Полное руководство по безопасности криптовалют в 2026 году | Обучение

Вчера вечером кто-то вывел из Binance около $6,3 млрд.

Это крупнейшая кража в истории криптовалют. Сумма более чем в четыре раза превышает ущерб от взлома Bybit в феврале 2025 года и почти вдвое превосходит общий объём средств, украденных хакерами за весь 2025 год.

По состоянию на 07:45 UTC 30 октября вывод средств из Binance всё ещё приостановлен. Содиректор Yi He сообщил, что компания рассчитывает начать восстановление вывода «в течение следующих 48 часов», пока завершает модернизацию системы безопасности. Если ваши средства находились на бирже в четверг вечером, вам, возможно, придётся ждать до воскресенья. Не потому, что вы сделали что-то неправильно, а потому, что средства удерживает биржа.

Это руководство поможет сделать так, чтобы подобная ситуация больше не зависела от биржи.

Речь идёт не только о Binance и не только о биржах. Мы рассмотрим, как люди фактически теряют криптовалюту в 2026 году, а затем создадим простую схему хранения, которая ограничивает ущерб, когда что-то неизбежно идёт не так.

Некоторые выводы могут быть неудобны для публикации биржей, но мы включили их, в том числе применимые к нам.

1. Что произошло простыми словами

29 октября около 20:05 UTC пять кошельков Binance в XRP Ledger опустошились. В течение двадцати минут то же произошло в Bitcoin, Tron, Solana и Optimism. К концу ночи были опустошены десять блокчейнов.

Binance оценивает общую сумму примерно в $6,3 млрд. TRM Labs насчитала $6,36 млрд ончейн, а Chainalysis — $5,91 млрд. Разница в основном связана с ценами, использованными для оценки.

Главное: никто не взломал криптографию. По заявлению Binance, раннее расследование указывает на ноутбук инженера, который позволил злоумышленнику получить доступ к сервисному контейнеру и отправить несанкционированные транзакции вывода. Binance также заявила, что не обнаружила утечки приватных ключей.

Иными словами, злоумышленники не украли ключи — они проникли туда, где ключи используются.

На Ethereum они воспользовались EIP-7702, добавленным в 2025 году. Это правило позволяет кошельку передать управление смарт-контракту. Злоумышленники одновременно подписали пятьдесят таких разрешений, рассчитывая покрыть следующие пятьдесят позиций в очереди транзакций. Одно разрешение сработало, передав кошелёк под контроль их контракта.

EIP-7702 не был взломан и не стал причиной атаки. Для работы требовалась подпись Binance; настоящей проблемой была возможность получить эту подпись.

Две компании по анализу блокчейнов и независимый ончейн-исследователь связали кражу с северокорейской группировкой, однако только TRM Labs заявила о высокой степени уверенности. Правительства это не подтвердили, и Binance никого не назвала.

Около $3 млрд уже заморожено, главным образом Tether и Circle, способными замораживать собственные стейблкоины. Это хорошая новость, но заморозка не означает возврат.

2. Замороженные средства — не то же самое, что возвращённые

Заморозка лишь останавливает движение средств. Возврат — отдельный и более медленный юридический процесс. Bybit спустя восемнадцать месяцев вернула $48,4 млн из украденных $1,5 млрд.

Биржи — не банки. Страхования депозитов нет. Binance обещала покрыть убытки из резервного фонда и средств компании; в фонде находится около 15 000 BTC, то есть примерно $1,1–1,2 млрд.

3. Почти никогда проблема не в коде

Данные TRM Labs за первую половину 2026 года показывают: инфраструктурные и операционные компрометации составили около 15% инцидентов, но 76% потерь. Эксплойты смарт-контрактов составили 125 из 207 инцидентов, но лишь небольшую долю ущерба.

Атакуют не столько код, сколько людей и устройства, которые хранят и подтверждают ключи.

В случае Bybit злоумышленники внедрили код на сайте, которым пользовались подписанты. Экран показывал обычную транзакцию, а аппаратные кошельки подписывали вредоносную. Это называется слепой подписью: устройство работало правильно, математические подписи были действительными, но люди подтвердили не то, что думали.

4. Год, когда аппаратные кошельки дали сбой

Совет «купите аппаратный кошелёк у официального продавца» в 2026 году перестал быть достаточным.

Coldcard. Ошибка в прошивке, выпущенной в марте 2021 года, заставляла некоторые устройства использовать слабую программную случайность. Безопасность могла снизиться до 40 бит; за 41 минуту были перемещены 1 082 BTC. Обновление прошивки не исправляет уже слабую seed-фразу — нужно создать новую и перевести монеты.

Ledger. В устройствах, проданных реселлером CryptoBilis, обнаружили физический имплант, считывавший 24 слова при настройке и отправлявший их через встроенную eSIM.

Trezor. На неавторизованных площадках находили устройства с заменённым микроконтроллером. Поддельная прошивка создавала одну из примерно дюжины заранее известных атакующим фраз.

Keystone. Были украдены записи покупателей и неизменяемый заводской ключ аутентификации устройств; компания уничтожает 18 835 непроданных устройств.

