С 2014 по 2026 год: полный разбор краж с централизованных бирж

«С 2014 по 2026 год: полный разбор краж с централизованных бирж»

С первой серьёзной атаки на Mt.Gox в 2011 году и до недавних взломов Binance, Bybit и других крупных бирж проблема безопасности торговых площадок никогда не исчезала.

Горячие кошельки, приватные ключи, системы мультиподписи, компьютеры сотрудников и даже поставщики кошельков и сторонние средства безопасности — всё это в разное время становилось точкой входа для злоумышленников.

Суммы похищенного растут, а методы атак становятся всё сложнее. На раннем этапе хакеры в основном искали технические уязвимости самих бирж; затем распространёнными инструментами стали фишинг, вредоносное ПО и кража приватных ключей; в последние годы атаки добрались до интерфейсов мультиподписи, инсайдеров и цепочек поставки программного обеспечения.

В этом материале собраны публично раскрытые случаи краж с централизованных бирж, отсортированные по времени, с указанием суммы ущерба и конкретной причины каждого инцидента.

Кратко:

С 2014 по 2026 год произошло более 30 крупных краж с централизованных бирж; по курсам на момент инцидентов совокупный ущерб оценивается примерно в 11,3–11,4 млрд долларов.

Методы атак постоянно совершенствуются: от кражи приватных ключей горячих кошельков на раннем этапе до фишинга сотрудников, подмены интерфейсов мультиподписи и атак на цепочки поставок.

Суммы похищенного растут, а векторы атак становятся всё более скрытыми. Биржам нужно защищать уже не только кошельки, но и сотрудников, системы доступа и сторонние сервисы.

15 из этих инцидентов официальные органы или компании безопасности связывают или подозревают в причастности северокорейских хакеров; сумма ущерба по ним составляет около 10,1 млрд долларов — почти 90% от общего объёма.

2014 год

Mt.Gox | 450–480 млн долларов

В феврале 2014 года Mt.Gox объявила о пропаже примерно 850 000 BTC, что по тогдашнему курсу составляло около 450–480 млн долларов; позднее платформа вернула около 200 000 монет.

Расследование показало, что злоумышленники, вероятно, получили доступ к серверам и приватным ключам кошельков ещё с 2011 года и постепенно выводили активы платформы. Длительные хищения в сочетании с хаосом во внутреннем управлении в итоге привели Mt.Gox к банкротству.

2015 год

Bitstamp | около 5 млн долларов

В январе 2015 года злоумышленники с помощью социальной инженерии вышли на сотрудников Bitstamp и отправили системному администратору файл с вредоносной программой. После запуска файла компьютер был скомпрометирован, а файлы с информацией о горячем кошельке похищены.

2016 год

Bitfinex | около 71 млн долларов

На тот момент Bitfinex использовала мультиподписные кошельки совместно с BitGo. Получив соответствующие учётные данные и доступ к API, злоумышленники повысили лимиты на вывод средств и обошли существующие механизмы безопасности мультиподписи для совершения переводов.

2018 год

Coincheck | около 530 млн долларов

Coincheck хранила 523 млн XEM в горячем кошельке без защиты мультиподписью. После заражения компьютера сотрудника вредоносным ПО злоумышленники получили контроль над кошельком и вывели активы.

Bithumb | около 31,5 млн долларов

Горячий кошелёк Bithumb был взломан, похищено около 35 млрд вон; конкретный вектор атаки не раскрывался.

Zaif | около 60 млн долларов

Горячий кошелёк Zaif был взломан, похищены биткоины, Bitcoin Cash, MonaCoin и другие активы.

2019 год

Cryptopia | около 16 млн долларов

Несколько горячих кошельков Cryptopia подверглись атаке. После инцидента средства продолжали выводиться, что указывает на то, что злоумышленники, вероятно, уже владели соответствующими приватными ключами, а биржа не смогла своевременно лишить их контроля.

Binance | около 40,7 млн долларов

Злоумышленники в течение длительного времени собирали API-ключи пользователей и данные двухфакторной аутентификации с помощью фишинга и вредоносных программ, после чего массово инициировали вывод средств и вывели 7 000 BTC из горячего кошелька Binance.

Upbit | около 49 млн долларов

С горячего кошелька Ethereum биржи Upbit было выведено 342 000 ETH. Публичные источники не раскрывают, как именно злоумышленники получили доступ к кошельку.

2020 год

KuCoin | около 280 млн долларов

Произошла утечка приватных ключей нескольких горячих кошельков KuCoin, что позволило злоумышленникам контролировать кошельки и вывести биткоины, Ethereum и большое количество токенов ERC-20.

2021 год

Liquid | около 97 млн долларов

Тёплый кошелёк Liquid был взломан, похищены биткоины, Ethereum и другие токены. Хотя тёплый кошелёк не находится постоянно в сети, он всё равно остаётся подключённым к сетевым системам, поэтому риск потери контроля сохраняется.

BitMart | около 196 млн долларов

Были похищены приватные ключи горячих кошельков BitMart в сетях Ethereum и BNB Smart Chain. Злоумышленники массово выводили токены и обменивали активы через децентрализованные торговые платформы.

2022 год

Crypto.com | около 33,8 млн долларов

Злоумышленники обошли двухфакторную аутентификацию Crypto.com и вывели биткоины, Ethereum и другие активы с 483 пользовательских счетов.

2023 год

CoinEx | около 54–70 млн долларов

Произошла утечка приватных ключей горячего кошелька CoinEx; получив контроль, злоумышленники централизованно вывели активы с кошельков в нескольких сетях.

