Почему биржи теряют крипту и как оценить их безопасность В нашей экспертной рубрике снова netstalker Владимир Попов aka Menaskop. Обсудили, где главная уязвимость криптобирж, можно ли доверять страховым фондам и Proof-of-Reserves (PoR) и как пользователям защитить свои кошельки. Где у бирж самое слабое место? Принято считать, что самое слабое место любой биржи — люди. Но, изучив взломы Mt.Gox, Bybit, Binance и других площадок, я пришел к выводу: самое слабое место — плохо отлаженная инфраструктура. Любой может попасть на фальшивое собеседование или скачать вредоносное ПО. Но именно по этой причине биржа должна иметь многослойный уровень доступа и защиты: она не может доверять кому-то одному и всем сразу. Поэтому самое слабое место сейчас, как и 5-10 и даже 15 лет назад, — отрицание базовых принципов безопасности со стороны крупных игроков. Вместо создания инфраструктуры они тратят резервы на восстановление после инцидентов. Стоит ли выводить активы с биржи после взлома? На CEX вообще не стоит хранить средства. Никакие, нисколько и никогда. После взлома выводить нужно сразу, но по заранее подготовленному сценарию. Если его нет, лучше не дергаться, по крайней мере, после локализации инцидента. Отток средств после взлома — абсолютная паника, которая в очередной раз показывает, что клиенты централизованных решений не готовы к реальной жизни. Самое плачевное, что в ближайшей перспективе их будет лишь больше: ИИ вселяет псевдо-уверенность в каждого новичка. Как оценить надежность биржи по методике 4К? PoR — худший показатель в криптосфере: цифры могут быть завышены, а одни и те же активы учитываться несколько раз. Страховые фонды решают проблемы после инцидента, а не предотвращают его. История взломов тоже не дает полной картины: биржи замалчивают инциденты и жалобы на заморозку средств. Методика 4К помогает разобраться в структуре компании. Первая «К» — команда: в каких странах работает биржа, под какой лицензией, как связаны филиалы, кто принимает решения и владеет компанией, каков опыт топ-менеджмента. Вторая «К» — концепт: что у биржи под капотом, как устроены холодное хранение и горячие кошельки, какие средства авторизации и антифишинга доступны клиентам. Третья — коин: на чем биржа зарабатывает. Если она работает против трейдера, решение одно — самому встать на сторону этого «казино», например через депозиты в вольты на perp DEX. Четвертая — код: какие аудиты проводились, были ли взломы, какие меры защиты внедрили после них и как биржа описывает свою систему безопасности. 4К — это, прежде всего, принцип полноты. Если из четырех пунктов можно проанализировать только два, это повод задуматься и не вносить средства на депозит. Защищают ли клиента SAFU и страховые фонды? Они не защищают клиентов. У бирж нет настоящих резервов. Есть бюджеты для маркет-мейкеров, которые могут использоваться для движения рынка. Это видно по истории взломов. После взломов биржи вместо полной проверки резервов занимают средства или запускают непрозрачные схемы вроде SAFU. Если резервы реальны и «деньги пользователей не пострадали», нужно показать полный финансовый расклад и подтвердить его аудитом, а не нарисованным PoR. Но биржи продолжают торговать на рынке: такая модель им выгодна. Что проверить пользователям MetaMask и Rabby из-за EIP-7702? Механизм касается этих и других EVM-кошельков. Для теста, но не постоянного использования, можно проверить адрес без авторизации на eip7702.app. EIP-7702 — одна из «вечных» уязвимостей, которые будут появляться, пока пользователи хотят Web3 «в одной кнопке». Советую: 1. Чистить браузер после работы или хотя бы раз в неделю. 2. Помнить адреса сервисов наизусть, а не только держать в закладках. 3. Проверять адреса через 1-3 агрегатора. 4. Отзывать аппрувы. 5. Разобраться с делегированием. 6. Отключать dApps. 7. Не оставлять сессии кошелька открытыми «бесконечно». Но эти меры мало помогут, если пользователь ждет точных инструкций на каждый шаг. Безопасность — прежде всего понимание того, чего делать не стоит. В эпоху ИИ без знания базовых принципов юзер становится уязвимым в сети.