Tarixçə
Birja çökəndə nə baş verir
Bu saytdakı hər yoxlamanı vacib edən, ictimai sənədləşdirilmiş çöküşlər — nə baş verdi və hər biri nə öyrətdi.
Xronikada 21 çöküş · 2014–2025
Tarixlər və rəqəmlər o dövrün xəbərlərindən geniş şəkildə yayılmış ictimai təxminlərdir, KripZen-in öz auditdən keçmiş məlumatları deyil.
- 2014
Once the exchange handling the large majority of the world's Bitcoin trades, Mt. Gox abruptly halted withdrawals and filed for bankruptcy in Japan after disclosing that hundreds of thousands of customer and company bitcoins were gone — later attributed to theft that went undetected for years.
Dərs — Trading volume and market dominance are not safety signals. An exchange can look like the industry's center of gravity and still be hollowed out inside.
~850,000 BTC reported missing (publicly reported estimate)
- 2015
2015-ci ilin yanvarında birja əməkdaşlarına qarşı hədəflənmiş hücumdan sonra Bitstamp-ın isti pul kisələrindən təxminən 19.000 BTC çıxarıldı. Bitstamp ticarəti dayandırdı, infrastrukturunu yenidən qurdu və sonra müştəri vəsaitlərinin böyük hissəsini oflayn saxlayan üçüncü tərəf institusional saxlama xidmətinə keçdi.
Dərs — Bitstamp-ın risk profilini üzr deyil, yenidən qurulan saxlama modeli dəyişdi. Birjanı hadisədən sonra nə etdiyinə görə qiymətləndirin, bəyanatı nə qədər tez yaydığına görə yox.
~19,000 BTC taken from hot wallets (publicly reported estimate)
- 2016
A security breach in Bitfinex's multi-signature wallet setup let attackers drain a large share of customer bitcoin in a single incident. The exchange spread the loss across all users' balances and later repaid affected customers over several years.
Dərs — Even a widely used, multi-signature custody setup is only as strong as the systems and partners it depends on — 'multi-sig' alone isn't a safety guarantee.
~120,000 BTC stolen (publicly reported estimate)
- 2016
The DAO tamamilə Ethereum ağıllı kontraktları şəklində yazılmış, investorların idarə etdiyi fond idi: token sahibləri hansı təkliflərin maliyyələşdiriləcəyinə səs verirdi, aralarında menecer yox idi. 2016-cı ildəki token satışı dövriyyədəki bütün ether-in nəzərəçarpan hissəsini topladı. 2016-cı ilin iyununda təcavüzkar iştirakçının öz payını çıxarmasına imkan verən kodda təkrar giriş açığından istifadə etdi: kontrakt ether-i, sorğu verənin balansını yeniləməzdən əvvəl göndərirdi, buna görə zərərli kontrakt çıxarışı təkrar-təkrar çağırıb hər dəfə hələ azaldılmamış balans üzrə yenidən ödəniş ala bilirdi. Təxminən 3,6 milyon ETH The DAO-nun öz qaydalarında yazılmış gözləmə müddətinə tabe olan törəmə kontrakta köçürüldü; bu, icmaya cavab barədə mübahisə etmək üçün həftələr qazandırdı. Ethereum iştirakçıları sonda vəsaiti geri qaytarma kontraktına köçürən hard fork qəbul etdilər. Azlıq, reyestrin yenidən yazılmamalı olduğunu əsas gətirərək fork-u rədd etdi və ilkin zənciri Ethereum Classic kimi davam etdirdi.
Dərs — Vəsait saxlayan kod yalnız əməliyyat sırası qədər etibarlıdır. Açıq ekzotik kriptoqrafiyada deyil, ardıcıllıqda idi — əvvəl ödə, qeydi sonra yenilə — və auditorların ilk axtardığı hələ də bu şablondur. Sonrası xətanın özü qədər vacibdir: zəncir oğurluğu yalnız iştirakçılarının kifayət qədər hissəsi razılaşarsa geri qaytara bilər və bu razılıq əvvəlcədən güvəniləcək texniki zəmanət deyil, icma haqqında siyasi bir faktdır.
