Крипто-чёрные лебеди 2010–2026: 53 крупных события и 12 уроков

Введение: Список для тех, кто придёт после

Эта статья — хронология русскоязычного раздела Crypto Archives. Здесь на одной временной шкале собраны 53 крупных крипто-события чёрного лебедя — с опорой на документы о банкротстве, судебные и регуляторные материалы, заявления правоохранительных органов, ончейн-данные и, где они есть, разборы инцидентов от команд проектов. Я включил некоторые, которые другие списки упускают — такие как уязвимость CVE-2010-5139, циклы регулирования Китая, депег USDC в марте 2023 — потому что они учат урокам, которым не учат более известные события.

Статья структурирована в семь глав, упорядоченных по категориям:

• Глава 1: Крах централизованных бирж, предыстория индустрии, 11 событий.
• Глава 2: эпоха ICO — четыре мошеннические схемы и один спор об управлении ICO (Tezos), 5 событий.
• Глава 3: DeFi эксплойты и атаки на кросс-чейн мосты, 8 событий.
• Глава 4: Семимесячный каскад 2022 года.
• Глава 5: История депегов стейблкоинов, 3 менее известных события.
• Глава 6: Текущая расплата, 2023-2026, 9 событий включая взлом Bybit примерно на $1,5 млрд в феврале 2025.
• Глава 7: Дополнения по проектам (включая депег USDC от SVB) плюс пять макро-уровневых политических событий — китайские регуляторные запреты, COVID Чёрный четверг, санкции Tornado Cash.
• Двенадцать ключевых уроков — практический выход всего архива.

Главы можно читать по порядку или прыгать через содержание слева. Двенадцать уроков в конце сведены из этих 53 событий.

Кратко · Ключевые цифры

Глава 1: Крах централизованных бирж (2011-2020)

В этой главе одиннадцать событий. Одни закончились банкротством или ликвидацией; в других площадка покрыла убыток после кражи и работает до сих пор (Bitstamp, Bitfinex, Coincheck, KuCoin). The DAO — не биржа, а атакованный смарт-контракт; он стоит здесь, потому что относится к тому же периоду.

1. Mt.Gox ранний взлом (июнь 2011)

В воскресный вечер июня 2011 года взломщик, проникший в компьютер аудитора Mt.Gox, воспользовался украденными учётными данными — и за считаные минуты превратил эту брешь в первую крупномасштабную катастрофу криптобиржи. Атакующий разместил огромные продажные ордера, обрушившие ордербук до одного цента, и успел сбросить по бросовым ценам крупную партию BTC прежде, чем кто-либо в Токио сумел отключить торги. Mt.Gox попыталась откатить сделки, последовавшие за обвалом, однако большая часть исполнений по дну уже прошла и оказалась необратимой.

2. Bitstamp фишинг-взлом (январь 2015)

Потеря: 18 866 BTC (около $5 млн в то время). Причина: системного администратора фишингом заставили открыть документ Word (UPE_application_form.doc) с вредоносным VBA-макросом; атакующие извлекли ключи горячего кошелька. Разрешение: Bitstamp приостановил операции примерно на неделю, привлёк замещающий капитал от существующих инвесторов и полностью возместил клиентам. Банкротство не объявлялось. Значимость: первый случай в криптоиндустрии, когда биржа поглотила хак, а не рухнула от него. Bitstamp остаётся операционным в 2026 — одна из немногих бирж до 2014 года, всё ещё активных.

3. Атака на The DAO (июнь 2016)

Атака на The DAO в июне 2016 года, как и большинство реентерабельных атак, начиналась с функции, задающей правильный вопрос в неправильном порядке: сначала отправить эфир, а затем обновить баланс. Пока контракт раз за разом перепроверял, остались ли у вызывающего токены, атакующий уже рекурсивно вызывал splitDAO снова и снова — и к моменту, когда механика наконец опустошила контракт, из него ушло примерно 3,6 млн ETH (около $50 млн на тот момент). То, что произошло дальше, отличалось от случая 2010 года (см. № 44): тогда софтфорк исправлял баг, а здесь состояние цепи переписали хардфорком, чтобы вернуть украденные средства. Сообщество Ethereum разделилось на два лагеря: большинство поддержало хардфорк, обративший атаку, — этот форк и стал тем Ethereum, который мы используем сегодня; меньшинство отказалось из принципа, утверждая, что «код есть закон» имеет смысл только в том случае, если вы согласны принять с ним и дурные исходы. Это меньшинство сохранило исходную цепь под именем Ethereum Classic. Reentrancy с тех пор — урок номер один в любом учебнике Solidity, а личность атакующего так и не была публично подтверждена.

4. Bitfinex 120 тыс. BTC взлом (август 2016)

Потеря: примерно 120 000 BTC (около $72 млн в то время). Причина: мультиподписной горячий кошелёк Bitfinex с BitGo был скомпрометирован. Атакующий получил два из трёх ключей подписи. Точный технический метод полностью не раскрывался. Разрешение: Bitfinex не объявлял банкротство. Все балансы клиентов были списаны примерно на 36%, а в качестве компенсации клиентам выдали токены BFX, позже конвертируемые в акции материнской iFinex. Возврат 2022: Министерство юстиции США арестовало Илью Лихтенштейна и Хизер Морган в феврале 2022 и вернуло примерно 94 643 BTC — на тот момент крупнейший арест активов в истории Минюста США; в октябре 2025 года Минюст подал гражданский иск о конфискации около 127 тыс. BTC у главы Prince Group Чэнь Чжи, и этот рекорд был превзойдён.

5. Крах Cryptsy (январь 2016)

Что произошло: в июле 2014 года с биржи было выведено около 11 325 BTC, что Cryptsy признала лишь позже; в январе 2016 года выводы остановились. Разрешение: клиенты подали коллективный иск. По заочному гражданскому решению федерального суда США во Флориде, вынесенному в июле 2017 года, основателю Полу Вернону предписано выплатить $8,2 млн, а те самые 11 325 BTC присуждены коллективу истцов. Решение заочное: Вернон в суде не защищался.

6. Mt.Gox формальное банкротство (февраль 2014)

К моменту, когда Mt.Gox в феврале 2014 года формально подала на банкротство, пропавшие 850 000 BTC (750 000 клиентских + 100 000 корпоративных) и ¥2,8 млрд в фиате представляли собой лишь видимую часть гораздо более длительного, замедленного провала — около $480 млн на тот момент. Сама Mt.Gox винила уязвимость «transaction malleability», но расследование WizSec пришло к другому выводу: в сентябре 2011 года были украдены приватные ключи горячего кошелька (wallet.dat), и к середине 2013-го с него постепенно ушло около 630 000 BTC. В 2018 году банкротство сменила процедура гражданской реабилитации (民事更生); первые базовые выплаты кредиторам начались в июле 2024 года, а в октябре 2025 года управляющий, поскольку многие кредиторы всё ещё не получили выплат, перенёс срок погашения с 31 октября 2025 на 31 октября 2026 года. Полная реконструкция — в Корабельной летописи, Том 1 · Mt.Gox.

