно з таблиці: жоден із трьох фондів не є страховим полісом. Це гроші самої біржі за її ж правилами, і розмір виплати визначає вона.

Ризик фонду в біткоїні: за якого курсу BTC Bitget не покриє збиток

Два найвідоміші фонди захисту клієнтських активів — у Bitget і в Binance — у 2026 році зберігаються в біткоїні. Їхнє доларове покриття падає разом із ринком. Гірше того, падає воно саме тоді, коли паніка й ризик масового виведення з бірж найвищі.

Стрес-тест на цифрах. Беремо фіксований збиток $387,5 млн і змінюємо лише курс BTC:

Це не гіпотетика. За щомісячним звітом Bitget, у серпні 2026 року фонд коштував у середньому $382 млн і коливався від $345,3 до $441,5 млн (дані Finance Magnates). Якби той самий злам стався в найгірший день серпня, резерву в доларах не вистачило б — нестачу довелося б закривати з балансу компанії.

SAFU має більший запас міцності з двох причин. По-перше, фонд майже втричі більший. По-друге, Binance має публічний тригер доливу: поріг $800 млн спрацює за курсу близько $53 300 за BTC. У Bitget схожий орієнтир — обіцянка 2022 року тримати не менше $300 млн — відповідає курсу близько $54 500, але якщо збиток повністю спишуть із фонду, у ньому залишиться приблизно $77 млн, і як швидко його відновлять, не оголошено.

Цифри цього розділу застаріють першими: доларова вартість обох фондів змінюється щодня разом із курсом. Свіжу оцінку фонду Bitget показує його офіційна сторінка, вона оновлюється щодня о 00:00 UTC.

Чи вистачить фонду біржі на більший злам: уроки Bybit і FTX

За підрахунком Coinpedia, злам Bitget — найбільший у криптоіндустрії за 2026 рік на 25 вересня: він випередив виведення $320 млн у біткоїнах із гаманця Liquid Network на початку місяця та квітневий злам Kelp DAO (близько $291 млн за даними CertiK). Загальний рахунок року залежить від методики. CertiK у звіті Hack3D нарахувала понад $1,3 млрд втрат у 344 інцидентах за перше півріччя, враховуючи всі інциденти безпеки Web3, зокрема фішинг. TRM Labs за той самий період урахувала лише злами: 207 випадків і $972 млн. Ці цифри не можна додавати чи усереднювати.

На цьому тлі фонд у $464 млн виглядає солідно, доки не порівняєш його з двома прецедентами:

Урок Bybit: збиток у $1,5 млрд утричі більший за весь фонд Bitget. Штатний фонд тут не допоміг: Insurance Fund Bybit обслуговує ліквідації, а не злами. За словами CEO Бена Чжоу, казни біржі вистачало, щоб покрити збиток у доларах, але бракувало самого ефіру: майже 80% викраденого ETH біржа вже першого дня забезпечила бридж-позикою партнерів — короткостроковим кредитом до купівлі монет на ринку (DL News). Через три дні CNBC повідомила, що резерви повністю відновлено. Спрацювало, бо Bybit мала власний капітал, довіру кредиторів і доступ до ліквідності.

Урок FTX: фонду захисту там не існувало. У листопаді 2022 року CNN писала, що клієнти можуть залишитися ні з чим. Гроші зрештою повернули через банкрутство: 98% кредиторів отримують не менше 118% вимоги, але в доларах за цінами на дату банкрутства. Біткоїн 11 листопада 2022 року закрився близько $17 070 (закриття дня на Binance), а на 26 вересня 2026 року коштує $84 213 — майже вп’ятеро дорожче. Клієнт, який тримав на FTX біткоїн, отримав доларів більше, ніж «згоріло», але в перерахунку на монети втратив близько трьох чвертей і чекав виплати понад два роки.

Регуляторного стандарту розміру фонду немає. Єдиний знайдений орієнтир — Південна Корея: там провайдери віртуальних активів зобов’язані застрахувати або зарезервувати не менше 5% клієнтських активів, які зберігаються поза холодними гаманцями. До Bitget цю норму не застосувати: біржа не публікує, скільки клієнтських грошей лежить у гарячих і теплих гаманцях. Без цієї цифри не можна сказати, чи покриває фонд реальний ризик, чи просто гарно виглядає в пресрелізі.

Справжнє страхування проти самострахування: як захищений клієнт біржі

Фонди з попередніх розділів — це самострахування. Біржа відкладає власні гроші, сама встановлює правила й сама вирішує, кому платити. Страховка у звичному сенсі влаштована інакше: є договір із незалежним страховиком, його капітал під наглядом регулятора, а спірну виплату можна оскаржити за умовами поліса.

Ринок такого страхування в крипті існує, просто про нього майже не говорять:

• Evertas страхує криптоактиви полісами, які, за даними самої компанії, забезпечені Arch — учасником синдикату Lloyd’s; заявлений ліміт покриття — до $360 млн.
• Coincover — ще один відомий провайдер у цій ніші; такий захист зазвичай вбудовує біржа або гаманець, клієнт його не купує і стороною договору не є.