~3.6M ETH moved out of the contract (publicly reported estimate)
- 2017
Parity-nin çoximzalı pulqabılarının hər biri öz məntiqini daşımırdı. Yerləşdirmə xərcinə qənaət üçün hər pulqabı davranışını şəbəkədəki tək bir paylaşılan kitabxana kontraktına həvalə edən nazik bir kontrakt idi. Həmin kitabxana ilkinləşdirilmədən yerləşdirilmişdi, ona görə sahibliyi hələ də iddiasız qalırdı. 2017-ci ilin noyabrında istifadəçi sahibliyi tələb etdi və sonra kitabxananın kodunu zəncirdən silən özünüməhvetmə funksiyasını çağırdı. Ondan asılı olan hər pulqabı boşluğa işarə edən vəziyyətdə qaldı: balanslar reyestrdə hələ də var, lakin köçürməni təsdiq edə biləcək kod artıq yoxdur. İctimai qiymətləndirmələr ilişib qalan məbləği təxminən 513.000 ETH göstərir. Vəsaiti heç kim götürmədi və heç bir istismar onu hərəkət etdirmədi; sadəcə əlçatmaz oldu. Protokol dəyişikliyi ilə geri qaytarma təklifləri müzakirə edildi və qəbul olunmadı. Aylar əvvəl eyni pulqabı proqramındakı ayrı bir açıq, ictimai qiymətləndirmələrə görə təxminən 150.000 ETH-lik real oğurluğa imkan vermişdi.
Dərs — Hər itki oğrunun işi deyil. Paylaşılan kod paylaşılan asılılıqdır və kitabxanaya həvalə edən kontrakt, o kitabxananın nasazlıq ssenarilərini etiketində yazmadan miras alır. Hadisə dəyişməzliyin istifadəçi üçün əks tərəfini də göstərir: balansınızı kimsənin yenidən yaza bilməməsini təmin edən eyni xüsusiyyət, kimsənin onu düzəldə bilməməsini də təmin edir və geri dönməz səhv hücum qədər baha başa gələ bilər.
~513,000 ETH rendered permanently inaccessible (publicly reported estimate)
- 2018
BitConnect istifadəçiləri bitkoini öz tokeni ilə dəyişib sabit gəlir vəd edən kredit proqramında kilidləməyə çağırırdı; gəlirin şirkətdən kənar heç kimin yoxlaya bilmədiyi xüsusi ticarət botundan gəldiyi deyilirdi. Çoxpilləli referal quruluşu mövcud iştirakçılara yeni adam gətirdiklərinə görə ödəyirdi. ABŞ-da ştat qiymətli kağızlar tənzimləyicilərinin dayandırma göstərişlərindən sonra kredit platforması 2018-ci ilin yanvarında bağlandı və tokenin dəyəri çökdü. ABŞ orqanları sonradan bunu fırıldaqçılıq kimi ittiham etdi: təbliğatçılardan biri günahını etiraf etdi, bani isə ittiham olundu və məlumatlara görə gizlənir.
Dərs — Kriptoda sabit və ya zəmanətli gəlir heç kimin dürüst şəkildə verə bilməyəcəyi gələcək vədidir. Arxasındakı strategiya yoxlanıla bilmirsə və adam gətirmək mükafatlandırılırsa, gəlirlər sonrakı yatırımlardan ödənilir — bu, bazar mülahizəsi deyil, quruluşdur və pul axını yavaşlayanda bitir.
~$2.4B taken from investors (figure cited by the US Department of Justice)
- 2018
The Japanese exchange kept a large pool of a single token in an internet-connected hot wallet without a multi-signature setup. Attackers stole hundreds of millions of dollars' worth in one of the largest exchange hacks by value at the time.
Dərs — Hot-wallet convenience has a price. The safest exchanges keep the large majority of customer funds offline, precisely so one breach can't drain everything.
~$530M in NEM (XEM) stolen (publicly reported estimate)
- 2019
2019-cu il mayın 7-də hücumçular oğurlanmış API açarları və fişinqlə əldə edilmiş giriş məlumatlarından istifadə edərək bir əməliyyatla Binance-in isti pul kisəsindən təxminən 7.000 BTC — o vaxtkı məzənnə ilə təxminən 40 milyon dollar — çıxardı. Binance zərərin hamısını Secure Asset Fund for Users hesabına ödədi, müştəri balansları toxunulmaz qaldı.
