Криптовзломы сентября 2026: украдено $766 млн — где деньги неделю спустя

Bitget, 24 сентября — около $387,5 млн. Горячие кошельки биржи опустошили в нескольких сетях. В Ethereum атакующий собрал 68 465 ETH на восьми кошельках хранения и через три дня начал их выводить. К 15:53 UTC 29 сентября все восемь были пусты. Около 35 000 ETH отправили в сторону THORChain, остальное — через мосты и децентрализованные биржи, через сотни свежих кошельков. Остановить удалось только около $318 000 в USDT и USDC: их заморозили Tether и Circle.

Liquid Network, 6 сентября — около $320 млн. Атакующий выпустил около 4 000 необеспеченных L-BTC и вывел под них настоящие биткоины. После переговоров, которые частично велись сообщениями, записанными в блокчейн, около 3 400 BTC — 85% — вернули. Остаток не двигался: 598,50 BTC лежат на одном адресе, который ничего не тратил с 9 сентября.

NEAR Intents, 30 сентября — $3,87 млн. Забрали семью выводами за одиннадцать часов, провели через KuCoin и мосты — а 2 октября вернули полностью. Адрес атакующего оставил сообщение в блокчейне: «Мы вернули все средства, мы были неправы».

Kelp rsETH и бот Yoink, 15 сентября — 2 900 rsETH. Ошибка в модуле позволила опустошить позицию; MEV-бот опередил вывод и забрал 2 882 rsETH. Через день оператор бота отправил всё обратно владельцу — возврат, о котором никто не сообщал, пока мы не нашли его в блокчейне.

Limit Break / Magic Eden, 24–25 сентября — около 540 WETH. Старые разрешения маркетплейса использовали, чтобы вытянуть WETH из кошельков. Около 283 WETH забрал MEV-оператор, который заявил, что вернёт 90%. Другая крупная часть, 223 ETH, лежит; 46 ETH ушли в Railgun.

Поддельный мост GIWA, 27 сентября — 766 ETH. Копия настоящего моста собрала депозиты с 1 331 кошелька; Safe с двумя подписями вывел всё, и за день каждый эфир ушёл в Tornado Cash.

Payy Network, 24 сентября — $1,92 млн. Поддельное доказательство выпустило USDC из моста. $1,83 млн обменяли примерно на 683 ETH и 26 сентября внесли в Tornado Cash. Вторую выплату, 90 202 USDC, так и не тронули, и на 5 октября она не заморожена.

Duelbits, 24 сентября — около $4,9 млн. Пять сетей слили в один кошелёк в Ethereum. 1 370 ETH ушли в Tornado Cash; 1 011,55 ETH всё ещё на месте.

Семь адресов хранят то, что осталось от семи из этих инцидентов. Каждый мы прочитали 5 октября 2026 года. Вместе на них 598,50 BTC, 2 715 ETH, 1,35 млн DAI и 90 202 USDC — около $59 млн.

Neutron, Astroport и Drop, 22 сентября — около $9,4 млн. Голосование, 98% голосов в котором подали два кошелька, связанных с атакующим, передало права администратора на десять контрактов. Валидаторы Cosmos Hub позже вывели с адреса атакующего 1,23 млн ATOM; 794,05 ETH дошли до Ethereum и ни разу не двигались.

FetchAI, SingularityNET и NuNet, 19 сентября — выведено около $2,3 млн. Два кошелька выпустили и продали миллиарды токенов. На основном до сих пор 433,05 ETH и сотни миллионов непроданных токенов.

Nostra, 17 сентября — $3,5 млн. Около $2 млн дошли до Ethereum, за несколько минут были обменяны из USDC в DAI и пролежали две недели. 4 октября атакующий перевёл всё — 253,47 ETH и 1 347 821 DAI — на свежий кошелёк, где они лежат сейчас.

Meter Passport, 24 сентября — в сообщениях $2,3 млн. Ошибка позволила атакующему выпустить миллиард токенов моста. Эта цифра — номинальная цена токенов; реально из пулов он вынес около $420.

Маршрут определяется размером. Две крупнейшие кражи к Tornado Cash не подходили: эфир Bitget ушёл через THORChain и мосты, способные за дни принять десятки тысяч ETH, а история Liquid закончилась переговорами. Tornado Cash достались средние — 2 819 ETH по трём инцидентам из этой сводки.

Неожиданно большая часть просто ждёт. У семи атакующих из двенадцати спустя неделю и больше что-то лежит на месте, и ничего из этого нельзя заморозить, кроме USDC по делу Payy. Эти остатки — то, что в этом месяце ещё не решено, и то, за чем стоит следить. Когда один из них сдвигается, страница инцидента обновляется в тот же день.

Это не полный список инцидентов сентября: здесь двенадцать, которые мы проследили сами, и нет тех, что вскрылись в сентябре, но произошли раньше. Итог месяца в $766 млн — цифра crypto.news, потери Bitget — собственная уточнённая цифра биржи. Балансы в таблице прочитаны 5 октября 2026 года; суммы в долларах посчитаны по $84 203 за BTC и $2 678 за ETH. Страница не называет ни одного человека и не говорит, кто управляет каким-либо адресом.