Как работают кросс-цепочные мосты и почему из них было украдено 4 миллиарда долларов

Введение

Блокчейны не общаются друг с другом. Ethereum не может прочитать состояние Solana. Arbitrum не может проверить транзакцию в Avalanche. Каждая цепочка ведет свой собственный реестр, имеет свой собственный консенсус и свои собственные правила окончательности. Эта изоляция является особенностью дизайна безопасности, но создает практическую проблему: пользователи хранят активы в одной цепочке и хотят использовать их в другой.

Мосты существуют для решения этой проблемы. Мост — это система, которая позволяет пользователю вносить активы в цепочку A и получать соответствующие активы в цепочке B. Концепция звучит просто. Реализация — это то, где были потеряны миллиарды долларов.

Основная трудность заключается в верификации. Когда пользователь утверждает, что внес 100 ETH в Ethereum и запрашивает 100 ETH в Arbitrum, кто-то или что-то должно подтвердить, что депозит действительно произошел. Механизм, выбранный для этой верификации, определяет модель безопасности моста, его скорость, стоимость и уязвимость к атакам. Как отмечает анализ Coinbase по взломам мостов, сбои в безопасности мостов постоянно происходят из-за разрыва между предположениями о доверии, которые мост заявляет, и теми, которые он фактически обеспечивает.

Этот гид охватывает, как работают основные архитектуры мостов, почему каждый из крупнейших взломов оказался успешным и на что следует обратить внимание, прежде чем доверять мосту свои средства.

Lock-and-mint: оригинальный механизм моста

Самый ранний и наиболее распространенный дизайн моста — это lock-and-mint. Механизм работает в три этапа:

1. Блокировка. Пользователь отправляет токены на смарт-контракт в исходной цепочке. Токены блокируются (удерживаются) в этом контракте, а не сжигаются или передаются.
2. Верификация. Набор валидаторов, релееров или оракул наблюдает за депозитом в исходной цепочке и подтверждает его действительность в целевой цепочке.
3. Создание. Смарт-контракт в целевой цепочке создает синтетическую версию заблокированного токена. Пользователь получает "обернутый ETH" или "мостовой USDC", который представляет собой требование на заблокированный оригинал.

Чтобы вернуться обратно, процесс обратен: пользователь сжигает синтетический токен в целевой цепочке, валидаторы подтверждают сжигание, и оригинальные токены разблокируются в исходной цепочке.

Безопасность lock-and-mint полностью зависит от этапа верификации. Если злоумышленник может убедить целевую цепочку, что депозит произошел, когда этого не было, он может создать необеспеченные токены. Именно это произошло в крупнейших взломах мостов.

Арифметическая проблема. Мосты lock-and-mint должны поддерживать соотношение 1:1 между заблокированными оригиналами и созданными синтетиками. Если 10,000 ETH заблокировано в Ethereum, то на целевой цепочке должно существовать ровно 10,000 мостовых ETH. Любое несоответствие означает, что некоторые мостовые токены необеспечены. Когда взломы создают необеспеченные синтетики, последние пользователи, которые пытаются их обменять, обнаруживают, что хранилище пусто. Это создает динамику банковского бегства: как только новость о взломе распространяется, каждый держатель обернутого токена спешит обменять его, зная, что только первые, кто придет, получат реальные активы.

Burn-and-mint: родные кросс-цепочные токены

Burn-and-mint устраняет проблему обернутого токена, уничтожая оригинал и создавая новый.

1. Сжигание. Токен навсегда уничтожается в исходной цепочке.
2. Верификация. Событие сжигания подтверждается в целевой цепочке.
3. Создание. Новые токены создаются нативно в целевой цепочке.

Эта модель работает только для токенов, эмитенты которых контролируют создание токенов в нескольких цепочках. Протокол кросс-цепочного перевода Circle (CCTP) для USDC является крупнейшей реализацией. Когда пользователь переносит USDC из Ethereum в Avalanche через CCTP, Ethereum USDC сжигается, и нативный USDC создается в Avalanche. Нет обернутых токенов, нет фрагментации ликвидности и нет необеспеченных синтетиков.

Ограничение заключается в том, что механизм сжигания и чеканки требует от эмитента токенов развертывания и эксплуатации инфраструктуры на каждой поддерживаемой цепочке. Это не универсальный механизм. Произвольные токены ERC-20 не могут использовать сжигание и чеканку, если их разработчики не создадут инфраструктуру кросс-цепочной чеканки. CCTP в настоящее время поддерживает более десятка цепочек, но каждая интеграция требует прямого участия Circle.

