Мост, который ничего никуда не переводил

Февраль 2025 года. Пользователь из Варшавы хочет перевести 48 000 USDC из Arbitrum в Solana. Он ищет в Google «USDC bridge arbitrum solana» и нажимает на первую рекламу — hypercross-bridge[.]io. Интерфейс выглядит как аккуратный агрегатор мостов. Он подключает MetaMask, одобряет списание USDC и запускает перевод. Сайт пишет: «Перевод выполняется… обычно 5–15 минут». USDC уходят с кошелька в Arbitrum. В Solana не приходит ничего.

Как фейковые мосты конвертируют реальные активы в потери

Поддельный мост забирает активы пользователя в исходной сети (транзакции и одобрения настоящие), а затем либо (1) просто удерживает средства и пережидает жалобы, либо (2) отправляет небольшую часть на кошелёк пользователя в сети назначения, изображая частичный успех, и исчезает. Никакого моста на самом деле нет — только пара кошельков под контролем мошенников.

Пять правил для переводов между сетями

  • Используйте только проаудированные, многолетние мосты. Для USDC: Circle CCTP (Cross-Chain Transfer Protocol). Для общих активов: Wormhole, Stargate, Across, deBridge — все с годами работы и миллиардами накопленного объёма. Возраст и объём снижают риск, но не убирают его — сам Wormhole взломали в 2022 году, — а всё более молодое и менее проверенное несёт риски, которые пользователь оценить не может.
  • Ищите мосты через официальные страницы, а не через рекламу в поиске. Начинайте с портала или документации самой сети либо со страницы эмитента токена (для CCTP — у Circle) и добавьте в закладки мост, которым в итоге пользуетесь. Поисковую выдачу накручивают; официальная документация — не идеальный список, но куда более безопасная отправная точка.
  • Сначала переведите тестовую сумму. Небольшой перевод покажет, работает ли маршрут, и если что-то не так — вы потеряли 50 USD. Честность сайта он не доказывает: фейковые мосты иногда доставляют небольшие суммы, чтобы втереться в доверие, как описано выше. Тест — дополнение к проверке адреса, а не её замена.
  • URL проверяется символ за символом. stargate.finance, не stargate-bridge[.]io. across.to, не across-bridge[.]com. Рекламные результаты по названиям мостов — любимое место фишинговых объявлений.
  • Транзакции моста видны в обоих эксплорерах. Настоящий мост создаёт транзакцию блокировки или сжигания (lock/burn) в исходной сети и транзакцию выпуска или разблокировки (mint/release) в сети назначения, и обе видны в эксплорерах в пределах срока, заявленного протоколом. Если транзакции в сети назначения нет — перевода не было.

Если транзакция в исходной сети подтвердилась, а в сеть назначения ничего не пришло

Подождите максимальный срок, который протокол указывает в своей документации, — он зависит от моста и маршрута. Загляните в официальные каналы поддержки протокола: у настоящих мостов есть страницы или каналы со статусом инцидентов. Если после заявленного окна сам сайт моста перестал отвечать — это было мошенничество. Подайте заявление в местную полицию, сохраните все хеши транзакций и сообщите адрес сайта в антифишинговые базы.

Главное правило

Перевод через мост — одно из самых рискованных действий в DeFi: приходится доверять и контракту в исходной сети, и механизму в сети назначения. Используйте только протоколы, где история аудитов, команда и годы работы вместе делают риск понятным.