Как перевести крипту без вашего ключа: кто на самом деле контролирует активы

Вы вывели активы с биржи, записали сид-фразу и убрали аппаратный кошелёк в сейф. Теперь для перевода нужна ваша подпись. Но означает ли это, что без неё никто не сможет заблокировать средства или изменить баланс?

В апреле 2026 года Совет безопасности Arbitrum переместил почти 30766 ETH с адреса злоумышленника без его приватного ключа. Это помогло сохранить похищенные средства. Одновременно операция показала, насколько широкими могут быть полномочия тех, кто управляет инфраструктурой.

Главный вопрос: что именно вы контролируете, когда владеете ключом, и какие решения всё ещё зависят от других людей?

Ответ складывался годами. Вот последовательность событий, в которых границы этого контроля становились видны.

2016. Ethereum: исключение после взлома The DAO

В июне из инвестиционного проекта The DAO вывели около 3,6 млн ETH. Ошибка позволяла повторно запрашивать вывод, прежде чем контракт успевал обновить баланс пользователя.

20 июля Ethereum провёл хардфорк. На определённом блоке средства связанных с The DAO адресов перенесли в контракт возврата. Предыдущие транзакции при этом не исчезли: изменилось состояние счетов по новым правилам сети. Часть участников не приняла вмешательство и продолжила исходную цепочку, которая стала Ethereum Classic.

Это важное различие. У Ethereum не появилась постоянная кнопка отмены перевода. Для вмешательства потребовалось изменение протокола, которое приняли участники новой цепочки. Но принципиальная возможность пересмотреть последствия исполнения кода уже была продемонстрирована.

2019. VeChain: адреса заблокировали на уровне сети

После кражи средств из кошелька программы обратного выкупа VeChain применил блокировку связанных с инцидентом адресов. По итогам голосования, завершившегося 30 декабря, блокировку закрепили постоянно. Согласно отчёту фонда, из предложения исключили около 727,6 млн VET.

Для владельца заблокированного адреса наличие ключа больше не означало возможность потратить монеты. Подпись подтверждала право отправителя, но правила сети не позволяли провести операцию.

2022. BNB Chain: валидаторы остановили движение средств

В октябре ошибка в мосте BSC Token Hub позволила злоумышленнику выпустить 2 млн BNB без надлежащего обеспечения. Валидаторы скоординировали остановку сети и обновление программного обеспечения.

По отчёту BNB Chain, большая часть полученных злоумышленником средств осталась на его адресе без возможности дальнейшего перемещения. Часть он успел вывести в другие сети.

Быстрая координация ограничила ущерб. Она же показала, что доступность переводов зависит от решений операторов сети. Даже исправный кошелёк не отправит транзакцию, если сеть её не обрабатывает.

2023. TRON и USDT: контроль проявляется без взлома

В феврале TRON ввёл динамическую модель энергии. Популярные смарт-контракты при превышении порога потребления ресурсов начинают требовать больше энергии на выполнение операций. Это влияет и на стоимость переводов токенов. Механизм описан в TIP-491 и предложении о его активации. GitHub.

Здесь никто не забирал баланс. Изменились условия его использования. Сетевые параметры TRON принимаются через голосование суперпредставителей: для одобрения предложения нужны голоса как минимум 18 из 27 действующих участников комитета.

В августе 2025 года TRON вернулся к стоимости операций: предложение №789 предусматривало снижение цены энергии с 250 до 100 SUN, то есть на 60%. Такие решения показывают другую сторону управления сетью. Голосование может как увеличить расходы пользователя, так и уменьшить их.

В декабре появился другой показательный пример. Tether объявил политику заморозки адресов, связанных с лицами из санкционного списка SDN американского OFAC. Это полномочия эмитента токена, которые действуют независимо от того, хранит пользователь ключ на бирже или на аппаратном устройстве.

Холодное хранение USDT защищает ключ. Оно не отменяет ограничения, предусмотренные системой управления самим токеном.

