Взломы в сентябре 2026 унесли $768 миллионов, это худший месяц года

Сентябрь 2026 года стал худшим месяцем года по ущербу от хаков. По данным PeckShield, 55 крупных инцидентов унесли $766,5 миллиона, а CertiK насчитала 97 случаев и $768,4 миллиона. Сильнее всего это бьёт по клиентам централизованных платформ, где ломают само хранилище средств.

Счёт месяца: 55 инцидентов и $766,5 миллиона

Два аналитических центра считают по-разному, но выходят почти на одну сумму. PeckShield берёт только крупные случаи, CertiK фиксирует и мелкие, поэтому у неё инцидентов почти вдвое больше. Разница в сумме меньше $2 миллионов. Обе компании увидели заметный рост к августу.

Годовая картина жёстче. По данным CertiK, с начала 2026 года произошло 656 инцидентов с ущербом $2,68 миллиарда. Один сентябрь дал почти 29% этой суммы.

Bitget и Liquid забрали почти всё

Взлом биржи Bitget на $388 миллионов и атака на сеть Liquid на $320 миллионов вместе дают $708 миллионов, то есть около 92% месячных потерь. Остальные 53 случая по подсчёту PeckShield выглядят мелкими. Safe Wallet потерял $7,8 миллиона, DCENT $6 миллионов, Duelbits $5,9 миллиона.

Часть денег Liquid всё же вернули. По сообщениям, это более $270 миллионов.

Куда уходят украденные деньги

Хакеры Bitget не спешат выводить деньги в наличные. Как сообщает CoinDesk, они переместили около $4 миллионов в приватный пул Zcash, и следить за такими средствами гораздо сложнее. По данным Decrypt, до этого NEAR отклонила обмены примерно на $50 миллионов.

Исследователи SlowMist проследили подготовку атаки до 31 августа. Подозрительная активность с использованием уязвимости нулевого дня, двух продуктов безопасности и специального инструмента вывода началась за несколько недель до кражи. Биржа этого не заметила.

Юристы уже обсуждают, могут ли отвечать разработчики THORChain, которая не блокирует адреса из взлома на $387,5 миллиона. Криптоюрист Юрий Брисов называет этот вопрос сложным.

Риски для тех, кто держит средства на бирже

Bitget возвращается к обычной работе. По словам CEO Bitget Gracy Chen, защитный фонд, созданный в 2022 году, поглотил финансовый удар, и теперь он достигает $309 миллионов. Такая подушка есть далеко не у каждой платформы.

• Защитный фонд работает только тогда, когда он достаточно большой и биржа готова им воспользоваться.
• Приватные пулы вроде Zcash позволяют откладывать ликвидацию украденного, так что шанс возврата падает с каждой неделей.
• Самохранение тоже не панацея: MetaMask вышла из Ethereum-валидаторов и расследует внутренний инцидент безопасности, хотя прямой угрозы кошелькам пока не видит.

Для украинцев, которые держат USDT на биржах между P2P-обменами, это аргумент не оставлять там больше, чем нужно для ближайшей операции. Долгие запасы лучше перенести на аппаратные кошельки с офлайн-ключами.

Итог для рынка

Сентябрь показал, что самые большие потери дают не ошибки в коде смарт-контрактов, а взломанные сервисы с крупными балансами. Два инцидента собрали более 90% ущерба. Биткоин держится около $84 000 и эти истории его не останавливают, но репутации площадок они бьют каждый раз.