Безопасно ли хранить криптовалюту на бирже: уроки Garantex, FTX и Bybit

Хранить криптовалюту на бирже можно, но это всегда риск контрагента: монеты лежат у компании, и если её взломают, она обанкротится или попадёт под санкции, доступ к средствам может пропасть на годы или навсегда. Для русскоязычных пользователей этот риск не теоретический: биржу Garantex отключили в марте 2025 года, FTX рухнула в 2022-м, а Bybit в феврале 2025 года потеряла около 1,5 млрд долларов в результате взлома.

Ниже мы разбираем, какие риски реальны именно для жителей России, Казахстана, Беларуси и Украины, что показали крупные провалы бирж, как проверить подтверждение резервов и какую часть монет разумно держать на площадке. Это справочный материал. Криптоактивы волатильны, и эта страница не является инвестиционной рекомендацией.

Безопасно ли хранить криптовалюту на бирже?

Относительно безопасно только для суммы, которая нужна для торговли, и только на площадке с лицензией в вашей стране. Пока монеты на бирже, у вас есть лишь требование к компании, а не ключи от средств. Взлом, банкротство, санкции или блокировка аккаунта могут лишить доступа к деньгам, даже если вы сами ничего не нарушали.

Риски можно разделить на четыре группы:

• Взлом площадки. Даже крупнейшие биржи теряли средства из-за атак на кошельки.
• Банкротство и мошенничество руководства. Если компания тратила деньги клиентов, их может просто не оказаться на счетах.
• Санкции и уход из страны. Площадку могут отключить власти другой страны, или она сама прекратит обслуживать ваш регион.
• Риски аккаунта. Фишинг, утечка пароля, перехват SMS, блокировка по решению службы комплаенса.

Свой кошелёк снимает риск контрагента, но переносит ответственность за ключи на вас. Как выбрать кошелёк, мы объясняем в обзоре криптокошельков.

Что случилось с биржей Garantex и средствами её клиентов?

В марте 2025 года Минюст США вместе с Германией и Финляндией отключил инфраструктуру Garantex и предъявил обвинения её администраторам. По данным Минюста, через биржу прошло не менее 96 млрд долларов, а сама площадка с апреля 2022 года находилась под санкциями OFAC за отмывание средств вымогателей и даркнет-рынков.

Для клиентов последствия были прямыми: серверы изъяты, домены заблокированы, и вывести средства обычным способом стало невозможно. Минфин США 14 августа 2025 года повторно внёс Garantex в санкционный список и добавил туда её преемника Grinex, созданного, по данным ведомства, чтобы продолжить работу после действий правоохранителей. Минфин США также сообщает, что пользователям, потерявшим средства, компенсировали их в рублёвом токене A7A5, эмитент которого, киргизская компания Old Vector, тоже попал под санкции. Урок для пользователя простой: площадка без лицензии в стране клиента и под санкциями может исчезнуть за один день вместе с балансами.

Чему научил крах FTX?

FTX показала, что даже известная и рекламируемая биржа может тратить деньги клиентов. Основатель FTX Сэм Бэнкман-Фрид был приговорён к 25 годам заключения и конфискации 11 млрд долларов; по формулировке прокуратуры, он украл более 8 млрд долларов денег клиентов. Средства на бирже в такой ситуации становятся долгом в деле о банкротстве.

Главный вывод из истории FTX: размер биржи, спонсорские контракты и известные инвесторы не заменяют раздельного хранения активов клиентов и надзора регулятора. Именно поэтому новые правила в России строятся вокруг цифровых депозитариев: Банк России в проектах нормативов предложил для них минимальный капитал от 50 до 250 млн рублей и требование ликвидности активов, а сам будет вести их реестр. Это проекты, и до их принятия цифры могут измениться.

Как произошёл взлом Bybit в 2025 году?

По данным ФБР, примерно 21 февраля 2025 года северокорейские хакеры, действующие под названием TraderTraitor, похитили у Bybit около 1,5 млрд долларов в виртуальных активах. Это один из крупнейших взломов в истории криптовалют. Атака была направлена на кошелёк самой биржи, а не на аккаунты отдельных пользователей.

