За три недели Bitget дала два повода задуматься о том, где лежат деньги: в сентябре с неё вывели 351,6 миллиона долларов, в октябре она закрыла доступ клиентам из России, Беларуси и Казахстана. Разбираем оба события по первичным источникам, считаем, что именно меняет самостоятельное хранение ключей — и, что важнее, чего оно не решает.
18 октября 2026 · проверено при публикации
Они не связаны между собой — по крайней мере, биржа связи не объясняет, и ни один источник её не показывает. Но произошли подряд и бьют в одну точку: деньги на бирже вам не принадлежат технически.
Биржа заметила чужие переводы в 18:31 UTC. Деньги ушли из горячих и «тёплых» кошельков по семи сетям — Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BNB Chain и Base, больше всего в XRP, около 158 млн. Позже оценку подняли примерно до 387,5 млн, когда нашли дополнительные переводы. На тот момент это крупнейшая подтверждённая кража года.
Обновлено пользовательское соглашение: Россия и Беларусь внесены в список запрещённых юрисдикций, Казахстан был там раньше. С 18 октября недоступны новые сделки, ордера и подписки; до 21 октября нужно закрыть позиции и вывести средства; с 21 октября ограничен вход в аккаунт. Обход через VPN запрещён отдельным пунктом. Причиной биржа называет соблюдение регуляторных требований.
Обычно при краже с биржи говорят «украли ключи». Здесь не это, и разница принципиальная.
Приватные ключи не похищены, холодные кошельки не тронуты. Атакующий получил доступ к серверной части и подменил данные транзакции, которые видела система авторизации. Чужие выводы прошли штатную процедуру одобрения как законные. Формулировка гендиректора Gracy Chen: злоумышленник «manipulated the transaction data shown to its authorization process».
Что это значит для вкладчика. Можно сколько угодно защищать ключи — если между вами и деньгами стоит чужая система одобрения, уязвима именно она. Взломщику не нужен ваш пароль и не нужна ваша двухфакторная проверка: он обманывает не вас, а механизм, который решает, законен ли вывод. Защититься от этого со стороны пользователя нельзя никак.
Атрибуцию биржа дала предварительную — северокорейские группы, по адресам VPN, пересечениям с кошельками прежних взломов и схеме отмывания. Аналитики TRM Labs при этом прямо пишут, что окончательной атрибуции не делали.
Три страны из новостей — не весь список. В обновлённом соглашении запрещённых юрисдикций двадцать восемь, и состав объясняет логику решения.
Помимо санкционных и конфликтных зон там Япония, Сингапур, Канада, Франция, Германия, Австрия, Гонконг, Малайзия и США. То есть это в равной степени про жёстко регулируемые рынки, куда биржа не идёт без лицензии. Решение принимается не против страны, а в пользу собственного регуляторного удобства — и попасть под него может кто угодно.
Срок на всё про всё — пять дней. От правки в соглашении 16 октября до закрытия входа 21-го. Если в эти дни вы в отпуске, в больнице или просто не читаете почту от биржи, позиции закрывать будет некому. Это и есть риск, которого нет в самостоятельном хранении: там никто не назначает вам срок.
Rainbow — некастодиальный кошелёк: приватный ключ хранится на устройстве пользователя, компания к нему доступа не имеет. Из этого следуют вещи, которые не зависят от доброй воли компании.
Сценарий Bitget здесь не воспроизводится. Нет чужой системы авторизации, которую можно обмануть подменой данных: транзакцию подписывает ключ на вашем устройстве. Взлом инфраструктуры компании не даёт доступа к средствам пользователей, потому что средств у компании нет.
Строка в пользовательском соглашении не отзывает приватный ключ. Даже если компания завтра закроется, средства останутся доступны: секретная фраза работает в любом совместимом кошельке, адрес и история живут в блокчейне, а не на сервере.
Никто не назначит вам пять дней на вывод. Это звучит мелочью ровно до того дня, когда срок назначат.
