По данным публикации CoinDesk, эмитент евро- и долларовых стейблкоинов StablR недавно в срочном порядке заморозил свои токены USDR и EURR из-за того, что злоумышленник с помощью взломанного ключа мультиподписи выпустил необеспеченные токены на сумму около $13,5 млн и успел вывести в наличные приблизительно $2,8 млн до того, как это было обнаружено. Со ссылкой на источники в материале указывается, что была скомпрометирована схема мультиподписи 1-из-3 — то есть для проведения эмиссии достаточно завладеть любым одним из трёх приватных ключей. Эта архитектурная деталь на данный момент не подтверждена напрямую официальными документами StablR, и мы приводим её со ссылкой на источник вторичной публикации. USDR и EURR — одни из первых европейских стейблкоинов, публично заявлявших о соответствии режиму MiCAR EMT, поэтому инцидент затрагивает вопрос доверия ко всему сектору регулируемых стейблкоинов еврозоны.
Для пользователей карт USDT: прямого влияния практически нет, но стоит разобраться по картам
Сразу к выводу: подавляющему большинству пользователей виртуальных карт USDT не нужно предпринимать никаких действий. Инцидент касается токенов USDR / EURR, выпущенных StablR, и никак технически не связан с резервами и процессом эмиссии USDT (Tether) или USDC (Circle).
Разберём по картам:
- MPCard: основные линейки — MPCard Asia Elite, Global Business и готовящаяся к запуску Asia Business — построены вокруг пополнения через USDT-TRC20 / ERC20 и никак не связаны с активами StablR. Держателям карт ничего делать не нужно.
- Bybit Card / OKX Card / Bitget Wallet Card: расчётными активами здесь выступают в основном USDT, USDC и BTC; на официальных страницах продуктов USDR/EURR как доступные активы для пополнения не заявлены.
- Wirex: поскольку карта поддерживает расчёты в евро-стейблкоинах и имеет значительную пользовательскую базу в ЕС, это одна из самых интересных карт в контексте данного инцидента. Если в будущем Wirex добавит или уже интегрировал продукты StablR в свой EUR-канал, возможно опосредованное сжатие ликвидности. Пользователям, которым нужны сбережения в EUR, рекомендуется временно отдавать приоритет фиатному EUR-каналу, а не каналу на основе евро-стейблкоинов.
- Crypto.com Visa / Coinbase Card: в основном работают на USDC и напрямую с StablR не связаны.
Ожидаемые временные рамки:
- В течение 7 дней: StablR должен опубликовать отчёт о расследовании инцидента и план компенсации; на вторичном рынке незамороженные остатки USDR/EURR могут отклониться от официального курса.
- В течение 30 дней: конкурирующие евро-стейблкоины (EURC, EURCV и другие) могут воспользоваться ситуацией для увеличения доли рынка; регуляторы MiCAR могут выдвинуть новые требования к архитектуре мультиподписи для эмитентов EMT.
- В течение 90 дней: стоит следить, сможет ли StablR восстановить лицензию и повторно выпустить токены; будут ли платёжные каналы ЕС требовать от эмитентов EMT публичного раскрытия архитектуры подписи.
Историческое сравнение: чем похоже и чем отличается от Wormhole (2022) и Multichain (2023)
Инцидент интуитивно напоминает три исторических случая:
- Взлом межсетевого моста Wormhole в 2022 году на $320 млн — также уязвимость на уровне ключей/подписи, но масштабом на порядок больше. Отличие в том, что убытки пользователей Wormhole покрыла Jump Crypto, а StablR выбрал путь «заморозка + фактический убыток лишь в $2,8 млн».
- Потеря контроля над MPC-узлами Multichain в 2023 году — также связано с провалом управления приватными ключами в схеме мультиподписи / пороговой подписи. Общее — пользователи столкнулись не с ошибкой в смарт-контракте, а с провалом управления ключами; отличие — Multichain в итоге не смог восстановить работу, тогда как у StablR остаётся статус соответствия MiCAR как козырь для перезапуска.
- Кратковременная потеря привязки USDC до $0,87 из-за банкротства SVB в 2023 году — это была проблема на стороне резервных активов, тогда как в случае StablR проблема на стороне эмиссии. Первое — вопрос «куда ушли деньги», второе — «откуда взялись токены».
