Сентябрь 2026 — худший месяц года по взломам: украдено $766 млн, и больше 92% пришлось на Bitget и Liquid

Сентябрь 2026 в цифрах

По подсчёту CertiK, за сентябрь площадки и пользователи потеряли из-за взломов и фишинга около $766,4 млн. Это максимум 2026 года и по сумме, и по числу инцидентов. В августе украли $215 млн, так что за месяц потери выросли больше чем в 3,5 раза. За всё первое полугодие набралось $1,32 млрд в 344 инцидентах, а один сентябрь дал больше половины этой суммы.

Почти всё пришлось на два удара. 6 сентября Liquid Network потеряла $318,7 млн, 24 сентября Bitget — $387,5 млн. Вместе это больше 92% потерь месяца, и остальные крупные случаи на их фоне почти теряются.

Кого грабили и как

По типу жертв впереди централизованные биржи с $387,5 млн, за ними основные сети (mainnet) с $325,1 млн. Частные лица потеряли $18,5 млн, DeFi — $13,3 млн, проекты азартных игр — $5,99 млн.

По способу атаки CertiK делит потери так:

• Взлом через сторонний сервис — $387,5 млн, ровно столько, сколько потеряла Bitget.
• Поддельная подпись (invalid signature) — $324,7 млн.
• Компрометация кошельков — $20,1 млн.
• Ошибки в правах доступа — $13,3 млн.
• Повторный вход (reentrancy) — $2,25 млн.

В первом полугодии компрометация кошельков была самым дорогим способом и стоила пострадавшим $444,5 млн. В сентябре она дала всего $20,1 млн, а основные деньги ушли через сторонний сервис и поддельные подписи.

Bitget: почти месяц внутри биржи

30 сентября SlowMist и Mandiant, которые расследуют взлом, опубликовали промежуточные выводы. Атакующие проникли в систему ещё 31 августа через уязвимость нулевого дня в стороннем продукте безопасности, название которого не раскрывают, и почти четыре недели оставались внутри до кражи. Дверь им, по сути, открыл софт, который должен был биржу защищать.

Приватные ключи никто не украл. Атакующие получили внутренние учётные данные сотрудников и запустили собственный инструмент, подделывавший параметры выводов. Подписывающие системы самой Bitget поддельные переводы одобряли.

Сама кража 24 сентября длилась 2 часа 52 минуты, с 18:31 до 21:23 UTC. Крупнейшая волна, около $185 млн, ушла в 19:16 UTC. Пострадали только горячие и тёплые кошельки, холодное хранение и приложение Bitget Wallet атака не задела.

Bitget, аналитики Elliptic и ончейн-исследователи считают рабочей версией Северную Корею, хотя официально ни одно государство атрибуцию не объявляло. Как всё выглядело в первые часы, мы рассказывали в разборе о том, как хакеры вывели деньги с горячих кошельков Bitget. Если ваши монеты до сих пор на Bitget, пригодится инструкция, как вывести крипту с Bitget на свой кошелёк.

Liquid: 36 минут от пустых токенов до настоящих биткоинов

Liquid — сайдчейн биткоина от Blockstream. Пользователь блокирует BTC и получает взамен токены L-BTC, которые потом можно погасить обратно в биткоин. Хронологию атаки по минутам восстановили в TRM Labs.

6 сентября в 13:53 UTC атакующие выпустили около 4000 L-BTC без всякого обеспечения. Помогла ошибка в кэше проверки доказательств диапазона (range proofs) в ПО Elements, из-за которой недействительный выход прошёл как уже проверенный. В 14:06 UTC через SideSwap ушла заявка на вывод, а в 14:28 UTC федерация Liquid, мультиподпись 11 из 15, одобрила выплату около 4000 BTC. От выпуска пустых токенов до получения настоящих биткоинов прошло 36 минут.

Выплата потянула примерно на $319 млн. 7 сентября атакующие вернули около 3400 BTC — примерно $272 млн, или 85% украденного. Ещё 598,5 BTC, около $47 млн, они оставили себе как «вознаграждение» и написали в блокчейне, что они «белые хакеры». Подтверждений этому нет.

Blockstream выпустила исправление Elements, ключи подписи не скомпрометированы. Сеть Liquid при этом стоит на паузе: торговля и погашение L-BTC остановлены, а обеспечение токенов, по расчётам, около 86%.

В обоих крупнейших взломах месяца ключи остались целы, а переводы одобрили собственные системы пострадавших, которым подсунули поддельные данные. Поэтому монеты, которые лежат на бирже только ради обмена, держать там незачем: менять их можно через мгновенный обмен криптовалют, где не нужен аккаунт.