7. Coincheck взлом NEM (январь 2018)

Потеря: примерно $534 млн в токенах NEM (523 млн NEM). Причина: ключи горячего кошелька были неадекватно защищены. Мультиподпись не была реализована. Непропорциональная доля клиентских NEM хранилась в онлайн-горячем хранении вместо холодного. Разрешение: Coincheck использовал корпоративные средства для возмещения клиентам ¥46,3 млрд (около $420 млн) в полном эквиваленте японской иены. В апреле 2018 компания была приобретена Monex Group. Остаётся операционной. Значимость: крупнейшая разовая криптокража в истории Японии. Спровоцировала надзор Японского агентства финансовых услуг (FSA) над всеми криптобиржами в Японии, включая обязательную мультиподпись горячих кошельков, сегрегацию холодного кошелька и сегрегацию клиентских активов.

8. BitGrail $170 млн NANO (февраль 2018)

Потеря: примерно 17 млн NANO (около $170 млн в то время). Причина: как установил суд во Флоренции, основатель Франческо «The Bomber» Фирано не поставил никакой надлежащей защиты: NANO раз за разом выводили без авторизации, а он не раскрывал этого клиентам. Разрешение: в январе 2019 года суд во Флоренции вынес решение против биржи.

9. Cryptopia взлом (январь 2019)

Потеря: примерно $30 млн по многим токенам. Причина: новозеландская биржа среднего размера. Единый горячий кошелёк держал все типы монет без сегрегации по активам. Разрешение: в мае 2019 года акционеры решили добровольно ликвидировать компанию, ликвидатором назначена Grant Thornton; в апреле 2020 года Высокий суд Новой Зеландии признал криптоактивы на платформе доверительной собственностью клиентов. Ликвидатор распределяет активы в натуре по каждой монете; по обновлению на май 2026 года процесс всё ещё идёт.

10. QuadrigaCX $160 млн смерть Коттена (январь 2019)

Потеря: примерно C$200 млн (около $160 млн USD) в клиентских активах. Причина: канадская биржа. Основатель Джеральд Коттен умер в Индии в декабре 2018. Приватные ключи клиентских холодных кошельков, как утверждалось, контролировались исключительно Коттеном. Открытие: расследование банкротства Ernst & Young обнаружило, что «холодные кошельки» были пусты за месяцы до смерти Коттена. Коттен использовал клиентские средства для высокорисковых личных сделок и не мог покрыть потери. Разрешение: возврат клиентов в канадской процедуре банкротства составил менее 20%. Значимость: ввёл категорию риска «единая точка отказа: основатель» в крипто-фреймворки рисков.

11. KuCoin $281 млн взлом (сентябрь 2020)

Потеря: примерно $281 млн в смешанных криптовалютах. Причина: приватные ключи горячего кошелька были эксфильтрованы (точный метод публично не раскрывался). Разрешение: KuCoin остался операционным. CEO Джонни Лю координировал с Binance, Huobi, OKX и большинством крупных эмитентов токенов заморозку и хардфорк украденных токенов. В ноябре 2020 года Джонни Лю сообщил, что возвращено 84%; остальное KuCoin покрыл из корпоративных резервов. Клиенты понесли нулевую чистую потерю. Значимость: редкий случай «взломанные, но клиенты в нуле в конце», демонстрирующий, что отраслевое сотрудничество может смягчить даже крупные хаки.

Глава 2: Эпоха ICO-пирамид (2014-2019)

Из пяти событий этой главы четыре — мошеннические схемы (BitConnect, OneCoin, Centra Tech, PlusToken), а одно — спор об управлении ICO (Tezos). Четыре схемы обещали гарантированно высокую доходность, заявляли о блокчейнах или продуктах, которых не существовало, и набирали участников через многоуровневые реферальные структуры. В случае Tezos никого не признали виновным в мошенничестве: спор шёл о том, кто распоряжается собранными деньгами.

12. BitConnect $2,4 млрд пирамида (январь 2018 крах)

BitConnect был, пожалуй, самой откровенной финансовой пирамидой в истории криптовалют — он прямо сообщал, чем именно является, и предлагал войти. Подача звучала так: «автоматизированный торговый бот», якобы производящий 1% в день, что в годовом выражении даёт 365% — доходность, которую ни один реальный трейдер ни на одном рынке никогда не удерживал устойчиво. Пользователи конвертировали BTC в BCC, блокировали BCC на платформе и получали «проценты». Никакого бота не было. Новые депозиты оплачивали старые выводы — в точности по учебнику. Когда в январе 2018 года регуляторы двух штатов — Техаса и Северной Каролины — один за другим выпустили предписания о прекращении деятельности, платформа закрыла свой продукт «кредитования» за ночь, и BCC за неделю упал примерно с $400 фактически до нуля. По обвинительному заключению Минюста США 2022 года, BitConnect получил от инвесторов около $2,4 млрд. Основателю Сатишу Кумбхани Минюст США предъявил обвинения в 2022 году, и он до сих пор скрывается. Дело оставило два наследия: охлаждающий эффект на пирамиды с привлечением знаменитостей и YouTube-клип Карлоса Матоса «Hey hey heyyy!», остающийся самым цитируемым экспонатом пирамидальной риторики в крипто-культуре и полезным напоминанием: самая громкая презентация в любой комнате — это именно тот сигнал тревоги, который от вас и хотят, чтобы вы проигнорировали.

13. OneCoin $4 млрд+ Криптокоролева (2014-2019)

Потеря: как минимум $4 млрд среди примерно 3,5 млн инвесторов в 175 странах. Схема: болгарская основательница Ружа Игнатова построила OneCoin как пирамиду многоуровневого маркетинга, утверждая, что она «убийца Биткоина». У OneCoin не было блокчейна — все «транзакции» были записями во внутренней базе данных. Рекрутинговые комиссии оплачивали рост нижних линий, а не фактические продажи продукта. Эвазия регулирования страна-за-страной через слоистые корпоративные структуры. Разрешение: Игнатова исчезла из греческого аэропорта в октябре 2017. Её так и не нашли, и она остаётся в десятке самых разыскиваемых ФБР. Её брат Константин Игнатов был арестован в США в 2019 и сотрудничает с прокурорами. Множественные страновые преследования продолжаются. Культурная значимость: подкаст и документальный фильм BBC Пропавшая Криптокоролева подробно документирует дело. Оценивается как крупнейшее международное криптомошенничество в истории.

14. Tezos ICO битва за управление (2017-2018)

Потеря: не финансовая потеря напрямую, но примерно $232 млн в средствах ICO оставались заморожены почти год. Причина: после завершения ICO Tezos в июле 2017 года президент фонда Йоханн Геверс и основатели проекта Артур и Кэтлин Брейтман вступили в затяжную борьбу за власть над распределением токенов. Фонд отказался выпускать токены на условиях основателей. Разрешение: обширное судебное разбирательство и посредничество; Геверс ушёл с поста президента фонда в феврале 2018; в июле того же года токены были выпущены. Коллективный иск 2020 года урегулирован за $25 млн. Значимость: учебный случай того, как распуталось управление эпохи ICO. Заставил каждый последующий проект определять отношения между фондом и основательской командой заранее в своём уставе.

