Bybit: кастоди, proof of reserves и разбор взлома 2025

Схема стандартная для централизованных бирж: основная часть средств в холодном хранении, оперативный остаток — в горячих кошельках для обработки выводов. Компромисс здесь неустраним: полностью холодное хранение означает вывод по расписанию, а не по запросу.

Атака была направлена на горячий кошелёк ETH, ущерб — около 1,4–1,5 млрд долларов. Это крупнейшая кража средств в истории криптовалют, превосходящая все предыдущие инциденты на порядок.

Важно понимать, что вектор атаки был направлен не на смарт-контракт и не на протокол, а на процесс подписания транзакций. Это принципиально: усиление криптографии не защищает от компрометации процедуры, которой эта криптография управляется.

Убыток покрыт из собственных средств, обязательства перед клиентами исполнены полностью, вывод не останавливали. С точки зрения устойчивости системы это означает, что резервов хватило на удар такого размера — что само по себе говорит о капитализации площадки больше, чем любые публикуемые отчёты.

Публикуется по дереву Меркла: каждый клиент может проверить, что его баланс включён в общую сумму обязательств. Механизм доказывает наличие активов на момент среза, но не отсутствие скрытых обязательств — полноценным аудитом он не является, и подавать его как гарантию некорректно.

Главный урок не в том, что биржу взломали, а в том, что определяет исход: не наличие инцидента, а размер резервов и готовность закрыть убыток. По этому критерию площадка отработала лучше, чем большинство пострадавших до неё.