Сентябрь 2026 года оказался противоречивым для криптоиндустрии. Bitcoin прибавил более 6% при заметных притоках в американские ETF, однако рынок столкнулся с двумя крупными инцидентами безопасности. В США при этом не удалось продвинуть законопроект, который должен был установить общие правила регулирования цифровых активов. Разбираем события по итогам месяца и объясняем, какие цифры нельзя сравнивать напрямую.

Bitcoin прибавил 6,42% за сентябрь

По историческим котировкам Binance BTC/USDT, Bitcoin начал сентябрь примерно на $78 581 и завершил 30 сентября около $83 624. Месячный рост составил 6,42%; на пике цена достигала $87 396, а минимум месяца находился около $74 968. Таким образом, предварительная оценка роста на 6% близка к окончательному результату.

Интерес к активу поддерживали американские спотовые ETF. 21 сентября фонды зафиксировали чистый приток $998,95 млн за один день — максимальный показатель с октября 2025 года. Из этой суммы около $381 млн пришлось на IBIT от BlackRock, $289 млн — на ARKB и $239 млн — на FBTC. Это были чистые покупки паёв инвесторами, а не рост цены Bitcoin на такую же величину.

По сводной статистике ETF за весь сентябрь, месячный чистый приток составлял около $2,6 млрд. Несмотря на сильную отдельную сессию, движение фондов не было равномерным: в течение месяца фиксировались и дни оттоков. Поэтому говорить о непрерывном притоке капитала или гарантированном продолжении роста BTC нельзя.

Bitget потеряла около $388 млн: оценку ущерба повысили

24 сентября Bitget сообщила о несанкционированных переводах из горячих и частично тёплых кошельков. Первоначальная оценка ущерба составляла $351,6 млн. Вскоре после анализа движений в сетях Tron и Zcash сумму пересмотрели до $387,5 млн. Повышение оценки не означало новую атаку: дополнительные операции отнесли к тому же инциденту.

На тот момент это был крупнейший подтверждённый криптовзлом 2026 года по стоимости украденных активов. Биржа подчёркивала, что холодные кошельки и отдельный некастодиальный продукт Bitget Wallet не пострадали. Для пользователей централизованной биржи главным краткосрочным последствием стала временная остановка вывода средств.

Как прошла атака, если приватные ключи не были украдены

Позднее специалисты Halborn опубликовали технический разбор: по их данным, атакующие получили доступ к серверу рабочей кошелёчной инфраструктуры через два сторонних продукта безопасности. Они подменяли параметры контроля риска в запросах на вывод, после чего штатный сервис подписания Bitget формировал действительные подписи для мошеннических операций.

Вывод аналитиков отличался от привычной истории с утечкой приватных ключей. Проблема была в цепочке принятия решений: инфраструктура, которая должна была отклонять неавторизованные выводы, приняла поддельные запросы как допустимые. Технические детали основаны на опубликованном после инцидента исследовании и не равнозначны окончательным выводам уголовного расследования.

Что произошло с деньгами пользователей Bitget

В первом сообщении Bitget заявила, что её фонд защиты пользователей содержит более $464 млн и покроет ущерб. Это было обязательство платформы, а не доказательство того, что вся украденная криптовалюта уже возвращена. Биржа продолжала отслеживать адреса злоумышленников и организовала программу вознаграждений за помощь в возврате средств.

26 сентября Bitget объявила график поэтапного возобновления выводов: BTC — с 28 сентября, ETH — с 29-го, USDT — с 30-го; остальные активы планировалось открыть в начале октября. 30 сентября компания сообщила о восстановлении защитного фонда до уровня свыше $300 млн. По утверждению биржи, балансы пользователей оставались неизменными, однако вопрос фактического возврата украденных активов нужно отличать от компенсации за счёт собственных резервов.

Liquid Network: ошибка в проверке транзакций позволила выпустить 4 000 необеспеченных L-BTC

6 сентября сеть Liquid, созданная на базе технологий Blockstream, пережила необычную атаку. Согласно официальному техническому отчёту Blockstream, ошибку обнаружили в механизме кеширования проверки rangeproof в программном обеспечении Elements. Одна из транзакций прошла проверку, хотя стоимость её выходов не соответствовала входам. Это позволило создать около 4 000 L-BTC без соответствующего обеспечения настоящими BTC.