15. Centra Tech знаменитости ICO (2017)

Потеря: более $32 млн в средствах ICO. Схема: заявляли о запуске «крипто-дебетовой карты» в партнёрстве с Visa и Mastercard; завербовали Флойда Мейвезера и DJ Khaled как платных (но нераскрытых) одобрителей. Реальность: партнёрство с Visa/Mastercard было полностью сфабриковано; продукт никогда не отправлялся; основатели Сохраб Шарма и Роберт Фаркаш выдумали руководителей с впечатляющими биографиями. Разрешение: правоприменение SEC 2018; Шарма приговорён к 8 годам в федеральной тюрьме. Мейвезер и Khaled были оштрафованы отдельно за нераскрытие платной промо. Значимость: установлено правоприменение SEC против нераскрытой поддержки знаменитостей в крипто.

16. PlusToken $3 млрд+ пирамида (июнь 2019 крах)

Потеря: как минимум $3 млрд (некоторые оценки до $5 млрд) среди примерно 2 млн жертв, в основном в Китае и Восточной Азии. Схема: позиционировался как «высокодоходный автоматизированный торговый кошелёк», обещающий 9-30% ежемесячной доходности. Разрешение: в июне 2019 года выводы остановились. В июле–августе 2019 года китайская полиция доставила из-за рубежа 27 главных подозреваемых, в марте 2020 года задержала ещё 82 ключевых участника — всего 109 человек; приговор первой инстанции вынесен 22 сентября 2020 года, окончательный — 19 ноября 2020 года. По приговору конфисковано более 190 000 BTC и более 830 000 ETH. Значимость: крупнейший крипто-пирамидальный случай в Азии и ясная демонстрация того, что приложения с высоко-доходными кошельками остаются эффективными в масштабе.

Глава 3: DeFi эксплойты и атаки на мосты (2020-2022)

После взрыва DeFi в 2020 появились новые поверхности атаки: уязвимости смарт-контрактов, атаки композиции флеш-кредитов, мультиподписные изъяны в кросс-чейн мостах. Из восьми событий этой главы четыре пришлись на 2022 год.

17. bZx атаки флеш-кредитов (февраль 2020)

Потеря: две атаки суммарно около $1 млн. Причина: первая волна атак композиции флеш-кредитов в DeFi. Атакующий брал огромный неколлатерализованный капитал → использовал его для манипуляции ценовыми оракулами Uniswap → эксплуатировал кредитные продукты bZx по манипулированной цене. Значимость: выявило, что любой DeFi-протокол, потребляющий сторонние ценовые оракулы, уязвим к манипуляции флеш-кредитами. Последующие крупные DeFi-протоколы перешли на ценообразование TWAP (time-weighted average price) или Chainlink-style оракулы с логикой анти-манипуляции.

18. Iron Finance / TITAN (июнь 2021)

Механизм назывался IRON: частично-алгоритмический стейблкоин, удерживаемый на месте 75% залога в USDC и 25% governance-токена TITAN; предполагалось, что ликвидности TITAN хватит, чтобы поглотить умеренное давление на пег. Не хватило. Несколько китов начали продавать, цена TITAN пошла вниз, арбитражёры безошибочно прочитали сценарий и продолжили чеканить и сбрасывать токен в падающий рынок, и за двадцать четыре часа TITAN ушёл с $65 фактически до нуля — около $2 млрд рыночной капитализации, стёртых между восходом и закатом. Сама Iron Finance в своём разборе назвала это «первым в мире крупномасштабным набегом вкладчиков на криптобанк».

19. Africrypt ЮАР (апрель 2021)

Потеря: изначально сообщалось как $3,6 млрд; последующий анализ пересмотрен примерно до R3,6 млрд (около $200 млн USD). Ход событий: платформа «автоматизированной торговли крипто», которой управляли южноафриканские братья Амир и Раис Каджи, в апреле 2021 года выпустила уведомление о «паузе торговли», и клиенты не смогли получить свои средства. Разрешение: Высокий суд ЮАР выдал приказы о заморозке активов в 2021 году.

20. Poly Network $611 млн взлом (август 2021)

Потеря: примерно $611 млн через многие цепи. Крупнейшая DeFi-атака на тот момент. Причина: уязвимость контракта кросс-чейн моста. Атакующий обнаружил, что EthCrossChainManager позволяет подделывать кросс-чейн сообщения и создал одно сообщение, перенаправляющее все мостовые активы на адреса, контролируемые атакующим. Разрешение: атакующий вернул всю украденную сумму в течение двух недель, заявляя, что является «белым хакером», демонстрирующим уязвимость. Poly Network публично присвоила атакующему звание «Главного советника по безопасности» и вознаграждение $500 000. Значимость: один из редких крупных случаев, когда атакующий добровольно вернул все средства (второй — Euler в 2023 году, см. № 47). Истинная личность так и не подтверждалась.

21. Wormhole Bridge $326 млн (февраль 2022)

В феврале 2022 года кто-то обнаружил, что мост Wormhole между Solana и Ethereum принимает поддельную подпись «эфир на стороне Ethereum сожжён» без того, чтобы кто-либо что-либо реально сжигал, и бесплатно отчеканил 120 000 wETH на Solana — примерно $326 млн похищенного; на тот момент по размеру его превосходил только взлом Poly Network ($611 млн). Дальше произошло нечто непривычное. Jump Crypto, материнская компания Wormhole, в течение двадцати четырёх часов перевела на мост $326 млн собственного капитала, восстановив паритет между обёрнутым и нативным ETH и обеспечив пользователям нулевую чистую потерю. Это одна из немногих атак на мост в этом архиве, заканчивающаяся без ущерба клиентам.

22. Ronin Network $625 млн Axie (март 2022)

Атака на Ronin Network началась с собеседования о работе. Старший инженер Sky Mavis — студии, стоящей за Axie Infinity, — получил по почте то, что выглядело как предложение о работе в виде PDF-вложения. Вложение доставило вредоносное ПО. С этого момента северокорейская Lazarus Group — позже названная ФБР напрямую — имела плацдарм на 4 из 9 узлов валидаторов, обеспечивавших безопасность моста. Оставалось взять пятую подпись, и она пришла любезностью узла, который Axie DAO временно делегировала и так и не отозвала. С 5 из 9 на руках атакующие подписали вывод, забравший с моста 173 600 ETH плюс $25,5 млн USDC — около $625 млн в долларах марта 2022 года. Sky Mavis привлекла $150 млн в раунде акционерного финансирования под руководством Binance, добавила собственные средства компании и к повторному открытию моста 28 июня 2022 года полностью возместила потери пользователям — примерно за три месяца. Структурный урок, усвоенный мостами с тех пор, неудобен, но в ретроспективе очевиден: мультиподпись 5-из-9, в которой 4 из 9 узлов оперируются одной стороной, функционально является мультиподписью 1-из-2 — независимо от того, как это смотрится на слайде презентации.

