23 января 2025 года одна из крупнейших бирж потерпела крупный крах
Возросшая активность киберпреступников заставляет трейдеров пересматривать баланс между централизованными и децентрализованными сервисами 🚀 💰 В этот раз атака была совершена на Bybit и стоила компании более $1,5 млрд.
Несмотря на это, команда Phemex поделилась с нами, как они усилили защиту после взлома
Давайте разберемся, что такое централизованная биржа (CEX) и как она отличается от децентрализованных сервисов.
Любая централизованная биржа подразумевает делегированное хранение приватных ключей Пользователь обменивает контроль на удобство и принимает риски, связанные с возможной недобросовестностью руководства торговой площадки и потенциальными внешними атаками на горячие кошельки.
Альтернативой CEX выступают DeFi-сервисы
Крупные централизованные биржи давно вышли за рамки трейдинга и предлагают широкий спектр финансовых продуктов 📊 💸.
Апрель 2026 года стал худшим месяцем для DeFi-протоколов за последние годы 1 апреля хакеры Drift Protocol — ущерб составил $280 млн.
Через две недели злоумышленники протокол Kelp и похитили $293 млн в токенах rsETH, которые затем использовали как залог для получения займов в Aave.
На этом атаки не закончились
В последние недели хакеры атаковали множество DeFi-протоколов, включая Volo, Scallop и ZetaChain.
Многие инвесторы, державшие стейблкоины и Ethereum в «проверенных» протоколах вроде Aave и Lido, начали выводить капитал.
В последние годы CEX усиливают защиту по трем ключевым направлениям:
Proof-of-Reserves (PoR) — криптографическое доказательство того, что биржа держит активы, покрывающие обязательства перед клиентами Стало де-факто стандартом после в ноябре 2022 года.
многоуровневое хранение — разделение средств на холодные, теплые и горячие кошельки с применением мультиподписи.
компенсационные механизмы — биржи начали создавать страховые фонды на случай непредвиденных обстоятельств.
выстраивает доверие на пересечении этих трех элементов
Разберем, что стоит за каждым из них.
Proof-of-Reserves Phemex одной из первых среди централизованных бирж Proof-of-Reserves на базе 21 ноября 2022 года На старте механизм охватывал резервы в биткоине, Ethereum, USDT и USDC.
публикуются ежемесячно
По данным на май 2026 года, совокупный коэффициент обеспечения составил 129,75% — резервы по активам превышали обязательства биржи перед клиентами.
«Данные о резервах должны регулярно обновляться и легко проверяться пользователями Ежемесячная публикация Proof-of-Reserves превращает этот принцип в стандарт операционной работы
Для нас „пользователь прежде всего“ означает, что трейдеры получают информацию для самостоятельной оценки платформы, а не вынуждены просто верить на слово», — заявил CEO Phemex.
Дерево Меркла дает пользователю возможность проверить включение собственного баланса в общий снапшот без раскрытия данных других клиентов.
«Балансы клиентов попарно хешируются, затем хеши снова попарно хешируются — и так до единственного значения (корня Меркла) Изменение любого баланса хотя бы на 1 сатоши полностью меняет корень
Чтобы убедиться, что собственные средства учтены, пользователь копирует Hashed Client ID из личного кабинета и сверяет его на странице Proof-of-Reserves», — объясняют в Phemex.
Адреса части холодных кошельков биржи Любой пользователь может проверить балансы через обозреватели соответствующих сетей.
Где лежат активы пользователей Phemex трехуровневое хранение:
холодные кошельки — более 70% средств клиентов
Приватные ключи полностью изолированы от интернета Каждая транзакция требует одобрения нескольких независимых подписантов, физически отдаленных друг от друга.
теплые кошельки — около 20% активов
Безопасный мост между холодным и горячим хранилищем Ограниченный объем для управления ликвидностью без прямого выхода в интернет.
горячие кошельки — менее 8% средств
Отвечает за оперативные депозиты и выводы Даже при полной компрометации горячих кошельков более 90% капитала остаются нетронутыми в холодном и теплом хранилище.
Кастодиальная инфраструктура партнерством с Fireblocks — институциональным провайдером с MPC-моделью хранения
Технология распределяет криптографические доли ключа между несколькими защищенными средами.
«Дополнительно работает круглосуточный мониторинг кошельков: автоматический анализ активности по всем трем уровням, отслеживание частоты и размера транзакций, адресов получателей и отклонений от поведенческих паттернов Подозрительные транзакции автоматически приостанавливаются и направляются на ручную проверку», — добавляют в Phemex.
Что защищает аккаунт Меры на Phemex пользователь активирует сам
Обязательна только двухфакторная аутентификация для входа, вывода средств, создания API-ключей и изменения настроек учетной записи.
Дополнительно пользователь может включить:
антифишинговый код — строку текста, которая отображается во всех легитимных email-уведомлениях биржи Если в письме кода нет или он не совпадает — это фишинг;
белый список адресов для вывода
Это защищает от ситуации, когда злоумышленник получил доступ к аккаунту и пытается быстро перевести деньги на новый адрес.
На уровне инфраструктуры Phemex корпоративные файрволы Palo Alto Networks, сетевую сегментацию (торговые движки отделены от веб-серверов, кошельковая инфраструктура — от публичных API) и глобально распределенную защиту от DDoS.
На конец 2025 года аптайм Phemex составил 99,999% Это говорит о том, что компания имеет серьезную защиту и работает над постоянным совершенствованием безопасности.
Короткий ответ: да, если понимать «безопасность» в применимом к CEX смысле.
после взлома Phemex компенсировала пользователям ущерб, перестроила систему хранения и сделала прозрачность ядром публичной коммуникации.
К весне 2026 года это выглядит так: около 130% совокупного PoR с ежемесячной публикацией, открытые адреса для ончейн-верификации, более 70% активов в холодных кошельках, мультиподпись для критических операций.
Кастодиальный риск — неотъемлемая черта любой CEX
Минимальный набор защиты аккаунта включает двухфакторную аутентификацию, антифишинговые коды и белые списки адресов.
Независимо от репутации биржи крупные
По материалам ForkLog