Где держать крипту: три слоя хранения вместо одного кошелька на бирже

29 октября 2026 года случились три вещи подряд, и для арбитражника это не новости крипторынка, а прямой вопрос: где сейчас лежат деньги на открутку и что с ними будет завтра.

Разберу, что именно произошло, почему это три принципиально разных риска, и как раскладывать деньги так, чтобы ни один из них не выносил всё сразу.

Что произошло 29 октября

Binance — около $6,3 млрд. Крупнейшая кража в истории крипты: примерно вчетверо больше, чем взлом Bybit в феврале 2025 года на $1,5 млрд. Оценки расходятся — TRM Labs и сама биржа называют $6,3 млрд, Chainalysis считает $5,91 млрд на момент кражи. Основной объём ушёл примерно за 20 минут, начиная с 20:05 UTC.

TRM приписывает атаку северокорейской группе TraderTraitor и указывает на компрометацию инфраструктуры подписи горячих кошельков. Сама Binance в первом объяснении говорила о другом: доступ получили через заражённый ноутбук инженера. Выводы в части сетей приостанавливали, около $2,54 млрд удалось заморозить, биржа заявила, что покроет убытки пользователей.

Polymarket — около $2,7 млн. Сумма на три порядка меньше, но по механике это куда более неприятная история. Взломали не Polymarket: скомпрометировали сторонний скрипт мониторинга DebugBear на фронтенде площадки — классическая атака на цепочку поставок. Смарт-контракты не тронули. У людей просто выманили подписи транзакций прямо в браузере: около 995 кошельков, более 900 вредоносных транзакций через релеер площадки. Торги остановили в режиме cancel-only, потом вернули, пострадавшим обещали всё возместить, дело передали в британскую полицию.

KuCoin — прекратила обслуживать пользователей из России и Беларуси. Ограничения на все продукты, уведомления приходят персонально, жёсткой общей даты биржа пока не назвала.

Три события — три разных риска

Их часто валят в кучу «крипта небезопасна», и из-за этого выбирают неправильную защиту.

Риск первый: кастодиальный. Binance. Ключи не ваши. Ваш пароль, 2FA и антифишинг-код не имеют к этой краже никакого отношения — ломали не вас. Единственное, что здесь работает, — не держать на бирже больше, чем готовы потерять на неделю.

Риск второй: подпись на вашей стороне. Polymarket. Ключи ваши, некастодиальность на месте — и всё равно деньги ушли, потому что вы сами подписали транзакцию. Достаточно было подменить скрипт на странице. Это ровно тот случай, когда «я держу в своём кошельке, я в безопасности» не работает.

Риск третий: доступ и юрисдикция. KuCoin. Деньги целы, никто ничего не украл. Вы просто заперты снаружи и обязаны всё вывести к какому-то сроку, о котором узнаете из письма. Если в этот момент вы в отпуске без доступа к почте — это ваша проблема.

Сильный пароль не лечит ни один из трёх.

Три слоя хранения

Рабочая схема — разложить деньги по трём слоям, у каждого своя задача и свой срок жизни.

Слой	Что лежит	Где	От чего защищает
Транзит	то, что меняется прямо сейчас	биржа, обменник	ни от чего — это перевалочный пункт
Рабочий	бюджет на открутку на неделю-две	тёплый кошелёк на отдельном устройстве	от взлома и ухода биржи
Общий	командные деньги, общий банк	мультисиг 2 из 3	от одного скомпрометированного ключа
Резерв	то, что не планируете трогать	аппаратный кошелёк	от всего, кроме потери сид-фразы

Главная ошибка — когда все три слоя схлопнуты в один аккаунт на бирже. Тогда любое из трёх событий выше выносит всё.

Биржа — это обменник, а не счёт

Биржа нужна ровно на время сделки: завели, поменяли, вывели. Часы, максимум дни.

Что стоит сделать прямо сейчас, если держите там остатки:

Разнести по двум биржам. Не ради доходности — ради того, чтобы уход или заморозка одной не останавливала закупку трафика.
Включить вывод на whitelist-адреса. Тогда даже при угоне аккаунта вывести смогут только на ваши же адреса.
Проверить, на какую почту приходят уведомления и читаете ли вы её. История с KuCoin — это именно про письмо, которое надо не пропустить.
Не держать там резерв. Вообще.

Три варианта некастодиального хранения

Три рабочих варианта хорошо разложил Макс в @cpalike. Ниже — они же, плюс то, что важно именно под нутру, где деньги ходят в USDT по TRC20.