23. Beanstalk атака управления (апрель 2022)

Парадокс Beanstalk заключался в том, что атакующий следовал правилам ровно в том виде, в каком они были записаны. В апреле 2022 года голоса в этом алгоритмическом стейблкоин-протоколе давал Stalk, который начисляли за депозиты в Silo, а исполнить предложение через emergencyCommit можно было, если оно провисело не меньше 24 часов и набрало 2/3 голосов. 16 апреля атакующий подал предложение перевести все средства протокола на свой адрес, выждал сутки, затем взял в Aave флеш-кредит более чем на $1 млрд в DAI, USDC и других активах, внёс их в Silo ради нужного количества Stalk и тут же исполнил предложение через emergencyCommit — всё внутри одной транзакции. Около $182 млн вышли через парадную дверь, никакие средства не были возвращены, и Beanstalk был вынужден уйти в офлайн, чтобы переписать систему управления с чистого листа. Это была первая крупная атака, комбинирующая флеш-кредиты с ончейн-голосованием, и урок, который она преподала, был структурным, а не техническим: одного порога «предложение должно провисеть 24 часа» мало — если голосующую силу можно занять внутри одной транзакции и сразу же исполнить предложение, этот порог превращается в формальность.

24. Nomad Bridge $190 млн free-for-all (август 2022)

Потеря: примерно $190 млн. Причина: контракт моста Nomad имел изъян инициализации — обновление развёртывания оставило поле trustedRoot со значением по умолчанию 0x00. В результате любой поддельный вызов контракта моста рассматривался как валидный. Уникальная особенность: это был единственный «free-for-all» крипто-хак в истории. Как только уязвимость была обнаружена, любой, способный копировать и вставлять транзакцию, мог истощать средства. Сотни адресов в итоге участвовали, с украденными суммами от $100 до нескольких миллионов каждая. Разрешение: Nomad публично попросил «белых» участников вернуть средства; примерно 22% украденной суммы в итоге было возвращено.

Глава 4: Каскад 2022 года

Шесть из семи событий этой главы спрессованы в семь месяцев — с мая по ноябрь 2022 года; седьмое, Genesis, пришлось на январь 2023-го. Последовательность такая: упала Luna → суд предписал ликвидировать 3AC → у кредиторов 3AC, таких как Voyager и Genesis, образовались дыры → в ноябре рухнула FTX → BlockFi, получившая кредитную линию от FTX, подала на банкротство → в январе 2023 года Genesis подала на банкротство, а средства клиентов Gemini Earn оказались заморожены.

25. Крах TerraUSD / Luna (май 2022)

Потеря: за неделю испарилось почти $45 млрд рыночной капитализации. Причина: смертельная спираль алгоритмического стейблкоина. Депег UST → арбитражёры обменивали UST на LUNA → предложение LUNA выросло примерно с 1 млрд до примерно 6 трлн токенов за три дня → цена LUNA рухнула до долей цента → UST упал до $0,13. Полная версия: см. Корабельная летопись, Том 2 · Крах Terra/Luna по дням. Статус Do Kwon: арестован в Черногории в марте 2023 года, экстрадирован в США 31 декабря 2024 года, в августе 2025 года признал вину по двум пунктам обвинения в мошенничестве, 11 декабря 2025 года приговорён к 15 годам.

26. Three Arrows Capital крах (июнь 2022)

Потеря: примерно ~$10 млрд AUM испарилось, с каскадными эффектами на кредиторов. Причина: 3AC, криптохедж-фонд, основанный Су Чжу и Кайлом Дэвисом, держал позиции с плечом в LUNA, stETH и других активах. Коллапс Luna запустил первоначальный ущерб; депег stETH в июне 2022 усугубил его. 3AC не мог удовлетворить margin call. Разрешение: суд Британских Виргинских островов приказал ликвидацию 27 июня 2022. В сентябре 2023 года ликвидатор Teneo добился в сингапурском суде ордера на заключение под стражу за неуважение к суду — за отказ сотрудничать с ликвидацией (это не уголовный ордер на арест); 29 сентября Су Чжу задержали в аэропорту Чанги и приговорили к четырём месяцам тюрьмы. Системный эффект: Voyager ссудила 3AC около $670 млн (№ 28), Genesis — $2,4 млрд (№ 31); после краха 3AC эти займы не удалось вернуть. BlockFi продержался на экстренном кредите FTX до ноября и рухнул уже вслед за FTX (см. № 30).

27. Celsius Network $4,7 млрд (июнь 2022)

Потеря: примерно $4,7 млрд в клиентских депозитах заморожены. Причина: Celsius обещал 17% годовой доходности на депозиты. Фактическая доходность генерировалась развёртыванием клиентских средств в Anchor Protocol (19,5%) + арбитраж stETH. Коллапс Luna убил Anchor; депег stETH усугубил потерю; Celsius приостановил выводы 13 июня 2022. Разрешение: процедура банкротства 2022-2024; CEO Алекс Машински в декабре 2024 признал вину по 2 пунктам (мошенничество на товарном рынке и мошенничество с ценными бумагами через манипулирование токеном CEL), в мае 2025 приговорён к 12 годам. Клиенты получили примерно 60% крипто-стоимости плюс 20% как акции в реорганизованной сущности.

28. Voyager Digital $1,65 млрд (июль 2022)

Потеря: примерно $1,65 млрд в клиентских активах. Причина: Voyager был крипто-брокером, чьи акции торговались на Фондовой бирже Торонто (TSX). Он выдал примерно $670 млн в клиентско-финансируемых займах единому контрагенту — Three Arrows Capital. Когда 3AC дефолтнул в июне 2022, Voyager не мог взыскать заём. Банкротство последовало в июле. Разрешение: в мае 2023 суд утвердил план, в июне открылись выводы — первая выплата составила 35,72%; ещё $445 млн ждут исхода приоритетного требования Alameda, после чего последуют дальнейшие распределения.

29. FTX крах империи $8 млрд (ноябрь 2022)

FTX рухнула за девять дней. 2 ноября 2022 года CoinDesk опубликовала утёкший баланс Alameda Research, показавший, что залог под крупнейшие позиции аффилированной торговой фирмы концентрирован в FTT — собственном токене биржи. Набег вкладчиков, последовавший за публикацией, вскрыл нечто куда более серьёзное: Alameda, торговая фирма, контролируемая Сэмом Бэнкман-Фридом, годами присваивала клиентские депозиты FTX, и недостача составляла примерно $8 млрд. Конкурсный управляющий Джон Дж. Рей III, ранее исполнявший ту же роль в Enron, позже сформулирует это яснее любого прокурора: «Никогда в моей карьере я не видел такого полного провала корпоративных контролей и такого полного отсутствия достоверной финансовой информации, как здесь». Бэнкман-Фрид был осуждён по всем 7 обвинениям в ноябре 2023 года, в марте 2024 года приговорён к 25 годам тюремного заключения и конфискации примерно $11 млрд; 12 июня 2026 года апелляционный суд второго округа оставил приговор и срок в силе, а в сентябре 2026 года он подал ходатайство в Верховный суд США. Клиенты FTX получают выплаты по плану реорганизации поэтапно с 2025 года — в долларах по стоимости на 11 ноября 2022 года. Полная девятидневная реконструкция — в Корабельной летописи, Том 3 · FTX.

