Где лучше хранить криптовалюту — на бирже или в кошельке? Разбор после взлома Binance (2026)

Коротко: активному трейдеру стоит держать на бирже только маржу под открытые позиции, запас на случай движения цены и монеты, которыми он собирается скоро торговать. Всё остальное лучше хранить в кошельке, который вы контролируете сами, в идеале в аппаратном, купленном напрямую у производителя. Риск есть в обоих случаях, но риски разные. Когда взламывали крупную биржу, пользователям возмещали убытки, а ждать им приходилось от нуля до 18 дней. Когда биржа банкротилась, первой выплаты ждали от 11 до 27 месяцев, а часть клиентов не получила ничего. При самостоятельном хранении риск переходит на вас: в 2025 году воры увели $713 млн с личных кошельков в 158 000 инцидентов, а в октябре 2026 года Ledger подтвердила, что реселлер продавал аппаратные кошельки со скрытыми имплантами.

Этот разбор для спотовых и фьючерсных трейдеров, которые задаются тем же вопросом после взлома Binance 29 октября 2026 года. В нём наша собственная таблица из 15 сбоев бирж с 2022 года: что каждый из них значил для людей, чьи деньги лежали внутри. Рейтингов бирж и производителей кошельков здесь нет.

Данные актуальны на 4 ноября 2026 года. Не является инвестиционной рекомендацией.

Где безопаснее всего хранить криптовалюту в 2026 году?

Одного самого безопасного места нет: каждый вариант подводит по-своему. В таблице показано, от чего защищает каждый из них и что с ним пошло не так в 2025 и 2026 годах.

Где держать монеты, решает то, как быстро они вам понадобятся. Трейдеру фьючерсов маржа на бирже нужна в течение нескольких минут. Долгосрочный держатель может ждать перевода несколько дней. Дальше в статье показано, как каждый из этих рисков выглядел на практике.

Что стало с деньгами пользователей после взломов и банкротств бирж?

Мы собрали 33 случая взломов, заморозок и банкротств криптобирж и криптокредиторов с 2022 года по 4 ноября 2026 года и вынесли на график 15 из них, исход которых известен. Закономерность чёткая: взлом крупной биржи стоил пользователям времени, банкротство стоило им денег.

Если биржу взломали, а она осталась платёжеспособной, она платит пользователям из своих средств и снова открывает вывод. Bybit потеряла около $1,5 млрд в феврале 2025 года и вывод не останавливала: за первые 10 часов она обработала больше 350 000 заявок и за 72 часа полностью восстановила обеспечение за счёт займов и покупок (Bybit). Binance потеряла около $6,4 млрд 29 октября 2026 года и открыла вывод примерно через два с половиной дня. Bitget потеряла $387,5 млн в сентябре 2026 года, вывод биткоина открыла примерно через четыре дня, а всех активов примерно через восемь (Reuters). Во всех трёх случаях балансы остались целыми.

Если взломали небольшую биржу, убыток может лечь на пользователей. Индийская WazirX потеряла $234,9 млн в июле 2024 года, около 15 месяцев держала вывод замороженным и вернула около 85% балансов плюс токены восстановления по одобренной судом схеме в Сингапуре (Outlook Money). Японская DMM Bitcoin полностью покрыла потерю 4 502,9 BTC, но ограничения действовали девять месяцев, пока счета не перевели на другую биржу. Lykke остановила торги после взлома на $22,4 млн и обанкротилась.

Если биржа обанкротилась, вы ждёте годами и получаете доллары по цене на день краха. FTX провела первую выплату через 27 месяцев после того, как остановила вывод. Она выплатила 105% требований, но требования зафиксировали в ценах ноября 2022 года, когда биткоин стоил около $16 871. По сегодняшней цене это примерно 22% биткоинов, которые были у клиента (наш расчёт). Celsius пока выплатила 64,9%, Voyager около 70%. Клиенты AAX и гонконгской JPEX не получили ничего.

