Крипторынок под прицелом: сколько могут потерять проекты и как серия взломов способна обрушить ликвидность

Вторая половина октября 2026 года оказалась одним из наиболее показательных периодов для криптовалютной индустрии с точки зрения информационной безопасности. Атаки затронули централизованные биржи, DeFi-протоколы, prediction markets, кошельки и инфраструктурные сервисы. Среди наиболее громких случаев — взлом Binance с выводом активов на сумму около $6,3 млрд и компрометация стороннего сервиса, использовавшегося Polymarket.

Эти инциденты продемонстрировали, что уязвимостью может стать не только смарт-контракт, но и рабочий компьютер сотрудника, сторонний JavaScript, механизм голосования DAO, API или система подписания транзакций.

Однако главная опасность заключается не только в суммах отдельных краж. Массовая компрометация нескольких крупных проектов способна вызвать цепную реакцию: перегрузку DEX-пулов, проблемы с межсетевой ликвидностью, отклонение курсов от рыночных значений, принудительные ликвидации и масштабную распродажу криптоактивов.

Среди наиболее заметных инцидентов второй половины октября:

Среди других затронутых проектов — NGRAVE LIQUID, TranchePool, Hifi Finance, Predict.fun, Bloom Trading, Cysic и ряд небольших DeFi-сервисов. В зависимости от случая причиной становились ошибки в смарт-контрактах, компрометация ключей, уязвимости сторонних модулей или недостатки управления протоколом.

Важно различать валовой объём выведенных активов и окончательный ущерб. Часть средств может быть заморожена эмитентами стейблкоинов, возвращена или компенсирована самим проектом. Например, Binance заявила, что зарезервировала более $6,34 млрд для покрытия потерь пользователей, а около $3 млрд похищенных активов удалось заморозить.

Несмотря на различия в технических деталях, большинство инцидентов укладывается в несколько категорий.

Компрометация инфраструктуры и ключей. Доступ к рабочему компьютеру сотрудника, API-ключам, облачным системам или внутренним сервисам может позволить злоумышленнику выполнять легитимные операции от имени проекта. В случае Binance именно система биржи подписывала несанкционированные транзакции.

Атаки через сторонних поставщиков. Аналитические скрипты, push-сервисы, SDK, модули документации и другие интеграции расширяют поверхность атаки. Polymarket показал, что компрометация сервиса, который не хранит пользовательские деньги, всё равно может привести к их краже.

Захват управления DAO. Недостаточный кворум, отсутствие задержки исполнения решений и возможность манипулировать голосованием с помощью флеш-кредитов превращают децентрализованное управление в инструмент вывода средств.

Ошибки смарт-контрактов и межсетевой инфраструктуры. Уязвимости в проверке сообщений, расчёте балансов, выпуске токенов и работе мостов позволяют создавать необеспеченные активы или выводить средства из пулов.

Компрометация пользовательских устройств и кошельков. Фишинговые страницы, вредоносные расширения, поддельные уведомления и утечки seed-фраз остаются эффективными способами получения доступа к активам.

Главный вывод: безопасность проекта определяется не только качеством его смарт-контрактов. Защищёнными должны быть все компоненты, которые могут влиять на операции с активами.

Для оценки масштаба риска важно учитывать не только суммы отдельных взломов, но и капитал, сосредоточенный в аналогичных сервисах.

По данным CoinMarketCap, на 1 октября 2026 года раскрытые резервы восьми крупных централизованных бирж составляли около $240,2 млрд. На Binance приходилось $165,1 млрд, OKX — $35,6 млрд, Bybit — $14,2 млрд, Gate — $8,8 млрд, HTX — $6,7 млрд, Bitget — $4,35 млрд, MEXC — $3,3 млрд и KuCoin — $2,2 млрд.

Однако весь этот капитал не находится в горячих кошельках. Согласно исследованию Кембриджского университета, средняя доля средств, хранящихся на биржах в холодных кошельках, составляла 87%, медианная — 95%. Это означает, что для ориентировочной оценки горячих резервов можно использовать диапазон 5–10%, хотя реальные показатели конкретных площадок могут отличаться.

Это не фактические балансы горячих кошельков и не сумма, которую можно гарантированно вывести при атаке. Но оценка показывает порядок величин. Взлом Binance на $6,3 млрд сопоставим с десятками процентов от расчётного объёма её горячих резервов.

В DeFi масштабы также значительны. На конец октября TVL пяти крупных проектов — Lido, Aave V3, LayerZero V2, SSV Network и Morpho Blue — составлял около $78 млрд. Для сравнения, совокупный TVL рассмотренной выборки межсетевых мостов и interoperability-протоколов составлял около $256 млн.

