Вересень 2026 року був суперечливим для криптоіндустрії. Bitcoin додав понад 6% на тлі значних припливів до американських ETF, однак ринок зіткнувся з двома великими інцидентами безпеки. У США водночас не вдалося просунути законопроєкт, який мав встановити загальні правила регулювання цифрових активів. Підбиваємо підсумки місяця та пояснюємо, які цифри не можна безпосередньо порівнювати.

Bitcoin додав 6,42% за вересень

За історичними котируваннями Binance BTC/USDT, Bitcoin розпочав вересень приблизно на рівні $78 581 і завершив 30 вересня поблизу $83 624. Місячне зростання становило 6,42%; на піку ціна сягала $87 396, а мінімум місяця був близько $74 968. Отже, попередня оцінка зростання на 6% близька до підсумкового результату.

Інтерес до активу підтримували американські спотові ETF. 21 вересня фонди отримали чистий приплив $998,95 млн за один день — найбільший із жовтня 2025 року. Приблизно $381 млн припало на IBIT від BlackRock, $289 млн — на ARKB і $239 млн — на FBTC. Це були чисті вкладення інвесторів у паї фондів, а не еквівалентне зростання ціни Bitcoin.

За зведеною статистикою ETF за весь вересень, місячний чистий приплив становив близько $2,6 млрд. Попри сильну окрему сесію рух коштів був нерівномірним: фіксувалися й дні відпливу. Тож говорити про безперервне надходження капіталу або гарантоване продовження зростання BTC не можна.

Bitget втратила близько $388 млн: оцінку збитків підвищили

24 вересня Bitget повідомила про несанкціоновані перекази з гарячих і частини теплих гаманців. Початкова оцінка збитків становила $351,6 млн. Після додаткової перевірки транзакцій у мережах Tron і Zcash суму переглянули до $387,5 млн. Це не означало нової атаки: додаткові операції віднесли до того самого інциденту.

На той момент це був найбільший підтверджений криптозлам 2026 року за вартістю викрадених активів. Біржа наголошувала, що холодні гаманці та окремий некастодіальний продукт Bitget Wallet не постраждали. Для клієнтів централізованої біржі головним короткостроковим наслідком стало тимчасове припинення виведення коштів.

Як відбулася атака без викрадення приватних ключів

Згодом фахівці Halborn опублікували технічний аналіз: за їхніми даними, нападники отримали доступ до робочого сервера гаманцевої інфраструктури через два сторонні захисні продукти. Вони підміняли параметри контролю ризиків у запитах на виведення коштів, після чого штатний сервіс підписання Bitget створював справжні підписи для шахрайських переказів.

Висновки аналітиків відрізнялися від типової історії з витоком приватних ключів. Слабким місцем був ланцюжок ухвалення рішень: інфраструктура, яка мала відхиляти неавторизовані запити, визнавала підроблені запити допустимими. Технічний опис ґрунтується на оприлюдненому після інциденту дослідженні, а не на остаточних висновках кримінального провадження.

Що сталося з коштами користувачів Bitget

У першому повідомленні Bitget заявила, що фонд захисту користувачів містить понад $464 млн і має покрити збитки. Це було зобов’язання платформи, а не доказ того, що всю викрадену криптовалюту вже повернули. Біржа продовжувала відстежувати адреси нападників та запустила програму винагород за допомогу в поверненні активів.

26 вересня Bitget оголосила графік поетапного відновлення виведень: BTC — із 28 вересня, ETH — із 29-го, USDT — із 30-го; інші активи планували відкрити на початку жовтня. 30 вересня компанія повідомила про відновлення захисного фонду до понад $300 млн. За заявою біржі, баланси клієнтів залишалися незмінними, але фактичне повернення викрадених токенів слід відрізняти від компенсації за рахунок власних резервів.

Liquid Network: помилка перевірки дозволила створити 4 000 незабезпечених L-BTC

6 вересня мережа Liquid, побудована на технологіях Blockstream, зазнала незвичної атаки. Згідно з офіційним технічним звітом Blockstream, уразливість була в кешуванні перевірки rangeproof у програмному забезпеченні Elements. Транзакція пройшла перевірку, хоча вартість її виходів не відповідала входам. Це дозволило створити близько 4 000 L-BTC без відповідного забезпечення справжніми BTC.

