Надёжность криптобиржи за 10 минут: Proof of Reserves, страховой фонд и лицензии

Коротко: как за 10 минут проверить любую криптобиржу

Безопасная криптобиржа — это не площадка, которую ни разу не взламывали, а площадка, у которой взлом не превращается в потерю ваших денег. Разницу хорошо видно на свежем примере: 24 сентября 2026 года из горячих и тёплых кошельков Bitget вывели около $387 млн, и биржа сразу заявила, что убыток покрывает её защитный фонд. У FTX в 2022-м и у Mt.Gox в 2014-м такого запаса не было — обе ушли в банкротство вместе с деньгами клиентов.

Поэтому вопрос «какая самая надежная криптобиржа» поставлен неточно. Рейтинг устаревает за один инцидент, а метод проверки работает для любой площадки. Он сводится к четырём вопросам:

1. Proof of Reserves. Публикует ли биржа отчёт о резервах каждый месяц, есть ли коэффициент по каждой монете, а не только общий, и можно ли самому найти свой баланс в дереве Меркла.
2. Защитный фонд. Сколько в нём денег на конкретную дату, как меняется его стоимость, публикуются ли отчёты и что именно фонд покрывает.
3. Лицензии и штрафы. Есть ли биржа в официальном реестре регулятора (в ЕС — реестр MiCA у ESMA) и платила ли она штрафы за отмывание денег.
4. История инцидентов. Не сам факт взлома, а поведение после него: закрыт ли разрыв, за сколько часов, вышел ли публичный отчёт о причинах.

Надёжная криптобиржа не проваливает ни одного из четырёх пунктов. Провал хотя бы в одном — повод держать на площадке только рабочую сумму, а остальное хранить в своём кошельке.

Первый пункт до конца проходит только клиент: свой баланс в дереве Меркла можно найти лишь из личного кабинета. Потренироваться удобно на Bybit: отчёт о резервах там выходит ежемесячно, и с 2024 года его проверяет аудитор Hacken. Остальные три пункта сверяйте по таблицам ниже — у Bybit там есть и минусы: страховой фонд покрывает только ликвидации на деривативах, а лицензия MiCA выдана европейскому юрлицу Bybit EU, а не глобальной bybit.com.

Взлом Bitget на $387 млн: что случилось и чему учит

Взлом Bitget — крупнейшая кража у биржи в 2026 году и лучший учебный кейс для темы. Мониторинг биржи заметил несанкционированные переводы в 18:31 UTC 24 сентября 2026 года. Первая оценка генерального директора Грейси Чен — $351,6 млн, к 25 сентября сумма выросла до $387–387,5 млн, когда к подсчёту добавили активы в сетях Zcash и TRON (CoinPaprika и PYMNTS, 24–25 сентября 2026).

GPT-6.1 Astra не выйдет в октябре: модель обманывала и действовала без разрешения

Рынки прогнозов Polymarket и Kalshi: три суда в США и блокировка в Украине

ИИ-видео с умершими людьми: законны ли такие дипфейки и как их удалить

OpenAI и Anthropic расследуют десятки тысяч инцидентов агентов: взломы и чужие ключи

Агенты OpenAI 16 500 раз сканировали портал ООН UNCTADstat, подбирая поля API

Что важно для метода проверки:

• Ключи не украли. По словам Чен, атакующие взломали внутреннюю систему кошельков и подделали данные о переводах, а собственный механизм одобрения биржи выпустил средства как настоящие заявки. Это ошибка логики, а не утечка приватных ключей, и никакой отчёт о резервах её заранее не покажет.
• Холодные кошельки уцелели. У Bitget трёхуровневая схема: горячие, тёплые и холодные кошельки. Пострадала только часть горячего и тёплого слоёв — это и ограничило ущерб.
• Фонд больше убытка. User Protection Fund Bitget на 25 сентября 2026 года держал более $464 млн, то есть с запасом перекрывал украденное.
• Вывод заморозили. Депозиты и торговля работали, а вывод средств остановили на время проверки. На 26 сентября 2026 года он оставался на паузе; биржа объявила поэтапный запуск: BTC — с 28 сентября, ETH — с 29-го, USDT — с 30-го, остальные токены, фиат и P2P — со 2 октября (The Cryptonomist, 26 сентября 2026).

Последний пункт часто упускают. Даже когда фонд всё покрывает, клиент на несколько дней теряет доступ к деньгам, а рынок в эти дни продолжает двигаться. Отсюда практический вывод: крупная сумма на одной бирже зависит от одной кнопки «пауза вывода».