Dərs — Hücumdan əvvəl formalaşdırılmış ehtiyat oğurluğu müştəri itkisinə deyil, mühasibat yazılışına çevirir. Fondun bu gün mövcud və açıqlanmış olduğunu yoxlayın, sonradan verilən vədi yox.
~7,000 BTC (~$40M at the time) taken from a hot wallet (publicly reported estimate)
- 2019
2018–2019-cu illərdə Bitfinex-in ödəniş prosessoru Crypto Capital Corp-da müştəri və şirkət pulunun qarışdırıldığı təxminən 850 milyon dollar saxlanılırdı; prosessorun hesablarına bir neçə ölkənin orqanları həbs qoydu. Boşluğu əlaqəli stabilkoin emitenti Tether-in ehtiyatları örtdü; hər iki şirkət 2021-ci ilin fevralında Nyu-York Baş Prokurorluğu ilə təqsiri qəbul etmədən 18,5 milyon dollarlıq razılaşmaya gəldi.
Dərs — Kripto yerindən tərpənmədi — tərpənən fiat tərəfi oldu. Birjanın nağd tərəfini əslində hansı kənar şirkətin saxladığını soruşun, çünki onun hüquqi problemləri sizin probleminizə çevrilir.
~$850M in commingled customer and corporate funds (publicly reported estimate)
- 2019
Canada's largest exchange at the time told customers it could no longer access roughly CA$190M in funds after its founder died while allegedly holding sole control of the cold-wallet keys. A later court-appointed investigation found many of the wallets had been empty long before his death, pointing to mismanagement and likely fraud rather than a pure accident.
Dərs — Single-person key control is a structural failure waiting to happen — deliberate or not. A credible custodian never lets access depend on one individual.
~CA$190M in customer funds inaccessible (publicly reported estimate)
- 2020
2020-ci il sentyabrın 25-də hücumçular KuCoin-in isti pul kisələrindən təxminən 281 milyon dolları boşaltdı. Sonrakı həftələrdə zəncirüstü izləmə, token emitentlərinin təchizatı dondurub yenidən buraxması və digər birjaların ünvanları qara siyahıya salması sayəsində təxminən 84%-i geri qaytarıldı. Qalanını KuCoin-in sığorta fondu ödədi, istifadəçilər zərər görmədi.
Dərs — Bu geri qaytarılma kənar tərəflərin xoş niyyətindən asılı oldu: tokenləri dondurmağa razı emitentlər, ünvanları bloklamağa razı platformalar. Bunu sektorun etdiyi lütf sayın, güvənə biləcəyiniz müdafiə yox.
~$281M drained from hot wallets (publicly reported estimate)
- 2022
The crypto lending platform froze all customer withdrawals during a market downturn and filed for bankruptcy weeks later. Its founder was subsequently charged with, and later pleaded guilty to, fraud for misrepresenting the platform's risk to depositors.
Dərs — A platform paying yield on deposits is taking risk with your money somewhere. 'Where' and 'how much' are the questions a safety review has to ask before the good times end.
Withdrawals frozen for roughly $4.7B in customer assets (publicly reported estimate)
- 2022
2022-ci il yanvarın 20-də 483 Crypto.com müştəri hesabından təxminən 34 milyon dollarlıq bitkoin, efir və digər aktivlər çıxarıldı. Çıxarışlar ikimərhələli doğrulama lazımi qaydada tələb olunmadan təsdiqləndi. Şirkət çıxarışları dayandırdı, doğrulama axınını yenidən qurdu və zərərçəkən bütün istifadəçilərin itkisini ödədi.
Dərs — İkimərhələli doğrulama yalnız platformanın onu həqiqətən tələb etdiyi yerdə qoruyur. Burada mexanizm var idi; pula başa gələn onun çıxarış yolunda tətbiq olunmamasıydı.
~$34M withdrawn from 483 accounts (publicly reported estimate)
- 2022
One of the largest exchanges globally collapsed within days after reporting revealed customer deposits had been comingled with, and lent to, a sister trading firm. Its founder was later convicted on multiple counts of fraud.
Dərs — Scale, celebrity endorsements and slick branding say nothing about whether customer funds are actually segregated from the company's own trading book.