Затем атакующие использовали стандартный механизм вывода из сети через SideSwap — участника федерации, обладающего правом авторизации peg-out. В результате из резервов федерации вывели примерно 4 000 настоящих BTC, которые тогда оценивались приблизительно в $320 млн. Ни компрометация приватных ключей федерации, ни взлом системы SideSwap не были установлены как первопричина.

Хакер вернул 3 400 BTC, но остальная сумма осталась спорной

7 сентября после обмена сообщениями с Blockstream в блокчейне атакующая сторона вернула 3 400 BTC. Она представилась «белыми хакерами» и требовала исправить ошибку. Однако само такое заявление не превращает несанкционированный вывод средств в согласованный аудит безопасности.

Около 600 BTC остались невозвращёнными. 11 сентября Blockstream отклонила требование выплатить вознаграждение в размере 10% для окончательного возврата средств. К моменту технического отчёта от 23 сентября примерно 602 BTC всё ещё числились невозвращёнными, а восстановление сети и резервов оставалось отдельным процессом. Поэтому говорить о полной компенсации атаки в сентябре неправильно.

Сентябрь стал самым дорогим месяцем года по валовым потерям от взломов

По итоговым оценкам PeckShield и CertiK, опубликованным 1 октября, за сентябрь общий заявленный ущерб от криптовзломов достиг приблизительно $766–768 млн. PeckShield насчитала 55 крупных инцидентов на $766,5 млн, а CertiK — 97 инцидентов на $768,4 млн. Методики учёта отличаются, поэтому числа не следует механически складывать.

На Bitget и Liquid пришлось подавляющее большинство первоначального ущерба. Но месячная статистика обычно учитывает стоимость активов в момент атак, тогда как Liquid получила обратно 3 400 BTC. Следовательно, указанная сумма отражает валовый объём инцидентов, а не окончательные безвозвратные убытки пользователей на ту же величину. Утверждение о «$684 млн украденных за сентябрь» не совпадает с итоговыми оценками этих компаний.

CLARITY Act не прошёл процедурное голосование Сената

15 сентября Сенат США проголосовал по вопросу прекращения дебатов перед переходом к рассмотрению H.R. 3633 — Digital Asset Market Clarity Act. Результат составил 49 голосов за и 50 против при одном не голосовавшем сенаторе. Для преодоления процедурного барьера требовались 60 голосов. Законопроект не был принят, но это голосование не являлось финальным рассмотрением закона по существу.

CLARITY Act должен был определить федеральные правила для торговли цифровыми товарами и разграничить компетенции Комиссии по ценным бумагам и биржам США (SEC) и Комиссии по торговле товарными фьючерсами (CFTC). Сторонники и противники спорили прежде всего об этических ограничениях для федеральных чиновников, связанных с криптобизнесом, и о достаточности предложенных защитных мер.

Снижение шансов на принятие — не передача всей криптоиндустрии SEC и CFTC

Накануне голосования Polymarket оценивал вероятность подписания CLARITY Act в 2026 году примерно в 30%, после более низких значений ранее в сентябре. Затем ожидания резко ухудшились. Но рыночные котировки таких контрактов — не юридическое решение и не объективная вероятность прохождения всех законодательных этапов.

После неудачного процедурного голосования SEC и CFTC продолжали применять уже существующие нормы в рамках своих полномочий. Однако ни одна комиссия не получила автоматически новые полномочия, предусмотренные проектом, а Конгресс сохранил возможность возобновить обсуждение. Поэтому говорить, что закон окончательно отменён или что американские регуляторы теперь самостоятельно напишут все правила для мирового крипторынка, некорректно.

Что сентябрь показал affiliate-индустрии

Крупные взломы напомнили о необходимости проверять не только наличие страхового или защитного фонда у платёжного партнёра, но и правила его использования, архитектуру подтверждения переводов и возможность приостановки выводов. Для компаний с расчётами в BTC и стейблкоинах важны резервные провайдеры и процедуры экстренного доступа к ликвидности. Регуляторная неопределённость в США также требует осторожности при продвижении криптопродуктов: правила рекламы, лицензирования и допуска пользователей зависят от конкретных юрисдикций.