Для prediction markets совокупный открытый интерес пяти крупных площадок оценивался примерно в $1,77 млрд. Но это не означает, что вся сумма находится в распоряжении операторов: открытый интерес отражает объём действующих контрактов, а не доступный для вывода баланс.

Если условно применить к измеримым категориям стресс-сценарий потери 5%, потенциальный масштаб составит около $12 млрд для резервов бирж, $3,9 млрд для выбранных DeFi-протоколов и $12,8 млн для мостов. Для Safe, одного из крупнейших решений для самостоятельного управления активами, при оценке активов около $27,2 млрд аналогичный сценарий дал бы $1,36 млрд.

Это исключительно иллюстративные расчёты, а не прогноз и не эмпирическая средняя доля потерь при взломе. TVL, резервы и активы под управлением могут пересекаться, а не все средства доступны для одномоментного вывода.

После получения контроля над активами злоумышленникам необходимо решить две задачи: избавиться от токенов, которые могут быть заморожены, и переместить средства так, чтобы затруднить их отслеживание и блокировку.

Поэтому распространённый сценарий — обмен похищенных активов через децентрализованные биржи и агрегаторы, а затем перемещение полученных средств между сетями через мосты и межсетевые протоколы. В зависимости от ситуации могут использоваться Uniswap, 1inch, PancakeSwap, SunSwap, THORChain, deBridge, Stargate, Across, Relay и другие сервисы.

Важно, что мосты не обязательно используются на первом этапе. Сначала атакующий может обменять токены в исходной сети, затем отправить полученный актив через межсетевой шлюз. Иногда средства остаются на исходном блокчейне или перемещаются через несколько промежуточных адресов. Но именно DEX-пулы и межсетевые маршруты становятся критической инфраструктурой для конвертации и дальнейшего перемещения похищенных средств.

Взлом Binance дал наглядный пример. По данным Elliptic, атакующий обменял около $434 млн USDT на 160 451 ETH через Uniswap, 1inch и сервисы исполнения крупных заявок. Потери относительно рыночной стоимости обмена составили 12–26%: злоумышленник фактически соглашался на крайне невыгодный курс ради скорости и ухода от риска заморозки стейблкоинов.

Bitquery оценивала совокупные потери атакующего на невыгодных обменах примерно в $119 млн. На отдельных пулах Uniswap цена ETH временно достигала значений до 38% выше рыночных. Арбитражные боты и другие участники рынка продавали активы в аномально дорогие пулы, получая прибыль за счёт разницы цен. В результате крупная распродажа обернулась не только потерями для атакующего, но и перераспределением капитала в пользу более быстрых участников рынка.

Похожая схема наблюдалась и при других атаках. Например, после взлома Cysic злоумышленник продал 7,2 млн незаконно выпущенных CYS, а полученные средства перевёл через Mayan, deBridge и Bridgers на Ethereum. В ходе сентябрьского взлома Bitget похищенные активы также обменивались через DEX и перемещались между сетями с использованием Circle CCTP, Stargate, Across и других маршрутов.

Таким образом, при массовой компрометации нескольких крупных проектов первыми столкнутся с повышенной нагрузкой и ценовыми отклонениями именно пулы ликвидности, агрегаторы и межсетевые протоколы. Их ликвидность может оказаться недостаточной для одновременного исполнения большого количества крупных обменов.

Высокий торговый оборот не означает, что рынок способен безболезненно поглотить любую разовую продажу. Для оценки краткосрочного воздействия важнее глубина стакана — сумма заявок на покупку и продажу, находящихся рядом с текущей ценой.

По данным CoinMarketCap, 11 крупных централизованных бирж обработали в сентябре 2026 года около $4,83 трлн торгового объёма. На спотовую торговлю пришлось $762,7 млрд, или в среднем около $25,4 млрд в день. Но это совокупный оборот за сутки, а не сумма заявок, способных немедленно принять крупную продажу.

По оценке CoinDesk Research на 7 октября, в пределах 1% от цены BTC находилось около $11,7 млн заявок, а в пределах 5% — около $24 млн. Для ETH глубина в пределах 1% составляла примерно $5,3 млн. При этом долларовая глубина стаканов альткоинов на расстоянии 5% от цены сократилась примерно на треть с начала 2025 года.

Это сравнение не является прогнозом падения цены: ликвидность постоянно пополняется, маркетмейкеры меняют котировки, а крупные сделки могут проходить через OTC и алгоритмическое исполнение. Но оно показывает, насколько велики потенциальные объёмы распродажи по сравнению с ликвидностью в непосредственной близости от рыночной цены.

