Від $8,5 млн у сховищі протоколу до $133 млн на рахунках банку: за десять тижнів змінилася адреса, за якою втрачаються гроші

6 листопада Crédit Mutuel Arkéa підтвердив: рахунки банку в криптовалюті були атаковані, йдеться про суму порядку $133 млн. Приблизно десятьма тижнями раніше, 24 серпня, протокол Term Finance втратив близько $8,5 млн — тоді це виглядало як великий інцидент. Між цими двома датами вмістилася зміна адреси, за якою у 2026-му втрачаються гроші: з коду — у доступ до акаунтів, з децентралізованих протоколів — у кастодіальні рахунки.

Окремо ці повідомлення читаються як низка не пов’язаних між собою зламів. Складіть їх в один ряд за датами — і побачите інше: кожен наступний епізод вдаряє в іншу стіну, і те, що раніше вимагало експлуатації контракту, тепер вимагає доступу до панелі керування рахунком. Розберімо, як це влаштовано і що з цього випливає для того, хто просто тримає крипту.

Хронологія: де втрачали гроші ці три місяці

Ми зібрали епізоди в таблицю — вона показує головне: змінювалася не лише сума, а й тип замка, який відкривав атакуючий.

Зверніть увагу на перші чотири рядки: там гроші втрачали власники гаманців і протоколи, і щоразу йшлося про мільйони. В останніх рядках — організація, у якої є комплаєнс, юристи й служба безпеки, а сума вже десятки мільйонів. Це не означає, що банки зберігають гірше. Це означає, що удар переносять туди, де на один успішний вхід припадає більший баланс.

Хроніку подібних епізодів ми ведемо в стрічці /news/; там же видно, як швидко такі історії переходять із «що сталося» в «кого назвали».

Механіка: три замки й один момент втрати

Різниця між серпнем і листопадом — не в масштабі, а в природі уразливості. Експлуатація управління сховищем, як це було в Term Finance, — історія про процедуру: якщо дія всередині сховища виконується за рішенням, оформленим як легітимне, ламати шифри не потрібно, достатньо отримати право натиснути кнопку. Тут захист — не в криптографії, а в тому, хто і на яких умовах допускається до рішення.

Маніпуляція ціною, як у випадку Moonwell, — третій тип: контракт чесно виконує те, що йому повідомили, і проблема в джерелі, яке повідомляє ціну. А ось атака на біржові та банківські акаунти — уже зовсім інше: тут немає транзакції, яку можна перевірити до виконання. Є сесія, ключ, доступ до інтерфейсу й людина, яка одного разу натисне не туди або опиниться в чужій вкладці.

Спільне для всіх трьох типів одне: гроші втрачаються не в момент зламу, а в момент, коли їх можна вивести й десь прийняти. Тому фінальна точка будь-якої такої історії — не гаманець атакуючого, а майданчик, на який ці кошти надходять. І саме тому важіль повернення зміщується до тих, хто контролює цей майданчик, — до біржі, яка може заморозити рахунок, і до банку, який виявляє пропажу в себе.

Друга половина картини: що залишилося за кадром

Перша половина виглядає як історія успіху правоохоронних органів: крадіжку помітили, пов’язали з конкретними рахунками, рахунки обмежили, потерпілого назвали. Друга половина скромніша.

• Заморозка працює лише там, де їй підкоряються. Обмежити рахунки можна на майданчику, який відповідає на правові запити й дорожить ліцензією. Чим далі маршрут виведення відходить від таких майданчиків, тим менше залишається важелів — і тим гучніше звучить слово «ймовірно».
• Ім’я потерпілого з’являється пізніше за факт крадіжки. 4 листопада стало відомо про обмеження рахунків, 5 листопада назвали банк, 6 листопада банк підтвердив атаку. Дві доби організація, про яку ще нічого не сказано, перебуває в тіні підозри — і це окрема ціна, яку платить той, хто опинився поруч з украденим.
• Розподіл втрат не видно. Підтверджено атаку й порядок суми. Хто саме в підсумку несе ці втрати — банк, клієнти кастодіального сервісу чи третя сторона — із підтвердження не випливає. Крипторахунок у банку влаштований інакше, ніж депозит, і умови відшкодування читаються в договорі, а не в новинах.
• Правоохоронні органи працюють наздогін. 1 230 BTC і 40 років у справі даркнет-майданчика — це підсумок історії, що почалася задовго до нинішніх подій. Упіймання виконавця не скасовує функцію: маршрути виведення просто переїжджають на майданчики, до яких вирок не дотягується.

