От $8,5 млн в хранилище протокола до $133 млн на счетах банка: за десять недель сменился адрес, по которому теряются деньги

6 ноября Crédit Mutuel Arkéa подтвердил: счета банка в криптовалюте были атакованы, речь идёт о сумме порядка $133 млн. Примерно десятью неделями раньше, 24 августа, протокол Term Finance потерял около $8,5 млн — тогда это выглядело крупным инцидентом. Между двумя этими датами уместилась смена адреса, по которому в 2026-м теряются деньги: из кода — в доступ к аккаунтам, из децентрализованных протоколов — в кастодиальные счета.

По отдельности эти сообщения читаются как череда не связанных друг с другом взломов. Сложите их в один ряд по датам — и видно другое: каждый следующий эпизод приходит в другую стенку, и то, что раньше требовало эксплуатации контракта, теперь требует доступа к панели управления счётом. Разберём, как это устроено и что из этого следует для того, кто просто держит крипту.

Хронология: где теряли деньги эти три месяца

Мы собрали эпизоды в таблицу — она показывает главное: менялась не только сумма, но и тип замка, который открывал атакующий.

Обратите внимание на первые четыре строки: там деньги теряли владельцы кошельков и протоколы, и каждый раз речь шла о миллионах. В последних строках — организация, у которой есть комплаенс, юристы и служба безопасности, и сумма уже десятки миллионов. Это не значит, что банки хранят хуже. Это значит, что удар переносят туда, где на один успешный вход приходится больший баланс.

Хронику подобных эпизодов мы ведём в ленте /news/; там же видно, как быстро такие истории переходят из «что случилось» в «кого назвали».

Механика: три замка и один момент потери

Разница между августом и ноябрём — не в масштабе, а в природе уязвимости. Эксплуатация управления хранилищем, как это было у Term Finance, — история про процедуру: если действие внутри хранилища исполняется по решению, оформленному как легитимное, ломать шифры не нужно, достаточно получить право нажать кнопку. Тут защита — не в криптографии, а в том, кто и на каких условиях допускается к решению.

Манипуляция ценой, как в случае Moonwell, — третий тип: контракт честно исполняет то, что ему сообщили, и проблема в источнике, который сообщает цену. А вот атака на биржевые и банковские аккаунты — уже совсем другое: здесь нет транзакции, которую можно проверить до исполнения. Есть сессия, ключ, доступ к интерфейсу и человек, который однажды нажмёт не туда или окажется в чужой вкладке.

Общее у всех трёх типов одно: деньги теряются не в момент взлома, а в момент, когда их можно увести и где-то принять. Поэтому финальная точка любой такой истории — не кошелёк атакующего, а площадка, на которую эти средства приходят. И именно поэтому рычаг возврата смещается к тем, кто эту площадку контролирует, — к бирже, которая может заморозить счёт, и к банку, который обнаруживает пропажу у себя.

Вторая половина картины: что осталось за кадром

Первая половина выглядит как история успеха правоприменения: кражу заметили, связали с конкретными счетами, счета ограничили, потерпевшего назвали. Вторая половина скромнее.

• Заморозка работает только там, где ей подчиняются. Ограничить счета можно у площадки, которая отвечает на правовые запросы и дорожит лицензией. Чем дальше маршрут вывода уходит от таких площадок, тем меньше остаётся рычагов — и тем громче звучит слово «предположительно».
• Имя потерпевшего появляется позже факта кражи. 4 ноября стало известно об ограничении счетов, 5 ноября был назван банк, 6 ноября банк подтвердил атаку. Двое суток организация, о которой ещё ничего не сказано, находится в тени подозрения — и это отдельная цена, которую платит тот, кто оказался рядом с украденным.
• Распределение потерь не видно. Подтверждены атака и порядок суммы. Кто именно в итоге несёт эти потери — банк, клиенты кастодиального сервиса или третья сторона — из подтверждения не следует. Крипто-счёт в банке устроен иначе, чем депозит, и условия возмещения читаются в договоре, а не в новостях.
• Правоприменение работает вдогонку. 1 230 BTC и 40 лет по делу даркнет-площадки — это итог истории, начавшейся задолго до нынешних событий. Поимка исполнителя не отменяет функцию: маршруты вывода просто переезжают на площадки, до которых приговор не дотягивается.

