Взлом Bitget на $387,5 млн: выплата может съесть 83,5% фонда защиты пользователей

Коротко (TL;DR)

• Что случилось. Взлом Bitget обнаружили 24 сентября 2026 года в 18:31 UTC: атакующие вывели из горячих и «тёплых» кошельков биржи $387,5 млн (первая официальная оценка — $351,6 млн). Ключи, по данным расследования, не украдены — атакующие подменили данные транзакций во взломанной бэкенд-системе кошельков.
• Кто платит. По словам CEO Грейси Чен, убыток целиком укладывается в покрытие User Protection Fund — резерва в 5 500 BTC, который она оценила более чем в $464 млн на 25 сентября. Если платить только из фонда, уйдёт около 83,5% резерва.
• Главный риск. Фонд хранится в биткоине, а не в долларах. Ниже примерно $70,5 тыс. за BTC его долларовой стоимости уже не хватило бы на этот ущерб, а в августе курс опускался ещё ниже.
• Что это за фонды. «Страховым фондом» биржи называют разные вещи: SAFU Binance и фонд Bitget компенсируют взломы, а Insurance Fund Bybit закрывает убытки фьючерсных ликвидаций. Это не страховка в юридическом смысле, а резерв самой компании.
• Что делать. По графику, объявленному 26 сентября, вывод возвращали поэтапно с 28 сентября по 2 октября. Торговый остаток на бирже — рабочий инструмент, долгосрочные накопления надёжнее держать в своём кошельке.

Взлом Bitget 24 сентября: что вывели и как обошли защиту

Bitget — централизованная биржа, основанная в 2018 году и зарегистрированная на Сейшелах; по данным Bloomberg со ссылкой на сайт биржи, у неё 120 млн зарегистрированных пользователей. Комиссии, лицензии и остальные условия площадки мы разбирали в обзоре биржи Bitget — здесь только инцидент и его последствия.

Сумма ущерба росла по мере подсчёта. Это не новые кражи, а уточнение одного и того же инцидента:

Как обошли защиту. У Bitget трёхуровневая схема кошельков. Горячий кошелёк постоянно подключён к сети и обслуживает текущие выводы, холодный хранится офлайн, «тёплый» стоит посередине. По словам Чен, атакующие «скомпрометировали критическую бэкенд-систему» и «подделали данные транзакций» (Bloomberg через Insurance Journal). По предварительной версии, система кошельков приняла поддельные инструкции за настоящие и сама провела переводы: приватные ключи атакующие не получили, холодные кошельки не задеты.

Отсюда вывод, который важнее суммы: защита ключей не спасает, если взломан слой, который готовит и одобряет переводы. Глава FailSafe Анейрин Флинн сказал Bloomberg, что этот взлом «разрушает иллюзию, будто крупные биржи решили проблему безопасности горячих кошельков».

Что вывели. Ether, XRP, BNB, AVAX, USDT и USDC в нескольких сетях, плюс ZEC и TRX, найденные при пересчёте. Около $183 млн атакующие обменяли на ETH (данные Lookonchain). Часть средств заморожена с помощью бирж, фондов блокчейнов и компаний по безопасности. Расследование ведут Mandiant и SlowMist, а биржа платит 5% от суммы, которую помогут заморозить или вернуть.

Очередь на выход из стейкинга Ethereum выросла до 836 тыс. ETH из-за MetaMask Staking

Дэвид Робинсон ушёл из OpenAI после 3,5 лет и требует защиты ИИ «как на АЭС»

Bitget упрекнула DeFi-протоколы: заморожено лишь $821 тыс. из украденных $387,5 млн

Голосовые дипфейки мошенников по телефону: признаки, кодовое слово и что делать

Закрытие CoinEx и вывод средств: что сделать до 22 декабря и куда перенести USDT

Кто стоит за атакой — версия, а не факт. Чен связала атаку с хакерами КНДР: по её словам, IP-адреса похожи на VPN-инфраструктуру, которую раньше использовала северокорейская группа. Elliptic, по данным The Hacker News, нашла связи с адресами, через которые отмывали деньги после прошлых атак, приписанных КНДР, включая взлом Bybit в 2025 году. Независимого подтверждения от правоохранителей на 26 сентября нет.

User Protection Fund Bitget: $464 млн в биткоинах и 83,5% на кону

User Protection Fund — это собственный резерв Bitget на случай взломов и других общеплатформенных инцидентов. По условиям на странице фонда, пользователь может подать заявку, если его аккаунт скомпрометирован или активы украдены либо потеряны из-за события на стороне платформы, а не из-за его действий или торговли. Каждую заявку биржа расследует и оценивает сама.