Перевірний приклад: цифра зросла через переказ, а не через нові дані

3 листопада звучала оцінка $106 млн. 5 листопада у зв’язку з тією самою справою фігурувало вже $133 млн, і 6 листопада банк підтвердив атаку «на суму порядку $133 млн». Між двома цифрами — приблизно чверть, і це не тому, що за дві доби знайшли нові викрадені монети. Просто в першому випадку суму називав зовнішній спостерігач за видимими йому транзакціями, а в другому — інституція за своїми рахунками.

Цей розрив — найкращий індикатор того, на якому етапі перебуває історія. Поки цифру називає хтось зовні, вона занижена майже напевно: назовні видно не все. Для масштабу: денний приплив у біткоїн-ETF 19 серпня становив $137 млн — тобто сума за одним банківським епізодом зіставна з цілим днем потоку у фонди. При цьому $8,5 млн у сховищі Term Finance — це те, з чого почалася розмова в серпні.

Погляд редакції

Уся конструкція, яка спрацювала в листопаді, була зібрана задовго до листопада і не учасниками цієї історії. Біржі як точки заморозки, банки як утримувачі чужих ключів, ончейн-аналітик як де-факто арбітр у питанні «хто потерпілий», а регулятор як джерело вимог до зберігання — усе це вже працювало, коли сталася крадіжка. Дійові особи лише зайняли місця в готовому контурі: банк підтверджує постфактум, майданчик обмежує рахунки на запит, сума приходить ззовні й уточнюється зсередини.

Звідси й головний висновок: на швидкість повернення грошей впливає не винахідливість атакуючого, а інерція інституцій, які існують навколо викраденого. Там, де майданчик передбачувано відповідає на запити, гроші можна спробувати повернути. Там, де маршрут веде до тих, чию поведінку передбачити неможливо, не повертається нічого, крім цифри у звіті.

Ми готові змінити цю оцінку за зрозумілої умови: якщо з’ясується, що втрата виникла всередині контуру — через помилку самого банку або його підрядника, а не через зовнішній доступ, — уся рамка «зсуву периметра» розсипається, і розмова йде вже про операційний ризик конкретної організації.

Що робити практично

1. Розділіть ризики за типом замка. Смарт-контракт, ключ і кастодіальний акаунт — три різні уразливості. Набір із п’яти протоколів не захищає від другого й третього типу; тут працює не диверсифікація, а розподіл за способом зберігання.
2. Дивіться на майданчик за однією ознакою — передбачуваністю. Чи відповідає він на правові запити, чи публікує політику обмежень. Для повернення коштів це плюс, для приватності — мінус. Поєднати дві властивості на одному майданчику не вийде.
3. Читайте цифру разом з її джерелом. Оцінка ззовні й підтвердження інституції — не одне й те саме, навіть коли йдеться про одну справу. Різниця в чверть суми — нормальний діапазон уточнення.
4. Перевірте, у якій якості ви тримаєте крипту в банку. Кастодіальний крипторахунок — не депозит: порядок відшкодування прописаний у договорі, а не в новинному підтвердженні.

Що нас спростує

• Якщо до 20 листопада 2026 підтверджена сума виявиться істотно нижчою за $133 млн (наприклад, банк уточнить втрати до десятків мільйонів) — отже, ми помилилися в оцінці масштабу, і $133 млн були цифрою переказу, а не втрат.
• Якщо до 1 грудня 2026 з’явиться зіставна за розміром втрата — понад $100 млн — через уразливість смарт-контракту, а не через доступ до акаунтів, — отже, периметр не зміщувався, а просто збіглися два різні ряди подій.
• Якщо до 15 грудня 2026 значна частина коштів повернеться клієнтам без правових дій, силами самих майданчиків, — отже, наша теза про те, що важіль повернення лежить у комплаєнсі, а не в технології, хибна.
• Якщо до 1 грудня 2026 обмеження з рахунків буде знято без висунення обвинувачень будь-кому, — отже, зв’язок між крадіжкою й заморозкою був слабшим, ніж виглядає в хронології.

Матеріал не є інвестиційною рекомендацією. Криптовалюти — високоризиковий актив.

Дані: Cointelegraph — Term Finance втрачає орієнтовно $8.5M через експлуатацію управління сховищем · The Defiant — Moonwell втрачає $8.7 Million через маніпуляцію ціною MAMO на Base · CryptoSlate — DeFi-протоколи щойно втратили $83 million · CoinDesk — Європейська організація, ймовірно, втратила $106 million з акаунтів криптобіржі · Cointelegraph — Kraken обмежує рахунки, пов’язані з імовірною крадіжкою $133M у ЄС · CoinDesk — ZachXBT називає французький банк Crédit Mutuel Arkéa ймовірним потерпілим · ForkLog — Банк Crédit Mutuel Arkéa підтвердив атаку на суму порядку $133 млн · Bitcoin.com News — Засновника даркнет-маркетплейсу засуджено на 40 років, він погодився конфіскувати 1,230 Bitcoin