Безопасность Web3Высокий

Взломы кроссчейн-мостов и риск мошенничества

Кроссчейн-мост добавляет к обычному переводу риски смарт-контрактов, валидаторов, ликвидности и токена в целевой сети.

Алгоритм оценки риска взлома и мошенничества при использовании кроссчейн-моста

Кроссчейн-мост добавляет к обычному переводу риски смарт-контрактов, валидаторов, ликвидности и токена в целевой сети. Используйте проверенный интерфейс проекта, подтвердите контракты исходной и целевой сетей, сначала отправьте небольшую сумму и заранее выясните, какой актив получите на выходе.

Главная идея#

Большинство мостов не перемещает одну и ту же монету между сетями буквально. Система блокирует, сжигает или направляет ценность в одной сети и выпускает либо разблокирует её представление в другой. Поэтому возникают зависимости, которых нет внутри каждой базовой сети по отдельности.

Интерфейс показывает лишь часть системы. Не считайте знакомое название доказательством: подтвердите сам мост, актив, обе сети и полномочия администраторов.

Порядок действий#

  1. Найдите мост в официальной документации обеих экосистем. Сверьте точный домен и адреса контрактов с независимыми официальными источниками.
  1. Проверьте поддерживаемые активы, адрес токена назначения и правила финализации. Убедитесь, что понимаете, получите ли нативный, канонический или обёрнутый токен и когда перевод станет окончательным.
  1. Изучите аудиты, историю инцидентов, административные права и задержки обновлений. Смотрите, кто может приостановить систему, сменить реализацию или выпустить токены.
  1. Оцените комиссии и ликвидность в целевой сети. Заранее запишите допустимый предел расходов и проверьте, сможете ли обменять или вывести полученный актив.
  1. Отправьте небольшую тестовую сумму и проверьте получение до увеличения объёма. Подтвердите адрес токена и баланс в обозревателе, а не только в интерфейсе моста.

Опасные сценарии#

  • Поддельный домен моста рекламируется в поиске. Оформление копируется, поэтому переходите только по ссылкам из независимо открытой документации.
  • Обёрнутый актив выпущен слабым или неизвестным эмитентом. Его стоимость зависит от механизма обеспечения и возможности погашения.
  • Право экстренной паузы или обновления контролирует один ключ. Компрометация или злоупотребление этим ключом может затронуть всю систему.
  • Низкая ликвидность в целевой сети мешает выйти из позиции. Котировка интерфейса не гарантирует возможность продать полученный объём без большого проскальзывания.

Когда остановиться или выбрать другой маршрут#

Выбирайте мост по его модели доверия, а не только по заявленной комиссии. Если вы не можете объяснить, кто вправе выпускать токены, приостанавливать или обновлять систему, ограничьте сумму либо используйте более устоявшийся путь.

Как убедиться, что перевод завершён#

Не судите о результате только по сообщению интерфейса. Используйте данные, которые можно проверить после закрытия страницы.

Контрольная точкаДоказательствоУсловие остановки
Подтвердить мост по документации обеих экосистемТочный URL и адреса контрактов из официальных источниковДомен найден только в рекламном объявлении
Проверить актив назначения и финализациюАдрес токена и описание механизма выпуска или погашенияУ обёрнутого токена неизвестный эмитент
Изучить аудиты, инциденты и административные праваОтчёт с нужным адресом и версиями, записи об обновленияхОдин ключ без задержки управляет паузой или обновлением

Сохраняйте хеши транзакций, идентификаторы переводов и датированные скриншоты, если они помогают подтвердить операцию, но исключайте сид-фразы, приватные ключи и коды аутентификации.

Часто задаваемые вопросы#

Можно ли отменить уже завершённый перевод через мост?

Обычно пользователь не может сделать это самостоятельно. Возможность восстановления зависит от архитектуры моста и действий его операторов.

Почему я получил другой токен?

Многие мосты выдают обёрнутое или каноническое представление актива. До обмена проверьте адрес контракта токена в целевой сети.

Делает ли аудит мост безопасным?

Нет. Аудит снижает неопределённость в пределах своей области, но управление ключами, валидаторы, обновления и операционные сбои всё равно остаются значимыми.

Связанные руководства#

Источники#

Предупреждение о риске: Операции с криптовалютой могут быть необратимыми. Никому не передавайте сид-фразу, приватный ключ, пароль или код аутентификации и независимо проверяйте каждый домен и запрос кошелька.

Редакционный стандарт

Материал носит образовательный характер и основан на источниках. Меры безопасности, правила бирж и правовые требования могут меняться — проверяйте важные шаги по официальным данным.