Потім нападники використали стандартний механізм виведення з мережі через SideSwap — учасника федерації з правом авторизації peg-out. У результаті з резервів федерації вивели приблизно 4 000 справжніх BTC, які тоді оцінювалися близько в $320 млн. Ані компрометацію приватних ключів федерації, ані злам систем SideSwap не встановили як першопричину.

Зловмисник повернув 3 400 BTC, але решта залишалася предметом спору

7 вересня після обміну повідомленнями з Blockstream у блокчейні нападник повернув 3 400 BTC. Він називав себе «білим хакером» і вимагав виправлення помилки. Проте таке самовизначення не робить несанкціоноване виведення коштів погодженим аудитом безпеки.

Близько 600 BTC залишалися неповерненими. 11 вересня Blockstream відмовилася виконати вимогу про винагороду в 10% за остаточне повернення коштів. Станом на технічний звіт від 23 вересня приблизно 602 BTC все ще вважалися неповерненими, а відновлення мережі й резервів тривало. Тому стверджувати, що у вересні всю суму компенсували, некоректно.

Вересень став найдорожчим місяцем року за валовими втратами від зламів

За підсумковими оцінками PeckShield і CertiK, оприлюдненими 1 жовтня, загальний заявлений збиток від криптозламів у вересні досяг приблизно $766–768 млн. PeckShield нарахувала 55 великих інцидентів на $766,5 млн, CertiK — 97 інцидентів на $768,4 млн. Методики обліку різняться, тому ці суми не слід механічно додавати.

На Bitget і Liquid припала переважна частина первинних втрат. Проте місячна статистика зазвичай враховує оцінку активів у момент атаки, тоді як Liquid повернула 3 400 BTC. Отже, загальна цифра відображає валовий обсяг інцидентів, а не остаточні безповоротні збитки користувачів. Твердження про «$684 млн викрадених за вересень» не збігається з підсумковими оцінками цих аналітичних компаній.

CLARITY Act не подолав процедурне голосування Сенату

15 вересня Сенат США проголосував щодо припинення дебатів перед переходом до розгляду H.R. 3633 — Digital Asset Market Clarity Act. Результат становив 49 голосів за та 50 проти, один сенатор не голосував. Щоб подолати процедурний бар’єр, потрібно було 60 голосів. Законопроєкт не ухвалили, але це не було фінальним голосуванням щодо його змісту.

CLARITY Act мав визначити федеральні правила торгівлі цифровими товарами й розподілити повноваження Комісії з цінних паперів і бірж США (SEC) та Комісії з торгівлі товарними ф’ючерсами (CFTC). Прихильники й опоненти сперечалися насамперед про етичні обмеження для федеральних посадовців, пов’язаних із криптобізнесом, і достатність запропонованих запобіжників.

Зменшення шансів ухвалення — не передача всієї криптоіндустрії SEC і CFTC

Напередодні голосування Polymarket оцінював імовірність підписання CLARITY Act у 2026 році приблизно у 30%, після нижчих значень на початку вересня. Потім очікування різко погіршилися. Однак котирування контрактів на ринках прогнозів не є юридичним рішенням чи об’єктивною ймовірністю проходження всіх законодавчих етапів.

Після невдалого процедурного голосування SEC і CFTC продовжували застосовувати чинні норми в межах своїх повноважень. Жодна комісія не отримала автоматично нових повноважень, передбачених законопроєктом, а Конгрес зберіг можливість повернутися до обговорення. Тому говорити, що закон остаточно скасовано або що американські регулятори самостійно напишуть правила для всього світового крипторинку, неправильно.

Що вересень показав affiliate-індустрії

Масштабні злами нагадали про необхідність перевіряти не лише наявність захисного фонду в платіжного партнера, а й правила його використання, архітектуру підтвердження переказів та можливість призупинення виведень. Для компаній із розрахунками в BTC і стейблкоїнах важливі резервні провайдери та процедури екстреного доступу до ліквідності. Регуляторна невизначеність у США також вимагає обережності під час просування криптопродуктів: рекламні правила, ліцензування й допуск користувачів залежать від конкретної юрисдикції.