Атрибуцию стоит читать осторожно. Руководство Bitget указало на следы, похожие на прошлые операции Северной Кореи, но на 26 сентября 2026 года это версия самой биржи, а не вывод независимого расследования. Как у площадки устроены копитрейдинг и лицензии, мы разбирали в обзоре биржи Bitget — после взлома он читается как хорошая иллюстрация пунктов 2 и 3.

Сколько украли в крипте за 2025–2026: цифры по периодам

Цифры ниже — по всей криптоотрасли (биржи, DeFi-протоколы, мосты), а не только по биржам. В новостях о взломах легко спутать годы и методики, поэтому сводка по проверенным отчётам:

Главный контраст: в первом полугодии 2026 года TRM Labs насчитала рекордные 207 взломов, а сумма ущерба упала до $972 млн против $2,3 млрд годом ранее — примерно в 2,4 раза (TRM Labs, 1 июля 2026). Атаки стали чаще, но без мега-кражи уровня Bybit средний удар меньше. Круглые цифры «больше $2 млрд за год» в пересказах почти всегда относятся либо к первому полугодию 2025-го, либо ко всему 2026-му уже с Bitget.

Вторая тенденция — концентрация. Доля Северной Кореи в украденном выросла с менее чем 10% в 2020–2021 годах до 22% в 2022-м, 37% в 2023-м, 39% в 2024-м, 64% в 2025-м и 76% за январь–апрель 2026-го (TRM Labs). Для биржи это значит, что против неё работает не одиночка, а государственная группа с бюджетом и терпением.

Proof of Reserves: что реально доказывает отчёт биржи, а что нет

Proof of Reserves (PoR) — это отчёт, в котором биржа показывает, что держит на своих блокчейн-адресах не меньше монет, чем должна клиентам. Proof of reserves — что это, если совсем коротко? Фотография на дату, которая сравнивает две суммы: деньги клиентов и монеты в кошельках биржи.

Как устроена проверка через дерево Меркла

Механика у крупных бирж похожа:

1. Биржа делает анонимный снимок всех клиентских балансов и собирает их в дерево Меркла — структуру, где каждый баланс превращается в хеш, а все хеши сводятся в один корень.
2. Корень публикуется. Изменить хоть один баланс, не изменив корень, нельзя — подмена сразу видна.
3. Биржа подписывает сообщения со своих блокчейн-адресов и тем доказывает, что управляет ими.
4. Сумма на адресах сравнивается с суммой обязательств из дерева. Коэффициент выше 100% означает, что монет больше, чем долгов.
5. Клиент находит свой идентификатор в дереве и сам убеждается, что его баланс учтён.

Хороший пример детального отчёта — OKX. В 45-м ежемесячном отчёте от 30 июля 2026 года биржа показала $23,1 млрд в BTC, ETH, USDT и USDC с коэффициентами 105%, 103%, 112% и 101% соответственно, а проверку включения своего баланса предлагает через открытый инструмент на zk-STARK. Kraken регулярно проводит PoR с независимой аудиторской фирмой и публикует готовые фрагменты кода на Python, Rust и Go, которыми клиент сам пересчитывает свой лист дерева.

Начинать стоит с официальной страницы отчёта на сайте биржи, а не с пересказов: цифры в пресс-релизах и сторонних обзорах нередко расходятся с первичным документом.

Четыре вещи, которых отчёт о резервах не доказывает

• Платёжеспособность. PoR доказывает активы, но не все обязательства: кредиты биржи, долги перед партнёрами и внебалансовые риски в дерево не попадают. Полная картина называется Proof of Solvency — это резервы плюс аудированные обязательства.
• Состояние между снимками. Отчёт фиксирует одну дату. Кастодиан Cobo прямо указывает на слабое место: к дате проверки монеты можно временно занять и вернуть после неё.
• Кто владеет монетами. Подпись с адреса доказывает контроль над ключом, но не отсутствие сговора с владельцем средств.
• Защиту от взлома. Кейс Bitget это показал: резервы были в порядке, а деньги ушли через ошибку в логике одобрения выводов.

Показательная история: в декабре 2022 года аудиторская сеть Mazars приостановила работу с криптоклиентами, включая Binance, объяснив решение тем, как публика понимает такие отчёты (CNBC, 16 декабря 2022). Это не значит, что PoR бесполезен. Это значит, что отчёт — необходимое, но не достаточное условие.