Мосты ликвидных пулов: скорость через капитал

Третья модель избегает как обертывания, так и сжигания, используя предварительно профинансированные ликвидные пулы на каждой цепочке.

Механизм:

1. Депозит. Пользователь вносит токены в пул на исходной цепочке.
2. Вывод. Пользователь (или ретранслятор, действующий от его имени) выводит эквивалентные токены из пула на целевой цепочке.
3. Перебалансировка. Протокол периодически перебалансирует пулы между цепочками, чтобы поддерживать адекватную ликвидность.

Stargate (построенный на LayerZero) и Across Protocol используют вариации этой модели. Преимущество заключается в скорости: поскольку токены уже существуют на целевой цепочке, задержки на чеканку нет. Пользователь сразу получает реальные, нативные токены.

Недостаток заключается в капитальной эффективности. Ликвидность должна быть заранее размещена на каждой поддерживаемой цепочке, и этот капитал приносит доход только тогда, когда мосты активно используются. В периоды низкого объема ликвидные поставщики зарабатывают мало, пока их капитал простаивает. Совокупные капитальные требования на всех поддерживаемых цепочках могут достигать сотен миллионов долларов, создавая барьер для входа и риск концентрации, если один поставщик ликвидности доминирует.

Взлом моста Ronin: 624 миллиона долларов из-за скомпрометированных ключей

23 марта 2022 года злоумышленники вывели 624 миллиона долларов в ETH и USDC из моста Ronin, который соединял Ethereum с сайдчейном Ronin, используемым в игре Axie Infinity.

Мост Ronin использовал схему валидации с мультиподпиской. Девять узлов-валидаторов проверяли транзакции моста, и любые пять могли авторизовать вывод. Предположение о безопасности заключалось в том, что компрометация пяти из девяти независимых валидаторов будет непрактичной.

Это предположение оказалось неверным. Sky Mavis, компания, стоящая за Axie Infinity, контролировала четыре из девяти узлов-валидаторов. Пятый валидатор предоставил Sky Mavis временное разрешение подписывать от его имени в период высокого объема транзакций и никогда не отозвал это разрешение.

Злоумышленники (позже приписанные к группе Lazarus из Северной Кореи ФБР) скомпрометировали системы Sky Mavis и получили приватные ключи всех пяти валидаторов. С пятью из девяти подписей они авторизовали два мошеннических вывода: 173,600 ETH и 25,5 миллиона USDC.

Эксплуатация не была обнаружена в течение шести дней. Она стала известна только тогда, когда пользователь попытался вывести 5,000 ETH и обнаружил, что у моста недостаточно средств.

Урок. Безопасность мультиподписки так же сильна, как независимость ее подписантов. Когда одна организация контролирует большинство ключей, мультиподписка становится единой точкой отказа с дополнительными шагами.

Взлом Wormhole: 326 миллионов долларов из-за обхода проверки

2 февраля 2022 года злоумышленник использовал мост Wormhole для чеканки 120,000 wETH (обернутый ETH) на Solana без внесения каких-либо ETH на Ethereum. Эксплуатация стоила примерно 326 миллионов долларов.

Мост Wormhole полагался на группу из 19 хранителей для проверки кросс-цепочных сообщений. Хранители наблюдали за депозитом на Ethereum, создавали подписанное подтверждение (называемое VAA, Verified Action Approval), и контракт на стороне Solana проверял подписи перед чеканкой.

Уязвимость заключалась в проверке подписи на стороне Solana. Контракт Wormhole на Solana использовал устаревшую системную инструкцию (verify_signatures), которая не правильно проверяла переданные ей аккаунты. Злоумышленник создал поддельный набор хранителей, представил поддельный VAA с подписями из этого поддельного набора, и контракт принял его как действительный.

На самом деле, злоумышленник сказал контракту Solana: "эти хранители одобрили этот выпуск", и контракт не проверил, были ли хранители настоящими.

Jump Crypto, который поддерживал Wormhole, заменил украденные 120,000 ETH из своих резервов. Полное восстановление произошло в течение 24 часов, что стало беспрецедентным ответом, предотвратившим каскадные убытки среди протоколов Solana DeFi, которые держали wETH.

Урок. Код проверки моста является высокоценной уязвимостью. Одна логическая ошибка в том, как проверяются подписи, может позволить неограниченное несанкционированное создание токенов.