Сентябрь 2026 года оказался противоречивым для криптоиндустрии. Bitcoin прибавил более 6% при заметных притоках в американские ETF, однако рынок столкнулся с двумя крупными инцидентами безопасности. В США при этом не удалось продвинуть законопроект, который должен был установить общие правила регулирования цифровых активов. Разбираем события по итогам месяца и объясняем, какие цифры нельзя сравнивать напрямую.

Bitcoin прибавил 6,42% за сентябрь

По историческим котировкам Binance BTC/USDT, Bitcoin начал сентябрь примерно на $78 581 и завершил 30 сентября около $83 624. Месячный рост составил 6,42%; на пике цена достигала $87 396, а минимум месяца находился около $74 968. Таким образом, предварительная оценка роста на 6% близка к окончательному результату.

Интерес к активу поддерживали американские спотовые ETF. 21 сентября фонды зафиксировали чистый приток $998,95 млн за один день — максимальный показатель с октября 2025 года. Из этой суммы около $381 млн пришлось на IBIT от BlackRock, $289 млн — на ARKB и $239 млн — на FBTC. Это были чистые покупки паёв инвесторами, а не рост цены Bitcoin на такую же величину.

По сводной статистике ETF за весь сентябрь, месячный чистый приток составлял около $2,6 млрд. Несмотря на сильную отдельную сессию, движение фондов не было равномерным: в течение месяца фиксировались и дни оттоков. Поэтому говорить о непрерывном притоке капитала или гарантированном продолжении роста BTC нельзя.

Bitget потеряла около $388 млн: оценку ущерба повысили

24 сентября Bitget сообщила о несанкционированных переводах из горячих и частично тёплых кошельков. Первоначальная оценка ущерба составляла $351,6 млн. Вскоре после анализа движений в сетях Tron и Zcash сумму пересмотрели до $387,5 млн. Повышение оценки не означало новую атаку: дополнительные операции отнесли к тому же инциденту.

На тот момент это был крупнейший подтверждённый криптовзлом 2026 года по стоимости украденных активов. Биржа подчёркивала, что холодные кошельки и отдельный некастодиальный продукт Bitget Wallet не пострадали. Для пользователей централизованной биржи главным краткосрочным последствием стала временная остановка вывода средств.

Как прошла атака, если приватные ключи не были украдены

Позднее специалисты Halborn опубликовали технический разбор: по их данным, атакующие получили доступ к серверу рабочей кошелёчной инфраструктуры через два сторонних продукта безопасности. Они подменяли параметры контроля риска в запросах на вывод, после чего штатный сервис подписания Bitget формировал действительные подписи для мошеннических операций.

Вывод аналитиков отличался от привычной истории с утечкой приватных ключей. Проблема была в цепочке принятия решений: инфраструктура, которая должна была отклонять неавторизованные выводы, приняла поддельные запросы как допустимые. Технические детали основаны на опубликованном после инцидента исследовании и не равнозначны окончательным выводам уголовного расследования.

Что произошло с деньгами пользователей Bitget

В первом сообщении Bitget заявила, что её фонд защиты пользователей содержит более $464 млн и покроет ущерб. Это было обязательство платформы, а не доказательство того, что вся украденная криптовалюта уже возвращена. Биржа продолжала отслеживать адреса злоумышленников и организовала программу вознаграждений за помощь в возврате средств.

26 сентября Bitget объявила график поэтапного возобновления выводов: BTC — с 28 сентября, ETH — с 29-го, USDT — с 30-го; остальные активы планировалось открыть в начале октября. 30 сентября компания сообщила о восстановлении защитного фонда до уровня свыше $300 млн. По утверждению биржи, балансы пользователей оставались неизменными, однако вопрос фактического возврата украденных активов нужно отличать от компенсации за счёт собственных резервов.

Liquid Network: ошибка в проверке транзакций позволила выпустить 4 000 необеспеченных L-BTC

6 сентября сеть Liquid, созданная на базе технологий Blockstream, пережила необычную атаку. Согласно официальному техническому отчёту Blockstream, ошибку обнаружили в механизме кеширования проверки rangeproof в программном обеспечении Elements. Одна из транзакций прошла проверку, хотя стоимость её выходов не соответствовала входам. Это позволило создать около 4 000 L-BTC без соответствующего обеспечения настоящими BTC.