Как читать отчёт за две минуты: ищите регулярность (каждый месяц без пропусков сильнее одного красивого отчёта), коэффициент по каждой монете, а не только общий, имя проверяющей стороны и дату снимка. Отчёт старше трёх месяцев — уже красный флаг.

Страховые и защитные фонды: SAFU, User Protection Fund и другие

Защитный фонд — это резерв, который биржа держит отдельно от клиентских денег на случай взлома или сбоя. Его размер имеет смысл только в сравнении с тем, сколько биржа может потерять за один инцидент.

Из таблицы видны три вещи, которые конкуренты обычно не проговаривают.

Стоимость фонда плавает. SAFU полностью переведён в биткоин (CoinDesk, 12 февраля 2026) и при обвале рынка худеет ровно тогда, когда риск инцидентов выше. Стоимость фонда Bitget тоже плавает: в июне 2026 года — от $392 млн до $322 млн. Поэтому смотрите не на заявленную сумму, а на обязательство держать нижнюю границу — у Binance это $800 млн, у Bitget $300 млн.

Страховой фонд деривативов — не страховка ваших денег. Insurance Fund на фьючерсных биржах гасит убытки от ликвидаций, которые не покрыл залог трейдера. К сохранности спотового баланса он отношения не имеет.

Страховка биржи почти никогда не покрывает ваш аккаунт. Coinbase прямо пишет в условиях полиса: потери от несанкционированного доступа к аккаунту из-за утечки или потери учётных данных не покрываются. Фишинг и угнанный пароль остаются вашим риском на любой бирже.

И ещё один сигнал из свежих обсуждений: после взлома Bitget трейдеры в соцсетях массово спрашивали, проверял ли кто-то фонд независимо. Сумма фонда в большинстве случаев — заявление самой биржи. Регулярный публичный отчёт по фонду с датами и адресами сильнее одной цифры в пресс-релизе.

Лицензии и штрафы регуляторов: что MiCA и DOJ говорят о бирже

Лицензия не защищает от хакера, но показывает, что биржу проверяют снаружи: требования к капиталу, хранению активов и отчётности. Штрафы работают в обратную сторону — это история того, где регулятор уже нашёл нарушения.

Реестр MiCA: первая проверка для Европы

С 1 июля 2026 года в ЕС закончился переходный период MiCA — теперь криптосервис обязан иметь лицензию CASP. По подсчёту Cryptonews на конец июня 2026 года, из более чем 1200 компаний с национальными регистрациями полноценную лицензию получили около 210, то есть примерно 17%.

Проверить биржу можно в реестре ESMA: там указано юрлицо, страна регулятора и перечень разрешённых услуг. Статус крупных бирж на 26 сентября 2026 года:

• Лицензия есть: OKX Europe (Мальта, 27 января 2025), Bybit EU (Австрия, 28 мая 2025), Coinbase (Люксембург, 20 июня 2025), Kraken (Ирландия, 25 июня 2025).
• Лицензии нет: Binance — в конце июня 2026 года отозвала заявку в Греции, и с 1 июля часть услуг для жителей ЕС остановлена; Bitget — заявка подана в Австрии, но в реестре биржи нет.

Важная оговорка: лицензию MiCA получает европейское юрлицо биржи (Bybit EU, OKX Europe), и защищает она клиентов этого юрлица — жителей ЕЭЗ. Глобальная площадка той же биржи (bybit.com, okx.com) под MiCA не подпадает.

Как отсутствие лицензии бьёт по клиенту, хорошо показывает волна банкротств криптобирж в ЕС после MiCA: площадка без разрешения может за недели остановить сервис для целого региона.

Штрафы DOJ как метрика риска

Штраф регулятора — та же метрика доверия, что и взлом, просто угроза идёт не от хакера, а от комплаенса:

• Binance, 21 ноября 2023: урегулирование с Минюстом США на $4,3 млрд за нарушения закона о банковской тайне и санкций; основатель Чанпэн Чжао признал вину, ушёл с поста CEO и заплатил $50 млн лично.
• OKX, 24 февраля 2025: признание вины в работе без лицензии на денежные переводы, более $504 млн ($420,3 млн конфискации и $84,4 млн штрафа) и обязательство привлечь внешнего консультанта по комплаенсу.

Штраф в прошлом не делает биржу опасной сегодня: обе площадки после урегулирования работают под усиленным контролем. Но он объясняет, почему у них бывают внезапные ограничения для отдельных стран и почему слово регулятора может остановить сервис быстрее хакера.

