Аналитики SlowMist бьют тревогу из-за уязвимостей на бирже с ежедневным объёмом торгов 3,7 млрд долларов

Фирма по безопасности блокчейна SlowMist указала на две криптовалютные биржи, в которых были выявлены серьёзные уязвимости, влияющие на безопасность средств на их respective платформах. 

Основатель SlowMist, использующий псевдоним Evilcos, выразил разочарование из-за отсутствия ответа. 

"Неизвестные биржи действительно ненадёжны", — написал он в X. "Наша команда безопасности обнаружила серьёзные уязвимости в двух биржах (непосредственно влияющие на безопасность средств), но мы не смогли связаться ни с кем, и даже публичные упоминания не вызвали ответа."

Рассматриваемые биржи обрабатывают значительные ежедневные объёмы торгов: одна из них имеет 24-часовой объём торгов в 3,7 млрд долларов, а другая управляет примерно 240 млн долларов, согласно Evilcos.

Попытки раскрытия информации отклонены

SlowMist направила уведомления о безопасности в зарегистрированную на Сейшельских островах Azbit и турецкую биржу ICRYPEX Global 16 и 17 декабря соответственно. Компания также утверждала, что пыталась связаться с обеими платформами через личные сообщения и публичные посты, следуя стандартной практике ответственного раскрытия информации, но не получила никакого подтверждения.

ICRYPEX, основанная в 2018 году и имеющая лицензии поставщика услуг виртуальных активов в двух странах Европейского союза, сообщает об обслуживании миллионов пользователей более чем в 30 странах.

Azbit была запущена в конце 2019 года и работает на Сейшельских островах; однако в начале этого года регулятор Сейшельских островов заявил, что "компания не имеет и не имела никаких разрешений на работу в соответствии с Законом о поставщиках услуг виртуальных активов 2024 года и является просто международной бизнес-компанией ("IBC"), зарегистрированной в соответствии с Законом об IBC".

Невозможность установить контакт побудила SlowMist к необычному шагу публичного раскрытия обнаруженных уязвимостей до их устранения, что несколько обеспокоивает, хотя можно предположить, что соответствующие биржи уже работают над их устранением. 

Однако публичный адрес или признание результатов SlowMist значительно успокоит их клиентов.

Вопросы безопасности в масштабах отрасли

Инцидент происходит на фоне устойчивых проблем безопасности во всём секторе криптовалют. Годовой отчёт SlowMist о безопасности за 2024 год задокументировал 410 инцидентов безопасности, приведших к убыткам более чем на 2,013 млрд долларов.

Фирма по кибербезопасности CertiK сообщила, что криптовалютные биржи потеряли более 29 млн долларов в ноябре 2025 года, заняв второе место в списке убытков по типу после децентрализованных финансов (DeFi).

Рекомендуемые лучшие практики рекомендуют разработчикам криптовалют устанавливать точки контакта для сообщения о проблемах безопасности, включая долгосрочные открытые ключи для безопасной связи.

Будут ли биржи выходить на связь?

Опыт SlowMist с попытками связи и получением отсутствия ответа, хотя и не уникален, показывает, что даже у Established бирж с значительной базой пользователей могут отсутствовать адекватные каналы для получения критической разведданных о безопасности.

Это также вызывает вопросы о готовности криптобирж быстро реагировать на раскрытие уязвимостей.

SlowMist работала с крупными биржами, включая Binance, OKX, HTX и Crypto.com, что придаёт достоверность её оценкам безопасности и устранению выявленных пробелов.

В прошлом месяце Cryptopolitan сообщал что фирма SlowMist провела расследование, выявившее уязвимости в NOFX AI, системе фьючерсной торговли криптовалютами с открытым исходным кодом, построенной на архитектуре больших языковых моделей DeepSeek и Qwen, а также поделилась рекомендациями о том, как можно решить эту проблему. 

Отраслевые руководства по ответственному раскрытию информации обычно рекомендуют затронутым сторонам отвечать в течение двух рабочих дней после первоначального контакта. Если после нескольких попыток ответа не поступает, исследователи безопасности часто устанавливают публичное раскрытие вопроса для обеспечения прозрачности, особенно когда задействованы средства.

Ни ICRYPEX, ни Azbit не ответили на уведомления о безопасности и не сделали публичных заявлений относительно уязвимостей на момент публикации.