Фонд появился в июле 2022 года: $200 млн в виде 6 000 BTC и 80 млн USDT. В ноябре 2022-го, на фоне краха FTX, Bitget подняла его до $300 млн. Сейчас в фонде ровно 5 500 BTC, стейблкоинов в нём нет, а долларовая оценка пересчитывается каждый день в 00:00 UTC. Фонд, который Bitget нарастила до $300 млн после краха FTX, впервые проходит настоящую проверку на прочность.

Сверим цифры CEO своим расчётом (курс — CoinGecko на 26 сентября 2026 года):

Долю в 83,5% посчитала Finance Magnates, StockPil и CoinSpectator её перепечатали, поэтому это один расчёт, а не три независимых. Наш пересчёт через курс BTC даёт тот же результат. Эсме Пау из CertiK, комментируя первую оценку ущерба ($351,6 млн — около трёх четвертей фонда), назвала происходящее «кризисным событием, а не просто сбоем безопасности» (Bloomberg).

У картины есть две смягчающие детали. Первая: Чен заявила, что у Bitget более $1 млрд собственных активов, но не сказала, как выплату разделят между фондом и этим балансом. Вторая: замороженные и возвращённые средства уменьшат итоговый счёт. На 26 сентября ни сумма заморозки, ни график пополнения фонда не раскрыты. Это заявления самой компании, независимой проверки её баланса нет.

Фонд Bitget, SAFU Binance и Insurance Fund Bybit: от чего защищают

Слово «страховой» стоит в названиях механизмов, которые защищают от разных вещей. Путать их опасно: читатель видит у биржи «фонд на сотни миллионов» и считает, что его депозит застрахован от взлома, хотя фонд может быть вообще не про это.

Binance SAFU — что это. Binance SAFU fund (Secure Asset Fund for Users) — резерв Binance, созданный в 2018 году из части торговых комиссий. Название выросло из мема 2018 года вокруг фразы основателя биржи «Funds are safe»: SAFU одновременно и аббревиатура, и отсылка к этому мему. По FAQ биржи, SAFU покрывает потери пользователей, чьи аккаунты скомпрометированы из-за уязвимости в системах Binance. Заявку подают в течение 90 дней, решение за биржей.

Перед конвертацией SAFU держали в стейблкоинах, поэтому его долларовая стоимость от курса не зависела. С 30 января по 12 февраля 2026 года Binance перевела стейблкоины фонда в биткоин: по данным CoinDesk, в SAFU теперь 15 000 BTC, около $1 млрд на момент конвертации. У фонда есть публичное правило: если его стоимость падает ниже $800 млн, Binance доливает его до $1 млрд. Хранит резерв регулируемый кастодиан Nest Clearing and Custody в ADGM (Абу-Даби).

Insurance Fund Bybit — совсем другой механизм. Это резерв фьючерсного рынка Bybit. Когда позицию трейдера ликвидируют, её закрывают по цене банкротства — уровню, где залог (маржа) полностью съеден. Если рынок позволил закрыть позицию лучше этой цены, остаток маржи уходит в фонд. Если хуже — разницу покрывает фонд. Когда фонд исчерпан, включается ADL (auto-deleveraging, авто-сокращение позиций): убыток закрывают за счёт прибыли других трейдеров. Такие резервы держат многие деривативные биржи, это стандартная механика рынка бессрочных контрактов. От кражи со спотового счёта Insurance Fund не защищает.

Главное, что видно из таблицы: ни один из трёх фондов не является страховым полисом. Это деньги самой биржи под её же правилами, и размер выплаты решает она.

Риск фонда в биткоине: при каком курсе BTC Bitget не покроет ущерб

Два самых известных фонда защиты клиентских активов — у Bitget и у Binance — в 2026 году хранятся в биткоине. Их долларовое покрытие падает вместе с рынком. Хуже того, падает оно как раз тогда, когда паника и риск массового вывода с бирж выше всего.

Стресс-тест на цифрах. Берём фиксированный ущерб $387,5 млн и меняем только курс BTC:

Это не гипотетика. По ежемесячному отчёту Bitget, в августе 2026 года фонд стоил в среднем $382 млн и колебался от $345,3 до $441,5 млн (данные Finance Magnates). Случись тот же взлом в худший день августа, резерва в долларах не хватило бы — недостачу пришлось бы закрывать с баланса компании.

