5 сит для выбора крипто-биржи · криминалистический пре-мортем-фреймворк

Введение · восемь кораблей, один чертёж

Восемь случаев в этом уроке: Mt.Gox 2014, Bitfinex 2016, BitGrail 2018, Cryptopia 2019, QuadrigaCX 2019, Celsius 2022, Voyager 2022, FTX 2022. Если читать их подряд, то, чего не хватало до каждого из них, укладывается в пять категорий. Это и есть пять сит. Bitfinex 2016 — исключение: там причина была технической (компрометация мультисиг-кошелька), а не управленческой.

Структура урока — четыре части. Сначала по абзацу о каждом из восьми случаев. Затем пять сит — для каждого процедура проверки и то, что архиву удалось проверить о крупных биржах по этому ситу. Затем — как оценить биржу самому. И наконец — где этот метод не работает.

1. Восемь крушений рядом

Каждый случай — один абзац: масштаб, убыток, причина и ранние публичные сигналы.

Mt.Gox 2014

Масштаб: на пике — более 70% мирового оборота BTC. Убыток: компания объявила о пропаже около 850 000 BTC и позже нашла около 200 000. Первопричина: по ончейн-расследованию Wizsec 2017 года, приватные ключи горячего кошелька были украдены в сентябре 2011 года, и за следующие два года с него вывели около 630 000 BTC. Ранние сигналы: в мае 2013 года Министерство внутренней безопасности США изъяло счета американской дочерней компании Mt.Gox; с июня 2013 года были приостановлены выводы в долларах, и жалобы на задержки выводов не прекращались. Подробно — в томе о Mt.Gox.

Bitfinex 2016

Масштаб: одна из основных USD/BTC-площадок того времени. Убыток: около 120 000 BTC — примерно $72 млн в долларах 2016 года. Первопричина: была скомпрометирована мультисиг-архитектура кошелька, реализованная с BitGo. Исход: Bitfinex не обанкротился. Балансы всех пользователей были уменьшены примерно на 36% с компенсацией токеном «BFX»; биржа работает до сих пор. Позже: в 2022 году Минюст США объявил об изъятии около 94 000 BTC, связанных с этим делом. Это единственный случай в выборке, где первопричина техническая, а не управленческая.

BitGrail 2018

Масштаб: небольшая итальянская биржа, но основная торговая площадка для NANO. Убыток: около 17 миллионов NANO, примерно $170 млн на тот момент. Что произошло: 9 февраля 2018 года BitGrail объявила о взломе, выводы пользователей остановились. Исход: пострадавшие подали коллективный иск к основателю Франческо Фирано; в январе 2019 года суд Флоренции установил, что BitGrail не обеспечила мер защиты и не сообщала о потерях (Википедия · Nano).

Cryptopia 2019

Масштаб: средняя новозеландская биржа. Убыток: в январе 2019 года был взломан горячий кошелёк; блокчейн-компания Elementus оценила похищенное примерно в 24 млн новозеландских долларов по тогдашним ценам, и хищение продолжалось ещё несколько недель (Википедия · Cryptopia). Исход: в мае 2019 года биржа ушла в ликвидацию.

QuadrigaCX 2019

Масштаб: крупнейшая канадская крипто-биржа на тот момент. Убыток: по обзору, опубликованному сотрудниками Комиссии по ценным бумагам Онтарио (OSC) в июне 2020 года, более 76 000 клиентов причиталось активов на 215 млн канадских долларов, а итоговые потери составили не менее 169 млн. Что произошло: 14 января 2019 года Quadriga объявила, что основатель Джеральд Коттен скончался в Индии месяцем ранее; 5 февраля платформа прекратила работу и подала заявление о защите от кредиторов. Первопричина: по оценке сотрудников OSC, большая часть недостачи возникла из-за мошеннических действий Коттена — он открывал на собственной платформе счета под вымышленными именами, зачислял на них несуществующие балансы, торговал против реальных клиентов и покрывал убытки депозитами других клиентов (отчёт OSC). Это выводы сотрудников регулятора, в суде они не проверялись. Подробно — в томе о QuadrigaCX.

Celsius 2022

Что это было: американская крипто-кредитная платформа, не биржа. Что произошло: 13 июня 2022 года остановила выводы, в июле подала на банкротство. Первопричина: в иске Федеральной торговой комиссии США от июля 2023 года утверждается, что Celsius обманом побуждала потребителей переводить криптоактивы на платформу и присвоила более $4 млрд пользовательских депозитов (сообщение FTC). Исход: CEO Алекс Машинский получил обвинения по семи федеральным пунктам, включая мошенничество с ценными бумагами; в декабре 2024 года он признал вину (по одному пункту о товарном мошенничестве и о мошенничестве с ценными бумагами), а в мае 2025 года был приговорён к 12 годам заключения (Википедия · Alex Mashinsky).

Voyager 2022

Что это было: крипто-брокер и кредитная платформа, акции которой торговались на Торонтской фондовой бирже. Первопричина: Voyager одолжил примерно $670 млн одному контрагенту — Three Arrows Capital (3AC); когда 3AC рухнул в июне 2022 года, вернуть кредит не удалось (Википедия · Voyager Digital). Что произошло: в июле 2022 года компания подала на банкротство.