30. BlockFi банкротство (ноябрь 2022)

Потеря: примерно $300 млн в клиентских средствах заморожены. Причина: BlockFi принял $400 млн экстренной кредитной линии от FTX в середине 2022 (полагая, что FTX — стабильная поддержка). Когда FTX рухнул, экспозиция BlockFi к FTX/Alameda в сочетании с её экспозицией 3AC стала невозвратной. Банкротство подано 28 ноября 2022.

31. Genesis Global Capital (январь 2023)

Потеря: только перед 50 крупнейшими кредиторами — более $3,5 млрд долга. Причина: Genesis ссудил $2,4 млрд 3AC (раскрытие пришло постфактум); потеря была невозвратной. Одновременно $175 млн в депозитах Alameda также потеряны при крахе FTX. Банкротство подано 19 января 2023. Каскадный эффект: клиентский продукт Gemini Earn работал через Genesis. Когда Genesis приостановил, около $900 млн в клиентских средствах Gemini Earn были заморожены.

Глава 5: История депегов стейблкоинов

Эта глава консолидирует события, специфичные для стейблкоинов. Урок здесь в том, что Terra/UST не был первым алгоритмическим стейблкоином, провалившимся. Он был последним в длинной линии. Любой, изучавший историю стейблкоинов до мая 2022, знал точно, что произойдёт.

32. NuBits (июнь 2016 / март 2018)

Потеря: совокупная эрозия рыночной капитализации примерно $15 млн через два события депега. Механизм: NuBits был алгоритмическим стейблкоином, парным с governance-токеном NuShares — почти идентичным дизайну Luna/UST шесть лет спустя. Исход: первый депег июнь 2016 до $0,21, краткое восстановление; второй депег март 2018 до $0,04, никогда не восстановился. Значимость: первый случай смертельной спирали в крипто-истории. Любой, изучавший дизайн стейблкоинов до 2022, знал бы о NuBits.

33. BitUSD постоянный депег (2014+)

Потеря: трудно квантифицировать точно, но значительный ущерб экосистеме. Механизм: BitShares-обеспеченный BTS-залоговый стейблкоин; сверх-коллатеризованный BTS для чеканки BitUSD. Исход: падения цены BTS вызывали повторяющийся депег BitUSD до диапазона $0,70-0,80; потерял эффективную ликвидность к 2018. Значимость: примечателен как предшественник всех сверх-коллатеризованных стейблкоинов.

34. Neutrino USDN (апрель 2022)

Потеря: USDN депег до $0,70; косвенная потеря $500 млн в экосистеме цепи Waves. Механизм: алгоритмический стейблкоин цепи Waves, использующий governance-токен WAVES для поглощения волатильности цены — похоже на UST. Исход: апрель 2022 первый депег, кратко восстановился; июнь 2022 (один месяц после коллапса Luna) депег снова и никогда не восстановился. Значимость: произошло в окне, когда доверие рынка к алгоритмическим стейблкоинам уже было в свободном падении после Luna; восстановление больше не было возможным.

Глава 6: Текущая расплата 2023-2026

После каскада 2022 индустрия вошла в фазу непрерывных расчётов. Девять событий этой главы делят характеристики: атаки Lazarus Group (DMM / WazirX / Atomic / Bybit), единые точки отказа (PlayDapp / Multichain), повторное появление старых уязвимостей смарт-контрактов (Curve) и взлом облачного провайдера (Mixin).

35. Atomic Wallet $100 млн (июнь 2023)

Потеря: примерно $100 млн через многие цепи и валюты. Причина: пользователи Atomic Wallet App наблюдали широкие несанкционированные движения средств 2 июня 2023. Точный механизм никогда полностью публично не раскрывался. Атрибуция: анализ Elliptic ончейн атрибутирован северокорейской Lazarus Group. Разрешение: Atomic Wallet никогда не предоставлял полного плана возмещения. Значимость: первый крупный инцидент, демонстрирующий, что «некастодиальные кошельковые приложения» сами являются единой точкой отказа, отдельной от базового протокола.

36. Curve Finance уязвимость Vyper (июль 2023)

Потеря: примерно $65 млн через множественные пулы Curve. Причина: не код самого Curve — компилятор Vyper версий 0.2.15, 0.2.16 и 0.3.0 имел провал защиты reentrancy. Пулы, написанные в этих версиях, были уязвимы. Связанный риск: цена CRV резко обрушилась, едва не запустив принудительную ликвидацию личных кредитных позиций основателя Curve Михаила Егорова. Егоров срочно продавал большие количества CRV в OTC-сделках с Сан Юйчэнь, DCF God, Machi (Джеффри Хуан), DWF Labs и другими покупателями для предотвращения ликвидации. Значимость: выявило риск цепочки поставок, присущий смарт-контрактам — ваш протокол может быть идеально безопасен, но если у компилятора есть баг, вы всё равно уязвимы.

37. Остановка Multichain (июль 2023)

Потеря: примерно $126 млн в пользовательских средствах заморожены. Что произошло: Multichain (прежде Anyswap) — протокол кросс-чейн моста. В июле 2023 года команда объявила, что не может продолжать работу, и активы в мосте стало невозможно вывести. Значимость: кросс-чейн мост зависит от небольшого числа ключевых людей; когда команда недоступна, средства остаются замороженными.

38. Mixin Network $200 млн (сентябрь 2023)

Потеря: примерно $200 млн. Причина: Mixin — гонконгский кросс-чейн протокол. В сентябре 2023 нарушение базы данных облачного провайдера привело к частичному раскрытию приватных ключей. Разрешение: основатель в прямом эфире объявил план компенсации: половину потерь возмещают сразу, на вторую половину выпускают долговые токены, которые потом будут выкупаться из прибыли. Значимость: добавило «облачного провайдера» как новый вектор атаки в крипто-фреймворк рисков.

39. Взломы HTX (Huobi): сентябрь и ноябрь 2023

Потеря: около $8 млн в сентябре 2023; в ноябре — около $26,2 млн с горячих кошельков HTX и ещё около $87 млн с моста Heco в том же месяце, вместе с мостом около $120 млн. Причина: HTX отчитался о подряд горячих кошельковых нарушениях в сентябре и ноябре 2023. Контекст: HTX к этому периоду был операционно контролируем Сан Юйчэнь. Сан публично обязался личными средствами покрыть все клиентские потери; клиенты понесли нулевую чистую потерю.