Вересень 2026 року був суперечливим для криптоіндустрії. Bitcoin додав понад 6% на тлі значних припливів до американських ETF, однак ринок зіткнувся з двома великими інцидентами безпеки. У США водночас не вдалося просунути законопроєкт, який мав встановити загальні правила регулювання цифрових активів. Підбиваємо підсумки місяця та пояснюємо, які цифри не можна безпосередньо порівнювати.

Bitcoin додав 6,42% за вересень

За історичними котируваннями Binance BTC/USDT, Bitcoin розпочав вересень приблизно на рівні $78 581 і завершив 30 вересня поблизу $83 624. Місячне зростання становило 6,42%; на піку ціна сягала $87 396, а мінімум місяця був близько $74 968. Отже, попередня оцінка зростання на 6% близька до підсумкового результату.

Інтерес до активу підтримували американські спотові ETF. 21 вересня фонди отримали чистий приплив $998,95 млн за один день — найбільший із жовтня 2025 року. Приблизно $381 млн припало на IBIT від BlackRock, $289 млн — на ARKB і $239 млн — на FBTC. Це були чисті вкладення інвесторів у паї фондів, а не еквівалентне зростання ціни Bitcoin.

За зведеною статистикою ETF за весь вересень, місячний чистий приплив становив близько $2,6 млрд. Попри сильну окрему сесію рух коштів був нерівномірним: фіксувалися й дні відпливу. Тож говорити про безперервне надходження капіталу або гарантоване продовження зростання BTC не можна.

Bitget втратила близько $388 млн: оцінку збитків підвищили

24 вересня Bitget повідомила про несанкціоновані перекази з гарячих і частини теплих гаманців. Початкова оцінка збитків становила $351,6 млн. Після додаткової перевірки транзакцій у мережах Tron і Zcash суму переглянули до $387,5 млн. Це не означало нової атаки: додаткові операції віднесли до того самого інциденту.

На той момент це був найбільший підтверджений криптозлам 2026 року за вартістю викрадених активів. Біржа наголошувала, що холодні гаманці та окремий некастодіальний продукт Bitget Wallet не постраждали. Для клієнтів централізованої біржі головним короткостроковим наслідком стало тимчасове припинення виведення коштів.

Як відбулася атака без викрадення приватних ключів

Згодом фахівці Halborn опублікували технічний аналіз: за їхніми даними, нападники отримали доступ до робочого сервера гаманцевої інфраструктури через два сторонні захисні продукти. Вони підміняли параметри контролю ризиків у запитах на виведення коштів, після чого штатний сервіс підписання Bitget створював справжні підписи для шахрайських переказів.

Висновки аналітиків відрізнялися від типової історії з витоком приватних ключів. Слабким місцем був ланцюжок ухвалення рішень: інфраструктура, яка мала відхиляти неавторизовані запити, визнавала підроблені запити допустимими. Технічний опис ґрунтується на оприлюдненому після інциденту дослідженні, а не на остаточних висновках кримінального провадження.

Що сталося з коштами користувачів Bitget

У першому повідомленні Bitget заявила, що фонд захисту користувачів містить понад $464 млн і має покрити збитки. Це було зобов’язання платформи, а не доказ того, що всю викрадену криптовалюту вже повернули. Біржа продовжувала відстежувати адреси нападників та запустила програму винагород за допомогу в поверненні активів.

26 вересня Bitget оголосила графік поетапного відновлення виведень: BTC — із 28 вересня, ETH — із 29-го, USDT — із 30-го; інші активи планували відкрити на початку жовтня. 30 вересня компанія повідомила про відновлення захисного фонду до понад $300 млн. За заявою біржі, баланси клієнтів залишалися незмінними, але фактичне повернення викрадених токенів слід відрізняти від компенсації за рахунок власних резервів.

Liquid Network: помилка перевірки дозволила створити 4 000 незабезпечених L-BTC

6 вересня мережа Liquid, побудована на технологіях Blockstream, зазнала незвичної атаки. Згідно з офіційним технічним звітом Blockstream, уразливість була в кешуванні перевірки rangeproof у програмному забезпеченні Elements. Транзакція пройшла перевірку, хоча вартість її виходів не відповідала входам. Це дозволило створити близько 4 000 L-BTC без відповідного забезпечення справжніми BTC.