Для клиентов история показательна в обе стороны. С одной стороны, взломать могут даже крупнейшую площадку. С другой, у биржи было достаточно ресурсов, чтобы продолжить работу. У маленькой площадки такой запас прочности может отсутствовать. Отметим, что Bybit Limited в Казахстане работает как отдельное юрлицо с лицензией AFSA; лицензия означает надзор за деятельностью, но не делает взлом невозможным.

Какие крупные провалы бирж важны для пользователей из региона?

Для русскоязычных пользователей самые показательные случаи последних лет: закрытие Garantex по действиям правоохранительных органов, банкротство FTX, взлом Bybit и уход крупных бирж из России. В каждом случае клиенты либо теряли доступ к средствам, либо были вынуждены срочно переводить их в другое место.

Что такое подтверждение резервов и как его проверить?

Подтверждение резервов (proof of reserves) показывает, что у биржи есть активы как минимум на сумму балансов клиентов. Например, Binance строит дерево Меркла из хешей идентификаторов и балансов пользователей, а доказательство zk-SNARK подтверждает, что сумма балансов совпадает с заявленной и ни один баланс не отрицателен. Пользователь может найти свою запись и проверить включение.

Как пользоваться такой проверкой на практике:

1. Зайдите в аккаунт и найдите раздел верификации резервов (у Binance это «Кошелёк», затем «Верификация»).
2. Выберите дату снимка и найдите свой идентификатор записи и лист дерева Меркла.
3. Сверьте баланс на дату снимка со своей историей.
4. Посмотрите, какие активы покрывает проверка: часто это не все монеты на площадке.

Ограничения важно понимать. Подтверждение резервов показывает картину на момент снимка; оно не доказывает отсутствие скрытых долгов, если обязательства раскрыты не полностью, и не защищает от взлома после снимка. Это полезный сигнал, но не замена лицензии и надзора.

Что меняет российский закон о цифровых валютах для безопасности клиентов?

Закон № 282-ФЗ переносит учёт прав на криптовалюту в цифровые депозитарии, включённые в реестр, и допускает к обращению криптовалюты только поднадзорных посредников. Для клиента это ближе к модели фондового рынка: брокер исполняет поручения, депозитарий ведёт учёт, а Банк России устанавливает требования к капиталу и надёжности.

Есть и обратная сторона. Закон позволяет при особых обстоятельствах приостанавливать операции с цифровой валютой на срок до 48 часов, а банкам ограничивать переводы неуполномоченным получателям. Неквалифицированные инвесторы ограничены 300 000 рублей в год через одного посредника. Подробнее об этих нормах читайте на странице о законе о криптовалюте.

Сколько криптовалюты разумно держать на бирже?

Разумно держать на бирже только то, чем вы активно торгуете, а долгосрочные сбережения хранить в собственном кошельке. Практическое правило: если вы не планируете продавать монеты в ближайшие недели, переведите их на кошелёк, ключи от которого есть только у вас, и сохраните сид-фразу офлайн.

• Торговый остаток. На площадке с лицензией в вашей стране, с двухфакторной аутентификацией и белым списком адресов вывода.
• Средний срок. Программный кошелёк на телефоне или компьютере для небольших сумм.
• Долгий срок. Аппаратный кошелёк. Сравнение моделей есть на странице Ledger или Trezor.

Выводите сначала небольшую тестовую сумму. Проверяйте, что сеть вывода совпадает с сетью кошелька. Учтите, что каждый вывод стоит сетевой комиссии, подробности на странице о комиссиях.

Как защитить аккаунт на бирже от взлома и фишинга?

Включите двухфакторную аутентификацию через приложение или аппаратный ключ, а не по SMS; используйте уникальный пароль; включите белый список адресов вывода и антифишинговый код в письмах. Заходите на сайт только по сохранённой закладке и никогда не сообщайте коды подтверждения или сид-фразу никому, включая «поддержку».

Утечки данных случаются и у производителей кошельков. Ledger в письме руководства сообщал, что в 2020 году из его маркетинговой и торговой базы утекли около 1 млн адресов электронной почты, а у 9 500 клиентов также имена, почтовые адреса и телефоны. Платёжные данные и криптовалюта при этом не пострадали, но после утечки покупатели получали фишинговые письма. Ledger подчёркивает, что никогда не просит 24 слова восстановления: любое письмо с такой просьбой является фишингом.

