Crypto.com: как взлом 2022 года обошёл двухфакторную защиту

В январе 2022 года были выведены средства примерно на 34 млн долларов со счетов пользователей. Ключевая деталь: транзакции проходили без корректного подтверждения двухфакторной аутентификацией.

Двухфакторная аутентификация — не магический барьер, а процедура: система должна запросить второй фактор, проверить его и только потом исполнить операцию. Атака была направлена не на криптографию второго фактора, а на логику, которая решает, когда его запрашивать.

Это укладывается в общую картину отрасли: крупные инциденты происходят не через взлом шифрования, а через ошибки в бизнес-логике и процедурах подтверждения. Так было у Bybit в 2025-м, так было у Kraken в 2024-м.

Площадка возместила пострадавшим убытки полностью и переработала систему подтверждения вывода: были введены дополнительные задержки при добавлении новых адресов вывода и обязательное переподтверждение.

Приём стандартный и рабочий: задержка не мешает добросовестному пользователю, но даёт время заметить и остановить несанкционированную операцию.

Отдельный минус: первые сообщения преуменьшали масштаб инцидента, признание пришло позже. Для оценки безопасности это важно не меньше технической части — в кризис пользователю нужна точная информация, а не успокоительная.

Убыток покрыт, процедуры усилены, урок отраслью усвоен. Осадок остаётся от того, как об этом сообщали.