Что с лицензиями в Украине

Для украинского пользователя местной лицензии пока просто не существует. Закон «О виртуальных активах» (№ 2074-IX) подписан в марте 2022 года, но в силу не вступил: он завязан на изменения в Налоговый кодекс. Налоговый законопроект № 10225-д Рада поддержала в первом чтении 3 сентября 2025 года (246 голосов), а второго чтения к концу мая 2026 года так и не было, по данным Украинского института будущего на 17 июня 2026 года. Регуляторами по закону станут НКЦПФР и НБУ, подзаконных актов пока нет.

Практический вывод: украинцу приходится опираться на иностранные лицензии, и европейская MiCA среди них самая проверяемая — но работает она, только если вы клиент европейского юрлица биржи. Для ориентира: WhiteBIT EU получила авторизацию MiCA от австрийского регулятора FMA 19 июня 2026 года — это лицензия европейской структуры, а не украинская.

История взломов и крахов: от Mt.Gox и FTX до Bybit и Bitget

Хронология крупных инцидентов показывает, что отличает биржу, которая «пережила взлом», от биржи, которая исчезла.

Mt.Gox и FTX объединяет одно: ни резервов на виду, ни фонда, ни внешнего надзора. При этом FTX — не взлом, а растрата, и именно после неё в конце 2022 года биржи массово начали публиковать Proof of Reserves.

Кейс Bybit часто пересказывают неточно. Страховой фонд биржи тут ни при чём: за 72 часа Bybit закрыла разрыв почти в 447 000 ETH экстренными займами и депозитами крупных клиентов; ликвидность дали в том числе Galaxy Digital, FalconX и Wintermute (CNBC, 24 февраля 2025). То есть биржу спасли баланс и доступ к ликвидности, а не заранее созданный резерв. Ежемесячный PoR с аудитором Hacken Bybit публикует с июня 2024 года, ещё до взлома, — подробности в нашем обзоре биржи Bybit.

Утечка Coinbase — другой класс риска. Деньги из хранилищ не пропали, но данные клиентов попали к мошенникам, а это сырьё для звонков «из службы безопасности». Биржа может быть надёжной как хранилище и при этом создать угрозу для вашего аккаунта.

Сравнение крупных бирж по критериям безопасности

Сводная таблица по четырём критериям метода. Данные — на даты, указанные в ячейках; перед решением сверяйте их с актуальными отчётами бирж.

Как читать таблицу. Ни одна биржа не проходит все четыре пункта без оговорок, поэтому универсальной «самой безопасной криптобиржи» не существует — есть профили риска.

• Kraken — самый чистый трек-рекорд и сильные лицензии, но без фонда: ставка на то, что до инцидента не дойдёт. Как это выглядит изнутри, мы разбирали в обзоре Kraken.
• OKX — самый детальный PoR с коэффициентом по каждой монете и лицензия MiCA у европейского юрлица, но за плечами крупный штраф за комплаенс, о котором подробнее рассказано в обзоре OKX.
• Binance — крупнейший фонд, но нет MiCA, а урегулирование с DOJ на $4,3 млрд — одно из крупнейших в истории отрасли.
• Bybit и Bitget — обе пережили крупный взлом без потерь для клиентов, но разными способами: Bybit — займами и балансом, Bitget — фондом. Минусы тоже разные: у Bybit страховой фонд покрывает только деривативы, у Bitget нет лицензии MiCA.

Под свою задачу выбирайте тот критерий, который для вас важнее. Для крупной суммы на долгий срок весомее лицензия и чистая история, для активной торговли — регулярный PoR и размер фонда.

Как защитить активы: 2FA, белые списки и холодный кошелёк

Большинство потерь частного пользователя происходит не из-за взлома биржи, а из-за взлома его собственного аккаунта. Страховка биржи этот случай, как правило, не покрывает, поэтому защита аккаунта — ваша часть работы.

1. Включите 2FA через приложение-аутентификатор или аппаратный ключ, а не через SMS: номер телефона можно перевыпустить на мошенника.
2. Настройте белый список адресов вывода. Тогда даже с вашим паролем вывести деньги можно только на заранее одобренные кошельки, а новый адрес активируется с задержкой.
3. Поставьте антифишинговый код. Биржа будет вставлять его в каждое письмо, и подделку станет видно сразу.
4. Не переходите по ссылкам «о компенсации» после громких взломов. Фишинг вспыхивает в первые дни после инцидента и бьёт как раз по тем, кто ищет новости о нём.
5. Разделите суммы. На бирже — то, чем вы активно торгуете. Сбережения — в холодном кошельке, где ключи хранятся офлайн и не зависят от кнопки «пауза вывода».
6. Держите второй маршрут к деньгам. Аккаунт на второй бирже с пройденной верификацией позволит продолжить работу, если первая заморозит вывод на время расследования.