FTX 2022

Масштаб: одна из крупнейших глобальных крипто-бирж до краха. Убыток: около $8 млрд дефицита клиентских средств. Первопричина: аффилированная Alameda Research использовала средства клиентов FTX. Полная реконструкция — в Корабельной летописи · Том третий. Ранний сигнал: 2 ноября 2022 года CoinDesk сообщил, какую долю баланса Alameda составлял FTT; 7 ноября SBF всё ещё писал в Twitter: «FTX is fine. Assets are fine.» Через четыре дня FTX подал на банкротство.

2. Общие ранние сигналы

По первопричине восемь случаев относятся к разным группам — мошенничество и присвоение средств инсайдерами, крах контрагента, сбои кошельков и безопасности. Но если поставить их рядом, проблемы раскладываются по пяти измерениям: проверялись ли резервы независимо, работала ли площадка в одной юрисдикции, был ли фонд защиты пользователей, были ли отделены аффилированные торговые и кредитные структуры и было ли в публичных заявлениях руководителей что-то проверяемое. Bitfinex 2016 остаётся исключением: там причина техническая, а не управленческая. Эти пять измерений, инвертированные, и есть пять сит.

3. Пять сит

Для каждого сита я пишу четыре вещи: (1) почему оно важно, привязка к историческим крушениям; (2) историческое происхождение стандарта, потому что каждый стандарт откуда-то появился; (3) точная процедура верификации, шаг за шагом; (4) что архиву удалось проверить по открытым источникам о Binance, Coinbase, Kraken, Bybit, OKX и ещё нескольких биржах по этому ситу. Одно нужно сказать до того, как вы начнёте читать: архив не выставляет биржам оценки за вас. Пройдите шаги проверки сами; в счёт идёт то, что показано на странице биржи в момент, когда вы её открываете.

Сито 1 · Proof of Reserves вообще есть, выходит ежемесячно, покрывает сторону обязательств — и вы лично можете себя в нём проверить

Почему важно. Без PoR вы позволяете бирже говорить «у нас есть $X», не давая вам это проверить. FTX, QuadrigaCX и Celsius суммарно поглотили почти $13 млрд клиентских средств в ценах ноября 2022 года — ни один из них никогда не публиковал содержательный PoR. Если бы любого из них принудили опубликовать резервный отчёт с Merkle Tree по стороне обязательств хотя бы один раз, разрыв был бы виден. PoR — это не технический вопрос. Это вопрос о том, готова ли биржа дать посторонним посмотреть в книги.

Историческое происхождение. Термин «Proof of Reserves» вошёл в крипто-словарь в 2014 году, когда основатель Kraken Джесси Пауэлл нанял Стефана Томаса (позже CTO Ripple) для проведения первого PoR-аудита в ответ на крах Mt.Gox. Это был первый аудит такого рода, и охват у него был ограниченный. Между 2017 и 2022 годами PoR оставался опциональным. Биржи, желавшие его публиковать, изредка делали это; биржи, не желавшие, — не делали. Принуждения не было.

По-настоящему отраслевым стандартом PoR сделал период вокруг краха FTX в ноябре 2022 года. CZ публично призвал в Twitter все криптобиржи публиковать подтверждение резервов в форме Merkle Tree; затем Binance опубликовал собственное подтверждение резервов BTC с проверочным отчётом Mazars (Википедия · Forvis Mazars). Дальше эта линия оборвалась: 16 декабря 2022 года Mazars выпустила «Statement on Crypto Public Interest Engagements» и остановила работу со всеми крипто-клиентами. С тех пор подписи какой-либо аудиторской фирмы на странице PoR Binance нет — в графе механизма верификации стоит zk-SNARKs. В следующие месяцы другие биржи одна за другой последовали примеру — одни быстро, другие с большой задержкой, а некоторые так и не опубликовали доказательство по стороне обязательств. Когда именно каждая выпустила первую версию, смотрите на её собственной странице PoR и в её объявлениях. Сам этот раскол — кто последовал, кто нет, кто последовал и потом перестал — уже полезное сито, и всё это есть в открытых записях.

С 2023 года · технологическая эволюция: zk-SNARK-доказательство обязательств. Первая волна пост-FTX-PoR использовала простое Merkle-дерево — вы хешируете свой ID аккаунта и проверяете, что ваш индивидуальный баланс включён. Слабость в том, что этот метод не может верифицировать, что сумма всех включённых балансов равна заявленной общей сумме обязательств биржи. Атакующая поверхность: биржа могла бы выдать небольшому подмножеству пользователей урезанные балансы в дереве (реально должны 1 BTC; запись в дереве — 0,9 BTC); каждый пользователь видит только свою строку и не видит агрегат.

С февраля 2023 года Binance добавил в свой PoR модуль zk-SNARK-доказательства обязательств. Криптографическая гарантия в том, что доказательство верифицирует «сумма всех пользовательских балансов равна X» без раскрытия любого индивидуального баланса — и верифицирует, что X меньше или равно общему ончейн-объёму активов. Coinbase, будучи публичной американской листинговой компанией, идёт иным путём: квартальные SOC-отчёты плюс независимый сторонний аудит, плюс SEC 10-Q-подачи как регуляторная подложка. Оба пути верифицируют сторону обязательств. Первый более реал-таймовый и более ончейн. Второй имеет более сильное юридическое возмещение, если аудит оказался мошенническим.