Во всех случаях криптография не подвела. Проблема возникала при создании или отображении seed-фразы либо на пути устройства к покупателю.

• Создайте seed-фразу самостоятельно и добавьте passphrase. Сделайте её длинной и уникальной.

• Проверьте устройство через официальный сервис аутентификации и не доверяйте уже настроенному устройству.

• Никогда не вводите seed-фразу никуда. Настоящая компания никогда её не попросит.

• Сначала храните на новом кошельке небольшую сумму и понаблюдайте за ней.

5. Утечка данных превращает риск в физическую угрозу

Биржа хранит документы, адрес и сведения о вашем балансе. Если эти данные утекут, опасность перестаёт быть только финансовой. В результате инцидента Coinbase в 2025 году были раскрыты имена, адреса, телефоны, изображения паспортов и водительских удостоверений, а также снимки балансов; пострадали 69 461 пользователь.

Во Франции только за первую половину 2026 года зарегистрировали 77 случаев похищения и вымогательства, связанных с криптовалютой. Прямая связь между утечками данных бирж и такими нападениями пока не доказана, но разумные меры очевидны: не сообщайте, сколько криптовалюты у вас есть, не встречайтесь с незнакомцами для обмена наличных и следите за тем, что раскрывает ваш публичный профиль.

6. Схема, ограничивающая ущерб

Нельзя стать невзламываемым, но можно не допустить, чтобы одна ошибка уничтожила всё.

Разделяйте хранение и активность.

Холодное хранение. Основная часть средств должна находиться на аппаратном кошельке с самостоятельно созданной seed-фразой и passphrase. Единственное, что он подписывает, — отправка на адрес, который вы ввели сами. Никаких одобрений смарт-контрактов и подключений к сайтам.

Разделите средства ещё сильнее. Два или три холодных кошелька лучше одного: проблема затронет только часть средств.

Горячий кошелёк. Отдельный кошелёк с небольшой суммой для приложений. Считайте, что со временем он будет опустошён.

Торговый капитал. Держите на торговой платформе только сумму, которой вы активно торгуете, а не сбережения.

• Никогда не вводите seed-фразу. Храните её на бумаге или металле офлайн.

• Проверяйте разрешения. Старые одобрения остаются активными.

• Проверяйте весь адрес, а не только начало и конец. Отравление адресов рассчитывает на копирование из истории.

• Считайте предложение работы потенциальной атакой. Не запускайте код от неизвестного рекрутера.

• Не торопитесь. Срочность часто создаётся искусственно.

В 2025 году на мошенничество пришлось около $17 млрд потерь против примерно $3,4 млрд из-за взломов.

7. Преимущество DEX: никто не может заморозить ваш вывод

Централизованная биржа может остановить вывод, даже если ваши монеты не украдены. Риск хранения — это не только риск кражи, но и риск невозможности уйти.

Децентрализованная биржа меняет эту модель: вы сохраняете ключи, средства не находятся на счёте компании, и DEX не может приостановить ваш вывод так, как это сделала Binance.

Шесть проверок перед выбором DEX:

1. Хранение. Может ли биржа переместить ваш баланс без вашей подписи?

2. Расчёты. Подтверждаются ли изменения состояния криптографически?

3. Доступность данных. Опубликованы ли данные, необходимые для восстановления баланса?

4. Ключи обновления. Кто меняет контракты и есть ли задержка перед применением изменений?

5. Цензура. Могут ли вам запретить торговать и могут ли запретить уйти?

6. Аварийный выход. Есть ли способ вывести средства без сотрудничества биржи?

Hyperliquid размещает весь стакан ончейн, поэтому ордера, отмены и исполнения согласуются валидаторами. Это прозрачно, но позиции, цены входа, плечо и ликвидационные цены видны всем.

ApeX Omni хранит средства в смарт-контрактах zkLink, а не в кошельках ApeX. Сделки подтверждаются доказательствами с нулевым разглашением, а позиции остаются приватными. Существует и путь принудительного вывода: запрос можно отправить непосредственно в контракт базовой сети. Он покрывает залог, а не открытые позиции, и ещё не требовался в рабочей среде.

Race to the Top 50 продолжается

ApeX проводит торговое соревнование до 5 ноября, 10:00 UTC, с призовым фондом до 10 000 USDT для участников вплоть до 50-го места.

Для участия нужна регистрация на странице кампании, минимум 100 USDT на счёте бессрочных фьючерсов, объём не менее 10 000 USDT и попадание в Top 50. Полные правила опубликованы в анонсе Race to the Top 50.

Торговля бессрочными контрактами сопряжена с высоким риском и может привести к потере всей позиции. Плечо увеличивает как прибыль, так и убытки. Этот материал не является финансовой рекомендацией или гарантией безопасности. Проводите собственное исследование и не рискуйте суммой, которую не можете позволить себе потерять.

Если вам нужна помощь, свяжитесь с командой в Discord.

• Website: https://www.apex.exchange

• Twitter: https://twitter.com/OfficialApeXdex

• Telegram: https://t.me/ApeXdex