Два более свежих случая ещё не закрыты. Бразильскую Mercado Bitcoin взломали на $40–49 млн 2 ноября 2026 года, и она пообещала покрыть убытки пользователей. AscendEX закрылась в июле 2026 года и не взяла на себя никаких обязательств по выводу средств.

Урок для трейдера не в том, что «биржи безопасны» или «биржи опасны». Размер и платёжеспособность биржи решают, во что обойдётся плохой день: в неделю без доступа к деньгам или в большую часть баланса. Кроме того, биржа может уйти из страны, предупредив за несколько дней. Об этом мы писали в разборе ухода Bitget и MEXC.

Безопасно ли хранить крипту на Binance после взлома?

Ниже факты, а решение зависит от того, сколько вы там держите и зачем. 29 октября 2026 года атакующие, связанные с КНДР, взломали ноутбук инженера и вывели из горячих кошельков Binance около $6,3–6,4 млрд. Binance заявила, что балансы пользователей не уменьшатся. К 31 октября она восполнила 90% украденных активов из фонда SAFU (в начале 2026 года его перевели в 15 000 BTC), части страхового фонда фьючерсов и собственной казны (Reuters), а к 2 ноября сообщила о 95%. Вывод открылся 1 ноября в 06:00 UTC, с 3 ноября добавлялись новые сети. 2 ноября Binance опубликовала экстренный срез подтверждения резервов: по её данным, 10 активов обеспечены не меньше чем на 100% (The Block).

Для трейдеров фьючерсов важны две детали. Первая: часть страхового фонда фьючерсов ушла на покрытие взлома. Этот фонд служит подушкой: он покрывает убытки по обанкротившимся позициям, прежде чем биржа включит автоделеверидж (ADL) и начнёт принудительно закрывать позиции прибыльных трейдеров. Вторая: за 24 часа после взлома по всему рынку ликвидировали позиций примерно на $1,55 млрд (The Block), и следующие два с половиной дня никто не мог перевести обеспечение с Binance на другую биржу.

Что произошло, мы рассказали в отчёте о взломе, а куда ушли украденные деньги, в продолжении.

Как часто взламывают криптобиржи?

Редко, но суммы огромные. В базе взломов и эксплойтов DefiLlama на централизованные биржи в 2026 году пока приходится 1,5% инцидентов, но 77,7% украденной суммы. В 2025 году на них пришлось 8,1% инцидентов и 69,6% суммы.

У личных кошельков картина обратная: много мелких краж. Chainalysis насчитала за 2025 год 158 000 взломов личных кошельков, не меньше 80 000 пострадавших и $713 млн украденного, это около 20% всей криптовалюты, украденной за год (The Block). DefiLlama эти случаи не учитывает, поэтому складывать данные двух источников нельзя.

Большинство крупных взломов бирж в 2024–2026 годах пришлось на горячие кошельки или системы, которые подписывают транзакции, а не на холодное хранение. По данным Chainalysis, за 89% известных потерь от взломов в 2026 году стоят северокорейские группировки (crypto.news).

Можно ли взломать холодный кошелёк?

Чип внутри взломать трудно. В 2025–2026 годах атакующие его обходили: подменяли устройство до того, как оно попадало к покупателю, обманом заставляли владельцев одобрять транзакции, которые те не могли прочитать, или просто выпрашивали сид-фразу.