Потім нападники використали стандартний механізм виведення з мережі через SideSwap — учасника федерації з правом авторизації peg-out. У результаті з резервів федерації вивели приблизно 4 000 справжніх BTC, які тоді оцінювалися близько в $320 млн. Ані компрометацію приватних ключів федерації, ані злам систем SideSwap не встановили як першопричину.

Зловмисник повернув 3 400 BTC, але решта залишалася предметом спору

7 вересня після обміну повідомленнями з Blockstream у блокчейні нападник повернув 3 400 BTC. Він називав себе «білим хакером» і вимагав виправлення помилки. Проте таке самовизначення не робить несанкціоноване виведення коштів погодженим аудитом безпеки.

Близько 600 BTC залишалися неповерненими. 11 вересня Blockstream відмовилася виконати вимогу про винагороду в 10% за остаточне повернення коштів. Станом на технічний звіт від 23 вересня приблизно 602 BTC все ще вважалися неповерненими, а відновлення мережі й резервів тривало. Тому стверджувати, що у вересні всю суму компенсували, некоректно.

Вересень став найдорожчим місяцем року за валовими втратами від зламів

За підсумковими оцінками PeckShield і CertiK, оприлюдненими 1 жовтня, загальний заявлений збиток від криптозламів у вересні досяг приблизно $766–768 млн. PeckShield нарахувала 55 великих інцидентів на $766,5 млн, CertiK — 97 інцидентів на $768,4 млн. Методики обліку різняться, тому ці суми не слід механічно додавати.

На Bitget і Liquid припала переважна частина первинних втрат. Проте місячна статистика зазвичай враховує оцінку активів у момент атаки, тоді як Liquid повернула 3 400 BTC. Отже, загальна цифра відображає валовий обсяг інцидентів, а не остаточні безповоротні збитки користувачів. Твердження про «$684 млн викрадених за вересень» не збігається з підсумковими оцінками цих аналітичних компаній.

CLARITY Act не подолав процедурне голосування Сенату

15 вересня Сенат США проголосував щодо припинення дебатів перед переходом до розгляду H.R. 3633 — Digital Asset Market Clarity Act. Результат становив 49 голосів за та 50 проти, один сенатор не голосував. Щоб подолати процедурний бар’єр, потрібно було 60 голосів. Законопроєкт не ухвалили, але це не було фінальним голосуванням щодо його змісту.

CLARITY Act мав визначити федеральні правила торгівлі цифровими товарами й розподілити повноваження Комісії з цінних паперів і бірж США (SEC) та Комісії з торгівлі товарними ф’ючерсами (CFTC). Прихильники й опоненти сперечалися насамперед про етичні обмеження для федеральних посадовців, пов’язаних із криптобізнесом, і достатність запропонованих запобіжників.

Зменшення шансів ухвалення — не передача всієї криптоіндустрії SEC і CFTC

Напередодні голосування Polymarket оцінював імовірність підписання CLARITY Act у 2026 році приблизно у 30%, після нижчих значень на початку вересня. Потім очікування різко погіршилися. Однак котирування контрактів на ринках прогнозів не є юридичним рішенням чи об’єктивною ймовірністю проходження всіх законодавчих етапів.

Після невдалого процедурного голосування SEC і CFTC продовжували застосовувати чинні норми в межах своїх повноважень. Жодна комісія не отримала автоматично нових повноважень, передбачених законопроєктом, а Конгрес зберіг можливість повернутися до обговорення. Тому говорити, що закон остаточно скасовано або що американські регулятори самостійно напишуть правила для всього світового крипторинку, неправильно.

Що вересень показав affiliate-індустрії

Масштабні злами нагадали про необхідність перевіряти не лише наявність захисного фонду в платіжного партнера, а й правила його використання, архітектуру підтвердження переказів та можливість призупинення виведень. Для компаній із розрахунками в BTC і стейблкоїнах важливі резервні провайдери та процедури екстреного доступу до ліквідності. Регуляторна невизначеність у США також вимагає обережності під час просування криптопродуктів: рекламні правила, ліцензування й допуск користувачів залежать від конкретної юрисдикції.