40. PlayDapp $290 млн эксплойт чеканки (февраль 2024)

Потеря: примерно $290 млн в влиянии на предложение токенов PLA (около 1,79 млрд токенов PLA отчеканены и частично проданы). Причина: компрометация приватного ключа дала атакующему полномочия чеканки контракта токена PLA. Атакующий 9 февраля отчеканил 200 млн PLA, 12 февраля — ещё 1,59 млрд, всего около 1,79 млрд (примерно втрое больше 577 млн, находившихся в обращении до атаки), и постепенно сбрасывал их на биржах. Значимость: вынесло относительно мало-внимания «управление полномочиями чеканки смарт-контракта» риск на передний план.

41. DMM Bitcoin $308 млн Япония (май 2024)

Потеря: примерно $308 млн на момент атаки (4502,9 BTC). Причина: японская биржа; вход нашли через её поставщика кошелькового ПО — компанию Ginco. В конце марта 2024 атакующие, выдавая себя за рекрутера в LinkedIn, прислали сотруднику Ginco с доступом к системе управления кошельками вредоносный Python-скрипт под видом тестового задания при приёме на работу. С середины мая они с помощью украденного сессионного cookie выдавали себя за этого сотрудника в незашифрованной системе коммуникаций Ginco, а в конце мая, по всей видимости, через неё подменили обычный запрос на перевод, инициированный сотрудником DMM. Атрибуция: ФБР, Киберпреступный центр Министерства обороны США (DC3) и Национальное полицейское агентство Японии совместно приписали атаку северокорейским кибероператорам, которых отслеживают как TraderTraitor (их обычно относят к кластеру Lazarus). Разрешение: группа DMM (крупная японская родительская корпорация) ввела капитал для покрытия всех клиентских потерь в полном объёме. В декабре 2024 DMM объявил, что закроет свой бизнес криптобиржи; клиентские активы были переведены в SBI VC Trade.

42. WazirX $230 млн Индия (июль 2024)

Потеря: примерно $230 млн. Причина: крупнейшая индийская криптобиржа. У взломанного мультиподписного кошелька было 6 подписантов — 5 со стороны WazirX и 1 со стороны кастодиального провайдера Liminal; перевод требовал одобрения трёх подписантов WazirX, после чего финальное одобрение давал Liminal. В момент атаки то, что показывал интерфейс Liminal, не совпадало с тем, что фактически подписывалось: WazirX подозревает, что транзакцию подменили на передачу контроля над кошельком атакующему. Атрибуция: ончейн анализ атрибутирован северокорейской Lazarus Group. Разрешение: WazirX прошёл через схему реструктуризации долгов (scheme of arrangement) под надзором сингапурского суда — это не банкротная ликвидация. Высокий суд Сингапура утвердил схему 13 октября 2025 года, 15 октября она вступила в силу, 24 октября торговля на платформе возобновилась. По словам WazirX, в течение 10 рабочих дней после перезапуска пользователи, отвечающие условиям, получили первую выплату — около 85% признанных требований (по оценке на референсную дату), а остальное привязано к дальнейшему возврату средств через Recovery Token.

43. Bybit около $1,5 млрд фронтенд-перехват (февраль 2025)

В феврале 2025 года Bybit занимался тем, что должно было быть рутинной сантехникой — мультиподписным переводом с холодного на горячий кошелёк, — когда страница подписи перед его подписантами оказалась перехваченной. Вредоносный JavaScript, внедрённый во фронтенд, переписал то, что подписанты видели на экране, не изменив того, что они в итоге подписали. Экран отображал нормальный перевод; фактическая инструкция авторизовывала контролируемый атакующим адрес. К моменту, когда расхождение было замечено, со счетов уже ушло примерно 400 000 ETH (около $1,5 млрд, по оценке ФБР), что сделало этот инцидент крупнейшим разовым хаком в истории крипто. ФБР публично возложило ответственность за атаку на КНДР и называет эту активность TraderTraitor (её обычно относят к кластеру Lazarus). Bybit не приостанавливал вывод средств: за несколько дней биржа закрыла дыру за счёт собственных резервов, займов от партнёров и покупки ETH и объявила, что клиенты ничего не потеряют, — при том, что её собственный баланс поглотил весь удар целиком. Класс уязвимости был знакомым — Ledger Connect Kit продемонстрировал перехват страницы подписи фронтенда ещё в 2023 году, — но масштаб оказался более чем в 2000 раз больше, и урок о том, что аппаратные кошельки защищают от кражи приватного ключа, но не от «подписания неверного содержимого», наконец перестал быть абстрактным.

Глава 7: Дополнения по проектам + Макро/политические чёрные лебеди

Предыдущие шесть глав охватили 43 события на уровне проектов. Эта глава добавляет десять больше: пять событий на уровне проектов, которые первые шесть глав опустили, и пять макро/политических чёрных лебедей — событий, которые не нацеливались на какой-либо конкретный проект: это рыночные удары, когда по всей криптоиндустрии разом били суверенное регулирование, глобальный кризис ликвидности или санкционная политика. Итого в нумерации 53 события: 48 на уровне проектов и 5 макро/политических.

А. Дополнения по проектам

44. Уязвимость CVE-2010-5139 · переполнение значений · 184,4 млрд BTC (15 августа 2010)

Потеря: 184,4 млрд BTC отчеканено из воздуха (ончейн реальность, нулевая долларовая потеря, потому что BTC по существу не имел рыночной цены в то время). Причина: CVE-2010-5139 — уязвимость переполнения значений вывода транзакции Биткоина. Атакующий создал одну транзакцию, которая отчеканила 184,4 млрд BTC прямо в свой кошелёк. Транзакция попала в блок 74638; при награде 50 BTC за блок в обращении тогда было не более примерно 3,73 млн монет, так что эмиссия превышала предложение примерно в 49 000 раз. Разрешение: Сатоши Накамото и другие основные разработчики выпустили версию 0.3.10 в течение 5 часов; это был софтфорк (ужесточение правил консенсуса), и на блоке 74691 цепь завершила реорганизацию. Примерно 53 блока стали осиротевшими. Значимость: первая крупная ончейн-катастрофа в истории крипто.

45. Mango Markets: инцидент с ценовым оракулом (11 октября 2022)

Потеря: примерно $114 млн. Причина: Авраам Айзенберг использовал примерно $10 млн USDC для одновременного открытия длинных и коротких MNGO позиций на Mango Markets (DEX перпетуальный протокол на основе Solana). Затем он крупными покупками на внешних площадках поднял спот-цену MNGO примерно на 1300%, использовал подорожавший MNGO как залог и одолжил полный пул ликвидности протокола $114 млн в Mango, затем вывел. Айзенберг постфактум публично заявил, что это была «легальная высокодоходная торговая стратегия». Разрешение: Айзенберг арестован в Пуэрто-Рико декабрь 2022; осуждён по мошенничеству электросвязи, товарному мошенничеству и манипуляции товарным рынком судом присяжных Южного округа Нью-Йорка, апрель 2024; в мае 2025 судья Арун Субраманиан на основании Правила 29 отменил все три обвинительных вердикта (ненадлежащая территориальная подсудность и недостаточность доказательств мошенничества).