Чем лицензия помогает клиенту биржи?

Лицензия не гарантирует, что биржу не взломают, но даёт клиенту адрес для жалобы и надзор, который проверяет капитал, хранение активов и борьбу с отмыванием денег. В Казахстане публичный реестр AFSA показывает статус лицензии каждой компании, а на сайте регулятора есть разделы о жалобах и предупреждения о мошенниках.

Практическая разница видна, когда что-то идёт не так. У лицензиата есть известное юрлицо, правила раздельного учёта и обязанность отвечать регулятору; у площадки без лицензии в вашей стране есть только сайт и чат поддержки. В России похожую роль начнут играть реестры цифровых депозитариев и обменных организаций, которые ведёт Банк России; участники рынка должны получить лицензии до 1 июля 2027 года. В Украине, пока закон о виртуальных активах не вступил в силу, местного надзора за криптобиржами нет, и защита клиента зависит от страны регистрации площадки.

Как правильно хранить сид-фразу и резервные коды?

Сид-фразу кошелька и резервные коды двухфакторной аутентификации храните офлайн: на бумаге или металлической пластине, в надёжном месте, отдельно от устройства. Не фотографируйте их, не храните в облаке, заметках телефона или переписке. Тот, кто получит сид-фразу, получит и все монеты, а восстановить их будет нельзя.

Несколько правил, которые снижают риск потери:

• Сделайте две копии и храните их в разных местах, чтобы пожар или потоп не уничтожили обе.
• Проверьте запись: восстановите кошелёк из сид-фразы на чистом устройстве с небольшой суммой, прежде чем переводить основные средства.
• Никому не диктуйте слова, даже «сотруднику поддержки» или «службе безопасности банка».
• Резервные коды от биржи храните отдельно от телефона, на котором установлено приложение аутентификации.

Подробная англоязычная инструкция по хранению сид-фразы есть в нашем материале how to store a seed phrase.

Что делать, если биржа заблокировала аккаунт или вывод?

Сначала выясните причину через официальную поддержку площадки и сохраните всю переписку. Если биржа лицензирована в вашей стране, вы можете пожаловаться регулятору: в Казахстане это AFSA для лицензиатов МФЦА, в России Банк России для поднадзорных посредников. Если площадка не имеет лицензии в вашей стране, реальных способов защиты почти нет.

Никогда не платите «агентам по возврату средств», которые находят вас в соцсетях после блокировки: это распространённая схема повторного мошенничества. Проверяйте компании в списке нелегальных участников рынка Банка России. Как выбрать площадку с лицензией, рассказываем в материале о выборе криптобиржи. Все материалы раздела собраны на главной странице.

Частые вопросы

Можно ли потерять криптовалюту, если биржу взломают?

Да. Пока монеты на бирже, у вас есть только требование к компании. Возместит ли она потери, зависит от её резервов и правил. Bybit после взлома на 1,5 млрд долларов в 2025 году продолжила работу, но у небольших площадок такого запаса может не быть.

Что стало с деньгами клиентов Garantex?

После отключения инфраструктуры в марте 2025 года вывести средства обычным способом стало невозможно. По данным Минфина США, пострадавшим пользователям компенсировали средства в рублёвом токене A7A5, эмитент которого тоже под санкциями.

Что такое proof of reserves?

Это подтверждение того, что у биржи есть активы как минимум на сумму балансов клиентов на дату снимка. Пользователь может найти свою запись в дереве Меркла и проверить, что его баланс учтён. Долги и риски после снимка проверка не охватывает.

Сколько криптовалюты держать на бирже?

Только ту часть, которой вы активно торгуете. Долгосрочные сбережения надёжнее хранить в собственном кошельке, лучше аппаратном, с сид-фразой, записанной офлайн.

Просит ли поддержка биржи или Ledger сид-фразу?

Нет. Ledger прямо пишет, что никогда не просит 24 слова восстановления. Любое письмо, звонок или сообщение с такой просьбой является фишингом.