1. Тёплый кошелёк на отдельном устройстве

Обычный некастодиальный кошелёк вроде Trust Wallet, но на телефоне, который больше ни для чего не используется. Деньги под рукой, ключи ваши — ровно до тех пор, пока цела сид-фраза.

Устройство только под кошелёк. Не тот телефон, где мессенджеры, рабочая почта и скачанные apk. Подойдёт любой бюджетный аппарат — он дешевле, чем одна потерянная выплата.
На iOS включить «Режим блокировки» (Lockdown Mode). Он режет ровно те векторы, через которые бьют по таким устройствам.
Не подключать этот кошелёк к сайтам, которые просят подпись. Если устройство только принимает и отправляет по адресу — риск минимальный. Именно на подписи в браузере унесли деньги у пользователей Polymarket.
Отдельный кошелёк под каждую активность. Один принимает выплаты с ПП, другой — для подключения к площадкам. Тот, которым вы что-то подписываете на незнакомых сайтах, не должен хранить ничего.
Отзывать разрешения. Выданный когда-то неограниченный allowance живёт вечно и может сработать через полгода.
Обновлять ОС. Скучно, но это половина защиты такого устройства.

2. Мультисиг

Для перевода нужны два ключа из трёх (бывает три из пяти). Грубая аналогия — двухфакторка: один скомпрометированный ключ ничего не решает.

Самый известный сервис — Safe. И сразу оговорка, без которой совет для нас бесполезен:

Safe не поддерживает Tron. Это EVM-инструмент; в списке неподдерживаемых сетей у самого Safe прямо указан TRX вместе с BTC, XRP и прочими не-EVM цепями. Если ваши USDT ходят по TRC20 — а у большинства в нутре это так — Safe тут не применим.

Для Tron мультиподпись есть на уровне самого протокола, через систему permissions аккаунта:

У аккаунта есть Owner (высшие права, в том числе переписать сами права) и Active (повседневные операции).
У каждого ключа свой вес, у разрешения — порог. Подпись валидна, когда сумма весов перевалила за порог. Стандартный пример в документации TRON — 2 из 3.
Active-ключ ограничен списком типов операций. Чтобы двигать USDT TRC20, в его маске должен быть TriggerSmartContract.
Owner-пермишен меняется только подписью под текущим owner.
Порог 1 бессмыслен, а 3 из 3 рискует запереть вас самих, если один ключ недоступен. Рабочий вариант — 2 из 3.

И обратная сторона, про которую в постах обычно не пишут: злонамеренный мультисиг. Это отдельный вид развода на Tron — вам «помогают настроить безопасность», после чего ваш ключ убирают из owner-пермишена, а свой добавляют. Баланс на месте, вы его видите, а вывести не можете. Если вы когда-либо вводили сид-фразу в сторонний сервис — проверьте permissions своего TRC20-адреса прямо сейчас.

Минусы честные: сервисов мало, настройка муторная. Зато под командные деньги или общий банк на закупку это лучшее, что есть.

3. Аппаратный кошелёк

Ключи лежат офлайн, транзакция подписывается на самом устройстве, сверху PIN-код. Для резерва это обычно самый понятный вариант: потеряли устройство — восстановили по резервной фразе.

Железо часто продают именно как «ключ хранится офлайн». Это правда, но не главное. Главное — экран на самом устройстве.

Когда скрипт на странице подменяет транзакцию, на мониторе вы видите то, что нарисовал скрипт. А на экране устройства — то, что реально уйдёт в сеть. Именно это ловит атаку типа Polymarket, и именно поэтому кошелёк без экрана смысла почти не имеет.

Покупать только у производителя или авторизованных продавцов из списка на сайте вендора. Из популярного — Ledger и Trezor. Не на маркетплейсах: ни OZON, ни WB, ни с рук. Устройство с «уже готовой» сид-фразой в комплекте — это кража, оформленная как покупка.
Сид-фраза офлайн, на бумаге или металле. Не фото в галерее, не заметка в облаке, не менеджер паролей. Фото сид-фразы — самый частый способ потерять резерв.
Passphrase поверх сид-фразы, если резерв серьёзный. Это 25-е слово, которого нет на бумажке.
Проверить восстановление до того, как положите деньги. Восстановите кошелёк из своей сид-фразы на пустом устройстве и убедитесь, что адреса совпали. Бэкап, который не проверяли, бэкапом не является.

Какой выбрать

Опытные используют все три сразу, и это не понты — у каждого своя роль: тёплый под оборот, мультисиг под общие деньги, железо под резерв. Но если выбирать один, берите первый: отдельное устройство под кошелёк закрывает больше всего за наименьшие деньги.