Затем атакующие использовали стандартный механизм вывода из сети через SideSwap — участника федерации, обладающего правом авторизации peg-out. В результате из резервов федерации вывели примерно 4 000 настоящих BTC, которые тогда оценивались приблизительно в $320 млн. Ни компрометация приватных ключей федерации, ни взлом системы SideSwap не были установлены как первопричина.

Хакер вернул 3 400 BTC, но остальная сумма осталась спорной

7 сентября после обмена сообщениями с Blockstream в блокчейне атакующая сторона вернула 3 400 BTC. Она представилась «белыми хакерами» и требовала исправить ошибку. Однако само такое заявление не превращает несанкционированный вывод средств в согласованный аудит безопасности.

Около 600 BTC остались невозвращёнными. 11 сентября Blockstream отклонила требование выплатить вознаграждение в размере 10% для окончательного возврата средств. К моменту технического отчёта от 23 сентября примерно 602 BTC всё ещё числились невозвращёнными, а восстановление сети и резервов оставалось отдельным процессом. Поэтому говорить о полной компенсации атаки в сентябре неправильно.

Сентябрь стал самым дорогим месяцем года по валовым потерям от взломов

По итоговым оценкам PeckShield и CertiK, опубликованным 1 октября, за сентябрь общий заявленный ущерб от криптовзломов достиг приблизительно $766–768 млн. PeckShield насчитала 55 крупных инцидентов на $766,5 млн, а CertiK — 97 инцидентов на $768,4 млн. Методики учёта отличаются, поэтому числа не следует механически складывать.

На Bitget и Liquid пришлось подавляющее большинство первоначального ущерба. Но месячная статистика обычно учитывает стоимость активов в момент атак, тогда как Liquid получила обратно 3 400 BTC. Следовательно, указанная сумма отражает валовый объём инцидентов, а не окончательные безвозвратные убытки пользователей на ту же величину. Утверждение о «$684 млн украденных за сентябрь» не совпадает с итоговыми оценками этих компаний.

CLARITY Act не прошёл процедурное голосование Сената

15 сентября Сенат США проголосовал по вопросу прекращения дебатов перед переходом к рассмотрению H.R. 3633 — Digital Asset Market Clarity Act. Результат составил 49 голосов за и 50 против при одном не голосовавшем сенаторе. Для преодоления процедурного барьера требовались 60 голосов. Законопроект не был принят, но это голосование не являлось финальным рассмотрением закона по существу.

CLARITY Act должен был определить федеральные правила для торговли цифровыми товарами и разграничить компетенции Комиссии по ценным бумагам и биржам США (SEC) и Комиссии по торговле товарными фьючерсами (CFTC). Сторонники и противники спорили прежде всего об этических ограничениях для федеральных чиновников, связанных с криптобизнесом, и о достаточности предложенных защитных мер.

Снижение шансов на принятие — не передача всей криптоиндустрии SEC и CFTC

Накануне голосования Polymarket оценивал вероятность подписания CLARITY Act в 2026 году примерно в 30%, после более низких значений ранее в сентябре. Затем ожидания резко ухудшились. Но рыночные котировки таких контрактов — не юридическое решение и не объективная вероятность прохождения всех законодательных этапов.

После неудачного процедурного голосования SEC и CFTC продолжали применять уже существующие нормы в рамках своих полномочий. Однако ни одна комиссия не получила автоматически новые полномочия, предусмотренные проектом, а Конгресс сохранил возможность возобновить обсуждение. Поэтому говорить, что закон окончательно отменён или что американские регуляторы теперь самостоятельно напишут все правила для мирового крипторынка, некорректно.

Что сентябрь показал affiliate-индустрии

Крупные взломы напомнили о необходимости проверять не только наличие страхового или защитного фонда у платёжного партнёра, но и правила его использования, архитектуру подтверждения переводов и возможность приостановки выводов. Для компаний с расчётами в BTC и стейблкоинах важны резервные провайдеры и процедуры экстренного доступа к ликвидности. Регуляторная неопределённость в США также требует осторожности при продвижении криптопродуктов: правила рекламы, лицензирования и допуска пользователей зависят от конкретных юрисдикций.