В случае массовой продажи BTC и ETH рынок может столкнуться с резкими колебаниями и увеличением спредов. Для альткоинов ситуация потенциально хуже: их стаканы значительно тоньше, а часть токенов может потерять большую долю стоимости даже при относительно небольшом объёме продаж.

Наиболее опасен сценарий, в котором одновременно происходят:

В таком случае первоначальная сумма кражи перестаёт быть главным фактором. Ущерб начинает распространяться через взаимосвязанные протоколы, залоги и торговые позиции.

Во время крупных взломов курсы на децентрализованных биржах могут существенно отклоняться от цен на централизованных площадках и агрегаторах. Причина — резкое изменение соотношения резервов в пулах AMM, крупные сделки, недостаток ликвидности и активность арбитражных ботов.

Во время взлома Binance разница между ценой ETH на отдельных DEX и внешними рыночными ориентирами достигала десятков процентов. В отдельных торговых парах и пулах наблюдались и отклонения курса стейблкоинов. Например, кратковременный спред USDT/USDC около 2% в такой ситуации может выглядеть как возможность купить актив дешевле рынка.

Но попытка воспользоваться подобной разницей крайне рискованна!

Во-первых, отображаемая цена не гарантирует цену исполнения. При отправке транзакции состояние пула может измениться, особенно если в нём уже работают арбитражные боты и участники, отслеживающие крупные операции.

Во-вторых, публичные транзакции в блокчейне могут стать целью MEV-ботов. Они отслеживают неподтверждённые операции и способны разместить собственную сделку перед пользовательской, а затем ещё одну после неё. Такой механизм называется sandwich attack: пользователь получает худший курс, а бот зарабатывает на изменении цены.

В-третьих, при недостаточной ликвидности проскальзывание может оказаться катастрофическим. Пользователь рассчитывает купить USDT или USDC с дисконтом 2%, но в результате получает актив по цене значительно хуже ожидаемой.

Европейское управление по ценным бумагам и рынкам ESMA отдельно отмечало, что публичность транзакций и возможность влиять на порядок их исполнения усиливают риски front-running и sandwich-атак на DEX.

Поэтому не следует пытаться ловить аномально выгодный курс сразу после крупного взлома. Особенно опасны малоизвестные пулы, новые торговые пары и маршруты, которые появились непосредственно во время рыночного стресса. Если цена существенно отличается от рыночной, это может быть не арбитражная возможность, а отражение недостатка ликвидности или повышенного риска исполнения.

Наиболее привлекательны для атак проекты, в которых сосредоточены крупные объёмы капитала или есть возможность управлять операциями сразу нескольких сервисов.

В первую очередь стоит выделить:

Централизованные биржи и кастодиальные сервисы

Уязвимости: горячие кошельки, системы подписания транзакций, API-ключи, административные панели и рабочие устройства сотрудников.

DAO и DeFi-протоколы

Уязвимости: слабый кворум, отсутствие timelock и возможность манипулировать голосованием.

Межсетевые мосты или кроссчейн-протоколы

Уязвимости: компрометация валидаторов, relayer-сервисов и механизмов проверки сообщений.

Криптокошельки и браузерные расширения

Уязвимости: обновления, сторонние библиотеки, сервисы уведомлений и механизмы восстановления доступа.

Здесь нет единого открытого рейтинга по капиталу. Большинство кошельков не раскрывает совокупный баланс пользователей. Но вот самые популярны из них: Safe, Ledger, Trust Wallet, Exodus, MetaMask, Phantom, Rabby Wallet, Coinbase Wallet, Trezor, Tangem.

Рынки предсказаний и торговые платформы

Уязвимости: активные пользовательские сессии, relayer-системы, внешние скрипты и интеграции.

Telegram-боты и торговые терминалы

Уязвимости: серверная инфраструктура, базы данных, API-ключи и подключённые кошельки.

Поставщики Web3-инфраструктуры

Уязвимости: облачные сервисы, RPC-провайдеры, аналитические платформы, CI/CD и разработчики библиотек.

RPC-провайдеры, облачные платформы и инфраструктурные компании обычно не владеют активами клиентов. Их опасность заключается в другом: компрометация одного поставщика может затронуть множество приложений одновременно.

Особенно опасна компрометация поставщика, который одновременно обслуживает несколько крупных проектов. В этом случае одна уязвимость может затронуть целую группу сервисов.

Обменники и платёжные шлюзы

Уязвимости: горячие кошельки, системы выплат, API, административные панели и AML/KYT-интеграции.

В независимой выборке собрал наиболее заметные в инфополе сервисы, а не на основе оборота или резервов. Например: ChangeNOW, SimpleSwap, Changelly, StealthEX, SideShift, Godex, Exolix, ChangeHero, Quickex, Swapzone, MoonPay, Ramp Network, Transak, Mercuryo, Banxa, Simplex, Alchemy Pay, Sardine, Onramper, Coinbase Pay.