У SAFU запас прочности больше по двум причинам. Во-первых, фонд почти втрое крупнее. Во-вторых, у Binance есть публичный триггер долива: порог $800 млн сработает при курсе около $53 300 за BTC. У Bitget похожий ориентир — обещание 2022 года держать не меньше $300 млн — соответствует курсу около $54 500, но если убыток целиком спишут с фонда, в нём останется примерно $77 млн, и насколько быстро его восполнят, не объявлено.

Цифры этого раздела устареют первыми: долларовая стоимость обоих фондов меняется каждый день вместе с курсом. Свежую оценку фонда Bitget показывает его официальная страница, она обновляется ежедневно в 00:00 UTC.

Хватит ли фонда биржи на взлом покрупнее: уроки Bybit и FTX

По подсчёту Coinpedia, взлом Bitget — крупнейший в криптоиндустрии за 2026 год на 25 сентября: он обошёл вывод $320 млн в биткоинах из кошелька Liquid Network в начале месяца и апрельский взлом Kelp DAO (около $291 млн по данным CertiK). Общий счёт года зависит от методики. CertiK в отчёте Hack3D насчитала более $1,3 млрд потерь в 344 инцидентах за первое полугодие, считая все инциденты безопасности Web3, включая фишинг. TRM Labs за тот же период учла только взломы: 207 случаев и $972 млн. Эти цифры нельзя складывать или усреднять.

На этом фоне фонд в $464 млн выглядит солидно, пока не сравнишь его с двумя прецедентами:

Урок Bybit: ущерб в $1,5 млрд втрое больше всего фонда Bitget. Штатный фонд здесь не помог: Insurance Fund Bybit обслуживает ликвидации, а не взломы. По словам CEO Бена Чжоу, казны биржи хватало, чтобы покрыть убыток в долларах, но не хватало самого эфира: почти 80% украденного ETH биржа в первый же день обеспечила бридж-займом партнёров — краткосрочным кредитом до покупки монет на рынке (DL News). Через три дня CNBC сообщила, что резервы полностью восстановлены. Сработало, потому что у Bybit были собственный капитал, доверие кредиторов и доступ к ликвидности.

Урок FTX: фонда защиты там не существовало. В ноябре 2022 года CNN писала, что клиенты могут остаться ни с чем. Деньги в итоге вернули через банкротство: 98% кредиторов получают не меньше 118% требования, но в долларах по ценам на дату банкротства. Биткоин 11 ноября 2022 года закрылся около $17 070 (закрытие дня на Binance), на 26 сентября 2026 года он стоит $84 213 — почти в 5 раз дороже. Клиент, державший на FTX биткоин, получил долларов больше, чем «сгорело», но в пересчёте на монеты потерял около трёх четвертей, и ждал выплаты больше двух лет.

Регуляторного стандарта размера фонда нет. Единственный найденный ориентир — Южная Корея: там провайдеры виртуальных активов обязаны застраховать или зарезервировать не меньше 5% клиентских активов, которые хранятся вне холодных кошельков. К Bitget эту норму не приложить: биржа не публикует, сколько клиентских денег лежит в горячих и тёплых кошельках. Без этой цифры нельзя сказать, покрывает ли фонд реальный риск или просто красиво выглядит в пресс-релизе.

Настоящее страхование против самострахования: чем защищён клиент биржи

Фонды из предыдущих разделов — самострахование. Биржа откладывает собственные деньги, сама задаёт правила и сама решает, кому платить. Страховка в привычном смысле устроена иначе: есть договор с независимым страховщиком, его капитал под надзором регулятора, а спорную выплату можно оспорить по условиям полиса.

Рынок такого страхования в крипте существует, просто о нём почти не говорят:

• Evertas страхует криптоактивы полисами, которые, по данным самой компании, обеспечены Arch — участником синдиката Lloyd’s; заявленный лимит покрытия — до $360 млн.
• Coincover — ещё один известный провайдер в этой нише; такую защиту обычно встраивает биржа или кошелёк, клиент её не покупает и стороной договора не является.

Ключевая деталь: страхователь здесь — биржа или кастодиан, а не клиент. Даже если у биржи есть такой полис, рядовой пользователь не сторона договора, и его выплату всё равно решает биржа. Банковских гарантий вкладов, как у депозита в банке, у криптосчёта на бирже нет: это кастодиальное хранение, при котором ключами распоряжается биржа, — в отличие от некастодиального кошелька.