Взлом Nomad: 190 миллионов долларов из-за ошибочного обновления

1 августа 2022 года мост Nomad был опустошен примерно на 190 миллионов долларов. В отличие от Ronin и Wormhole, Nomad не был атакован сложной группой. Его опустошили сотни индивидуальных подражателей после того, как первоначальная уязвимость стала известна. Вы также можете быть заинтересованы: Взлом протокола Cetus и эксплуатация Sui: полная история атаки на 260 миллионов долларов.

Nomad использовал модель оптимистичной проверки. Межсетевые сообщения отправлялись и считались действительными, если не были оспорены в течение 30 минут. Обычное обновление контракта привело к ошибке: контракт был инициализирован с доверенным корнем 0x00, значением нуля bytes32.

В логике проверки Nomad каждое сообщение проверялось на соответствие доверенному корню. Поскольку 0x00 является значением по умолчанию для неинициализированного хранилища в Solidity, каждое сообщение автоматически проходило проверку. Любой пользователь мог отправить любое сообщение, и контракт принял бы его как доказанное.

Как только первый злоумышленник продемонстрировал, что произвольные сообщения принимаются, другие скопировали транзакцию, изменили адрес получателя и повторили ее. Мост был опустошен толпой оппортунистических атакующих, включая белых хакеров, которые позже вернули примерно 36 миллионов долларов из восстановленных средств.

Урок. Ошибки инициализации в контрактах мостов могут быть катастрофическими. Один неверно настроенный параметр превратил модель безопасности Nomad из "оптимистичной проверки с доказательствами мошенничества" в "отсутствие проверки вообще".

Взлом Harmony Horizon: 100 миллионов долларов из-за двух из пяти мультиподписей

В июне 2022 года мост Harmony Horizon потерял 100 миллионов долларов, когда злоумышленники скомпрометировали закрытые ключи двух из пяти валидаторов в мультиподписи моста. Мост Harmony требовал одобрения только двух из пяти подписантов для завершения транзакции, что является необычно низким порогом для моста, держащего 100 миллионов долларов.

Атака подтвердила урок Ronin: мультиподписные мосты столь же безопасны, как и их самый слабый набор подписантов. Когда порог низок относительно числа подписантов, одна компрометация инфраструктуры может быть достаточной. Исследователи безопасности публично критиковали порог в два из пяти для Harmony до того, как произошла атака.

Урок. Выбор порога важен так же, как и количество валидаторов. Мультиподпись пять из девяти предлагает значительно отличающуюся безопасность по сравнению с двумя из пяти, даже несмотря на то, что обе используют один и тот же основной механизм.

Кумулятивные потери и схемы атак

Масштаб потерь от атак на мосты не имеет прецедентов в безопасности смарт-контрактов. Эксплуатации мостов составляют примерно 3 миллиарда долларов из 17 миллиардов долларов в общих крипто-взломах за последнее десятилетие, что делает мосты самой атакуемой категорией смарт-контрактов.

Схемы атак группируются на три категории:

Компрометация ключей. Злоумышленник получает достаточно ключей валидаторов или подписантов, чтобы подделать сообщения моста. Ronin и Harmony следовали этой схеме. Уязвимость заключается не в коде, а в операционной безопасности инфраструктуры подписантов.

Обход проверки. Злоумышленник находит ошибку в логике проверки, которая позволяет поддельным сообщениям пройти. Wormhole следовал этой схеме. Уязвимость является ошибкой на уровне кода в самой критической функции контракта моста.

Ошибки инициализации или обновления. Злоумышленник использует неправильную конфигурацию, введенную во время развертывания или обновления. Nomad следовал этой схеме. Уязвимость является процедурной: команда допустила ошибку во время рутинной операции.

Каждый шаблон требует различной защиты. Компрометация ключа смягчается за счет увеличения разнообразия подписантов и использования аппаратных модулей безопасности. Обход проверки смягчается за счет аудита и формальной проверки. Ошибки инициализации смягчаются процедурами обновления, которые включают обязательные тестовые запуски на форкнутых сетях.

Четвертый возникающий шаблон заслуживает упоминания: атаки на управление. Злоумышленник, который накапливает достаточно токенов управления, чтобы контролировать механизм обновления моста, может изменить контракт моста, чтобы вывести средства. Эта атака медленнее и более заметна, чем другие, но нацелена на мосты, управление которыми сосредоточено или у которых слишком короткий срок блокировки обновлений. Команды мостов все чаще используют многодневные блокировки (48-72 часа) на обновления контрактов, чтобы дать пользователям время на вывод средств до того, как злонамеренное изменение вступит в силу.