Куда уходят деньги

Украденное у Bitget отмывали через ордера CoW Protocol, кросс-чейн обмены в Chainflip и CoinJoin для биткоина. Площадки реагировали по-разному. Chainflip пытался блокировать обмены, THORChain отказался вносить адреса в чёрный список и сослался на открытую архитектуру, а система SHIELD в NEAR Intents заблокировала больше $50 млн, связанных с атакующими.

30 сентября пришла очередь ZEC. С 08:15 до 08:46 UTC тремя переводами 2746 ZEC, около $3,9 млн, ушли в защищённый пул Zcash Ironwood. Это примерно 15% украденных у биржи ZEC, а всего их около 18 917. Следить за этими монетами стало сложнее, но следователи по-прежнему сопоставляют время и суммы, с которыми деньги выходят из пула.

Всего за месяц, по данным CertiK, вернули или заморозили $270,6 млн из $766,4 млн. Без возврата пока остаются около $496 млн.

Что это значит для вас

Обычный держатель попадает в такие отчёты либо вместе со взломанной площадкой, на которой лежит его баланс, либо в одиночку, через собственный кошелёк. Частные лица только за сентябрь потеряли $18,5 млн. Оба риска заметно снижают несколько привычек.

• Баланс на бирже — обязательство биржи перед вами. Ключи от монет у неё, и после взлома ваш вывод зависит от её резервов и решений. Для торговли держите там рабочую сумму, сбережения — на своём кошельке. Если своего кошелька ещё нет, начните с разбора о том, какой кошелёк выбрать для хранения — кастодиальный или некастодиальный.
• Seed-фраза — только офлайн. На бумаге или металле, без фото, облаков и заметок в телефоне. Разные способы мы сравнили в гайде о том, где хранить seed-фразу, чтобы не потерять криптовалюту.
• Не подписывайте то, чего не понимаете. Кошелёк просит одобрить транзакцию или выдать разрешение на токены, а вам неясно, что это и зачем, — отказывайтесь. Выданное разрешение на списание токенов продолжает действовать и после того, как вы закрыли сайт.
• Проверяйте адрес целиком. Сверяйте каждый символ, включая середину. Адрес в буфере обмена может подменить вредоносная программа, а похожий адрес в историю переводов могут подбросить мошенники.
• Не верьте письмам о «компенсации». Громкий взлом — привычный повод для фишинга: письма о возмещении, «срочная проверка кошелька», поддельные сайты поддержки. Настоящая поддержка не просит seed-фразу, пароль и коды 2FA.

Если на бирже остались стейблкоины, а запас вы хотите держать в биткоине на своём кошельке, можно обменять USDT TRC20 на биткоин без регистрации. В VertEXchange нет аккаунтов и балансов, а монеты приходят сразу на ваш адрес. Держателям эфира подойдёт обмен ETH на BTC на тех же условиях.

Частые вопросы

Сколько криптовалюты украли в сентябре 2026?

По подсчёту CertiK, около $766,4 млн из-за взломов и фишинга. Это худший месяц 2026 года и по сумме, и по числу инцидентов, больше чем в 3,5 раза выше августа.

Как взломали Bitget?

По промежуточным выводам SlowMist и Mandiant, атакующие вошли 31 августа через уязвимость нулевого дня в стороннем продукте безопасности, получили учётные данные сотрудников и запустили свой инструмент вывода с поддельными параметрами. Подписывающие системы биржи эти переводы одобрили, приватные ключи не украдены.

Кто взломал Bitget?

Рабочая версия Bitget, Elliptic и ончейн-исследователей — Северная Корея. Официально ни одно государство атрибуцию не объявляло.

Что случилось с Liquid Network?

6 сентября атакующие через ошибку в ПО Elements выпустили около 4000 L-BTC без обеспечения и получили за них около 4000 BTC, примерно $319 млн. На следующий день около 3400 BTC вернули, 598,5 BTC оставили себе. Blockstream выпустила исправление, но сеть пока на паузе, торговля и погашение L-BTC остановлены.

Вернут ли украденные деньги?

Частично. Из $766,4 млн за сентябрь вернули или заморозили $270,6 млн, без возврата остаются около $496 млн. Атакующие Liquid вернули 85% биткоинов, а в деле Bitget система SHIELD в NEAR Intents заблокировала больше $50 млн, связанных с атакующими.

Как защитить криптовалюту от взлома?

Держите на бирже только сумму для торговли, а сбережения — на своём кошельке. Seed-фразу храните офлайн, не подписывайте непонятные транзакции и разрешения, проверяйте адрес получателя целиком и не отвечайте на письма о «компенсации» после громких взломов.