Ключевое отличие: заморозка USDR/EURR произошла благодаря активному использованию эмитентом централизованных полномочий для локализации ущерба — и это ровно тот момент, который показывает, что «полностью децентрализованный стейблкоин» в подобной ситуации оказался бы в более пассивном положении. Для держателей USDT это можно считать косвенно позитивным сигналом: Tether также сохраняет полномочия по заморозке и неоднократно применял их в случаях краж, санкций и отмывания средств — данный инцидент лишний раз подтверждает практическую ценность такого механизма.
Регулирование и комплаенс: «стресс-тест» MiCAR только начинается
StablR — один из ранних эмитентов EMT (токенов электронных денег) в рамках европейского режима MiCAR. С момента поэтапного вступления MiCAR в силу с конца 2024 года были детально прописаны требования к резервам, погашению и раскрытию информации, но конкретные технические стандарты в отношении управления приватными ключами эмитента, архитектуры мультиподписи и операционной безопасности пока остаются серой зоной. С высокой вероятностью данный инцидент станет прямым катализатором для последующих технических стандартов (RTS) Европейского банковского управления (EBA) и национальных надзорных органов (например, DNB в Нидерландах, ACPR во Франции).
Для пользователей из ЕС, держащих карты USDT, краткосрочного влияния на законодательном уровне не ожидается — USDT в рамках MiCAR проходит по пути, отличному от EMT, и данный инцидент не меняет её регуляторные границы. Настороженность нужна в отношении сектора евро-стейблкоинов: если вы используете карту, поддерживающую расчёты в стейблкоинах EUR, рекомендуется временно переключить расчёты в евро обратно на фиатный канал и дождаться уточнения регуляторных норм.
Ключевые моменты, за которыми стоит следить дальше
- Срок публикации отчёта StablR по итогам расследования: как правило, после крупных инцидентов подробный отчёт о резервах (PoR) и результаты аудита появляются в течение 7–14 дней; если через 30 дней сторонний аудит так и не опубликован — это тревожный сигнал.
- Будет ли EBA готовить проект технических стандартов по управлению приватными ключами для эмитентов EMT: политическая динамика в течение текущего квартала.
- Остаточная ликвидность незамороженных USDR / EURR на вторичном рынке: если она долго остаётся отвязанной от курса, это фактически означает закрытие официального канала погашения.
- Усилят ли Tether и Circle темп раскрытия PoR: инциденты у конкурентов обычно подталкивают ведущих эмитентов к более активному раскрытию информации.
Редакционные рекомендации
- Пользователям карт MPCard, Bybit Card, OKX Card и других карт на основе USDT/USDC: никаких действий не требуется. Инцидент технически не связан с вашей картой.
- Пользователям, которые используют евро-стейблкоины (включая, но не ограничиваясь USDR/EURR/EURC) для повседневных расходов в евро: до публикации итогов аудита StablR рекомендуется отдавать приоритет фиатному EUR-каналу; при оформлении новой карты в евро можно ознакомиться с подборкой карт для резидентов ЕС и временно избегать расчётов через евро-стейблкоины в течение 30 дней.
- Держателям спотовых остатков USDR/EURR: если ваш баланс не входит в список заморозки, не стоит спешить продавать — как правило, программа погашения от эмитента оказывается выгоднее, чем распродажа со скидкой на вторичном рынке.
- Пользователям, следящим за комплаенс-повесткой: рекомендуем зафиксировать данный инцидент как первый практический кейс в рамках режима MiCAR EMT — это будет полезно при последующем анализе проектов технических стандартов EBA. Также стоит сверяться с текущими формулировками на странице комплаенса ЕС и странице комплаенса Великобритании.
Отдельно подчеркнём: все цифры в этом материале — схема мультиподписи 1-из-3, суммы ущерба (эмиссия на $13,5 млн / вывод $2,8 млн) — взяты из единственной вторичной публикации CoinDesk. На момент подготовки этого материала StablR официально не опубликовал полный отчёт о расследовании инцидента. Все конкретные цифры и технические детали следует уточнять по последующим официальным сообщениям StablR и результатам независимого аудита.