2025. Sui: от заморозки к возврату без подписи

После майского взлома Cetus часть похищенных активов заблокировали в сети Sui. Затем на голосование вынесли обновление протокола, позволяющее переместить средства с двух адресов злоумышленника без его подписи.

Предложение поддержали валидаторы, представлявшие 90,9% стейка. План предусматривал перевод активов на кошелёк с несколькими подписантами для последующего возврата пострадавшим.

Это уже следующий шаг: сеть может не только остановить расходование средств, но и принять обновление, которое меняет их владельца.

2026. Drift: административные права получили атакующие

1 апреля атаке подверглась децентрализованная биржа Drift в сети Solana. В первоначальном разборе команда сообщила о захвате административных полномочий через заранее подписанные транзакции с отложенным исполнением. Признаков компрометации приватных ключей не было обнаружено.

Получив нужные одобрения, злоумышленник сменил администратора, добавил вредоносный актив и снял ограничения на вывод. По первоначальной оценке Drift, из протокола вывели около $280 млн.

Здесь проблема возникла внутри приложения. Этот случай нельзя автоматически считать взломом Solana или доказательством возможности переписать её историю. Он показывает другой риск: если протоколом можно управлять через привилегированные подписи, атакующий будет охотиться за этими полномочиями.

2026. Arbitrum: перевод без ключа владельца

После атаки на KelpDAO совет безопасности Arbitrum применил экстренное обновление: временно изменил системный контракт Inbox, создал сообщение от имени адреса злоумышленника и переместил почти 30766 ETH на специальный адрес. Затем исходную реализацию контракта восстановили.

Криптографическую подпись не подделывали. Использовали полномочия на обновление инфраструктуры. Средства также не были навсегда сожжены: опубликованный план предусматривал отдельное решение управления Arbitrum для их освобождения.

В совете 12 участников, для экстренного действия нужны подписи минимум девяти. Поэтому точнее говорить о конкретном пороге полномочий, а не о тайной возможности любого разработчика списать чужой баланс.

А биткоин тоже можно заблокировать?

У нативного BTC нет эмитента с функцией блокировки адресов. Концентрация майнинга создаёт риски цензуры и реорганизации цепочки, но сама по себе не позволяет подписывать переводы чужих монет или создавать BTC сверх правил, которые проверяют узлы.

При этом BTC на бирже и токенизированный биткоин в другой сети добавляют посредников. Название актива в приложении ещё не описывает всех условий, от которых зависит доступ к нему.

Что проверить владельцу кошелька

Посмотрите, кто может вмешаться. В документации сети и протокола ищите сведения об обновлениях, экстренном совете, блокировках и административных ключах. Важны число необходимых подписей и наличие задержки перед изменениями.

Разделяйте риски хранения. Несколько адресов с одним и тем же стейблкоином не устраняют зависимость от его эмитента. Несколько токенов в одной сети не защищают от остановки этой сети.

Защищайте ключи, понимая границы защиты. Аппаратный кошелёк снижает риск их извлечения при подключении к заражённому компьютеру. Проверка адреса и содержания операции на экране устройства остаётся необходимой: опасную транзакцию можно подписать добровольно.

Используйте passphrase осознанно. Дополнительная секретная фраза вместе с сид-фразой создаёт другой кошелёк. Надёжная passphrase может защитить его при утечке только сид-фразы. Храните её отдельно и заранее проверьте восстановление. Без точной фразы доступ восстановить не получится. От блокировки эмитентом или вмешательства в протокол она не защищает.

Какой вывод из этой истории

Экстренные полномочия могут спасти похищенные средства. Они же создают зависимость от решений подписантов, безопасности их ключей и качества процедур.

Для владельца крипты из этого следует конкретный вывод: проверять нужно и сохранность своего ключа, и полномочия тех, кто управляет активом. Без первого средства могут украсть. Без второго можно обнаружить, что решение об их дальнейшем движении принимаете уже не вы.

Понравилась статья? Подпишитесь на наш Telegram-канал, где мы регулярно публикуем советы по безопасному хранению и использованию криптовалют, актуальные новости и не только.