Как верифицировать (шаг за шагом).

1. Откройте официальный сайт биржи, поищите «Proof of Reserves» или «PoR» — если страницы нет, это сито для этой биржи получает ноль.
2. Посмотрите, стоит ли под отчётом чья-то подпись. Имя Big Four или крупной независимой фирмы (Deloitte, PwC) на странице весит больше, чем незнакомый бухгалтер из ниоткуда. Отчёт независимой третьей стороны заслуживает большего доверия; если его нет, остаётся самому сверять ончейн-адреса.
3. Проверьте частоту. Ежемесячно лучше ежеквартально, ежеквартально лучше ежегодно, отсутствие обязательства по частоте означает отсутствие PoR. Пятимесячный снапшот на таком волатильном рынке — функционально просроченная еда.
4. Проверьте, покрывает ли отчёт обязательства. PoR только по активам можно подделать — занять крипту у друга на день снапшота. Сторона обязательств тоже должна иметь проверяемое доказательство. Если отчёт говорит «балансы нашего BTC-кошелька — X», но не говорит «обязательства перед пользователями — Y, и X ≥ Y», ценность отчёта уменьшается вдвое.
5. Проверьте, можете ли вы провести самоаудит. Хороший PoR предоставляет инструмент самоаудита — введите хеш своего аккаунта, мгновенно увидите свой баланс в последнем Merkle-дереве. Есть ли такой инструмент, смотрите на странице PoR каждой биржи.

Как биржи выглядят по этому ситу: у Binance, OKX и Kraken есть официальные страницы PoR (ссылки — в источниках в конце); их частоту, механизм и вход для самопроверки смотрите по тому, что написано на их страницах в текущем периоде. Coinbase идёт путём регулярной отчётности публичной компании, без биржевого входа для самопроверки. По остальным биржам пройдите шаги выше сами, а резервное соотношение текущего периода смотрите на странице PoR каждой площадки: оно всё время меняется.

Сито 2 · минимум три значимые финансовые лицензии в крупных юрисдикциях

Почему важно. Одноюрисдикционная операция концентрирует политический риск. Cryptopia погибла в одной юрисдикции — Новая Зеландия. BitGrail погибла в одной юрисдикции — Италия. Mt.Gox формально работал только в Японии, без лицензированных зарубежных дочерних компаний. Мультиюрисдикционность — это не только диверсификация политического риска, но и то, что минимум три независимых регулятора отдельно проверили комплаенс-досье. Это три независимых одобрения, а не одно. Если вы подозреваете, что комплаенс-документы биржи — это витрина, самое дешёвое опровержение — не нанимать аудитора, а проверить, прошли ли те же документы через таких регуляторов, как US NMLS и Singapore MAS, чьи стандарты не пересекаются.

Список юрисдикций с уровнями качества. Крипто-лицензии делятся на три уровня.

• Tier 1 (реально трудно получить): США New York NYDFS BitLicense (введена в 2015 году; выдано с тех пор сравнительно немного, рассмотрение обычно идёт долго); Япония FSA (минимальный капитал 10 млн JPY, ежемесячная комплаенс-отчётность, требование 95% холодного хранения); Сингапур MAS DPT Licence (лицензии выдаются медленно, число лицензиатов ограничено); Гонконг SFC Type 1/7 (требуется физический офис плюс назначенный ответственный сотрудник).
• Tier 2 (средняя планка): Германия BaFin Kryptowerte (с 2020 года); Ирландия Central Bank; Великобритания FCA Crypto Registration.
• Tier 3: Dubai VARA (основана в 2022 году); Bahamas SCB (та самая, что была у FTX); Kazakhstan AFSA; Сейшелы; Эстония FIU. Одна лицензия Tier 3 не может заменить Tier 1. Международный бизнес FTX опирался именно на багамскую лицензию SCB.

Как верифицировать.

1. Откройте страницу «Регулирование» или «Лицензии» биржи — обычно в подвале или в разделе «О нас». Если страницы нет, или она показывает только картинку без номеров лицензий — ноль.
2. Верифицируйте каждую лицензию в публичном реестре регулятора. FCA, VARA, FINTRAC, FSA, NMLS, MAS, SFC, BaFin — у всех есть публичные реестры лицензиатов. Название компании плюс номер лицензии, 30 секунд на подтверждение.
3. «Подали заявку», «в обсуждении», «принципиальное одобрение» не считаются — только «выдана и в силе» считается. От принципиального одобрения до операционного разрешения может пройти немало времени.
4. Взвешивание уровней. MiCA-CASP (на всю ЕС) > MSB (US FinCEN) > на уровне штата. Первая покрывает 27 стран ЕС; вторая — один штат. Одна MiCA-CASP стоит примерно 4-5 однопровинциальных лицензий.
5. Проверьте, что лицензия всё ещё в силе. Регуляторы публикуют реестры отзывов — после краха FTX Bahamas SCB заморозила активы её дочерней компании FTX Digital Markets и назначила временного ликвидатора.

Для сравнения · примеры лицензий крупных бирж, которые прослеживаются по открытым источникам (сверено в сентябре 2026 года; не полный список).