Альтернатива традиционным мостам на основе намерений

Новый подход полностью обходит контракты мостов, используя трансферы на основе намерений. Across Protocol и режим кросс-цепи UniswapX позволяют пользователям выразить намерение по мосту: "У меня есть 1,000 USDC на Ethereum, и я хочу 1,000 USDC на Arbitrum." Решатель (называемый релеем) немедленно отправляет токены из своего инвентаря на целевой цепи, а затем позже требует возмещения.

Эта модель уменьшает поверхность доверия. Пользователь никогда не вносит токены в контракт моста, который удерживает объединенные средства. Решатель берет на себя риск возмещения, а контракт на расчет обеспечивает, что пользователь получил обещанный результат. Нет большого пула заблокированных активов, на который мог бы нацелиться злоумышленник.

Компромисс заключается в зависимости от решателя: если ни один решатель не готов выполнить намерение по приемлемой цене, передача не выполняется. Для маршрутов с высоким трафиком (Ethereum к Arbitrum, Ethereum к Base) конкуренция решателей сильна. Для маршрутов с низким объемом решатели могут быть неактивны.

Мосты легких клиентов и проверка с нулевым знанием

Вышеупомянутые уязвимости имеют общую слабость: они полагаются на внешних валидаторов или мультиподписи, чтобы подтвердить, что что-то произошло на другой цепи. Если эти аттестаторы скомпрометированы, мост терпит неудачу.

Мосты легких клиентов используют другой подход. Вместо того чтобы доверять набору валидаторов, целевая цепь запускает легкий клиент, который напрямую проверяет консенсус исходной цепи.

Например, мост легкого клиента к Ethereum будет отслеживать набор валидаторов Ethereum и проверять заголовки блоков и доказательства состояния в цепи. Когда пользователь утверждает, что он внес токены на Ethereum, контракт моста проверяет Меркле-доказательство по отношению к заголовку блока Ethereum, который он уже проверил.

Этот подход минимизирует доверие: мост доверяет консенсусу исходной цепи, а не внешнему комитету. Но это дорого. Проверка консенсуса Ethereum на другой цепи требует значительных вычислений, что приводит к высоким затратам на газ.

Доказательства с нулевым знанием предлагают решение проблемы стоимости. Вместо проверки каждой подписи валидатора в цепи, доказательство ZK может сжать проверку в одно краткое доказательство. Целевая цепь проверяет одно доказательство вместо сотен подписей.

Проекты, такие как Succinct Labs, Polymer и Lagrange, строят мосты с проверкой ZK. Они все еще развиваются, но представляют собой самую сильную модель безопасности для кросс-цепной связи: доверяйте математике, а не комитету. Ранние реализации показывают, что затраты на проверку снижаются по мере повышения эффективности систем доказательства ZK, при этом некоторые мосты уже работают на основной сети с временем доказательства менее 30 секунд.

Что это не охватывает

Это руководство объясняет механику мостов и крупнейшие уязвимости. Оно не охватывает:

• Стратегии мостов, специфичные для токенов, или какой мост использовать для данного актива
• Подробное сравнение агрегаторов мостов (Li.Fi, Socket, Bungee)
• Экономику предоставления ликвидности для мостовых пулов
• Протоколы межсетевого обмена, выходящие за рамки их функции моста (LayerZero, Axelar, Chainlink CCIP как общие уровни обмена)

Практические проверки перед использованием моста

Проверьте механизм верификации. Мосты с мультиподпиской являются самой слабой моделью. Мосты с легкими клиентами и ZK-подтвержденные мосты являются самыми надежными. Оптимистичные мосты занимают промежуточное положение. Знайте, чему вы доверяете.

Посмотрите на набор валидаторов или хранителей. Для мостов с мультиподпиской проверьте, сколько подписантов существует, кто их управляет и действительно ли они независимы. Если большинство подписантов принадлежат одной организации или географической юрисдикции, мультиподписка обеспечивает ограниченную безопасность.

Просмотрите историю аудитов. Контракты мостов являются высокоценными целями. Ищите несколько независимых аудитов от авторитетных компаний. Мост, который не был подвергнут аудиту или был проверен только один раз, требует дополнительной осторожности. Обратите внимание на объем аудитов: аудит контракта токена не охватывает логику верификации.

Сравните общую заблокированную стоимость с бюджетом безопасности. Мост, удерживающий 500 миллионов долларов с мультиподпиской из пяти из девяти, представляет собой совершенно другой профиль риска, чем мост, удерживающий 5 миллионов долларов. Нападающие нацеливаются на мосты, где потенциальная выплата оправдывает усилия. Рациональный нападающий рассчитывает, меньше ли стоимость компрометации достаточного количества ключей, чем ценность, которую можно извлечь.