46. USDC депег · кризис банка SVB (10-13 марта 2023)

Во второй половине дня 10 марта 2023 года Silicon Valley Bank объявил о провале, и в течение нескольких часов Circle раскрыла, что из её резерва USDC в $40 млрд примерно $3,3 млрд — около 8,25% — хранилось наличными именно в SVB. Арифметика, которую рынок проделал в последующие 24 часа, была простой и беспощадной: если вкладчики SVB не будут компенсированы в полном объёме, у Circle возникнет немедленная недостача баланса, и USDC не сможет обеспечить погашение 1:1. К субботнему утру USDC торговался по $0,88 на Curve 3pool и Uniswap, весь стейблкоин-рынок находился в панической распродаже, и крупнейший депег, какой когда-либо переживал стейблкоин с фиатными резервами, уже шёл полным ходом. Развязка наступила в воскресенье, 12 марта, когда Минфин США, FDIC и Федрезерв совместно объявили о полной защите всех вкладчиков SVB. Circle тем же вечером получила полные резервы USDC обратно, и в течение 36 часов USDC восстановил привязку $1,00. Урок закрепился: «стейблкоин со 100% покрытием наличными» всё равно несёт системный банковский риск — это режим отказа, полностью отличный от алгоритмической спирали, поглотившей NuBits и UST. Каждый ориентированный на комплаенс стейблкоин в последующие месяцы тихо увеличивал долю казначейских облигаций в резервах и сокращал банковские депозиты. Практический вывод: не держите все сбережения в одном стейблкоине или у одного эмитента.

47. Euler Finance $197 млн Hack-Returned (март 2023)

Потеря: примерно $197 млн (крупнейшая разовая DeFi-атака 2023 года на момент события). Причина: функция donateToReserves кредитного протокола Euler V1 имела изъян — атакующий использовал комбинации само-займ-само-залог плюс флеш-кредит для обхода проверки фактора здоровья протокола и истощения множественных пулов. Разрешение: начиная с 16 марта атакующий после ончейн-переговоров возвращал средства частями, и к 3 апреля все подлежащие возврату средства (около $240 млн по тогдашним ценам) были возвращены; пострадавшие пользователи получили обратно именно эти возвращённые активы. Значимость: похоже на Poly Network 2021 — крупный DeFi-хак, в котором атакующий добровольно вернул все подлежащие возврату средства.

48. Solana остановки мейннета (2021-2024)

Потеря: нет прямой потери активов за инцидент, но каждая остановка останавливала все Solana DeFi-протоколы, потоки депозита/вывода CEX и торговлю NFT, вызывая значительный косвенный экономический ущерб. Основные зафиксированные остановки: сентябрь 2021 — 17 часов (крах трафика Grape Protocol IDO); апрель–май 2022 — около 8 часов (трафик NFT-минта + исчерпание памяти валидаторов); июнь 2022 — 4 часа; февраль 2023 — 19 часов (один валидатор разослал аномально большой блок и перегрузил дедупликацию Turbine); февраль 2024 — кратковременная остановка. Значимость: провалы мейннета Layer-1 не редки в крипто, но обычно игнорируются рынками. Solana — самый высокочастотный нарушитель — с сентября 2021 по февраль 2024 года в среднем одна остановка каждые 6-9 месяцев; после этого и до мая 2026 года, когда писалась статья, остановок не было больше двух лет. Любой, кто хранит активы в сети Layer-1, должен относиться к «остановке цепи» как к рутинному соображению риска, а не хвостовому событию.

Б. Макро / политические чёрные лебеди

49. ЦБ Китая запрет 5 ведомств (5 декабря 2013)

Рыночное влияние: 5 декабря на BTCChina биткоин открылся на ¥7005, минимальная цена покупки опустилась до ¥4521, индекс CoinDesk за день потерял 22,5%; ниже ¥3000 цена ушла только после 18 декабря, когда BTCChina прекратила приём юаневых депозитов. Причина: Народный банк Китая, Министерство промышленности и информатизации, Регуляторная комиссия по банковскому надзору, Регуляторная комиссия по ценным бумагам и Регуляторная комиссия по страховому надзору совместно выпустили «Уведомление о предотвращении биткоин-рисков» — запрет финансовым учреждениям предоставлять биткоин-услуги, отрицание денежного статуса биткоина и требование к сторонним платёжным учреждениям прекратить обслуживание криптобирж. Результат: три тогда крупнейшие китайские биржи (Huobi, OKCoin, BTCChina — совместно мировая тройка лидеров в то время) имели свои фиатные шлюзы перерезанные в течение 60 дней и быстро потеряли долю рынка офшорным биржам. Значимость: первый раз, когда крипто-рынки резко падали из-за суверенного регуляторного действия. Установлен шаблон «китайский регуляторный документ + глобальное падение рынка», который будет реплицироваться в 2017 и 2021.

50. Запрет ICO 9.4 в Китае (4 сентября 2017)

Рыночное влияние: BTC упал с $4900 до $3000 (-39%), ETH с $390 до $220 (-44%). Причина: Народный банк Китая и шесть других ведомств совместно выпустили «Уведомление о предотвращении рисков от выпусков токенов и финансирования» — запрет ICO, приказ закрыть внутренние биржи и требование к ICO-проектам вернуть инвесторам собранные средства. Результат: Huobi, OKCoin, BTCChina прекратили торговлю CNY в течение 60 дней (большинство перебрендировались как офшорные «международные издания»). Модель ICO в материковом Китае была эффективно завершена; глобальное ICO-финансирование упало с пика Q3 2017 в $6,6 млрд практически до нуля к 2019. Значимость: первый раз, когда крипто вошло в режим «глобального медвежьего рынка с ускорением» из-за одностраного регуляторного действия.

51. Чёрный четверг · COVID кризис ликвидности (12 марта 2020)

Рыночное влияние: 12 марта BTC потерял около 39% — крупнейшее однодневное падение за семь лет; к утру 13 марта (UTC) он дошёл до минимума $3867, и от $7900 падение за два дня составило около 50%. Причина: пандемия COVID-19 спровоцировала глобальный кризис ликвидности. Все рисковые активы продавались синхронно, но крипто упало в 2-3 раза больше из-за 24/7 торговли в сочетании с глобально распределённым розничным плечом. BitMEX и другие биржи перпетуальных фьючерсов испытали каскадные ликвидации. Разрешение: общая дневная ликвидация превысила $1,8 млрд. BTC восстановился до $5500 в течение 48 часов и к концу апреля вернулся выше уровней до события. Значимость: продемонстрировало, что крипто не «безопасный актив» в макро-кризисах ликвидности — это «актив усиления риска». Навсегда изменило нарратив до 2020 о том, что «BTC — это цифровое золото».