Billions of dollars in customer funds misused (publicly reported estimate)
- 2022
Axie Infinity oyununun yan zəncirini Ethereum-a bağlayan Ronin körpüsü 2022-ci ilin martında, hücumçular çıxarışlara icazə verən kiçik validator dəstinin çoxluğunu ələ keçirdikdən sonra boşaldıldı. Kontraktda sınan bir şey yox idi: çıxarışlar sistemin etibar etdiyi açarlarla düzgün imzalanmışdı. İtki yalnız bir neçə gün sonra, istifadəçi vəsait çıxara bilmədiyini bildirəndə aşkarlandı. ABŞ orqanları sonradan oğurluğu Şimali Koreya ilə əlaqəli Lazarus qrupuna aid etdi.
Dərs — Körpü yalnız imzalayanlar dəsti qədər mərkəzsizdir. Bir neçə açar bütün çıxarışlara icazə verə bilirsə, həmin açarları ələ keçirmək hücumun özüdür — və balansı izləyən yoxdursa, pulun getdiyini görmək günlər çəkə bilər.
~$600M in ETH and USDC (publicly reported estimate)
- 2022
TerraUSD dollar bağlılığını ehtiyatlarla deyil, şəbəkənin öz dəyişkən tokeni LUNA ilə qurulmuş yarat-yandır əlaqəsi ilə saxlayan alqoritmik stablecoin idi: bir dollardan aşağı düşən UST həmişə bir dollarlıq yeni yaradılmış LUNA ilə dəyişdirilə bilirdi. 2022-ci ilin mayında bağlılıq sürüşdü və mexanizm əks istiqamətdə işlədi — onu bərpa etmək getdikcə daha çox LUNA yaratmağı tələb etdi, bu isə LUNA-nın qiymətini əzdi və bağlılığın söykəndiyi dəyəri məhv etdi. Hər iki aktiv günlər içində çökdü, Terraform Labs və onun banisi sonradan ABŞ və Cənubi Koreyada cinayət və mülki proseslərlə üzləşdi.
Dərs — Eyni sistemin buraxdığı tokenlə təmin olunan bağlılıq dairəvidir. Etibar durduqca durur və etibar gedəndə söykənəcək heç nə qoymur — halbuki məhz o an stablecoin faydalı olmalıdır. Stablecoin üzərində elan edilən yüksək gəlirlilik bu riskin təsviridir, üstünlük deyil.
UST and LUNA lost effectively all of their value
- 2022
Three Arrows Capital Sinqapur mərkəzli hedc-fond idi və kaldıraçlı mövqelərini mərkəzləşdirilmiş kredit masalarından götürdüyü borclarla maliyyələşdirərək sektorun ən böyük borcalanlarından birinə çevrilmişdi. Fond 2022-ci ilin mayında dəyərinin faktiki olaraq hamısını itirən Terra ekosistemində əhəmiyyətli mövqe saxlayırdı və qiymətlər düşdükcə əleyhinə dönən digər sövdələşmələrə də məruz idi. 2022-ci ilin iyununda kredit verənlər marja tələbi irəli sürdükdə fond onları qarşılaya bilmədi. Britaniya Virgin Adalarındakı məhkəmə həmin ayın sonunda ləğvetmə qərarı verdi; ləğvedicilər qısa müddət sonra Amerika Birləşmiş Ştatlarında tanınma üçün müraciət etdilər. Defolt fondla bitmədi: ona kredit vermiş bir neçə platforma zərər açıqladı və bəziləri sonradan özləri iflas prosesinə girdi. Sinqapur tənzimləyicisi daha sonra fondun təsisçilərinə qadağan qərarları verdi.
Dərs — Kriptoda yoluxma effekti sirli bir şey deyil, kredit zənciridir. Sizə gəlirlilik təklif edən platforma əmanətinizi kiməsə borc verir və həmin kredit portfelinin cəmlənməsi əslində götürdüyünüz riskdir. Bu portfel demək olar ki, heç vaxt dərc olunmur; buna görə istənilən gəlir məhsuluna verilməli sual budur: borcalan kimdir və o ödəyə bilməsə, pulunuza nə olacaq?
Creditor claims of roughly $3.5B in the liquidation (publicly reported estimate)
- 2022
Bir neçə zəncirdə sarınmış aktivlər buraxan Wormhole körpüsü 2022-ci ilin fevralında təxminən 120 000 sarınmış efir itirdi: hücumçu Solana tərəfindəki kontraktın buraxılışa icazə verən mühafiz imzalarını necə yoxlamasındakı qüsurdan istifadə etdi. O, Ethereum-da uyğun depozit olmadan kontraktın qəbul etdiyi buraxılış yarada bildi və sarınmış tokenlər tam təminatsız qaldı. Layihəni dəstəkləyən Jump Crypto çatışmayan efiri əvəz etdi, beləliklə sarınmış aktivin sahibləri zərər görmədi.