Вересень 2026 року був суперечливим для криптоіндустрії. Bitcoin додав понад 6% на тлі значних припливів до американських ETF, однак ринок зіткнувся з двома великими інцидентами безпеки. У США водночас не вдалося просунути законопроєкт, який мав встановити загальні правила регулювання цифрових активів. Підбиваємо підсумки місяця та пояснюємо, які цифри не можна безпосередньо порівнювати.

Bitcoin додав 6,42% за вересень

За історичними котируваннями Binance BTC/USDT, Bitcoin розпочав вересень приблизно на рівні $78 581 і завершив 30 вересня поблизу $83 624. Місячне зростання становило 6,42%; на піку ціна сягала $87 396, а мінімум місяця був близько $74 968. Отже, попередня оцінка зростання на 6% близька до підсумкового результату.

Інтерес до активу підтримували американські спотові ETF. 21 вересня фонди отримали чистий приплив $998,95 млн за один день — найбільший із жовтня 2025 року. Приблизно $381 млн припало на IBIT від BlackRock, $289 млн — на ARKB і $239 млн — на FBTC. Це були чисті вкладення інвесторів у паї фондів, а не еквівалентне зростання ціни Bitcoin.

За зведеною статистикою ETF за весь вересень, місячний чистий приплив становив близько $2,6 млрд. Попри сильну окрему сесію рух коштів був нерівномірним: фіксувалися й дні відпливу. Тож говорити про безперервне надходження капіталу або гарантоване продовження зростання BTC не можна.

Bitget втратила близько $388 млн: оцінку збитків підвищили

24 вересня Bitget повідомила про несанкціоновані перекази з гарячих і частини теплих гаманців. Початкова оцінка збитків становила $351,6 млн. Після додаткової перевірки транзакцій у мережах Tron і Zcash суму переглянули до $387,5 млн. Це не означало нової атаки: додаткові операції віднесли до того самого інциденту.

На той момент це був найбільший підтверджений криптозлам 2026 року за вартістю викрадених активів. Біржа наголошувала, що холодні гаманці та окремий некастодіальний продукт Bitget Wallet не постраждали. Для клієнтів централізованої біржі головним короткостроковим наслідком стало тимчасове припинення виведення коштів.

Як відбулася атака без викрадення приватних ключів

Згодом фахівці Halborn опублікували технічний аналіз: за їхніми даними, нападники отримали доступ до робочого сервера гаманцевої інфраструктури через два сторонні захисні продукти. Вони підміняли параметри контролю ризиків у запитах на виведення коштів, після чого штатний сервіс підписання Bitget створював справжні підписи для шахрайських переказів.

Висновки аналітиків відрізнялися від типової історії з витоком приватних ключів. Слабким місцем був ланцюжок ухвалення рішень: інфраструктура, яка мала відхиляти неавторизовані запити, визнавала підроблені запити допустимими. Технічний опис ґрунтується на оприлюдненому після інциденту дослідженні, а не на остаточних висновках кримінального провадження.

Що сталося з коштами користувачів Bitget

У першому повідомленні Bitget заявила, що фонд захисту користувачів містить понад $464 млн і має покрити збитки. Це було зобов’язання платформи, а не доказ того, що всю викрадену криптовалюту вже повернули. Біржа продовжувала відстежувати адреси нападників та запустила програму винагород за допомогу в поверненні активів.

26 вересня Bitget оголосила графік поетапного відновлення виведень: BTC — із 28 вересня, ETH — із 29-го, USDT — із 30-го; інші активи планували відкрити на початку жовтня. 30 вересня компанія повідомила про відновлення захисного фонду до понад $300 млн. За заявою біржі, баланси клієнтів залишалися незмінними, але фактичне повернення викрадених токенів слід відрізняти від компенсації за рахунок власних резервів.

Liquid Network: помилка перевірки дозволила створити 4 000 незабезпечених L-BTC

6 вересня мережа Liquid, побудована на технологіях Blockstream, зазнала незвичної атаки. Згідно з офіційним технічним звітом Blockstream, уразливість була в кешуванні перевірки rangeproof у програмному забезпеченні Elements. Транзакція пройшла перевірку, хоча вартість її виходів не відповідала входам. Це дозволило створити близько 4 000 L-BTC без відповідного забезпечення справжніми BTC.