Poloniex | около 114–130 млн долларов

Горячий кошелёк Poloniex подвергся атаке, большое количество токенов было быстро выведено и обменяно. Злоумышленники, вероятно, уже получили приватные ключи или эквивалентные права доступа.

HTX и кроссчейн-мост Heco | суммарно около 113 млн долларов

В горячем кошельке HTX и кроссчейн-мосте Heco последовательно произошли подозрительные транзакции; оба инцидента указывают на компрометацию приватных ключей или учётных записей с высокими привилегиями. Heco не является централизованной биржей, но из-за тесной связи с HTX учитывается в общей статистике.

2024 год

DMM Bitcoin | около 308 млн долларов

Злоумышленники под видом рекрутинга связались с сотрудником поставщика кошельков, убедили его запустить вредоносный скрипт, а затем подменили запрос на перевод и отправили 4 502,9 BTC на адрес атакующих.

BtcTurk | около 55 млн долларов

Несколько горячих кошельков BtcTurk были взломаны. Конкретный способ проникновения не раскрывается, но очевидно, что злоумышленники получили контроль над горячими кошельками.

WazirX | около 230 млн долларов

Содержимое транзакций, которое участники мультиподписи WazirX видели в интерфейсе, не совпадало с тем, что фактически исполнялось в блокчейне. Используя это расхождение «видишь одно — подписываешь другое», злоумышленники убедили подписантов одобрить вредоносную транзакцию, после чего обновили контракт кошелька и вывели активы.

Indodax | около 22 млн долларов

Несколько горячих кошельков Indodax подверглись атаке; конкретный способ проникновения не раскрывается, подтверждено лишь, что злоумышленники получили права на перевод средств с кошельков.

BingX | около 43–52 млн долларов

С горячих кошельков BingX в нескольких сетях произошёл аномальный отток средств. Публичные источники не раскрывают точку входа; злоумышленники могли контролировать приватные ключи или систему кошельков.

2025 год

Phemex | около 70–85 млн долларов

С горячих кошельков Phemex в нескольких сетях были централизованно выведены активы. Платформа не раскрыла первоначальный вектор атаки, но очевидно, что злоумышленники получили контроль над несколькими кошельками.

Bybit | около 1,5 млрд долларов

Злоумышленники взломали интерфейс кошелька Safe и подменили содержимое транзакций, которое видели участники мультиподписи. Подписанты считали, что одобряют обычный перевод, но на самом деле подписывали вредоносную транзакцию, изменяющую контроль над кошельком; после этого было выведено около 400 000 ETH.

Nobitex | около 90 млн долларов

Злоумышленники перевели активы Nobitex на специальный адрес, который никто не может контролировать, что фактически уничтожило средства. Основной целью атаки была не прибыль, а политический саботаж.

BigONE | около 27 млн долларов

BigONE подверглась атаке на цепочку поставок. Злоумышленники проникли в серверную среду биржи и изменили логику работы системы, заставив её переводить активы по их командам.

CoinDCX | около 44,2 млн долларов

Инженера CoinDCX обманули предложением фальшивой подработки, и он установил вредоносную программу на рабочий компьютер. Через скомпрометированный терминал злоумышленники проникли в систему биржи и вывели активы с внутреннего операционного счёта.

BtcTurk | около 48–54 млн долларов

В BtcTurk снова произошли аномальные переводы с горячего кошелька. Конкретный способ проникновения не раскрывается, но инцидент показывает, что даже при хранении большей части активов в холодных кошельках онлайн-кошельки и системы доступа могут оставаться точкой входа.

Upbit | около 30,4 млн долларов

Учётная запись администратора Upbit была скомпрометирована; используя учётную запись с высокими привилегиями, злоумышленники инициировали несанкционированный вывод средств с горячего кошелька Solana.

2026 год: средства защиты и права подписи продолжают компрометироваться

Bitget | около 387,5 млн долларов

Злоумышленники использовали уязвимость нулевого дня в стороннем средстве безопасности, чтобы проникнуть на сервер кошелька, после чего подделали транзакции и вывели активы. Точкой входа в этой атаке стала не собственная система Bitget, а внешний продукт безопасности.

Binance | затронуты активы примерно на 6,3 млрд долларов

Компьютер DevOps-инженера Binance был взломан; злоумышленники проникли во внутренние сервисные контейнеры и отправили несанкционированные транзакции на вывод средств. Инцидент затронул активы примерно на 6,3 млрд долларов; на данный момент около 3 млрд долларов заморожено, окончательный ущерб всё ещё подсчитывается.

В заключение: в эпоху ИИ безопасности активов нужно уделять ещё больше внимания

Кражи с централизованных бирж происходят всё чаще, а суммы становятся всё больше.

В 2024–2025 годах произошло 12 крупных инцидентов — почти столько же, сколько за девять лет с 2014 по 2022 год; на 2025–2026 годы приходится более 70% от общего объёма похищенных и затронутых средств.

Помимо того, что биржи хранят всё больше активов, ИИ повышает эффективность хакерских атак. Он помогает злоумышленникам быстро собирать информацию о сотрудниках, массово генерировать фишинговые письма, фальшивые материалы о найме и вредоносные программы.

Поэтому, какой бы биржей вы ни пользовались, не переходите по ссылкам из писем и личных сообщений, по возможности включайте Passkey, аппаратные ключи и белый список адресов для вывода средств, а также регулярно удаляйте неиспользуемые API-разрешения — в вопросах безопасности мелочей не бывает.