Міст, що нікуди не веде

Лютий 2025. Користувач із Харкова хоче перевести 48 000 USDC з Arbitrum у Solana. Шукає в Google «USDC bridge arbitrum solana» і натискає перше рекламне посилання — hypercross-bridge[.]io. Інтерфейс схожий на охайний агрегатор мостів. Він підключає MetaMask, дає дозвіл на витрату USDC і запускає переказ. Сайт показує: «Переказ через міст триває... звичайний час 5–15 хвилин». USDC зникають із гаманця в Arbitrum. У Solana не надходить нічого.

Як фейкові мости перетворюють справжні активи на втрати

Фейковий міст забирає активи користувача в мережі відправлення (справжні транзакції, справжні дозволи), а потім або (1) просто тримає кошти й перечікує скарги, або (2) надсилає невелику частку на гаманець користувача в мережі призначення, імітуючи частковий успіх, і зникає. Жодного справжнього мосту немає — лише пара гаманців під контролем шахраїв.

П'ять правил для кросчейн-мостів

  • Користуйтеся лише мостами з аудитами й багаторічною історією. Для USDC: Circle CCTP (Cross-Chain Transfer Protocol). Для загальних активів: Wormhole, Stargate, Across, deBridge — усі працюють роками й мають мільярдні сукупні обсяги. Вік і обсяги знижують ризик, але не прибирають його — сам Wormhole зламали у 2022 році, — а все молодше й менш усталене несе ризики, які користувач оцінити не може.
  • Шукайте мости через офіційні сторінки, а не через рекламу в пошуку. Починайте з порталу чи документації самої мережі або зі сторінки емітента токена (для CCTP — сторінка Circle) і додайте в закладки міст, яким зрештою користуєтеся. Пошукову видачу накручують; офіційна документація не ідеальний список, але набагато безпечніша відправна точка.
  • Спершу переведіть тестову суму. Невеликий переказ покаже, чи працює маршрут, і якщо щось не так, ви втратите 50 USD. Але чесність сайту це не доводить: фейкові мости інколи доставляють дрібні суми, щоб завоювати довіру, як описано вище. Тест — доповнення до перевірки адреси, а не заміна їй.
  • Адресу перевіряйте посимвольно. stargate.finance, а не stargate-bridge[.]io. across.to, а не across-bridge[.]com. Рекламні результати за назвами мостів — улюблене місце фішингових оголошень.
  • Транзакції мосту видно в експлорерах обох мереж. Справжній міст створює транзакцію блокування чи спалення в мережі відправлення й транзакцію випуску чи вивільнення в мережі призначення, і обидві видно в блок-експлорерах у межах заявленого протоколом строку. Якщо транзакції на боці призначення немає — переказу не було.

Якщо транзакцію відправлення підтверджено, а в мережі призначення нічого немає

Зачекайте максимальний строк, який протокол указує у своїй документації, — він різний для різних мостів і маршрутів. Перевірте офіційний Discord чи підтримку протоколу: у справжніх мостів є канали для інцидентів. Якщо після заявленого строку сам сайт мосту перестав відповідати, це було шахрайство. Подайте заяву до кіберполіції, збережіть усі хеші транзакцій і повідомте адресу сайту в антифішингові бази.

Жорстке правило

Переказ через міст — одна з найризикованіших дій у DeFi, бо доводиться довіряти і контракту в мережі відправлення, і механізму вивільнення коштів у мережі призначення. Використовуйте лише протоколи, де історія аудитів, команда і роки роботи разом роблять ризик зрозумілим.