Ключова деталь: страхувальником тут є біржа або кастодіан, а не клієнт. Навіть якщо біржа має такий поліс, рядовий користувач не є стороною договору, і про його виплату все одно вирішує біржа. Банківських гарантій вкладів, як у депозиту в банку, криптовалютний рахунок на біржі не має: це кастодіальне зберігання, за якого ключами розпоряджається біржа, — на відміну від некастодіального гаманця.

Proof of Reserves — теж не страховка. Після зламу в соцмережах помітна плутанина: доказ резервів (Proof of Reserves, PoR) подають майже як гарантію. Насправді це знімок балансів на певну дату, який показує, що активів у біржі не менше, ніж зобов’язань перед клієнтами. Він не обіцяє виплати в разі зламу й не заважає атакувальнику вивести гроші через день після аудиту.

Що робити власникам коштів на Bitget після зламу

За заявою біржі, баланси клієнтів злам не зачепив: викрадено гроші з гаманців компанії, а не списано з рахунків. Практичний план:

1. Звірте баланс та історію операцій в особистому кабінеті з тим, що було до 24 вересня. Розбіжності — привід одразу писати в підтримку через офіційний сайт або застосунок.
2. Перевірте, чи відкрито виведення потрібної монети. За графіком, оголошеним 26 вересня (усі позначки — 08:00 UTC): BTC у мережі Bitcoin — 28 вересня; ETH у мережах Ethereum, BSC, Arbitrum, Base і Optimism — 29 вересня; USDT в Ethereum, BSC, Solana і Tron — 30 вересня; інші токени, фіат і P2P — 2 жовтня. Подробиці графіка — у новині про злам Bitget.
3. Не «отримуйте компенсацію» за посиланнями. Якщо баланс не змінювався, отримувати нічого. Листи й повідомлення в Telegram із пропозицією «повернути кошти після зламу» — типова приманка для фішингу.
4. Розділіть торговий залишок і заощадження. Ключі від біржового рахунку в біржі, і ваш доступ залежить від її систем авторизації. Суму, якою ви не торгуєте, надійніше тримати в холодному гаманці.
5. Стежте за двома речами: повним звітом про першопричину (Чен обіцяла його протягом 24 годин, на 26 вересня технічні деталі повністю не розкрито) і за тим, чи поповнять фонд назад до орієнтира $300 млн.

Сам факт, що біржа закриває збиток зі свого резерву, — добрий знак на тлі FTX. Але якщо збиток повністю спишуть із фонду, у ньому залишиться близько $77 млн, і другий інцидент такого масштабу до поповнення він уже не витримає.

FAQ

Чи втратять користувачі Bitget свої гроші через злам?

За заявою Bitget, ні: викрадено $387,5 млн із гаманців самої біржі, баланси клієнтів не змінилися, а збиток, за словами CEO, вкладається в покриття User Protection Fund, оціненого більш ніж у $464 млн. Ризик полягає в іншому: якщо платити лише з фонду, у ньому залишиться близько $77 млн, і повторний великий інцидент до його поповнення доведеться закривати власними активами компанії.

Що таке User Protection Fund і чим він відрізняється від Proof of Reserves?

User Protection Fund — окремий резерв Bitget у 5 500 BTC, з якого біржа компенсує втрати клієнтів під час зламів та інших інцидентів на своєму боці. Proof of Reserves — це перевірка-знімок, що активів у біржі не менше, ніж зобов’язань перед клієнтами на певну дату. Фонд — гроші на випадок біди, PoR — звіт про баланс, виплат він не обіцяє.

Чому страховий фонд біржі тримають у біткоїні, а не в доларах?

Це рішення самих бірж: Bitget тримає фонд повністю в BTC, Binance перевела SAFU зі стейблкоїнів у біткоїн у лютому 2026 року. Єдиної вимоги до валюти таких резервів немає. Наслідок один — доларове покриття коливається разом із курсом. Фонд Bitget у 5 500 BTC перестає покривати збиток $387,5 млн за курсу нижче приблизно $70 455, а в серпні 2026 року його вартість опускалася до $345,3 млн.

Чим SAFU Binance відрізняється від Insurance Fund Bybit?

SAFU — резерв Binance близько $1 млрд у 15 000 BTC, з якого компенсують втрати користувачів у разі зламу акаунтів через вразливості самої біржі. Insurance Fund Bybit працює лише на ф’ючерсах: покриває збитки ліквідованих позицій, які виявилися більшими за заставу трейдера. Від крадіжки зі спотового рахунку він не захищає, а коли фонд вичерпано, збитки переходять на прибуткових трейдерів через ADL.

Чи варто тримати великі суми на централізованій біржі після таких зламів?

Для торгівлі тримати гроші на біржі неминуче, для зберігання — необов’язково. Злам Bitget показав, що навіть велика біржа з фондом захисту може на кілька днів закрити виведення, а розмір компенсації залежить від її рішення й курсу біткоїна. Суму, якою ви не торгуєте, розумніше перевести у власний гаманець, ключі від якого маєте ви.