Проверяемый пример: цифра выросла на пересказе, а не на новых данных

3 ноября звучала оценка $106 млн. 5 ноября в связи с тем же делом фигурировало уже $133 млн, и 6 ноября банк подтвердил атаку «на сумму порядка $133 млн». Между двумя цифрами — примерно четверть, и это не потому, что за двое суток нашли новые украденные монеты. Просто в первом случае сумму называл внешний наблюдатель по видимым ему переводам, а во втором — институция по своим счетам.

Этот разрыв — лучший индикатор того, на каком этапе находится история. Пока цифру называет кто-то снаружи, она занижена почти наверняка: наружу видно не всё. Для масштаба: дневной приток в биткоин-ETF 19 августа составлял $137 млн — то есть сумма по одному банковскому эпизоду сопоставима с целым днём потока в фонды. При этом $8,5 млн в хранилище Term Finance — это то, с чего начинался разговор в августе.

Взгляд редакции

Вся конструкция, которая сработала в ноябре, была собрана задолго до ноября и не участниками этой истории. Биржи как точки заморозки, банки как держатели чужих ключей, ончейн-аналитик как де-факто арбитр в вопросе «кто пострадавший», а регулятор как источник требований к хранению — всё это уже работало, когда произошла кража. Действующие лица лишь заняли места в готовом контуре: банк подтверждает постфактум, площадка ограничивает счета по запросу, сумма приходит снаружи и уточняется изнутри.

Отсюда и главный вывод: на скорость возврата денег влияет не изобретательность атакующего, а инерция институтов, которые существуют вокруг украденного. Там, где площадка предсказуемо отвечает на запросы, деньги можно попробовать вернуть. Там, где маршрут уходит к тем, чьё поведение предсказать нельзя, не возвращается ничего, кроме цифры в отчёте.

Мы готовы поменять эту оценку при понятном условии: если выяснится, что потеря возникла внутри контура — из-за ошибки самого банка или его подрядчика, а не из-за внешнего доступа, — вся рамка «сдвига периметра» рассыпается, и разговор идёт уже про операционный риск конкретной организации.

Что делать практически

1. Разделите风险的 по типу замка. Смарт-контракт, ключ и кастодиальный аккаунт — три разные уязвимости. Набор из пяти протоколов не защищает от второго и третьего типа; здесь работает не диверсификация, а разделение по способу хранения.
2. Смотрите на площадку по одному признаку — предсказуемости. Отвечает ли она на правовые запросы, публикует ли политику ограничений. Для возврата средств это плюс, для приватности — минус. Совмещать два свойства на одной площадке не получится.
3. Читайте цифру вместе с её источником. Оценка снаружи и подтверждение институции — не одно и то же, даже когда речь об одном деле. Разница в четверть суммы — нормальный диапазон уточнения.
4. Проверьте, в каком качестве вы держите крипту в банке. Кастодиальный крипто-счёт — не депозит: порядок возмещения прописан в договоре, а не в новостном подтверждении.

Что нас опровергнет

• Если к 20 ноября 2026 подтверждённая сумма окажется существенно ниже $133 млн (например, банк уточнит потери до десятков миллионов) — значит мы ошиблись в оценке масштаба, и $133 млн были цифрой пересказа, а не потерь.
• Если к 1 декабря 2026 появится сопоставимая по размеру потеря — свыше $100 млн — из-за уязвимости смарт-контракта, а не из-за доступа к аккаунтам, — значит периметр не смещался, а просто совпали два разных ряда событий.
• Если к 15 декабря 2026 значительная часть средств вернётся клиентам без правовых действий, силами самих площадок, — значит наш тезис о том, что рычаг возврата лежит в комплаенсе, а не в технологии, неверен.
• Если к 1 декабря 2026 ограничения со счетов будут сняты без предъявления обвинений кому-либо, — значит связь между кражей и заморозкой была слабее, чем выглядит в хронологии.

Материал не является инвестиционной рекомендацией. Криптовалюты — высокорисковый актив.

Данные: Cointelegraph — Term Finance loses estimated $8.5M in vault governance exploit · The Defiant — Moonwell Loses $8.7 Million To MAMO Price Manipulation On Base · CryptoSlate — DeFi protocols just lost $83 million · CoinDesk — EU entity suspected of losing $106 million from crypto exchange accounts · Cointelegraph — Kraken restricts accounts linked to suspected $133M EU crypto theft · CoinDesk — ZachXBT names French bank Crédit Mutuel Arkéa as suspected victim · ForkLog — Банк Crédit Mutuel Arkéa подтвердил атаку на сумму порядка $133 млн · Bitcoin.com News — Dark Web Market Founder Gets 40 Years, Agrees to Forfeit 1,230 Bitcoin