Эксплуатация межцепочечных мостов: критическая угроза Web3

Распространённые тактики

• • Атаки на механизмы консенсуса валидаторов: злоумышленники получают доступ к криптографическим ключам или мультиподписным кошелькам валидаторов моста, используемым для одобрения транзакций, и с помощью этих данных авторизуют мошеннический выпуск токенов без реального залога.
• • Эксплуатация логических ошибок смарт-контрактов: мошенники находят и используют баги в коде проверки моста — например, неправильную валидацию подписей, уязвимости повторного входа или ошибки с индексами — что позволяет обходить проверки безопасности и переводить средства без легитимных депозитов.
• • Создание искусственных пулов ликвидности: злоумышленники вносят бесполезные токены или используют флеш-кредиты для искусственного увеличения ликвидности на одной стороне моста, а затем выводят реальные активы с другой стороны до обнаружения мошенничества.
• • Развёртывание поддельных версий легитимных мостов: мошенники создают копии популярных мостов (например, поддельные интерфейсы Stargate или Across), которые внешне идентичны, но перенаправляют депозиты пользователей напрямую на кошельки злоумышленников вместо реального протокола.
• • Атаки во время обновлений: хакеры отслеживают обновления протокола моста или окна технического обслуживания и используют временные уязвимости, возникающие при переходе систем валидации или снижении мониторинга безопасности.
• • Координация многоступенчатых атак с токенами: злоумышленники выпускают мошеннические обёрнутые токены на одной цепочке, продают их за легитимную криптовалюту через децентрализованные биржи до обнаружения атаки, а затем используют легитимные средства для сокрытия следов и отмывания через миксеры.

Как распознать

• Внезапное объявление о приостановке работы моста или инциденте безопасности: официальная команда моста сообщает об эксплуатации протокола и приостановке всех переводов, затем подтверждается нехватка залоговых резервов.
• Обёрнутый токен теряет привязку к исходному активу: цена обёрнутого токена на децентрализованных биржах резко падает почти до нуля, в то время как исходный актив сохраняет нормальную стоимость, что указывает на недостаточное обеспечение моста.
• Необычные всплески транзакций в контракте моста: обозреватели блоков показывают массовые выводы средств с моста за короткий промежуток времени, при этом транзакции направляются на ранее неактивные кошельки злоумышленников с использованием методов сокрытия.
• Несоответствия в резервах моста: заявленное количество залога в исходной цепочке не совпадает с количеством обёрнутых токенов в целевой цепочке — математически невозможная ситуация, указывающая на выпуск токенов без депозитов.
• Сбой консенсуса валидаторов: публичное раскрытие факта, что валидаторы моста не смогли проверить подписи или что ключи критически важных валидаторов были скомпрометированы, что помешало достижению необходимого порога одобрения.
• Затруднения с совместимостью токенов с DeFi-платформами: крупные протоколы внезапно исключают скомпрометированные обёрнутые токены из листинга, что вызывает каскад ликвидаций, поскольку залоговые позиции становятся неплатёжеспособными на кредитных платформах.

Как защитить себя

• Проверяйте легитимность моста перед внесением средств: сверяйте URL моста с официальными объявлениями фонда блокчейна, изучайте отчёты по аудиту безопасности на платформах Certik или Trail of Bits, а также подтверждайте официальный адрес контракта моста из нескольких независимых источников.
• Активно отслеживайте свои депозиты в мостах: используйте обозреватели блоков для просмотра ваших активов в реальном времени, настройте оповещения о подозрительной активности в смарт-контракте моста и регулярно проверяйте, что токен в целевой цепочке отражает текущую рыночную цену относительно исходного актива.
• Диверсифицируйте использование нескольких мостов: вместо того чтобы полагаться на один протокол, используйте проверенные альтернативы для разных маршрутов перевода — например, применяйте несколько мостов при перемещении активов между Ethereum и Polygon, чтобы снизить риск единой точки отказа.
• Используйте только проверенные мосты с надёжной историей безопасности: отдавайте предпочтение мостам, прошедшим аудит у авторитетных компаний, поддерживающим публично проверяемый консенсус валидаторов (с прозрачным управлением ключами) и работающим не менее 12 месяцев без инцидентов.
• Ограничивайте время и объём средств на мостах: держите минимальное количество криптовалюты на мостах — предпочтительно храните активы на основных цепочках и переводите только то, что необходимо для текущих операций в целевой сети.
• Повышайте безопасность через изучение протокола: перед использованием моста ознакомьтесь с опубликованным аудитом безопасности, изучите состав валидаторов, проверьте требования к мультиподписям (убедитесь, что ни одна организация не контролирует все ключи) и следите за обновлениями смарт-контрактов с исправлениями уязвимостей.

Реальные примеры

Частые вопросы

Куда сообщить — Россия

Официальные каналы в вашем регионе для сообщения о мошенничестве.