В таблице — только то, для чего архив нашёл источник. Это не полный список лицензий ни одной из бирж и не рейтинг по количеству: у каждой из них лицензий больше, чем показано, и картина меняется каждый год. Чтобы оценить биржу, пройдите шаги выше и проверьте каждую лицензию в реестре самого регулятора — считается только то, что там значится как «выдана».

Как биржи выглядят по этому ситу: можно сказать о направлении: у Coinbase самое полное лицензирование в самих США; Binance, Kraken, OKX и Bybit в последние годы добирают лицензии в Европе и на Ближнем Востоке, так что их покрытие расширяется; есть ли у конкретной биржи полноценная лицензия в юрисдикции Tier-1 (Нью-Йорк, Япония, Сингапур, Гонконг) — самое важное, что по этому ситу стоит проверить в реестрах самому.

Сито 3 · публичный фонд защиты пользователей (с публичной долларовой суммой и ончейн-верифицируемым кошельком)

Почему важно. Среди восьми кораблей в этом исследовании ни у одного не было реального фонда защиты пользователей, который можно было бы списать в пользу клиентов. Даже корабли, погибшие по внешним причинам, а не от мошенничества (взлом Cryptopia), отправили пользователей в конец банкротной очереди. Binance создала SAFU (Secure Asset Fund for Users) в июле 2018 года, объявив, что будет направлять в отдельный кошелёк 10% торговых комиссий; OKX в том же 2018 году внесла средства в свой страховой фонд (см. сравнение ниже).

Три структурные формы «страхового фонда» — они не эквивалентны.

• Ончейн-сегрегированный кошелёк (паттерн Binance SAFU): биржа держит эти средства на публично опубликованном ончейн-адресе. Баланс проверяется любым желающим.
• Балансовый резерв (форма, в которой существуют «резервы на риски» многих бирж): биржа резервирует строку в корпоративном балансе с пометкой «резерв защиты пользователей», но не сегрегирует в отдельный кошелёк. Это всё ещё деньги биржи, и проверить их баланс снаружи нельзя.
• Коммерческая страховка (паттерн Coinbase): биржа покупает коммерческий полис у страховой компании. Сильная сторона: есть реальное юридически принудительное требование. Слабая сторона: условия полиса обычно непубличные, лимиты покрытия ограничены, и большинство полисов покрывает только конкретные события (обычно хаки, не присвоение оператором).

Параллельное сравнение фондов.

• Binance SAFU: создан в июле 2018 года, когда биржа объявила, что будет направлять 10% торговых комиссий на отдельный кошелёк. Позже формулировка изменилась: теперь официально говорится, что Binance следит за размером SAFU и удерживает его на уровне, достаточном для защиты пользователей, — фиксированный процент с каждой сделки больше не отчисляется. 18 апреля 2024 года вышло объявление «Update: SAFU Conversion to USDC»: фонд полностью переведён в USDC, а про его размер сказано, что он колеблется, но «обычно этот уровень установлен на $1 млрд». Там же назван единственный адрес — 0x420ef1f25563593aF5FE3f9b9d3bC56a8bd8c104, так что баланс можно не принимать на веру, а проверить в блокчейне самому. Публично подтверждённое списание было ровно одно: в мае 2019 года сама Binance лишилась примерно 7000 BTC (около $40 млн по курсу того дня), и биржа объявила, что покроет всю сумму из SAFU — пользователи не потеряли ничего. Взлом KuCoin 2020 года и атака на BSC Token Hub в 2022-м регулярно записывают в историю списаний SAFU, но по официальным текстам ни то, ни другое списанием не было.
• Coinbase: идёт путём коммерческого страхования и с 2014 года страхует биткоины, хранящиеся на её собственных серверах (Википедия · Coinbase). Сумма покрытия и условия полиса полностью не опубликованы, а коммерческие полисы обычно платят только за конкретные события (например, взлом), но не за присвоение средств оператором — в этом главное отличие от SAFU. Статус публичной компании даёт Coinbase дополнительный ров (более предсказуемый банкротный процесс), но её «страховку», строго говоря, нельзя проверить в блокчейне.
• OKX: ещё в 2018 году, после одного торгового инцидента, внесла в страховой фонд 2500 BTC (Википедия · OKX). Размер её резерва на риски сегодня и то, как он раскрывается, смотрите на официальной странице OKX в текущем периоде.
• Bybit: публично говорит о фонде защиты пользователей; его размер и ончейн-адрес смотрите на её официальной странице. Стоит добавить: в феврале 2025 года Bybit лишилась примерно 400 000 ETH на сумму около $1,4–1,5 млрд во взломе, который ФБР приписало северокорейским хакерам (Википедия · Bybit). Разбирая это сито, почитайте в её официальных объявлениях, как она потом обошлась с убытками клиентов.
• Kraken: отдельного ончейн-страхового фонда нет; про коммерческий полис смотрите её официальные пояснения.
• Bitstamp: страховые механизмы — по её официальным пояснениям. С июня 2025 года биржа принадлежит американской публичной компании Robinhood (Википедия · Bitstamp), так что её раскрытия, возможно, будут следовать за материнской компанией.
• Gate.io: размер и способ проверки её фонда защиты пользователей смотрите на её официальной странице.

Как верифицировать.