Сентябрь 2026 года оказался противоречивым для криптоиндустрии. Bitcoin прибавил более 6% при заметных притоках в американские ETF, однако рынок столкнулся с двумя крупными инцидентами безопасности. В США при этом не удалось продвинуть законопроект, который должен был установить общие правила регулирования цифровых активов. Разбираем события по итогам месяца и объясняем, какие цифры нельзя сравнивать напрямую.

Bitcoin прибавил 6,42% за сентябрь

По историческим котировкам Binance BTC/USDT, Bitcoin начал сентябрь примерно на $78 581 и завершил 30 сентября около $83 624. Месячный рост составил 6,42%; на пике цена достигала $87 396, а минимум месяца находился около $74 968. Таким образом, предварительная оценка роста на 6% близка к окончательному результату.

Интерес к активу поддерживали американские спотовые ETF. 21 сентября фонды зафиксировали чистый приток $998,95 млн за один день — максимальный показатель с октября 2025 года. Из этой суммы около $381 млн пришлось на IBIT от BlackRock, $289 млн — на ARKB и $239 млн — на FBTC. Это были чистые покупки паёв инвесторами, а не рост цены Bitcoin на такую же величину.

По сводной статистике ETF за весь сентябрь, месячный чистый приток составлял около $2,6 млрд. Несмотря на сильную отдельную сессию, движение фондов не было равномерным: в течение месяца фиксировались и дни оттоков. Поэтому говорить о непрерывном притоке капитала или гарантированном продолжении роста BTC нельзя.

Bitget потеряла около $388 млн: оценку ущерба повысили

24 сентября Bitget сообщила о несанкционированных переводах из горячих и частично тёплых кошельков. Первоначальная оценка ущерба составляла $351,6 млн. Вскоре после анализа движений в сетях Tron и Zcash сумму пересмотрели до $387,5 млн. Повышение оценки не означало новую атаку: дополнительные операции отнесли к тому же инциденту.

На тот момент это был крупнейший подтверждённый криптовзлом 2026 года по стоимости украденных активов. Биржа подчёркивала, что холодные кошельки и отдельный некастодиальный продукт Bitget Wallet не пострадали. Для пользователей централизованной биржи главным краткосрочным последствием стала временная остановка вывода средств.

Как прошла атака, если приватные ключи не были украдены

Позднее специалисты Halborn опубликовали технический разбор: по их данным, атакующие получили доступ к серверу рабочей кошелёчной инфраструктуры через два сторонних продукта безопасности. Они подменяли параметры контроля риска в запросах на вывод, после чего штатный сервис подписания Bitget формировал действительные подписи для мошеннических операций.

Вывод аналитиков отличался от привычной истории с утечкой приватных ключей. Проблема была в цепочке принятия решений: инфраструктура, которая должна была отклонять неавторизованные выводы, приняла поддельные запросы как допустимые. Технические детали основаны на опубликованном после инцидента исследовании и не равнозначны окончательным выводам уголовного расследования.

Что произошло с деньгами пользователей Bitget

В первом сообщении Bitget заявила, что её фонд защиты пользователей содержит более $464 млн и покроет ущерб. Это было обязательство платформы, а не доказательство того, что вся украденная криптовалюта уже возвращена. Биржа продолжала отслеживать адреса злоумышленников и организовала программу вознаграждений за помощь в возврате средств.

26 сентября Bitget объявила график поэтапного возобновления выводов: BTC — с 28 сентября, ETH — с 29-го, USDT — с 30-го; остальные активы планировалось открыть в начале октября. 30 сентября компания сообщила о восстановлении защитного фонда до уровня свыше $300 млн. По утверждению биржи, балансы пользователей оставались неизменными, однако вопрос фактического возврата украденных активов нужно отличать от компенсации за счёт собственных резервов.

Liquid Network: ошибка в проверке транзакций позволила выпустить 4 000 необеспеченных L-BTC

6 сентября сеть Liquid, созданная на базе технологий Blockstream, пережила необычную атаку. Согласно официальному техническому отчёту Blockstream, ошибку обнаружили в механизме кеширования проверки rangeproof в программном обеспечении Elements. Одна из транзакций прошла проверку, хотя стоимость её выходов не соответствовала входам. Это позволило создать около 4 000 L-BTC без соответствующего обеспечения настоящими BTC.