Потім нападники використали стандартний механізм виведення з мережі через SideSwap — учасника федерації з правом авторизації peg-out. У результаті з резервів федерації вивели приблизно 4 000 справжніх BTC, які тоді оцінювалися близько в $320 млн. Ані компрометацію приватних ключів федерації, ані злам систем SideSwap не встановили як першопричину.

Зловмисник повернув 3 400 BTC, але решта залишалася предметом спору

7 вересня після обміну повідомленнями з Blockstream у блокчейні нападник повернув 3 400 BTC. Він називав себе «білим хакером» і вимагав виправлення помилки. Проте таке самовизначення не робить несанкціоноване виведення коштів погодженим аудитом безпеки.

Близько 600 BTC залишалися неповерненими. 11 вересня Blockstream відмовилася виконати вимогу про винагороду в 10% за остаточне повернення коштів. Станом на технічний звіт від 23 вересня приблизно 602 BTC все ще вважалися неповерненими, а відновлення мережі й резервів тривало. Тому стверджувати, що у вересні всю суму компенсували, некоректно.

Вересень став найдорожчим місяцем року за валовими втратами від зламів

За підсумковими оцінками PeckShield і CertiK, оприлюдненими 1 жовтня, загальний заявлений збиток від криптозламів у вересні досяг приблизно $766–768 млн. PeckShield нарахувала 55 великих інцидентів на $766,5 млн, CertiK — 97 інцидентів на $768,4 млн. Методики обліку різняться, тому ці суми не слід механічно додавати.

На Bitget і Liquid припала переважна частина первинних втрат. Проте місячна статистика зазвичай враховує оцінку активів у момент атаки, тоді як Liquid повернула 3 400 BTC. Отже, загальна цифра відображає валовий обсяг інцидентів, а не остаточні безповоротні збитки користувачів. Твердження про «$684 млн викрадених за вересень» не збігається з підсумковими оцінками цих аналітичних компаній.

CLARITY Act не подолав процедурне голосування Сенату

15 вересня Сенат США проголосував щодо припинення дебатів перед переходом до розгляду H.R. 3633 — Digital Asset Market Clarity Act. Результат становив 49 голосів за та 50 проти, один сенатор не голосував. Щоб подолати процедурний бар’єр, потрібно було 60 голосів. Законопроєкт не ухвалили, але це не було фінальним голосуванням щодо його змісту.

CLARITY Act мав визначити федеральні правила торгівлі цифровими товарами й розподілити повноваження Комісії з цінних паперів і бірж США (SEC) та Комісії з торгівлі товарними ф’ючерсами (CFTC). Прихильники й опоненти сперечалися насамперед про етичні обмеження для федеральних посадовців, пов’язаних із криптобізнесом, і достатність запропонованих запобіжників.

Зменшення шансів ухвалення — не передача всієї криптоіндустрії SEC і CFTC

Напередодні голосування Polymarket оцінював імовірність підписання CLARITY Act у 2026 році приблизно у 30%, після нижчих значень на початку вересня. Потім очікування різко погіршилися. Однак котирування контрактів на ринках прогнозів не є юридичним рішенням чи об’єктивною ймовірністю проходження всіх законодавчих етапів.

Після невдалого процедурного голосування SEC і CFTC продовжували застосовувати чинні норми в межах своїх повноважень. Жодна комісія не отримала автоматично нових повноважень, передбачених законопроєктом, а Конгрес зберіг можливість повернутися до обговорення. Тому говорити, що закон остаточно скасовано або що американські регулятори самостійно напишуть правила для всього світового крипторинку, неправильно.

Що вересень показав affiliate-індустрії

Масштабні злами нагадали про необхідність перевіряти не лише наявність захисного фонду в платіжного партнера, а й правила його використання, архітектуру підтвердження переказів та можливість призупинення виведень. Для компаній із розрахунками в BTC і стейблкоїнах важливі резервні провайдери та процедури екстреного доступу до ліквідності. Регуляторна невизначеність у США також вимагає обережності під час просування криптопродуктів: рекламні правила, ліцензування й допуск користувачів залежать від конкретної юрисдикції.