52. Обвал 19 мая 2021 года и вытеснение майнинга из Китая

Рыночное влияние: BTC упал с $43 000 до $30 000 за один день (-30%), ETH одновременно -40%. Причина: 18 мая три ассоциации — интернет-финансов, банковская и платёжно-клиринговая — выпустили предупреждение о рисках, и на следующий день рынок обвалился; 21 мая 51-е заседание Комитета по финансовой стабильности и развитию Госсовета дополнительно ясно заявило: «бороться с биткоин-майнингом и торговой деятельностью». Затем Внутренняя Монголия, Синьцзян, Сычуань, Цинхай и Юньнань последовательно издали конкретные политики очистки. Результат: глобальный хешрейт BTC упал с 180 EH/s до 90 EH/s (-50%) в течение 60 дней. Майнеры массово мигрировали в Северную Америку (преимущественно Техас), Казахстан и Россию. Время блока BTC временно растянулось с 10 минут до более 18 минут. Значимость: крупнейшее географическое перераспределение хешрейта в истории крипто.

53. Санкции OFAC против Tornado Cash · прецедент open-source кода (8 августа 2022)

Рыночное влияние: относительно сдержанное (BTC -5%), но удар по сообществу разработчиков был огромным; governance-токен TORN -50%; адреса Ethereum, связанные с Tornado Cash, были проактивно занесены в чёрный список крупными DeFi-протоколами (Aave, Uniswap, dYdX). Причина: Управление по контролю за иностранными активами Минфина США (OFAC) добавило Tornado Cash, микшер на open-source коде, в список SDN санкций. Это был первый раз, когда США санкционировали «open-source программное обеспечение», а не конкретную компанию или физлицо. В том же месяце разработчик Алексей Перцев был арестован в Нидерландах. Последующие события: август 2023, американский разработчик Роман Шторм был арестован в США и обвинён в соучастии в отмывании денег; ноябрь 2024, Апелляционный суд США Пятого округа постановил, что санкции OFAC против open-source кода «превысили статутные полномочия», частично отменив исходные санкции; 21 марта 2025 года Минфин США исключил Tornado Cash из списка SDN. Значимость: впервые перенесло в федеральные суды США фундаментальный правовой вопрос крипто-мира «можно ли санкционировать сам код».

⭐ 12 ключевых уроков (резюме)

Эти двенадцать уроков — рабочий чек-лист, сведённый из 53 событий выше. Каждый урок сопряжён с конкретными событиями, которые его установили.

А. Хранение на централизованных биржах (уроки 1-3)

1. Выбирайте биржи по Proof of Reserves, не по харизме CEO. Смотрите на три вещи: регулярная публикация, проверяемое доказательство обязательств перед пользователями и возможность самому найти свой аккаунт в снимке текущего периода. Отчёт независимой третьей стороны заслуживает большего доверия.
2. Аффилированные торговые фирмы без сегрегации — план краха. FTX-Alameda и внутренняя книга Celsius — одна схема; рядом с ней Voyager, отдавший займы единственному крупному контрагенту — 3AC. Смотрите, не управляет ли родительская организация биржи несвязанным маркет-мейкером, хедж-фондом или нераскрытой проп-книгой.
3. Пауза вывода — тревога высшего уровня. Mt.Gox, FTX, Celsius, Voyager, Cryptopia, Multichain после приостановки выводов так и не вернулись к нормальной работе. Bitstamp в 2015 году смог открыться через неделю, потому что недостачу сразу закрыли деньгами инвесторов; WazirX после инцидента 2024 года возобновил торговлю только в октябре 2025 года, пройдя сингапурскую реструктуризацию долгов. Увидев объявление «вывод приостановлен + временные технические проблемы», готовьтесь к худшему сценарию.

Б. Стейблкоины (уроки 4-5)

4. «Стейблкоин» — маркетинговый ярлык — всегда проверяйте фактический механизм резерва. Централизованно резервируемые (USDT/USDC/FDUSD) зависят от платёжеспособности эмитента + безопасности банковских партнёров (USDC SVB 2023 продемонстрировал второе). Алгоритмические (UST/USDN/NuBits) зависят от продолжающейся веры в governance-токен. Оба могут провалиться разными способами.
5. Чисто алгоритмические стейблкоины структурно мертвы. NuBits, BitUSD, Iron Finance/TITAN, Terra/UST, Neutrino USDN — пять депег-до-нуля случаев, доказывающих схему смертельной спирали. Не поддавайтесь маркетингу «Алгоритмический стейблкоин 2.0».

В. DeFi и кросс-чейн (уроки 6-8)

6. Кросс-чейн мосты — крупнейшая поверхность атаки 2021–2022 годов, используйте их минимально. Poly Network $611 млн, Wormhole $326 млн, Ronin $625 млн, Nomad $190 млн, Multichain $126 млн, Harmony Horizon $100 млн, Heco $87 млн — семь случаев, в сумме больше $2 млрд (из них $611 млн Poly позже вернули полностью).
7. Флеш-кредит плюс атаки управления делают любой малоликвидный пул governance-токенов уязвимым. Beanstalk продемонстрировал схему. Проверяйте, можно ли в протоколах ваших DeFi-позиций занять голосующую силу внутри одной транзакции: у Beanstalk был порог «предложение висит 24 часа», и всё равно его исполнили голосами, взятыми через флеш-кредит, — одного периода ожидания мало.
8. Аппаратные кошельки останавливают кражу приватного ключа, но не подписание неверного содержания. Bybit 2025 (около $1,5 млрд), Ledger Connect Kit 2023 ($600 тыс.), фишинг с подписями Permit2, повторяющийся из года в год, — все включали пользователей, подписывающих перехваченное содержимое на корректно работающем железе.

Г. Самостоятельное хранение (урок 9)

9. Никогда не концентрируйтесь в одном векторе. На бирже держите только то, чем реально торгуете, а долгосрочные активы переводите на холодный кошелёк, ключи от которого у вас. Мультисиг и кастодианы — не отдельная «безопасная корзина»: № 4, 42 и 43 — всё это мультиподписные схемы, которые были взломаны. Клиенты, державшие всё на FTX, 11 ноября 2022 года лишились доступа ко всем активам, а выплаты по плану реорганизации начали получать поэтапно только с 2025 года. На бумаге большинство вернули около 118% признанных требований, но в долларах по стоимости на 11 ноября 2022 года — после двух с лишним лет заморозки и без всякого участия в росте крипты.

Д. ICO / проекты (уроки 10-11)

10. «Гарантированная доходность» почти всегда означает пирамиду. BitConnect 1% в день, OneCoin непрозрачные доходы, Anchor 19,5%, Celsius 17%, PlusToken 9-30% ежемесячно — все обещали доходы, которые не могли фактически генерировать.
11. Поддержка знаменитостей — не валидация проекта. Флойд Мейвезер и DJ Khaled продвигали Centra Tech; Том Брэди появлялся в рекламе FTX. То, что проект платит знаменитости, не значит, что кто-то провёл проверку за вас.

Е. Мета-урок (урок 12)