Затем атакующие использовали стандартный механизм вывода из сети через SideSwap — участника федерации, обладающего правом авторизации peg-out. В результате из резервов федерации вывели примерно 4 000 настоящих BTC, которые тогда оценивались приблизительно в $320 млн. Ни компрометация приватных ключей федерации, ни взлом системы SideSwap не были установлены как первопричина.

Хакер вернул 3 400 BTC, но остальная сумма осталась спорной

7 сентября после обмена сообщениями с Blockstream в блокчейне атакующая сторона вернула 3 400 BTC. Она представилась «белыми хакерами» и требовала исправить ошибку. Однако само такое заявление не превращает несанкционированный вывод средств в согласованный аудит безопасности.

Около 600 BTC остались невозвращёнными. 11 сентября Blockstream отклонила требование выплатить вознаграждение в размере 10% для окончательного возврата средств. К моменту технического отчёта от 23 сентября примерно 602 BTC всё ещё числились невозвращёнными, а восстановление сети и резервов оставалось отдельным процессом. Поэтому говорить о полной компенсации атаки в сентябре неправильно.

Сентябрь стал самым дорогим месяцем года по валовым потерям от взломов

По итоговым оценкам PeckShield и CertiK, опубликованным 1 октября, за сентябрь общий заявленный ущерб от криптовзломов достиг приблизительно $766–768 млн. PeckShield насчитала 55 крупных инцидентов на $766,5 млн, а CertiK — 97 инцидентов на $768,4 млн. Методики учёта отличаются, поэтому числа не следует механически складывать.

На Bitget и Liquid пришлось подавляющее большинство первоначального ущерба. Но месячная статистика обычно учитывает стоимость активов в момент атак, тогда как Liquid получила обратно 3 400 BTC. Следовательно, указанная сумма отражает валовый объём инцидентов, а не окончательные безвозвратные убытки пользователей на ту же величину. Утверждение о «$684 млн украденных за сентябрь» не совпадает с итоговыми оценками этих компаний.

CLARITY Act не прошёл процедурное голосование Сената

15 сентября Сенат США проголосовал по вопросу прекращения дебатов перед переходом к рассмотрению H.R. 3633 — Digital Asset Market Clarity Act. Результат составил 49 голосов за и 50 против при одном не голосовавшем сенаторе. Для преодоления процедурного барьера требовались 60 голосов. Законопроект не был принят, но это голосование не являлось финальным рассмотрением закона по существу.

CLARITY Act должен был определить федеральные правила для торговли цифровыми товарами и разграничить компетенции Комиссии по ценным бумагам и биржам США (SEC) и Комиссии по торговле товарными фьючерсами (CFTC). Сторонники и противники спорили прежде всего об этических ограничениях для федеральных чиновников, связанных с криптобизнесом, и о достаточности предложенных защитных мер.

Снижение шансов на принятие — не передача всей криптоиндустрии SEC и CFTC

Накануне голосования Polymarket оценивал вероятность подписания CLARITY Act в 2026 году примерно в 30%, после более низких значений ранее в сентябре. Затем ожидания резко ухудшились. Но рыночные котировки таких контрактов — не юридическое решение и не объективная вероятность прохождения всех законодательных этапов.

После неудачного процедурного голосования SEC и CFTC продолжали применять уже существующие нормы в рамках своих полномочий. Однако ни одна комиссия не получила автоматически новые полномочия, предусмотренные проектом, а Конгресс сохранил возможность возобновить обсуждение. Поэтому говорить, что закон окончательно отменён или что американские регуляторы теперь самостоятельно напишут все правила для мирового крипторынка, некорректно.

Что сентябрь показал affiliate-индустрии

Крупные взломы напомнили о необходимости проверять не только наличие страхового или защитного фонда у платёжного партнёра, но и правила его использования, архитектуру подтверждения переводов и возможность приостановки выводов. Для компаний с расчётами в BTC и стейблкоинах важны резервные провайдеры и процедуры экстренного доступа к ликвидности. Регуляторная неопределённость в США также требует осторожности при продвижении криптопродуктов: правила рекламы, лицензирования и допуска пользователей зависят от конкретных юрисдикций.