Когда выводить активы с биржи

Повод перевести крупную сумму в своё хранение — любой из сигналов: отчёт о резервах не обновлялся дольше квартала; коэффициент хотя бы по одной крупной монете опустился ниже 100%; биржа потеряла лицензию или ушла из вашей юрисдикции; вывод задерживается без объяснений дольше заявленного. Для долгого хранения аппаратный кошелёк надёжнее любой биржи — например, Ledger Nano X. Но у самостоятельного хранения своя цена: потерянную сид-фразу не восстановит никто.

Пределы проверки: какие риски не видны ни в отчётах, ни в лицензиях

Метод снижает риск, но не обнуляет его. Вот где он бессилен:

• Ошибки логики внутри биржи. Взлом Bitget прошёл без кражи ключей: подделанные заявки одобрила собственная система. Такие уязвимости снаружи не видны ни в PoR, ни в лицензии.
• Самозаявленные цифры. Размер фонда и часть отчётов публикует сама биржа. Независимая проверка есть не везде.
• Скорость регулятора. Лицензию можно потерять или не получить в срок, и сервис для региона остановится за недели, как у Binance в ЕС с 1 июля 2026 года.
• Время. Даже при полном покрытии убытка клиент может днями ждать разморозки вывода: у Bitget между взломом и последним этапом запуска — восемь дней.

Что устареет первым: размеры фондов (их стоимость меняется вместе с рынком), коэффициенты PoR (новый отчёт каждый месяц) и статус лицензий MiCA. Эти три цифры стоит проверять заново перед каждым крупным депозитом — в официальных отчётах бирж и реестре ESMA.

Частые вопросы о надёжности криптобирж

Что такое Proof of Reserves простыми словами?

Proof of Reserves — это отчёт биржи о том, что на её блокчейн-адресах лежит не меньше монет, чем она должна клиентам. Балансы собирают в дерево Меркла, и каждый клиент может найти в нём свою запись. Отчёт показывает состояние на одну дату и не учитывает другие долги биржи, поэтому это не гарантия платёжеспособности.

Гарантирует ли страховой фонд биржи возврат денег при взломе?

Нет, это не гарантия, а добровольный резерв биржи. Bitget в сентябре 2026 года заявила, что фонд на $464 млн покрывает кражу на $387 млн, но решение о выплатах принимает сама площадка, а вывод на 26 сентября ещё стоял на паузе. Стоимость фондов меняется вместе с рынком, а взлом вашего личного аккаунта они обычно не покрывают.

Можно ли доверять бирже без публичного аудита резервов?

Держать там крупную сумму рискованно. После краха FTX в 2022 году крупные биржи начали публиковать Proof of Reserves, и отсутствие отчёта сегодня — заметный красный флаг. Исключение — публичные компании с аудированной отчётностью, например Coinbase. Если биржа не показывает ни резервов, ни отчётности, храните там только сумму для текущих сделок.

Как проверить лицензию криптобиржи в своей юрисдикции?

Для Европы откройте реестр MiCA на сайте ESMA и найдите юрлицо биржи: там указаны страна регулятора и разрешённые услуги. Для других стран ищите биржу в реестре местного регулятора, а не в разделе «Лицензии» на её сайте. В Украине своей лицензии для бирж пока нет, поэтому ориентир — иностранные лицензии, прежде всего MiCA.

Что делать, если биржу, которой я пользуюсь, взломали?

Не паникуйте и не переходите по ссылкам «на компенсацию» — после громких взломов волна фишинга приходит за несколько часов. Следите только за официальными каналами биржи. Проверьте, заявила ли она о покрытии убытка и из какого источника. Когда вывод откроется, решите, оставлять ли там сумму, по тем же четырём критериям.

Безопаснее ли держать крупную сумму в холодном кошельке, чем на бирже?

Для долгого хранения — да: ключи у вас, и ни взлом биржи, ни заморозка вывода, ни отзыв лицензии деньги не заблокируют. Но ответственность полностью переходит на вас: потерянную сид-фразу не восстановит никто. Разумная схема — сбережения в аппаратном кошельке, а на бирже только сумма для активной торговли.