Этот раздел важнее предыдущего. Самостоятельное хранение переносит риск, а не устраняет его — с контрагента на вас, — и честный разбор обязан сказать, во что это обходится.
Убыток покрыл фонд защиты пользователей — в нём больше 464 млн долларов. То есть в конкретно этом взломе вкладчик пострадал нервами и временем, но не деньгами. У человека, который подписал вредоносную транзакцию или потерял секретную фразу, фонда нет. И поддержки нет. И отмены нет.
Потерянная фраза означает потерю средств навсегда — восстановить её не может никто, в этом и смысл устройства. Перевод на неверный адрес не откатывается. Подпись под вредоносным разрешением отдаёт токены без всякого взлома, и формально это ваша добровольная транзакция.
Отобрать ключ нельзя, а вот функции доступны не везде. У самого Rainbow раздел Cash работает только для клиентов в США, кроме Нью-Йорка и Калифорнии, и только по карте Visa. Утверждать, что кошельки не знают географических ограничений, было бы неправдой: ключ действительно не отнять, но продукт вокруг него подчиняется тем же регуляторам.
Как это сравнивать честно. У биржи риск контрагентский: взлом её систем, блокировка по юрисдикции, назначенный вам срок — но существуют страховые фонды, и в случае Bitget фонд сработал. У кошелька риск пользовательский: он целиком на вас, необратим и ничем не покрыт. Это не «одно лучше другого», это выбор, какой риск вы готовы нести.
У централизованных бирж есть токены лояльности — BNB, OKB, BGB, GT. У Rainbow есть RNBW. Сравнение напрашивается, поэтому скажем сразу, где оно работает, а где нет.
Что проверяемо. Rainbow выкупает RNBW с рынка. Делает это казначейский адрес — мультиподпись Safe, где перевод требует двух подписей из трёх:
0xcaa9bFCbc9ff87428535bc4E163296c3A8ae308E
С февраля по октябрь 2026 года он купил … RNBW рыночными ордерами через пулы Uniswap и Aerodrome, расплачиваясь USDC. Обратных продаж у адреса нет. Выручка приложения по данным DeFiLlama — … в год.
Считается ежедневно по ленте переводов токена; покупкой считается только то, где в той же транзакции ушёл USDC. Подробный разбор — в статье про признаки Артура Хейса.
А вот чего нет, и это надо знать до покупки. Обязательства выкупать в блокчейне не закреплено. Нет контракта, который направлял бы долю комиссий на покупку токена, и нет документа, который обязывал бы это делать. Выкуп остаётся решением компании, которое она вправе прекратить. Встречающееся утверждение «компания выкупает токен на часть комиссий» описывает механизм, которого в цепочке нет: покупки реальны и видны, а их привязка к доле выручки — нет.
Отдельно стоит сказать, что по этой части сравнение с биржевыми токенами играет против RNBW. У BNB исторически было сжигание, привязанное к выручке биржи, — связь с деньгами жёстче, чем добровольный выкуп. Преимущество кошелькового токена не в механике вознаграждения, а в том, что сам кошелёк нельзя взломать так, как взломали Bitget.
Биржа — место, где совершают сделку, а не где живут сбережения. Сумма на бирже разумна в размере, который вы готовы потерять при блокировке или взломе; остальное — в кошельке, ключ от которого у вас.
Самая частая потеря средств в самостоятельном хранении — не взлом, а утрата фразы. Записана она должна быть вне устройства и вне облака, и проверять это надо до того, как понадобится, а не после.
Некастодиальность не защищает от добровольной подписи. Бессрочное разрешение на распоряжение токеном, выданное незнакомому контракту, отдаёт средства без всякого взлома — и это будет ваша законная транзакция.
Мы независимый портал и с командой Rainbow не связаны. Это не инвестиционная рекомендация: все числа выше — измерения, а не прогноз. Данные о взломе и блокировке приведены по сообщениям TRM Labs, CoinDesk, The Hacker News, BleepingComputer и Meduza; суммы выкупа посчитаны нами по цепочке и обновляются ежедневно.