Вересень 2026 року був суперечливим для криптоіндустрії. Bitcoin додав понад 6% на тлі значних припливів до американських ETF, однак ринок зіткнувся з двома великими інцидентами безпеки. У США водночас не вдалося просунути законопроєкт, який мав встановити загальні правила регулювання цифрових активів. Підбиваємо підсумки місяця та пояснюємо, які цифри не можна безпосередньо порівнювати.

Bitcoin додав 6,42% за вересень

За історичними котируваннями Binance BTC/USDT, Bitcoin розпочав вересень приблизно на рівні $78 581 і завершив 30 вересня поблизу $83 624. Місячне зростання становило 6,42%; на піку ціна сягала $87 396, а мінімум місяця був близько $74 968. Отже, попередня оцінка зростання на 6% близька до підсумкового результату.

Інтерес до активу підтримували американські спотові ETF. 21 вересня фонди отримали чистий приплив $998,95 млн за один день — найбільший із жовтня 2025 року. Приблизно $381 млн припало на IBIT від BlackRock, $289 млн — на ARKB і $239 млн — на FBTC. Це були чисті вкладення інвесторів у паї фондів, а не еквівалентне зростання ціни Bitcoin.

За зведеною статистикою ETF за весь вересень, місячний чистий приплив становив близько $2,6 млрд. Попри сильну окрему сесію рух коштів був нерівномірним: фіксувалися й дні відпливу. Тож говорити про безперервне надходження капіталу або гарантоване продовження зростання BTC не можна.

Bitget втратила близько $388 млн: оцінку збитків підвищили

24 вересня Bitget повідомила про несанкціоновані перекази з гарячих і частини теплих гаманців. Початкова оцінка збитків становила $351,6 млн. Після додаткової перевірки транзакцій у мережах Tron і Zcash суму переглянули до $387,5 млн. Це не означало нової атаки: додаткові операції віднесли до того самого інциденту.

На той момент це був найбільший підтверджений криптозлам 2026 року за вартістю викрадених активів. Біржа наголошувала, що холодні гаманці та окремий некастодіальний продукт Bitget Wallet не постраждали. Для клієнтів централізованої біржі головним короткостроковим наслідком стало тимчасове припинення виведення коштів.

Як відбулася атака без викрадення приватних ключів

Згодом фахівці Halborn опублікували технічний аналіз: за їхніми даними, нападники отримали доступ до робочого сервера гаманцевої інфраструктури через два сторонні захисні продукти. Вони підміняли параметри контролю ризиків у запитах на виведення коштів, після чого штатний сервіс підписання Bitget створював справжні підписи для шахрайських переказів.

Висновки аналітиків відрізнялися від типової історії з витоком приватних ключів. Слабким місцем був ланцюжок ухвалення рішень: інфраструктура, яка мала відхиляти неавторизовані запити, визнавала підроблені запити допустимими. Технічний опис ґрунтується на оприлюдненому після інциденту дослідженні, а не на остаточних висновках кримінального провадження.

Що сталося з коштами користувачів Bitget

У першому повідомленні Bitget заявила, що фонд захисту користувачів містить понад $464 млн і має покрити збитки. Це було зобов’язання платформи, а не доказ того, що всю викрадену криптовалюту вже повернули. Біржа продовжувала відстежувати адреси нападників та запустила програму винагород за допомогу в поверненні активів.

26 вересня Bitget оголосила графік поетапного відновлення виведень: BTC — із 28 вересня, ETH — із 29-го, USDT — із 30-го; інші активи планували відкрити на початку жовтня. 30 вересня компанія повідомила про відновлення захисного фонду до понад $300 млн. За заявою біржі, баланси клієнтів залишалися незмінними, але фактичне повернення викрадених токенів слід відрізняти від компенсації за рахунок власних резервів.

Liquid Network: помилка перевірки дозволила створити 4 000 незабезпечених L-BTC

6 вересня мережа Liquid, побудована на технологіях Blockstream, зазнала незвичної атаки. Згідно з офіційним технічним звітом Blockstream, уразливість була в кешуванні перевірки rangeproof у програмному забезпеченні Elements. Транзакція пройшла перевірку, хоча вартість її виходів не відповідала входам. Це дозволило створити близько 4 000 L-BTC без відповідного забезпечення справжніми BTC.