Важная честность в конце: сломаться и утечь может что угодно. У этих трёх вариантов не нулевой риск — просто заметно ниже шанс попасть под блокировку, утечку или взлом, чем когда всё лежит одним балансом на бирже.

Какие биржи остались для РФ и РБ

Сначала важное различие, без которого любой такой список врёт. «Биржа работает с россиянами» может означать две совершенно разные вещи:

Формально — страна не в списке запрещённых юрисдикций, регистрация проходит, KYC проходит.
Фактически — ваши деньги оттуда выйдут, когда понадобятся.

Это не одно и то же, и именно на этом стыке сейчас теряют больше всего.

Ушли официально в октябре 2026: KuCoin (29.10), Bitget, MEXC (дедлайн вывода — 4 ноября), HTX. Тут всё честно: прислали уведомление, дали срок, дальше ваша ответственность.

Формально работают, но блокируют поштучно. Главный пример — Bybit. Страны России в списке ограниченных юрисдикций нет, список обновляли 16 октября. Но с марта 2026 биржа запустила массовое пересканирование старых TRC20-транзакций по AML, и россияне ловят блокировки пачками: заморозка без внятных объяснений, поддержка отвечает отписками, средства висят месяцами. Практики, которые торгуют там ежедневно, говорят, что последние месяцы это стало системой, а не отдельными случаями. Формально биржа открыта — практически вы можете не вывести оттуда ничего.

Добавьте к этому, что европейское подразделение Bybit EU россиян не обслуживает, а криптокарта недоступна.

Работают с оговорками: OKX (с 2023 года без рублёвых операций), BingX (в пользовательском соглашении от сентября 2026 Россия и Беларусь не в списке запрещённых юрисдикций). По Gate источники расходятся: часть пишет, что Россия внесена в запрещённые юрисдикции и рублёвый P2P отключён с 1 июля 2026, часть по-прежнему числит биржу работающей.

Четвёртый риск: заблокируют лично вас

История с Bybit — это отдельный риск, которого нет в тройке выше. Биржа не взломана, из страны не уходит, с вашим паролем всё в порядке. Просто ваш конкретный аккаунт попал под AML-скан, потому что полгода назад вам прилетел USDT с адреса, который позже кто-то пометил.

Защиты от этого со стороны пользователя почти нет. Есть только снижение ущерба: не держать на бирже сумму, потеря доступа к которой вас остановит. Это ровно тот же вывод, что и из взлома Binance, но по другой причине — и именно поэтому он главный в статье.

Оговорка, без которой список бесполезен: это состояние на один день. За октябрь официально ушли четыре площадки, а неофициальные ограничения меняются ещё быстрее. Большинство рейтингов «топ бирж для россиян» в выдаче датированы более ранними месяцами и до сих пор рекомендуют MEXC и Bitget. Перед тем как заводить туда деньги, проверяйте уведомления на самой бирже и свежие отзывы тех, кто выводит оттуда прямо сейчас, — а не статью, в том числе эту.

Как это выглядит под арбитраж

Деньги у нас ходят по кругу: выплата с ПП → обмен → карты → открутка. Разложить по слоям можно так:

Выплата с ПП приходит на рабочий кошелёк, не на биржу.
С рабочего сразу уходит доля в резерв на железо. Пока деньги в обороте, до них легко дотянуться — и вам, и не вам.
На биржу заводится ровно сумма текущего обмена. Поменяли — вывели. Остаток там не живёт.
Карточный сервис пополняется с рабочего кошелька под конкретный открут, а не «с запасом на месяц».

Скучно, зато ни взлом биржи, ни её уход, ни подменённый скрипт на сайте не выносят всё сразу — максимум один слой.

Коротко

Биржа — обменник на часы, а не счёт. Разнести на две, включить whitelist вывода, читать письма.
«Формально работает с россиянами» не значит «вы оттуда выведете». Bybit никуда не ушёл и при этом морозит аккаунты по AML с марта 2026.
Тёплый кошелёк — рабочие деньги на неделю, и лучше на отдельном устройстве. Не подписывать вслепую, отзывать разрешения.
Мультисиг 2 из 3 — под общие деньги. Safe не умеет Tron, для TRC20 используется родная система permissions. И проверьте, что ваш ключ всё ещё в owner-пермишене.
Железо — резерв. Главное в нём экран, а не «офлайн». Покупать у вендора, не на маркетплейсах. Сид-фраза офлайн, восстановление проверено заранее.
Списки работающих бирж устаревают за недели. Проверяйте на бирже, а не в подборках.

Это материал про безопасность хранения, а не инвестиционная рекомендация: что покупать и держать — решайте сами.