В IBIT фонда BlackRock 815 000 BTC лежат у одного кастодиана Coinbase

Сотрудник компании OneKey, выпускающей аппаратные кошельки, под ником Yishi указал на концентрацию биткоинов крупнейшего спотового биткоин-ETF IBIT от BlackRock у единственного кастодиана — Coinbase. По его данным, фонд держит около 815 000 BTC, что соответствует примерно $63 млрд ≈ 186 млрд BYN.

Второй кастодиан, Anchorage Digital, у фонда уже назначен. Однако, судя по последнему квартальному отчёту, переводить туда биткоины пока не собираются. Таким образом, почти весь запас IBIT остаётся в распоряжении одной площадки.

Как устроена кража из холодного хранения

Холодный кошелёк не подключён к интернету, и забрать с него ключи напрямую практически невозможно. Поэтому атака идёт не на ключи, а на людей и на программы, которыми подтверждают переводы.

Так было с Bybit в феврале 2025 года: злоумышленники заразили компьютер разработчика и 17 дней оставались незамеченными. За это время они подменили интерфейс подтверждения транзакций, и сотрудники биржи, думая, что одобряют обычный перевод, отправили хакерам $1,5 млрд ≈ 4,42 млрд BYN. Ключи при этом остались в офлайне.

Похожая картина у недавнего взлома Binance. Биржа заявила, что предварительное расследование связывает атаку с компрометацией ноутбука DevOps-инженера и последующим доступом к сервисному контейнеру, а признаков утечки приватных ключей кошельков не обнаружено. Компания TRM Labs допускает, что атакующие получили контроль над системой подписи, то есть деньги снова провели через взломанный процесс одобрения.

С северокорейской группировкой TraderTraitor связывают и атаку на Bybit, и кражу 4502,9 BTC у японской биржи DMM Bitcoin.

Что будет, если Coinbase допустит сбой

Yishi оценил последствия кражи для IBIT на примере $6 млрд ≈ 17,7 млрд BYN: фонд потерял бы около 9,5% активов, или примерно $4 ≈ 11,78 BYN на одну акцию. Вернуть эти деньги было бы почти невозможно. Binance после взлома успела заморозить часть украденных стейблкоинов, но с биткоином такой вариант не работает: его транзакции нельзя отменить или заблокировать.

BlackRock отдельно не страхует биткоины фонда. Coinbase раскрыла покрытие по коммерческому страхованию от преступлений на $320 млн, и оно распространяется на всех её клиентов сразу. Договор хранения ограничивает ответственность кастодиана суммой $100 млн на один адрес холодного хранения, а возврат средств зависит от условий договора и установления вины. Если крупная кража произойдёт и фонд не сможет вернуть биткоины или получить достаточную компенсацию, оставшиеся убытки в конечном счёте понесут акционеры IBIT.

Часть украденных средств Binance уже заморозила в блокчейне — около $3 млрд из оценённых в $6,3 млрд. Убытки биржа обещает покрыть за счёт Фонда защиты активов пользователей (SAFU) и собственных средств. Для IBIT такого механизма в описанном сценарии не предусмотрено: акционер фонда не является клиентом Coinbase и не может рассчитывать на его компенсационные программы.

Хранить биткоины самому — тоже не гарантия: для этого нужен холодный кошелёк и аккуратность при каждой подписи. Но там речь идёт о личной сумме, а в случае IBIT — об активах сотен тысяч держателей сразу.

Дата возможного перевода части резервов в Anchorage Digital не названа. Coinbase и BlackRock детальных комментариев о распределении хранения не давали.