Сентябрь 2026 года оказался противоречивым для криптоиндустрии. Bitcoin прибавил более 6% при заметных притоках в американские ETF, однако рынок столкнулся с двумя крупными инцидентами безопасности. В США при этом не удалось продвинуть законопроект, который должен был установить общие правила регулирования цифровых активов. Разбираем события по итогам месяца и объясняем, какие цифры нельзя сравнивать напрямую.

Bitcoin прибавил 6,42% за сентябрь

По историческим котировкам Binance BTC/USDT, Bitcoin начал сентябрь примерно на $78 581 и завершил 30 сентября около $83 624. Месячный рост составил 6,42%; на пике цена достигала $87 396, а минимум месяца находился около $74 968. Таким образом, предварительная оценка роста на 6% близка к окончательному результату.

Интерес к активу поддерживали американские спотовые ETF. 21 сентября фонды зафиксировали чистый приток $998,95 млн за один день — максимальный показатель с октября 2025 года. Из этой суммы около $381 млн пришлось на IBIT от BlackRock, $289 млн — на ARKB и $239 млн — на FBTC. Это были чистые покупки паёв инвесторами, а не рост цены Bitcoin на такую же величину.

По сводной статистике ETF за весь сентябрь, месячный чистый приток составлял около $2,6 млрд. Несмотря на сильную отдельную сессию, движение фондов не было равномерным: в течение месяца фиксировались и дни оттоков. Поэтому говорить о непрерывном притоке капитала или гарантированном продолжении роста BTC нельзя.

Bitget потеряла около $388 млн: оценку ущерба повысили

24 сентября Bitget сообщила о несанкционированных переводах из горячих и частично тёплых кошельков. Первоначальная оценка ущерба составляла $351,6 млн. Вскоре после анализа движений в сетях Tron и Zcash сумму пересмотрели до $387,5 млн. Повышение оценки не означало новую атаку: дополнительные операции отнесли к тому же инциденту.

На тот момент это был крупнейший подтверждённый криптовзлом 2026 года по стоимости украденных активов. Биржа подчёркивала, что холодные кошельки и отдельный некастодиальный продукт Bitget Wallet не пострадали. Для пользователей централизованной биржи главным краткосрочным последствием стала временная остановка вывода средств.

Как прошла атака, если приватные ключи не были украдены

Позднее специалисты Halborn опубликовали технический разбор: по их данным, атакующие получили доступ к серверу рабочей кошелёчной инфраструктуры через два сторонних продукта безопасности. Они подменяли параметры контроля риска в запросах на вывод, после чего штатный сервис подписания Bitget формировал действительные подписи для мошеннических операций.

Вывод аналитиков отличался от привычной истории с утечкой приватных ключей. Проблема была в цепочке принятия решений: инфраструктура, которая должна была отклонять неавторизованные выводы, приняла поддельные запросы как допустимые. Технические детали основаны на опубликованном после инцидента исследовании и не равнозначны окончательным выводам уголовного расследования.

Что произошло с деньгами пользователей Bitget

В первом сообщении Bitget заявила, что её фонд защиты пользователей содержит более $464 млн и покроет ущерб. Это было обязательство платформы, а не доказательство того, что вся украденная криптовалюта уже возвращена. Биржа продолжала отслеживать адреса злоумышленников и организовала программу вознаграждений за помощь в возврате средств.

26 сентября Bitget объявила график поэтапного возобновления выводов: BTC — с 28 сентября, ETH — с 29-го, USDT — с 30-го; остальные активы планировалось открыть в начале октября. 30 сентября компания сообщила о восстановлении защитного фонда до уровня свыше $300 млн. По утверждению биржи, балансы пользователей оставались неизменными, однако вопрос фактического возврата украденных активов нужно отличать от компенсации за счёт собственных резервов.

Liquid Network: ошибка в проверке транзакций позволила выпустить 4 000 необеспеченных L-BTC

6 сентября сеть Liquid, созданная на базе технологий Blockstream, пережила необычную атаку. Согласно официальному техническому отчёту Blockstream, ошибку обнаружили в механизме кеширования проверки rangeproof в программном обеспечении Elements. Одна из транзакций прошла проверку, хотя стоимость её выходов не соответствовала входам. Это позволило создать около 4 000 L-BTC без соответствующего обеспечения настоящими BTC.