Индивидуальная безопасность начинается с разделения активов и минимизации доверия к сторонним сервисам.

Отдельное правило касается первых часов после объявления о взломе.

Не стоит сразу переходить на сайт пострадавшего сервиса или подключать к нему кошелёк!

Инцидент Polymarket показал, что вредоносный код может находиться непосредственно на настоящем сайте и загружаться через стороннюю интеграцию.

Пользователям следует дождаться подтверждения устранения причины атаки, следить за сообщениями через заранее известные официальные каналы и независимых специалистов. Важно понимать, что восстановление работы сайта не всегда означает устранение всех последствий: скомпрометированные сессии, ключи и разрешения могут продолжать представлять угрозу.

Если есть подозрение, что приватный ключ или seed-фраза раскрыты, оставшиеся активы необходимо перевести на новый адрес, созданный на чистом доверенном устройстве.

Для бизнеса защита должна охватывать всю инфраструктуру, а не только блокчейн.

Не менее важна публичная коммуникация. После инцидента проект должен сообщать, какие продукты и сети затронуты, сколько активов выведено, что удалось заморозить и какие меры предпринимаются. Обещание «средства пользователей в безопасности» не заменяет проверяемых данных.

1. Главная уязвимость может находиться за пределами блокчейна. Качественный аудит смарт-контрактов не спасёт, если атакующий получил доступ к системе подписания транзакций или внедрил вредоносный код через стороннего поставщика.

2. DEX и мосты становятся критической инфраструктурой в момент реализации похищенных активов. Злоумышленникам необходимо быстро конвертировать токены и перемещать средства между сетями. Поэтому именно пулы ликвидности, агрегаторы и межсетевые маршруты могут первыми столкнуться с аномальными объёмами и ценовыми отклонениями.

3. Рыночный ущерб способен превысить сумму первоначальной кражи. Продажа активов вызывает проскальзывание, падение залоговой стоимости, ликвидации и отток капитала. Особенно уязвимы альткоины с небольшой глубиной стаканов.

4. Аномально выгодный курс во время взлома — не обязательно возможность заработать. За ним могут стоять недостаток ликвидности, токсичный пул, временная ценовая дислокация или MEV-боты, которые ухудшат исполнение сделки. Попытка поймать такую разницу может привести к потере средств.

5. Совместное реагирование участников рынка становится самостоятельным фактором безопасности. Заморозка USDT и USDC, блокировка отдельных адресов, остановка опасных рынков и обмен информацией между биржами, эмитентами и аналитическими компаниями помогают ограничить ущерб. Но эффективность таких мер зависит от скорости реакции и от того, какие именно активы похищены: у нативных BTC, ETH и многих других токенов нет централизованного эмитента, способного их заморозить.

Октябрьские атаки показали, что даже крупнейшие участники крипторынка не застрахованы от сложных многоэтапных взломов. При этом последствия инцидентов всё чаще выходят за рамки одного проекта: они затрагивают DEX, мосты, кредитные протоколы, торговые позиции и ликвидность связанных токенов.

Для пользователей это означает, что при выборе сервиса недостаточно смотреть на объём торгов, TVL или количество поддерживаемых сетей. Важны прозрачность резервов, качество управления ключами, независимые аудиты, история инцидентов и способность команды быстро ограничить ущерб.

Для самих проектов безопасность становится не просто технической задачей, а частью конкурентоспособности. В условиях, когда компрометация одного рабочего компьютера или стороннего скрипта может привести к многомиллионным потерям, преимущество получают те, кто способен не только предотвращать атаки, но и ограничивать их последствия.

Крипторынок не может гарантировать абсолютную защиту от взломов. Но он может сделать атаки сложнее, сократить объём потенциальных потерь и обеспечить быстрое совместное реагирование. Именно эти качества будут всё сильнее определять устойчивость криптобизнеса.

Данные и оценки приведены по публичным материалам, доступным на 30 октября 2026 года. Объёмы похищенных активов не равны окончательному ущербу. Стресс-сценарии и сопоставления с глубиной рынка иллюстрируют масштаб риска, но не являются прогнозом изменения цены.

Вышеупомянутая информация не является индивидуальной инвестиционной рекомендацией, и финансовые инструменты либо операции, упомянутые в ней, могут не соответствовать вашему инвестиционному профилю и инвестиционным целям и ожиданиям. Определение соответствия финансового инструмента либо операции интересам, инвестиционным целям, инвестиционному горизонту и уровню допустимого риска является личной задачей каждого инвестора.