No-KYC за октябрь 2026: взлом на $6,3 млрд, одиннадцать обменов на свои деньги и кто проверяет адреса

Октябрь стал месяцем, когда крупнейшая биржа мира потеряла больше шести миллиардов долларов, — и месяцем, когда мы начали платить за свои тесты сами.

Коротко

• 54 действующих сервиса под наблюдением; 35 прошли нашу проверку, 19 ещё проверяются. LetsExchange прекратил работу 1 октября.
• Один критический инцидент в нише: NEAR Intents потерял около $3,8 млн с горячего кошелька в BSC.
• Девять новых записей в реестре скамов; 189 изменений в условиях 51 сервиса, десять из них существенные.
• Медианная доступность в клирнете — 92,8 %; двенадцать сервисов держались на 99 % и выше.

Кражи месяца

Binance — вне нашей ниши, но это почувствовали все в ней — оценил ущерб от инцидента 29 октября примерно в $6,3 млрд и сообщил, что взломанный ноутбук DevOps-инженера дал доступ к сервису, отправляющему выводы; около $3 млрд заморожено, и Binance обещает покрыть потери. Мы разобрали это отдельно: что это значит, если вы меняете без KYC. В часы после взлома все no-KYC свопы из нашего мониторинга продолжали выдавать котировки.

NEAR Intents, внутри ниши, потерял около $3,8 млн с горячего кошелька и приостановил работу; мы держим его в статусе «осторожно».

Скамы и удержание средств

В этом месяце мы добавили в реестр скамов девять записей: exit-скамы El Capo, XMR Escrow и Silent Node («офшорный хостинг» с оплатой вперёд и поддельным мониторингом — подтверждён после нашего собственного прохода), удержание средств у Swapter (подтверждено), у GhostSwap и OctoSwap (вероятно), вероятные кражи у RuneSwap и KycNot.cc и спорный случай Lizex. В каждой записи показано, что мы проверили, а что нет.

Одиннадцать обменов на свои деньги

Впервые мы сами оплатили тесты: небольшие обмены по $37–49 через Maya, THORChain, Bitania, BitcoinVN, PegasusSwap, SageSwap, Flashift, CypherGoat, Wagyu, Exolix и Relay. Несколько результатов:

• Bitania выплатил фиксированную котировку точно; BitcoinVN выплатил через 51 секунду после подтверждения депозита и пересчитал курс в нашу пользу.
• SageSwap работает без JavaScript и без трекеров и выплатил за три минуты, на 1,28 % ниже рынка.
• PegasusSwap исполнил заказ чисто, но примерно на 12 % ниже рынка — а через агрегатор CypherGoat тот же сервис заплатил нам на 9,3 % больше.
• Рекомендованное предложение Flashift не сработало, а указанный нами адрес возврата дважды пропал из заказа.
• Relay доставил ETH примерно через минуту после отправки; Exolix дал на 1,8 % больше за те же TRX, но занял 23 минуты.
• Через три секунды после одной выплаты похожий адрес прислал нам «пыль» — попытка подмены адреса. Всегда копируйте адрес из кошелька, а не из истории.

Полные выводы войдут в обзор каждого сервиса блоком «Проверено обменом».

Кто проверяет адреса

Мы создавали заказы без оплаты, используя адрес из санкционного списка OFAC США. Все шесть проверенных мгновенных обменников — Wagyu, SageSwap, Bitania, BitcoinVN, PegasusSwap и Exolix — приняли санкционный адрес выплаты при создании заказа. Relay отказал прямо. NEAR Intents отклонил и санкционный адрес выплаты, и санкционный адрес возврата ещё до выдачи депозитного адреса, а LI.FI отклонил санкционного отправителя или получателя до выдачи маршрута. Принятие при создании заказа не показывает, что будет при поступлении депозита — несколько сервисов заявляют, что проверяют входящие средства, а тест без оплаты этого не покажет.

Условия использования

Наш архив зафиксировал 189 изменений у 51 сервиса. Существенных — десять: два изменения KYC, два — раскрытия данных, одно — юрисдикции, две крупные переработки и три других значимых правки; пятнадцать оказались шумом страниц.

Доступность

Медианный сервис был доступен в клирнете 92,8 % октября; двенадцать держались на 99 % и выше. В этом месяце несколько дней сбоила наша собственная проверка (большую часть 24–26 октября — после изменения в нашем коде); эти проверки исключены и не засчитаны сервисам, исправление мы опубликовали. Пять сервисов в отдельные дни блокируют автоматические проверки; они показаны как «не измеряется», а не как 0 %.

Куда ушли украденные средства

Мы отслеживаем публичные дела в блокчейне. В краже у Bitget (около $387 млн) не меньше $8,27 млн из отслеживаемых нами средств дошли до горячего кошелька Binance тремя переводами — а Binance биржа с KYC, способная замораживать средства. Мы также следим за самим Binance, Morpho, кражей SquidSquad в BSC, NEAR Intents, делом в TRON, связанным с Chainflip, EagleSwap и KycNot.cc.

Метод и ограничения

Всё здесь — из нашего мониторинга, из обменов, за которые мы заплатили сами, и из публичных источников, названных выше. Мы называем сервисы по тому, что измерили, а не чтобы обвинить. Исправления публикуются, а не скрываются.