1. Ищите публичную долларовую сумму или публичный ончейн-адрес кошелька с верифицируемым балансом. Ничего из этого = ноль.
2. Проверьте структурную форму. Сегрегированный ончейн-кошелёк побеждает балансовый резерв, тот побеждает коммерческую страховку с нераскрытыми условиями.
3. Рассчитайте отношение. Разделите страховой фонд на общую сумму активов пользователей, показанную на странице PoR биржи, — получится примерная доля; оба числа меняются каждый период, берите тот, который смотрите сами. Страховой фонд, доля которого настолько мала, что ею можно пренебречь, скорее символический, чем реальный.
4. Проверьте, расходовали ли фонд на деле, — и требуйте, чтобы под каждым списанием нашёлся официальный источник. У Binance SAFU публично подтверждён только один случай: майская кража 2019 года у самой биржи. В гуляющих по сети «историях списаний SAFU» перемешаны сюжеты вроде KuCoin 2020 и BSC Token Hub 2022, где SAFU вообще не трогали, — переписав такой список, вы завысите оценку. Фонд, который ни разу не списывали, или списания которого не прослеживаются до официального объявления, операционно не проверен.
5. Проверьте каденцию раскрытия. Разовое объявление, за которым следует молчание (паттерн Gate.io), — это вычет.

Как биржи выглядят по этому ситу: проверить удалось только следующее: у SAFU Binance есть публичный адрес, официальная формулировка о размере и одно официально подтверждённое списание; Coinbase опирается на коммерческую страховку с не полностью публичными условиями. По остальным биржам пройдите пять шагов выше сами, по одному, а всё, что найти не удаётся, считайте как «нет».

Сито 4 · нет связанной торговой фирмы, либо независимый аудит сегрегации

Почему важно. FTX-Alameda. Celsius и его собственная позиция в CEL. Экспозиция Voyager на единственного контрагента 3AC. Три разных паттерна, один и тот же базовый дефект: корпоративная группа управляет одновременно биржей (или кастодианом) и связанной торговой структурой (или сильно зависит от единственного контрагента), без принудительной стены между ними. Самое смертельное у FTX было в конструкции: SBF владел и FTX (биржей), и Alameda (маркет-мейкером) и перевёл значительную часть средств клиентов FTX в Alameda под «высокочастотный маркет-мейкинг»; Alameda эти деньги потеряла — отсюда и дыра в $8 млрд. Та же операция у регулируемого брокера была бы просто присвоением клиентских активов. Во многих юрисдикциях к криптобиржам до сих пор нет столь же жёстких требований о разделении клиентских активов, поэтому изоляция связанных компаний почти целиком зависит от самодисциплины биржи плюс независимого аудита.

Контрпример · чертёж смешения FTX-Alameda. Когда FTX была создана в Гонконге в 2019 году, SBF уже два года управлял Alameda; в 2021 году FTX перенесла штаб-квартиру из Гонконга на Багамы (материал Bloomberg). Формально — две компании. Но бэкенд-код FTX содержал переключатель — внешне названный «allow_negative» — применявшийся к одному конкретному счёту, принадлежавшему Alameda. Переключатель позволял этому счёту заимствовать клиентские средства намного выше выставленного залога без триггера ликвидации. Существование переключателя раскрыл после-банкротный CEO Джон Дж. Рей III (тот самый Джон Рей, что ведал Enron) в своей первой реструктуризационной декларации.

Через этот переключатель Alameda пользовалась крупными суммами клиентских средств FTX — отсюда и дефицит клиентских средств FTX. На языке регулирования структурный термин для этого — «commingling». Суть: единственный принципал контролирует Компанию A и Компанию B; когда Компания B теряет деньги, клиентские средства Компании A перетекают в B без сопротивления. Поток не требует ни банковского перевода, ни бумажного следа — он требует только бэкенд-булева значения.

Что есть в публичных записях о связанных сторонах Binance. В июне 2023 года SEC США подала иск против Binance и Чанпэна Чжао; в иске утверждалось, что клиентские активы смешивались и переводились в контролируемые Чжао Sigma Chain и Merit Peak (объявление SEC). В мае 2025 года дело прекращено (материалы дела), и обвинения так и не были проверены в суде. Часто упоминаемое урегулирование на сумму более $4 млрд — отдельная история: оно заключено в ноябре 2023 года с Министерством юстиции США, подразделениями Минфина FinCEN и OFAC и CFTC и касалось нарушений в сфере противодействия отмыванию денег, работы без лицензии и нарушения санкций (объявление Минфина США).

Контрпример по сравнению · Coinbase как публичная американская листинговая компания. Coinbase листингованалась напрямую на NASDAQ в апреле 2021 года (тикер COIN). Сам акт листинга — это жёсткая изоляция: SEC требует ежегодного раскрытия 10-K и квартального 10-Q всех связанных сделок; личные доли CEO Брайана Армстронга в крипто-компаниях должны быть раскрыты. Coinbase Ventures (инвестиционное крыло) использует независимую LP-структуру; Coinbase Custody работает как отдельная юридическая структура. Накладные расходы на комплаенс реальны — публичная компания каждый год тратит на комплаенс большие деньги, — но в обмен вы получаете сильнейшую в индустрии гарантию того, что клиентские средства не могут перетечь в личные проекты CEO. Это самая чистая структура, доступная сегодня. Компромисс в том, что биржа должна принять бремя быть публичной американской листинговой компанией.