• Подменённые устройства. 10 октября 2026 года Ledger подтвердила, что в устройстве, которое продал малайзийский реселлер CryptoBilis, был скрытый имплант. Исследователи нашли дополнительную плату с LTE-модемом и eSIM. Во время настройки она считывала экран и нажатия кнопок, вычисляла сид-фразу и отправляла её атакующим. Проверка Genuine Check от Ledger такой имплант не обнаружит, если оригинальный защищённый чип не тронут (BleepingComputer). Ledger попросила реселлеров на семи азиатских рынках остановить продажи, а полиция Сингапура связала с подменёнными устройствами из местных магазинов убытки примерно на S$3,5 млн. 30 октября Trezor предупредила о сообщении про имплант в Safe 5, проданном тем же реселлером; само устройство компания ещё не изучила (Trezor).
• Слепое подписание. При взломе Bybit подписанты одобрили перевод на $1,5 млрд на аппаратных кошельках, потому что взломанная веб-страница показывала им безобидную транзакцию (The Hacker News). Аппаратный кошелёк подписывает то, что вы одобрили. Сообщить, что экран компьютера вас обманул, он не может.
• Фишинг сид-фразы. В 2025 году поддельные приложения Ledger Live для macOS после фальшивой «критической ошибки» просили ввести фразу восстановления, а бумажные письма якобы от Ledger предлагали владельцам ввести свои 24 слова на сайте (The Block).
• Физические угрозы. В публичном списке физических нападений на держателей криптовалюты, который ведёт Джеймсон Лопп (Jameson Lopp), 168 записей за 2025 год и 144 за 2026 год по 24 октября (наш подсчёт). Chainalysis насчитала 46 нападений с применением силы в первой половине 2026 года, у жертв отняли больше $30 млн (Decrypt).

Что защищает: покупайте только на сайте производителя или у реселлера из списка на этом сайте, никогда с рук и не со скидкой. Создайте новую сид-фразу сами и никогда не пользуйтесь той, что пришла вместе с устройством. Сверяйте каждый адрес и сумму на экране самого устройства. И не рассказывайте людям, сколько у вас криптовалюты.

Как опустошают горячие кошельки?

Чаще всего с одобрения самого владельца. Scam Sniffer насчитала, что за 2025 год 106 106 человек потеряли из-за фишинга подписей $83,85 млн, в среднем по $790 (Scam Sniffer). Самые крупные единичные потери пришлись на уловки, для которых взлом вообще не нужен:

• «Отравление адреса» (address poisoning). В декабре 2025 года трейдер отправил около $50 млн в USDT на похожий адрес, скопированный из собственной истории транзакций. Атакующие подбросили его туда крошечным переводом (The Block).
• Вредоносные обновления. Версия 2.68.0 браузерного расширения Trust Wallet, выпущенная 24 декабря 2025 года, отправляла данные кошельков атакующим. До исправления украли не меньше $7 млн (BleepingComputer).
• Подписи «обновите аккаунт». После обновления Ethereum в 2025 году одна подпись может передать управление кошельком другому контракту. Wintermute выяснила, что больше 80% таких делегирований вели на скопированные контракты, которые автоматически выгребают всё из кошелька (The Block). Тот же механизм использовали против горячего кошелька Binance в октябре 2026 года.

Горячий кошелёк подходит для небольших сумм, которыми вы пользуетесь в приложениях. Для сбережений это неподходящее место.

Я торгую фьючерсами: сколько держать на бирже?

Держите маржу, которая нужна открытым позициям, запас на случай движения против вас и монеты, которыми собираетесь скоро торговать. Мы не нашли ни одного регулятора или независимого исследователя, который называл бы процент. Пропорции вроде «90% в холодном, 10% в горячем», которые ходят по интернету, взяты из маркетинга компаний-кастодианов. Вашу цифру определяет другое: как быстро вам может понадобиться довнести маржу и сможете ли вы это сделать, если переводы замедлятся или биржа заморозит средства.

Три факта помогут определить эту цифру:

• Депозит зачисляется не сразу. Биржа зачисляет депозит после нужного ей числа подтверждений в сети. Оно своё для каждой монеты и указано на странице депозита.
• Заморозка на бирже блокирует оба направления. Во время паузы Binance нельзя было вывести обеспечение на другую площадку, а некоторые биржи ненадолго приостанавливали и депозиты.
• Ваши собственные защитные блокировки замедляют только вывод. Блокировка новых адресов или задержка вывода никогда не мешают довнести маржу, так что, включив их, вы не навредите своей торговле.