Dərs — Sarınmış token nəyinsə başqa yerdə saxlandığı iddiasıdır. Bu bağı təmin edən yoxlama sınanda token dövriyyədə qalır və normal görünür, arxasındakı təminat isə artıq yoxdur — istifadəçilərin zərərinin ödənilməsi isə balansı ilə addım atmağı seçən kiminsə tapılmasından asılıdır.
~120,000 wrapped ETH (publicly reported estimate)
- 2023
2023-cü il sentyabrın 24-də tək bir HTX isti pul kisəsindən təxminən 5.000 ETH — təxminən 8 milyon dollar — götürüldü. Birja hücumçunu müəyyən etdi, vəsaitin 95%-inin qaytarılmasını razılaşdırdı və qalan 5%-i ağ papaq mükafatı kimi ödədi. Müştəri balansları tam örtüldü.
Dərs — Pulun danışıqla qaytarılması məbləğ kiçik və iz ictimai olduğu üçün alındı. Bu nəticədir, təhlükəsizlik tədbiri deyil: heç bir birja növbəti hücumçunun razılaşacağına zəmanət verə bilməz.
~5,000 ETH (~$8M) taken from a hot wallet (publicly reported estimate)
- 2024
2024-cü il mayın 31-də Maliyyə Xidmətləri Agentliyində qeydiyyatdan keçmiş Yapon birjası DMM Bitcoin 4502,9 BTC-nin icazəsiz çıxışını bildirdi — o vaxtkı dəyəri ilə təxminən 300 milyon dollar və ölkə tarixinin ən böyük oğurluqlarından biri. Şirkət müştəri aktivlərinin tam örtülməsi üçün DMM qrupunun dəstəyi ilə ekvivalent bitcoin əldə edəcəyini bildirdi, Yaponiya FSA-sı isə fəaliyyətin yaxşılaşdırılması barədə göstəriş verdi. 2024-cü ilin dekabrında ABŞ və Yaponiya qurumları oğurluğu açıq şəkildə Şimali Koreya ilə əlaqəli aktorlara aid etdi, DMM isə kripto biznesini dayandıracağını və müştəri hesablarını SBI VC Trade-ə köçürəcəyini elan etdi.
Dərs — Bunun necə bitdiyini qeydiyyat və ödəmə qabiliyyətli ana şirkət müəyyən etdi, baş verib-verməyəcəyini yox. Yaponiyanın rejimi dünyanın ən sərtlərindəndir və monetlər yenə də getdi; qaydaların və qrupun balansının aldığı şey müştərilərin kreditor növbəsinə düzülmək əvəzinə pullarını geri almasıydı. Lisenziyanı zərəri kimin udacağına dair ifadə kimi oxuyun, zərərin qarşısının alındığı iddiası kimi heç vaxt — və qeyd edin ki, birjanın özü müştəriləri zərərsiz çıxarmağa tab gətirmədi.
4,502.9 BTC (~$300m at the time, company-reported)
- 2025
2025-ci il fevralın 21-də hücumçular Safe çoxlu imza interfeysində imza sahiblərinin gördüyü məlumatı dəyişdirərək Bybit-in soyuq pul kisəsindən təxminən 1,46 milyard dollarlıq efir və steyk edilmiş efiri köçürdü; qanuni açar sahibləri göründüyündən fərqli bir əməliyyatı təsdiqlədi. FBI hücumu Şimali Koreyanın Lazarus qrupuna aid etdi.
Dərs — Heç bir açar oğurlanmadı — yalan danışan təsdiq ekranı oldu. Soyuq saxlama və çoxlu imza yalnız hər imza sahibi nəyi təsdiqlədiyini həmin ekrandan asılı olmadan yoxlaya bildikdə fayda verir.
~$1.46B in ETH and staked ETH (publicly reported estimate)
Növbəti
Xronikadan qiymətlərə
Qiymətləndirdiyimiz hər yoxlama ona görə var ki, bu çöküşlərdən biri onun yoxluğunun bahasını göstərdi.