Затем атакующие использовали стандартный механизм вывода из сети через SideSwap — участника федерации, обладающего правом авторизации peg-out. В результате из резервов федерации вывели примерно 4 000 настоящих BTC, которые тогда оценивались приблизительно в $320 млн. Ни компрометация приватных ключей федерации, ни взлом системы SideSwap не были установлены как первопричина.

Хакер вернул 3 400 BTC, но остальная сумма осталась спорной

7 сентября после обмена сообщениями с Blockstream в блокчейне атакующая сторона вернула 3 400 BTC. Она представилась «белыми хакерами» и требовала исправить ошибку. Однако само такое заявление не превращает несанкционированный вывод средств в согласованный аудит безопасности.

Около 600 BTC остались невозвращёнными. 11 сентября Blockstream отклонила требование выплатить вознаграждение в размере 10% для окончательного возврата средств. К моменту технического отчёта от 23 сентября примерно 602 BTC всё ещё числились невозвращёнными, а восстановление сети и резервов оставалось отдельным процессом. Поэтому говорить о полной компенсации атаки в сентябре неправильно.

Сентябрь стал самым дорогим месяцем года по валовым потерям от взломов

По итоговым оценкам PeckShield и CertiK, опубликованным 1 октября, за сентябрь общий заявленный ущерб от криптовзломов достиг приблизительно $766–768 млн. PeckShield насчитала 55 крупных инцидентов на $766,5 млн, а CertiK — 97 инцидентов на $768,4 млн. Методики учёта отличаются, поэтому числа не следует механически складывать.

На Bitget и Liquid пришлось подавляющее большинство первоначального ущерба. Но месячная статистика обычно учитывает стоимость активов в момент атак, тогда как Liquid получила обратно 3 400 BTC. Следовательно, указанная сумма отражает валовый объём инцидентов, а не окончательные безвозвратные убытки пользователей на ту же величину. Утверждение о «$684 млн украденных за сентябрь» не совпадает с итоговыми оценками этих компаний.

CLARITY Act не прошёл процедурное голосование Сената

15 сентября Сенат США проголосовал по вопросу прекращения дебатов перед переходом к рассмотрению H.R. 3633 — Digital Asset Market Clarity Act. Результат составил 49 голосов за и 50 против при одном не голосовавшем сенаторе. Для преодоления процедурного барьера требовались 60 голосов. Законопроект не был принят, но это голосование не являлось финальным рассмотрением закона по существу.

CLARITY Act должен был определить федеральные правила для торговли цифровыми товарами и разграничить компетенции Комиссии по ценным бумагам и биржам США (SEC) и Комиссии по торговле товарными фьючерсами (CFTC). Сторонники и противники спорили прежде всего об этических ограничениях для федеральных чиновников, связанных с криптобизнесом, и о достаточности предложенных защитных мер.

Снижение шансов на принятие — не передача всей криптоиндустрии SEC и CFTC

Накануне голосования Polymarket оценивал вероятность подписания CLARITY Act в 2026 году примерно в 30%, после более низких значений ранее в сентябре. Затем ожидания резко ухудшились. Но рыночные котировки таких контрактов — не юридическое решение и не объективная вероятность прохождения всех законодательных этапов.

После неудачного процедурного голосования SEC и CFTC продолжали применять уже существующие нормы в рамках своих полномочий. Однако ни одна комиссия не получила автоматически новые полномочия, предусмотренные проектом, а Конгресс сохранил возможность возобновить обсуждение. Поэтому говорить, что закон окончательно отменён или что американские регуляторы теперь самостоятельно напишут все правила для мирового крипторынка, некорректно.

Что сентябрь показал affiliate-индустрии

Крупные взломы напомнили о необходимости проверять не только наличие страхового или защитного фонда у платёжного партнёра, но и правила его использования, архитектуру подтверждения переводов и возможность приостановки выводов. Для компаний с расчётами в BTC и стейблкоинах важны резервные провайдеры и процедуры экстренного доступа к ликвидности. Регуляторная неопределённость в США также требует осторожности при продвижении криптопродуктов: правила рекламы, лицензирования и допуска пользователей зависят от конкретных юрисдикций.