Если регулярно выводить прибыль, сумма под риском остаётся близкой к той, которой вы реально торгуете. Средства на двух биржах ограничивают ущерб, если одна из них заморозит вывод. Проп-трейдинг меняет картину: на счёте, который финансирует проп-компания, например Binam, вы торгуете капиталом компании, и вашим собственным монетам не нужно лежать на бирже в качестве маржи.

Защитит ли белый список адресов, если биржу взломают?

Нет. Настройки безопасности на бирже защищают ваш аккаунт, а не кошельки биржи. Полезно разделять три уровня риска:

1. Ваш аккаунт: кто-то входит в него под вашим именем. Здесь работают белый список адресов (Withdrawal Whitelist), блокировка новых адресов, ключ доступа (passkey) и антифишинговый код.
2. Платформа: взламывают саму биржу или она банкротится. Настройки здесь не помогут, поможет только то, сколько вы там держите.
3. Ваше устройство: вредоносная программа или подменённый кошелёк. Помогает только гигиена самостоятельного хранения: покупка напрямую у производителя, проверка адресов, чтение того, что подписываете.

Одна деталь удивляет многих трейдеров: на Bybit, а также на Binance с включённым выводом в один шаг адреса из белого списка проходят меньше проверок, а не больше. Поэтому белый список надёжен ровно настолько, насколько надёжен ваш вход в аккаунт. Дополняйте его дневным лимитом и блокировкой новых адресов.

Как защитить аккаунт на бирже

У четырёх крупнейших бирж одни и те же инструменты называются по-разному. Точное меню проверяйте в своём приложении: названия меняются от версии к версии и от региона к региону.

Источники: Binance, Bybit, OKX, Bitget.

Минимальная настройка для трейдера: ключ доступа (passkey) или аппаратный ключ вместо SMS-кодов, антифишинговый код (Anti-Phishing Code), белый список с блокировкой новых адресов и торговые API-ключи без права на вывод и с белым списком IP. Если вы подключаете ботов или ИИ-инструменты, права ключей подробно разобраны в нашем материале об ИИ-инструментах для трейдинга. Не меняйте настройки безопасности, когда рынок штормит: автоматическую заморозку на 24–48 часов после изменений досрочно не снять.

Что показывает подтверждение резервов, а что нет

Binance, OKX, Bybit и Bitget каждый месяц публикуют подтверждение резервов (proof of reserves), и у всех четырёх основные монеты обеспечены не меньше чем на 100%. В отчёте Bitget, вышедшем после её взлома в сентябре 2026 года, указано 142% по BTC, 110% по ETH и 107% по USDT (Bitget). В сентябрьском отчёте Bybit указано 104% по BTC (Crypto Briefing).

Подтверждение резервов показывает, что монеты, которые внесли клиенты, были в блокчейне в момент среза. Оно не показывает:

• что у биржи нет других долгов;
• что список клиентских балансов полный (каждый пользователь может проверить только свою запись);
• что ключи в безопасности. И Binance, и Bitget были выше 100% незадолго до своих взломов в 2026 году.

Аудиторская компания Mazars перестала готовить такие отчёты для криптобирж в декабре 2022 года, сославшись на опасения, что публика неверно их понимает (Accounting Today). Воспринимайте подтверждение резервов как ежемесячную проверку того, что монеты на месте, а не как аудит.

Как безопасно перевести криптовалюту с биржи на свой кошелёк

1. Купите аппаратный кошелёк на сайте производителя или у реселлера из списка на этом сайте.
2. Настройте его сами и запишите новую сид-фразу офлайн. Никогда не вводите её в компьютер или телефон.
3. Получите адрес для приёма на устройстве и сверьте его на экране устройства.
4. На бирже добавьте этот адрес в белый список. Выберите правильную сеть: формат адреса сам по себе не помешает отправить монеты не в той сети.
5. Сначала отправьте небольшую тестовую сумму, потом остальное.
6. Никогда не копируйте адрес из истории транзакций: именно на этом построено «отравление адреса».