Для сравнения · проверяемые публичные факты о связанных сторонах крупных бирж (сверено в сентябре 2026 года).

Как верифицировать.

1. Поищите, контролирует ли контролирующий акционер или CEO одновременно другие крипто-компании. OpenCorporates, SEC EDGAR, Гонконгский реестр компаний — все бесплатные.
2. Если связанные структуры существуют, проверьте, подтверждает ли SOC 2 Type 2 или эквивалентный независимый аудит сегрегацию. SOC 2 Type 2 — стандарт AICPA, специально проверяющий «эффективность контролей»; предъявить такой отчёт могут немногие криптобиржи — если биржа говорит, что он у неё есть, попросите сам отчёт или заявление на официальном сайте.
3. Проверьте, раскрывает ли биржа крупнейшую экспозицию на единственного контрагента (Voyager не раскрывал; FTX не раскрывала долю Alameda). Биржа, добровольно раскрывающая этот показатель, получает дополнительный плюс.
4. Проверьте LinkedIn CEO и подачи в корпоративные реестры — CEO, одновременно служащий директором нескольких крипто-структур, теряет 0,5 балла.
5. Платформенные токены. То, что биржа выпускает токен (BNB, OKB, GT, KCS), само по себе не проблема, но использование токена как залога или маржи внутри той же биржи — это риск связанной стороны. BNB на Binance даёт скидку на комиссии и может использоваться как залог в части продуктов; OKB имеет более глубокий след применения на OKX.

Как биржи выглядят по этому ситу: суждение о направлении такое: у публичных компаний (Coinbase, а теперь и Bitstamp под Robinhood) есть законная обязанность раскрывать связанные стороны, что даёт им здесь естественное преимущество; по непубличным биржам вам остаётся только самим проверить акционеров, аффилированные структуры и применение платформенного токена, следуя пяти шагам выше.

Сито 5 · достоверность CEO в публичных заявлениях

Почему важно. Чем шире разошлась по сети очередная «пророческая» реплика утонувшего CEO, тем труднее найти, кто, когда и кому её на самом деле сказал: пересказывают все, проверять источник не берётся почти никто. Поэтому критерий здесь — не «какую фразу он произнёс», а что он выдаёт, когда в непубличном, не-PR формате заходит разговор о риске: механику или прилагательные. Механика — это названная частота сверок, конкретный исполнитель аудита, ритм публикации доказательства резервов, имя того, кто принимает решение в аварийной ситуации. Прилагательные — это «мы очень серьёзно относимся к рискам» и «безопасность для нас приоритет номер один»: под ними не обязано лежать вообще ничего, произнести их может кто угодно. Равный вес с четырьмя структурными ситами у этого сита не потому, что оно точнее, а потому, что оно самое дешёвое: те четыре требуют читать документы, а это отрабатывается за два прослушанных подкаста.

Контрпримеры · реплики утонувших CEO, у которых проверяется источник.

• Сэм Бэнкман-Фрид (FTX), саммит DealBook газеты New York Times, 30 ноября 2022: «We completely failed on risk» («мы полностью провалились по риску»). Сказано уже после того, как корабль затонул, так что некрологом заранее это не назовёшь. Польза у реплики другая: площадка, стоившая когда-то $32 млрд, могла провалить риск-менеджмент вплоть до банкротства, а снаружи до последнего почти ничего заметно не было. Именно это и показывает, что на слух за CEO такие риски не отбираются.
• Алекс Машинский (Celsius): «Somebody is lying. Either the bank is lying or Celsius is lying» («кто-то лжёт. Либо лжёт банк, либо лжёт Celsius»). Реплику приводит в пересказе журналист Зик Фо в своей книге «Number Go Up», вышедшей в 2023 году. Celsius в то время держал витрину с доходностью уровня 17% годовых, а значительная часть клиентских средств у него стояла в Anchor/stETH, где сама 19,5%-ставка Anchor не выдерживала нагрузки. На вопрос, откуда берётся доходность, ответ переводит спрашивающего в разряд лгущих — вместо того чтобы объяснить, куда ушли деньги.
• Стивен Эрлих (Voyager): здесь смотреть нужно не на то, что он говорил, а на публичные записи. Voyager одолжил 3AC около $670 млн и так и не вернул их (Википедия · Voyager Digital).
• Фраза FTX накануне падения, твит SBF 7 ноября 2022: «FTX is fine. Assets are fine.» («FTX в порядке. Активы в порядке»). Через четыре дня FTX подал на банкротство в Делавэре.

Проверяемые публичные факты о действующих и бывших CEO.

• Чанпэн Чжао (CZ, основатель Binance): в ноябре 2023 года заключил соглашение о признании вины с Министерством юстиции США и ушёл с поста CEO. По соглашению он лично заплатил Минюсту штраф $50 млн, а также $150 млн гражданского штрафа CFTC (объявление CFTC), и 30 апреля 2024 года был приговорён к четырём месяцам заключения (Википедия · Changpeng Zhao).
• Брайан Армстронг (Coinbase): как CEO публичной компании сам участвует в квартальных звонках по отчётности (оставить их на CFO он не может). Когда в 2023 году SEC подала иск против Coinbase, компания решила защищаться в суде; в феврале 2025 года SEC отозвала иск, и на этом дело закончилось (Википедия · Coinbase).
• Жан-Батист Графтийо (CEO Bitstamp): Bitstamp основали в 2011 году Нейц Кодрич и Дамиан Мерлак, нынешний CEO — Графтийо (Википедия · Bitstamp); после того как в июне 2025 года Robinhood завершила покупку, Bitstamp принадлежит Robinhood.

