Взлом горячего кошелька: что делать компании с криптовалютой

Вывод миллиардов с горячих кошельков Binance 29 октября показывает простую вещь: горячий кошелёк — это касса, а не сейф. Компании, которая хранит или принимает криптовалюту, стоит держать онлайн только суточный оборот, ставить лимиты и мультиподпись на всё остальное и заранее знать, кому звонить в первые 60 минут. Ниже — как мы советуем выстроить это без привязки к конкретной бирже.

Что произошло и почему это касается не только биржи

По данным Decrypt и FinanceFeeds, средства ушли с горячих кошельков, через которые биржа обслуживает выводы клиентов. Tether, по словам главы компании Паоло Ардоино, заморозила более 1,567 млрд USDT, Circle — более 800 млн USDC (The Block, Crypto Briefing). Хронологию и цифры мы собрали в новости о взломе Binance.

Для компании вывод один: любой ключ, который подписывает транзакции автоматически и круглосуточно, однажды может подписать то, чего вы не ждали. Вопрос не в том, взломают ли такой ключ, а в том, сколько денег он может увести за один раз и как быстро вы это заметите.

Схемы хранения: что держать онлайн, а что нет

Пропорции — пример, а не норма: они зависят от оборота и частоты выплат. Принцип такой: горячий кошелёк пополняется с тёплого по расписанию и никогда не держит больше, чем вы готовы потерять за одно утро.

Лимиты и мультиподпись

• Лимит на одну транзакцию и на сутки для горячего кошелька, зашитый в смарт-контракт или политику кастодиального сервиса, а не только в код бэкенда.
• Белый список адресов вывода: новые адреса — с задержкой и вторым подтверждением.
• Мультиподпись или MPC для тёплого и холодного уровня: подписанты на разных устройствах, у разных людей, в разных местах.
• Задержка (timelock) на крупные операции и смену подписантов: она даёт время заметить подмену.
• Раздельные роли: тот, кто инициирует платёж, не тот, кто его подтверждает.

Мультиподпись снижает риск, но не делает хранение неуязвимым: если все подписанты подтверждают то, что видят на экране, без проверки адреса и суммы, подпись получит и злоумышленник. Подробнее о схемах — на странице мультиподписи и казначейства компании.

Мониторинг: заметить за минуты, а не за часы

В случае Binance между первым выводом и заморозкой USDC прошло около 40 минут. Для эмитента стейблкоина это быстро, но реагировать может только тот, кто узнал о выводе. Поэтому мониторинг своих адресов — обязательная часть схемы.

1. Оповещение о любом исходящем переводе выше порога и о любом переводе на адрес не из белого списка.
2. Оповещение о смене прав: новые подписанты, делегации, апрувы токенов, изменения в контрактах кошелька.
3. Сверка остатков по расписанию с учётной системой: расхождение — повод для проверки, а не для ожидания.
4. Два независимых канала оповещения, чтобы сбой одного не скрыл инцидент.

Это та же логика, что и в мониторинге сайтов и серверов: важна не красивая панель, а сигнал дежурному в первые минуты.

План инцидента на первые 60 минут

1. Остановить автоматические выплаты и вывести горячий кошелёк из оборота.
2. Перевести остатки тёплого уровня на заранее подготовленный резервный адрес, если есть подозрение на компрометацию подписантов.
3. Зафиксировать хеши транзакций и адреса получателей, сделать снимок журналов.
4. Сообщить эмитентам стейблкоинов и биржам, куда могут уйти средства: у Tether и Circle есть каналы для правоохранительных органов, и заморозка возможна только по их процедурам.
5. Подать заявление в правоохранительные органы: эмитенты обычно действуют по их запросу.
6. Предупредить клиентов через официальный канал и отдельно написать, что компенсации по ссылкам из личных сообщений — фишинг.

Заморозки эмитентов: что важно знать заранее

Tether и Circle технически могут заблокировать адрес в контракте токена. Tether, например, в апреле 2026 года сообщал о заморозке более 344 млн USDT в координации с OFAC и правоохранительными органами США (заявление Tether). Обратная сторона: средства компании тоже могут оказаться заморожены, если на её адрес пришли деньги из помеченного источника. Поэтому у бизнеса должен быть порядок проверки входящих переводов и контакт юриста, который знает процедуры эмитентов.

Российский контекст

Принимать криптовалюту в оплату товаров и услуг в России нельзя, исключения касаются в первую очередь внешней торговли. Подробно об этом — в разборе закона о криптовалюте и оплате. Всё сказанное выше относится к хранению и к законным сценариям: зарубежному бизнесу, ВЭД, майнингу, казначейству.

С чего начать

Если у вас уже есть кошельки компании, начните с инвентаризации: какие адреса, кто подписывает, какие лимиты. Затем — мониторинг и план инцидента. Проектирование хранения и смарт-контрактов с лимитами мы делаем в рамках разработки блокчейн-решений, а проверку инфраструктуры — в услугах безопасности. Аудит смарт-контракта снижает риск, но не гарантирует безопасность: так и закладывайте в план.