Взлом Bybit: уроки по хранению средств и self-custody

В феврале 2025 биржа Bybit сообщила о компрометации одного из холодных кошельков. По оценкам, масштаб инцидента превысил $1 млрд - один из крупнейших взломов в истории криптоиндустрии.

Инцидент напомнил: даже крупнейшие биржи с многоуровневой безопасностью не застрахованы от атак. Для пользователей это повод пересмотреть, где и как хранятся средства.

Что произошло на Bybit

Bybit сообщила о компрометации инфраструктуры подписи, связанной с холодным кошельком. Детали транзакций видны в Etherscan - крупные исходящие переводы с адресов, которые биржа позже отнесла к инциденту.

Биржа активировала протоколы реагирования и пообещала восстановить балансы клиентов. Но событие показало: даже tier-1 площадки с выделенными командами безопасности остаются единой точкой отказа.

Пользователям с средствами на Bybit оставался выбор: довериться плану восстановления или вывести активы на кошельки под собственным контролем, пока сеть была доступна.

Почему «холодный» не значит «безопасный»

Cold storage работает только когда процедуры подписи, multi-party approval и контроль доступа выдерживают атаку. Если злоумышленник компрометирует слой, который авторизует переводы, он фактически владеет кошельком - офлайн-статус железа не помогает после подделки подписей.

Биржевой custody концентрирует риск: один успешный взлом затрагивает все балансы за этим хранилищем. Self-custody распределяет риск на управление ключами - другой тип ошибок, но под вашим контролем.

Урок Bybit - концентрация: держать критически важные суммы на одной бирже значит зависеть от чужого инцидента безопасности.

Переход на non-custodial кошельки

Если вы держите USDT TRC-20 на бирже - первый шаг: вывод на non-custodial кошелёк. Trust Wallet и TronLink - популярные TRON-варианты с полной поддержкой TRC-20 и локальным хранением ключей.

Для крупных сумм - hardware-кошельки (Ledger с TronLink, ELLIPAL Titan). После вывода переводы всё равно требуют Energy.

Profeex позволяет делегировать Energy на app.profeex.io - ~2,73 TRX вместо сжигания 6,5 TRX, без возврата средств на биржу ради экономии.

Практический чеклист после инцидента

Проверьте, где реально лежат USDT и TRX. Баланс на бирже - IOU до момента вывода.

Для сумм, которые нельзя потерять, используйте hardware или air-gapped подпись. Seed-фразу храните офлайн - не в облачных заметках и мессенджерах.

Планируйте Energy перед крупными сериями выводов. Auto mode предотвращает остановку переводов из-за нехватки ресурса.

Считайте биржевой депозит временной парковкой, а не хранилищем. Инцидент Bybit не последний в истории custody-рисков.