Как верифицировать.

1. Поищите имя CEO плюс «подкаст» плюс «интервью» — послушайте 2-3 самых свежих публичных разговоров. YouTube и Apple Podcasts — прямые каналы.
2. Следите за четырьмя негативными сигналами: (1) хвастовство аппетитом к риску («мы самые агрессивные»); (2) высказывания с пренебрежением к регуляторам («регуляторы не понимают»); (3) переход на личности конкурентов; (4) огульное отбрасывание любых опасений как «FUD».
3. Следите за тремя позитивными сигналами: (1) готовность признавать ошибки конкретными словами, а не штампами «мы постоянно совершенствуемся»; (2) цитирует конкретные числа (число пользователей, резервное соотношение, глубина ликвидности); (3) обсуждает детали риск-менеджмента (размер команды, инструменты, частота аудита).
4. Смотрите вдоль пяти лет — последовательность CEO на пятилетнем окне информативнее любого единичного интервью. История Twitter и старые видеоинтервью — всё это бесплатные архивы.
5. Подтвердите, лично ли CEO присутствует на квартальных earnings-звонках (публичные) или ежемесячных AMA (приватные). CEO, позволяющий CFO/PR заменять весь звонок, теряет 0,5 балла.

Как биржи выглядят по этому ситу: это сито вам действительно стоит «прослушать» самим. Несколько фактов на заметку: у Ричарда Тэна из Binance регуляторный бэкграунд; Брайан Армстронг из Coinbase — CEO публичной компании, так что каждый квартальный звонок по отчётности — готовая лонгитюдная запись; CEO Kraken с апреля 2023 года — Дейв Рипли, а с октября 2024 года он делит пост с Арджуном Сетхи (Википедия · Kraken), так что запись после смены руководства пока короткая; интервью основателя OKX Стара Сюя и основателя и CEO Bybit Бена Чжоу проверяйте по пяти шагам выше.

4. Прогон сегодняшних бирж через пять сит

Метод простой: пройденное сито — 1 балл, пройденное наполовину — 0,5, не пройденное — 0, максимум 5 по всем пяти. Оценивайте сами — у каждого сита выше есть шаги проверки, и одна биржа занимает примерно вечер.

Эта статья не выставляет оценок ни одной бирже.

Дерево решений · как баллы превращаются в размер позиции

Иметь оценку — только половина работы; нужно также правило, переводящее её в размер позиции. Правило ниже режет диапазон 0–5 на четыре уровня, и у каждого — своя рекомендуемая доля средств:

• Уровень основного портфеля (≥ 4,5/5): может держать вашу основную торговую позицию. Какая биржа попадёт в этот уровень, решает оценка, которую вы выставите ей сами.
• Второй эшелон (3,5/5 ≤ балл < 4,5/5): позиция меньше основной. Основные применения второго эшелона: (1) эвакуационный канал, если основная остановит выводы; (2) запасной для активов или регионов, не поддерживаемых основной; (3) контрагент для кросс-биржевого арбитража. Второй эшелон не должен держать долгосрочные позиции.
• Осторожно (2,5/5 ≤ балл < 3,5/5): только небольшая экспериментальная позиция. Определяющая характеристика этого уровня — «сильна по одним измерениям, заметно слаба по другим»: годится для экспериментов, но не для долгосрочных средств.
• Не входит (< 2,5/5): ноль аллокации. Это не утверждение, что такая биржа обязательно упадёт, — это утверждение, что она явно отстаёт по структурным ситам и риск-премия за хранение там средств того не стоит.

Каденция перепрогона: оценку нужно перепрогонять каждые полгода. Триггеры внеплановых пересмотров: регуляторное взыскание против любой крупной биржи, публичное заявление CEO крупной биржи с красным флагом, пропуск периода PoR любой крупной биржей.

Две заметки об оценке.

1. Оценка касается только структурного риска. Когда у двух бирж баллы близки, остающиеся отличия — функциональность продукта, региональная доступность, поддержка активов и другие вторичные измерения — в этом уроке не разбираются.
2. Оценка отражает только тот момент, когда вы её выставили. Содержательное наполнение пяти сит будет эволюционировать. К 2027 году фреймворку может потребоваться добавить «реал-таймовая ончейн-аудируемость» или «прозрачность ИИ-риск-менеджмента». Перепрогоняйте каждые полгода; не относитесь ни к одной версии как к постоянной.

5. Пределы фреймворка · самокритика

Предел 1 · скрытое смешение средств со связанной стороной снаружи не видно

В октябре 2022 года — за месяц до краха — у FTX были регуляторные лицензии (Bahamas SCB и другие) и огромный PR-профиль. Таблица в разделе 2 заполнена по фактам, вскрывшимся задним числом; по тому, что было видно снаружи в тот момент, проблему связанной стороны установить было нельзя.