Сначала протестируйте с небольшими суммами. Перед тем как переводить значительную сумму, отправьте небольшую тестовую транзакцию. Убедитесь, что адрес получателя, токен и сумма правильные. Транзакции мостов обычно необратимы.

Предпочитайте родные мосты для роллапов. Для Ethereum L2 роллапов (Arbitrum, Optimism, Base) канонический мост наследует безопасность непосредственно от консенсуса Ethereum. Мосты третьих сторон могут быть быстрее, но вводят дополнительные предположения о доверии. Используйте канонические мосты для крупных переводов, где безопасность важнее скорости. Читать далее: Что такое межсетевые мосты? Почему они продолжают подвергаться взломам

Что такое межсетевой мост? {#faq-question-4160687517}

Межсетевой мост — это система, которая передает активы или данные между двумя блокчейнами, которые не могут общаться нативно. Мост блокирует, сжигает или объединяет токены на одной цепочке и выдает соответствующие токены на другой, используя механизм верификации для обеспечения легитимности передачи.

Почему мосты так часто подвергаются взломам? {#faq-question-1765570890}

Мосты являются высокоценными целями, потому что они хранят большие пула заблокированных активов. Они также вводят сложные предположения о доверии на границе между двумя различными моделями безопасности. Уязвимость в механизме верификации (скомпрометированные ключи, ошибочные проверки подписи, ошибки инициализации) может позволить злоумышленнику опустошить весь пул за одну транзакцию.

В чем разница между lock-and-mint и burn-and-mint? {#faq-question-0293370535}

Lock-and-mint удерживает оригинальный токен на исходной цепочке и создает синтетическую (обернутую) версию на целевой цепочке. Burn-and-mint уничтожает оригинал и создает новый нативный токен на целевой цепочке. Burn-and-mint производит нативные токены, а не синтетические, но требует, чтобы эмитент токена контролировал создание токенов на обеих цепочках.

Безопасны ли обернутые токены? {#faq-question-3820965888}

Обернутые токены безопасны только настолько, насколько безопасен мост, который их выпустил. Если мост будет взломан и поддерживающие активы будут исчерпаны, обернутые токены станут необеспеченными и потеряют свою привязку. Пользователи, держащие обернутые токены, несут риск безопасности моста, а не только риск основного актива.

Сколько времени занимает мост? {#faq-question-8084085272}

Это зависит от механизма. Мосты ликвидных пулов и мосты на основе намерений (Across) могут завершаться за считанные секунды. Мосты с блокировкой и чеканкой с многоподписной проверкой обычно занимают от 10 до 30 минут. Оптимистичные мосты с окнами доказательства мошенничества могут занять до 7 дней для вывода средств из оптимистичных роллапов в Ethereum, хотя быстрые мосты могут предоставить ликвидность, чтобы сократить это время.

Что такое мост легкого клиента? {#faq-question-5264913434}

Мост легкого клиента проверяет консенсус исходной цепи непосредственно в целевой цепи, а не полагается на внешний набор валидаторов. Он проверяет заголовки блоков и доказательства состояния, доверяя безопасности исходной цепи. Это более минимизированный подход к доверию, чем многоподписная или оптимистичная проверка, но требует больше газа для работы.

Могу ли я потерять деньги, используя мост? {#faq-question-7660039976}

Да. Если мост будет эксплуатирован после того, как вы внесли депозит, но до того, как вы вывели средства, ваши заблокированные токены могут быть украдены. Если у вас есть обернутые токены, и мост будет взломан, ваши обернутые токены могут стать бесполезными. Кроме того, неправильные адреса назначения или неподдерживаемые типы токенов могут привести к постоянной потере.

Какой мост мне использовать? {#faq-question-1819675312}

Нет единственного моста, который был бы лучшим для всех ситуаций. Для USDC самым безопасным вариантом является CCTP от Circle, так как он использует сжигание и чеканку без обернутых токенов. Для общих переводов ERC-20 сравните механизмы проверки доступных мостов. Предпочитайте мосты с легким клиентом или ZK-проверкой, несколькими независимыми аудитами и проверенной историей безопасной работы. Мостовые агрегаторы, такие как Li.Fi, могут помочь сравнить маршруты.

*Отказ от ответственности: Эта статья предназначена только для информационных целей и не является финансовым, инвестиционным или юридическим советом. Криптовалюта связана с значительными рисками, и вам следует провести собственное исследование перед принятием каких-либо решений. Информация актуальна на август 2026 года.*