Сентябрь 2026 года оказался самым разрушительным месяцем для крипторынка с начала года: по данным PeckShield и CertiK, совокупные потери от хакерских атак составили от $766,5 млн до $768,4 млн. По сравнению с августом, когда PeckShield фиксировал около $136,3 млн, показатель вырос примерно на 462%. CertiK оценивал августовские потери в $220,3 млн, но и в этом случае сентябрь стал рекордным. Bitget и Liquid Network заняли первое и второе места среди крупнейших инцидентов 2026 года.
Крупнейшим инцидентом месяца стала атака на биржу Bitget 24 сентября. Изначально сообщалось о $351,6 млн, однако после расширения расследования биржа подтвердила, что под контроль злоумышленника попало около $387,5 млн в криптоактивах. Скомпрометированы были горячие и «тёплые» кошельки в сетях Ethereum и других EVM-сетях, а также XRP Ledger, Zcash и Tron. Среди пострадавших активов — ETH, XRP, USDT, USDC, ZEC, BNB, AVAX и TRX. Холодные кошельки и приватные ключи не пострадали. Расследования Mandiant и SlowMist показали, что доступ был получен через скомпрометированное стороннее защитное ПО. Circle и Tether заморозили около $318 тыс. в стейблкоинах, связанных с инцидентом. Bitget уже восстановила вывод BTC, ETH и USDT, а оставшиеся токенные, фиатные и P2P-выводы планировалось возобновить 2 октября. Резервный фонд биржи пополнен выше $300 млн.
Вторым по масштабу стал взлом Liquid Network 6 сентября. Уязвимость в кодовой базе Elements позволила создать около 4 000 L-BTC без достаточного обеспечения в биткоинах. Злоумышленник вывел почти 4 000 BTC, сократив резерв федерации примерно с 4 205 BTC до 197 BTC. После переговоров он вернул 3 400 BTC 7 сентября; на тот момент возвращённые монеты стоили около $269 млн. По оценкам Liquid, невозвращёнными остаются около 602 BTC, поэтому сентябрьскую цифру следует считать валовой стоимостью затронутых средств. Blockstream выпустила экстренный патч Elements v23.3.4, но вывод средств через peg-out оставался приостановленным по состоянию на 29 сентября.
Помимо двух крупнейших атак, CertiK зафиксировал потери Safe Wallet ($7,8 млн), DCENT ($6 млн) и Duelbits ($5,9 млн). Всего за третий квартал потери достигли $1,2 млрд, что на 53% выше второго квартала, а с начала 2026 года — около $2,68 млрд. По данным аналитиков, похищенные средства быстро перемещаются через кроссчейн-сервисы, DEX-свопы, Tornado Cash и биржи без KYC, а также конвертируются в Monero (XMR) и защищённые транзакции Zcash (ZEC), чтобы скрыть следы.
Рост числа взломов подчёркивает уязвимость как централизованных площадок, так и Web3-инфраструктуры. Наиболее атакуемыми сетями остаются Ethereum и BNB Smart Chain. Эксперты предупреждают, что подобные инциденты требуют более строгих аудитов и усиления безопасности протоколов и бирж.