Так что у фреймворка есть фундаментальное слепое пятно: скрытое смешение средств со связанной стороной невидимо снаружи. Бэкенд-переключатель FTX/Alameda «allow_negative» был обнаружен командой Джона Рея III, копавшейся в кодовой базе после банкротства. Ни один внешний аудит, ни одно регуляторное due diligence, ни одно пользовательское исследование не могли увидеть это в октябре 2022 года. Урок: 5/5 ≠ 100% безопасно. Фреймворк отфильтровывает основной структурный риск, но почти бессилен против внутреннего скрытого смешения. Даже при использовании биржи основного эшелона действует базовый принцип Урока первого — долгосрочные средства принадлежат аппаратным кошелькам, биржи держат только то, что вы планируете торговать в ближайшем горизонте.

Предел 2 · в 2014 году этого фреймворка не существовало

Вернитесь к Корабельной летописи · Том первый. У Mt.Gox в 2014 году не было ни PoR, ни фонда защиты пользователей, а юрисдикция была одна — японская. Подвох в том, что в 2014 году эти пять сит вообще никто не обсуждал. Kraken впервые применил Proof of Reserves на практике только в марте 2014 года.

Так что исторически фреймворк — это «использование стандартов 2026 года для ретроспективной оценки событий 2014 года» — полезно для ретроспективного обучения, но не существовало на тот момент. У каждого фреймворка есть дата рождения. События до даты рождения можно ретроспективно скорить, но не следует относиться к ним так, будто участники могли его использовать. Соответствующая импликация для сегодня: к 2030 году мы можем счесть текущие пять сит недостаточными, потому что к тому моменту нам может понадобиться «реал-таймовый ончейн-аудит + ИИ-анализ поведения + граф контрагентского риска через биржи». Фреймворк должен периодически обновляться — никогда не считайте его вечной истиной.

Предел 3 · случай Celsius — проблема в размере позиции

В таблице задним числом в разделе 2 у Celsius не отмечена только клетка «одна юрисдикция». Celsius публично заявлял о полисе страхования депозитов на $750 млн; FTC в своём иске утверждала, что такого полиса не существовало. После падения Celsius FTC утверждала, что компания присвоила более $4 млрд пользовательских депозитов (объявление FTC), — и многие из пострадавших пришли за 17% доходностью и положили туда бо́льшую часть своих средств.

Так что проблема, которую обнажил Celsius, — не в оценке, а в том, распределяют ли средства по этой оценке. Она в том, что фреймворк помогает только тем, кто фактически следует правилу размера позиции. Если площадка вне категории предлагает 17% годовых, а пользователь всё равно ставит туда 100% своего капитала, никакой фреймворк его не спасёт. Эта формулировка звучит очевидно. Тем не менее она описывает большую долю каскадных потерь 2022 года.

Предел 4 · кандидаты на 6-е сито, которые предлагают чаще всего · почему я их пока не добавил

Чаще всего в качестве шестого сита предлагают следующее. Основные кандидаты и мои рассуждения по каждому:

• Раскрытие забалансовых операций (Кандидат A). Довод: Celsius использовал комбинацию стейблкоин + фиат + DeFi-протоколы для существенного «забалансового» движения капитала, которое обычные аудиты не ловили. Я рассмотрел и в итоге не добавил — стоимость верификации слишком высока для типичного пользователя (требует полного доступа к SOC 1). Включил в Сито 4 (изоляция связанных сторон) как расширение.
• Задержка внутреннего перевода (Кандидат B). Довод: у BitGrail жалобы на задержки выводов появились ещё за полгода до коллапса. Не добавлен — это индикатор, который замечаешь задним числом: за несколько месяцев до крушения он всплывает в пользовательских форумах, что уже покрывается Ситом 5 (паттерн ответа CEO). Паттерн ответа CEO на отчёты о задержках (публичное признание против DM-инга постера с просьбой удалить) несёт больше информации, чем сама задержка.
• Время ответа русскоязычной службы поддержки (Кандидат C). Обычный довод — удобство для пользователей из СНГ. Не добавлен — это измерение продуктового опыта, а не структурного риска. Хорошая поддержка не предотвращает коллапс (поддержка FTX была ещё приятной в октябре 2022); посредственная поддержка не вызывает коллапс.
• История энфорсмента по AML (Кандидат D). Довод: и Binance в 2023 году, и OKX в 2025 году заключили с Министерством юстиции США соглашения о признании вины по нарушениям в сфере противодействия отмыванию денег и заплатили штрафы (Википедия · OKX). Я добавил наполовину — встроил в Сито 2 (мультиюрисдикционные лицензии) как расширение. Один штраф от регулятора сам по себе не вычет; повторные похожие нарушения без устранения — это вычет. Если взять урегулирование Binance 2023 года на сумму более $4 млрд, по этому правилу важно, повторялись ли похожие нарушения после него, — проверьте свежие регуляторные объявления сами, когда будете выставлять оценку.

Переход от пяти сит к шести пока отложен. Текущая причина оставаться на пяти: запоминаемость (большинство людей могут мысленно нести пять пунктов, шесть начинают ускользать) плюс историческая сравнимость (по пяти ситам есть данные по всем восьми случаям).

Любую площадку стоит оценивать по одним и тем же пяти ситам. Binance от этой проверки не освобождается: как и любую другую биржу, оценивайте её сами по шагам выше и перепрогоняйте оценку каждые полгода.