Где хранить USDT и другие стейблкоины?

Правила те же, с одним отличием: эмитент может заморозить токены. После взлома Binance Tether заморозила основной USDT-кошелёк атакующих в течение 37 минут, а Circle заморозила 823 млн USDC, прежде чем их успели обменять (наш отчёт). Эта возможность защищает пострадавших, но действует для любого адреса, который пометил эмитент, в том числе для адреса, получившего средства с помеченного. Прежде чем отправлять стейблкоины дальше, проверьте, откуда они пришли, и следите, в какой сети они лежат: комиссии и правила заморозки в разных сетях отличаются.

Частые вопросы

Безопасно ли хранить крипту на бирже?

Для денег, которыми вы торгуете, это разумно, для сбережений рискованно. В 2022–2026 годах крупные биржи, которые взломали, покрывали убытки пользователей за несколько дней. Обанкротившимся биржам на первую выплату понадобилось от 11 до 27 месяцев, а некоторые не выплатили ничего.

Безопасно ли пользоваться Binance после взлома?

Binance сообщает, что балансы пользователей не уменьшились, к 2 ноября 2026 года 95% украденных активов восполнены, а вывод открылся 1 ноября. Но её резервы были выше 100% и до взлома, поэтому одно подтверждение резервов на этот вопрос не отвечает.

Можно ли взломать аппаратный кошелёк?

Защищённый чип взламывают редко. Деньги теряют из-за подменённых устройств, купленных у реселлеров, из-за одобрения транзакций, которые владелец не прочитал, и из-за того, что сид-фразу отдают поддельному приложению или письму. В октябре 2026 года Ledger подтвердила импланты в устройствах, которые продавал реселлер CryptoBilis.

Что будет с моей криптовалютой, если биржу взломают?

Если биржа остаётся платёжеспособной, она обычно покрывает убыток, а вывода вы ждёте от нескольких часов до нескольких недель. Если покрыть убыток она не может, вы можете получить часть баланса через месяцы или годы, как у WazirX (около 85% через 15 месяцев).

Сколько криптовалюты держать на бирже?

Ни регуляторы, ни исследователи процента не называют. Для трейдера фьючерсов минимум составляет маржа под открытые позиции плюс запас, остальное можно хранить у себя.

Где хранить сид-фразу?

Офлайн, на бумаге или металле, в месте, куда можете добраться только вы. Никогда не храните её на фото, в облачной заметке, в письме или в чате. Настоящая служба поддержки никогда её не попросит.

Как мы собирали данные

Мы собрали взломы, заморозки и банкротства бирж с 2022 года по 4 ноября 2026 года из заявлений бирж, судебных документов и баз DefiLlama и SlowMist и сверили каждый случай с новостями Reuters, The Block, CoinDesk и других изданий. Для взломов мы считали время до того, как вывод криптовалюты снова открыли для всех пользователей, для банкротств считали время до первой выплаты. Цифра по FTX в биткоинах — наш расчёт по цене требований $16 871 за BTC. Доля взломов бирж — наш расчёт по базе взломов DefiLlama, скачанной 4 ноября 2026 года. Записи в списке Лоппа мы подсчитали сами по публичному списку на ту же дату. Мы не составляем рейтингов бирж и производителей кошельков.

С чего начать

Включите защиту из таблицы выше сегодня, это займёт десять минут. Прежде чем определять размер следующей позиции, проверьте, насколько близко на самом деле ваша цена ликвидации. Binam — крипто-проп-компания: после челленджа вы торгуете криптофьючерсами на капитал компании, поэтому вашим сбережениям не нужно лежать на бирже в качестве маржи.

Торговля криптовалютой связана с риском. Статья носит информационный характер и не является инвестиционной рекомендацией.