Потім нападники використали стандартний механізм виведення з мережі через SideSwap — учасника федерації з правом авторизації peg-out. У результаті з резервів федерації вивели приблизно 4 000 справжніх BTC, які тоді оцінювалися близько в $320 млн. Ані компрометацію приватних ключів федерації, ані злам систем SideSwap не встановили як першопричину.

Зловмисник повернув 3 400 BTC, але решта залишалася предметом спору

7 вересня після обміну повідомленнями з Blockstream у блокчейні нападник повернув 3 400 BTC. Він називав себе «білим хакером» і вимагав виправлення помилки. Проте таке самовизначення не робить несанкціоноване виведення коштів погодженим аудитом безпеки.

Близько 600 BTC залишалися неповерненими. 11 вересня Blockstream відмовилася виконати вимогу про винагороду в 10% за остаточне повернення коштів. Станом на технічний звіт від 23 вересня приблизно 602 BTC все ще вважалися неповерненими, а відновлення мережі й резервів тривало. Тому стверджувати, що у вересні всю суму компенсували, некоректно.

Вересень став найдорожчим місяцем року за валовими втратами від зламів

За підсумковими оцінками PeckShield і CertiK, оприлюдненими 1 жовтня, загальний заявлений збиток від криптозламів у вересні досяг приблизно $766–768 млн. PeckShield нарахувала 55 великих інцидентів на $766,5 млн, CertiK — 97 інцидентів на $768,4 млн. Методики обліку різняться, тому ці суми не слід механічно додавати.

На Bitget і Liquid припала переважна частина первинних втрат. Проте місячна статистика зазвичай враховує оцінку активів у момент атаки, тоді як Liquid повернула 3 400 BTC. Отже, загальна цифра відображає валовий обсяг інцидентів, а не остаточні безповоротні збитки користувачів. Твердження про «$684 млн викрадених за вересень» не збігається з підсумковими оцінками цих аналітичних компаній.

CLARITY Act не подолав процедурне голосування Сенату

15 вересня Сенат США проголосував щодо припинення дебатів перед переходом до розгляду H.R. 3633 — Digital Asset Market Clarity Act. Результат становив 49 голосів за та 50 проти, один сенатор не голосував. Щоб подолати процедурний бар’єр, потрібно було 60 голосів. Законопроєкт не ухвалили, але це не було фінальним голосуванням щодо його змісту.

CLARITY Act мав визначити федеральні правила торгівлі цифровими товарами й розподілити повноваження Комісії з цінних паперів і бірж США (SEC) та Комісії з торгівлі товарними ф’ючерсами (CFTC). Прихильники й опоненти сперечалися насамперед про етичні обмеження для федеральних посадовців, пов’язаних із криптобізнесом, і достатність запропонованих запобіжників.

Зменшення шансів ухвалення — не передача всієї криптоіндустрії SEC і CFTC

Напередодні голосування Polymarket оцінював імовірність підписання CLARITY Act у 2026 році приблизно у 30%, після нижчих значень на початку вересня. Потім очікування різко погіршилися. Однак котирування контрактів на ринках прогнозів не є юридичним рішенням чи об’єктивною ймовірністю проходження всіх законодавчих етапів.

Після невдалого процедурного голосування SEC і CFTC продовжували застосовувати чинні норми в межах своїх повноважень. Жодна комісія не отримала автоматично нових повноважень, передбачених законопроєктом, а Конгрес зберіг можливість повернутися до обговорення. Тому говорити, що закон остаточно скасовано або що американські регулятори самостійно напишуть правила для всього світового крипторинку, неправильно.

Що вересень показав affiliate-індустрії

Масштабні злами нагадали про необхідність перевіряти не лише наявність захисного фонду в платіжного партнера, а й правила його використання, архітектуру підтвердження переказів та можливість призупинення виведень. Для компаній із розрахунками в BTC і стейблкоїнах важливі резервні провайдери та процедури екстреного доступу до ліквідності. Регуляторна невизначеність у США також вимагає обережності під час просування криптопродуктів: рекламні правила, ліцензування й допуск користувачів залежать від конкретної юрисдикції.