Proof of Reserves — тоже не страховка. После взлома в соцсетях заметна путаница: доказательство резервов (Proof of Reserves, PoR) подают почти как гарантию. На деле это снимок балансов на определённую дату, который показывает, что активов у биржи не меньше, чем обязательств перед клиентами. Он не обещает выплату при взломе и не мешает атакующему вывести деньги через день после аудита.

Что делать держателям средств на Bitget после взлома

По заявлению биржи, балансы клиентов взлом не затронул: украдены деньги из кошельков компании, а не списаны со счетов. Практический план:

1. Сверьте баланс и историю операций в личном кабинете с тем, что было до 24 сентября. Расхождения — повод сразу писать в поддержку через официальный сайт или приложение.
2. Проверьте, открыт ли вывод нужной монеты. По графику, объявленному 26 сентября (все метки — 08:00 UTC): BTC в сети Bitcoin — 28 сентября; ETH в сетях Ethereum, BSC, Arbitrum, Base и Optimism — 29 сентября; USDT в Ethereum, BSC, Solana и Tron — 30 сентября; остальные токены, фиат и P2P — 2 октября. Подробности графика — в новости о взломе Bitget.
3. Не «получайте компенсацию» по ссылкам. Если баланс не менялся, получать нечего. Письма и сообщения в Telegram с предложением «вернуть средства после взлома» — типичная приманка для фишинга.
4. Разделите торговый остаток и накопления. Ключи от биржевого счёта у биржи, и ваш доступ зависит от её систем авторизации. Сумма, которой вы не торгуете, надёжнее в холодном кошельке.
5. Следите за двумя вещами: полным отчётом о первопричине (Чен обещала его в течение 24 часов, на 26 сентября технические детали полностью не раскрыты) и за тем, пополнят ли фонд обратно до ориентира $300 млн.

Сам факт, что биржа закрывает ущерб из своего резерва, — хороший знак на фоне FTX. Но если убыток целиком спишут с фонда, в нём останется около $77 млн, и второй инцидент такого масштаба до пополнения он уже не выдержит.

FAQ

Потеряют ли пользователи Bitget свои деньги из-за взлома?

По заявлению Bitget, нет: украдены $387,5 млн из кошельков самой биржи, балансы клиентов не изменились, а убыток, по словам CEO, укладывается в покрытие User Protection Fund, оценённого более чем в $464 млн. Риск остаётся в другом: если платить только из фонда, в нём останется около $77 млн, и повторный крупный инцидент до его пополнения придётся закрывать собственными активами компании.

Что такое User Protection Fund и чем он отличается от Proof of Reserves?

User Protection Fund — отдельный резерв Bitget в 5 500 BTC, из которого биржа компенсирует потери клиентов при взломах и других инцидентах на своей стороне. Proof of Reserves — это проверка-снимок, что активов у биржи не меньше, чем обязательств перед клиентами на определённую дату. Фонд — деньги на случай беды, PoR — отчёт о балансе, выплат он не обещает.

Почему страховой фонд биржи хранят в биткоине, а не в долларах?

Это решение самих бирж: Bitget держит фонд целиком в BTC, Binance перевела SAFU из стейблкоинов в биткоин в феврале 2026 года. Единого требования к валюте таких резервов нет. Следствие одно — долларовое покрытие плавает вместе с курсом. Фонд Bitget в 5 500 BTC перестаёт покрывать ущерб $387,5 млн при курсе ниже примерно $70 455, а в августе 2026 года его стоимость опускалась до $345,3 млн.

Чем SAFU Binance отличается от Insurance Fund Bybit?

SAFU — резерв Binance около $1 млрд в 15 000 BTC, из которого компенсируют потери пользователей при взломе аккаунтов из-за уязвимостей самой биржи. Insurance Fund Bybit работает только на фьючерсах: покрывает убытки ликвидированных позиций, которые оказались больше залога трейдера. От кражи со спотового счёта он не защищает, а при исчерпании убытки переходят на прибыльных трейдеров через ADL.

Стоит ли держать крупные суммы на централизованной бирже после таких взломов?

Для торговли держать деньги на бирже неизбежно, для хранения — необязательно. Взлом Bitget показал, что даже крупная биржа с фондом защиты может на несколько дней закрыть вывод, а размер компенсации зависит от её решения и курса биткоина. Сумму, которой вы не торгуете, разумнее перевести в собственный кошелёк, ключи от которого у вас.