Кросс-чейн — это перемещение активов или данных между отдельными блокчейнами, которые изначально не умеют взаимодействовать друг с другом. Bitcoin никак не может прочитать реестр Ethereum, поэтому всему, что переходит между ними, нужна система-посредник.
Именно такие системы стали самым регулярно взламываемым элементом крипторынка. По оценке Chainalysis, в 2022 году с кросс-чейн мостов было украдено около $2 млрд в рамках 13 отдельных инцидентов — примерно 69% всей похищенной за тот год криптовалюты, и эта закономерность сохраняется до сих пор.
Почему блокчейны не могут взаимодействовать напрямую
Каждый блокчейн — это замкнутая система. Его ноды проверяют собственные транзакции по собственным правилам. Наблюдать за другой сетью они не способны в принципе.
Поэтому отправить Bitcoin на адрес Ethereum невозможно. У этих сетей разные форматы адресов , разные правила консенсуса и полностью отдельные реестры. Физически между ними ничего не перемещается, потому что нет общего пространства для такого перемещения.
Кросс-чейн инфраструктура обходит эту изолированность. И любой подход требует кому-то доверять.
Как на самом деле работают мосты
Несмотря на название, ничто никуда не «переезжает». Стандартный механизм — блокировка и выпуск (lock-and-mint).
- Вы отправляете актив в контракт в исходной сети, который блокирует или сжигает его.
- Верификатор наблюдает это событие и подтверждает, что оно произошло.
- В сети-получателе выпускается соответствующий объём обёрнутого токена.
Обратный процесс: обёрнутый токен сжигается, а оригинал разблокируется.
Потери случаются на шаге 2. Верификатором может быть набор валидаторов, владеющих ключами, мультиподписной кошелёк или сеть оракулов. Кем бы он ни был, именно он определяет, во что сеть-получатель поверит относительно событий в исходной сети. Тот, кто его контролирует, может обмануть систему.
Основные подходы
| Подход | Как работает | Кому вы доверяете |
|---|---|---|
| Мост с блокировкой и выпуском | Актив блокируется в сети A, обёрнутая версия выпускается в сети B | Набору верификаторов, удерживающему заблокированные средства |
| Сеть ликвидности | Пулы в обеих сетях, вы получаете средства из пула сети-получателя | Платёжеспособности пула и релееру |
| [Атомарный свап](/ru/cryptopedia/atomic-swap) | Прямая P2P-сделка на базе хешированных контрактов с временной блокировкой | Ничему, кроме кода самих двух сетей |
| Нативная эмиссия | Эмитент сжигает в одной сети и выпускает в другой, как в случае CCTP от Circle | Эмитенту |
| Протокол обмена сообщениями | Передача произвольных данных между сетями, а не только активов | Сети верификаторов, подтверждающей сообщения |
Только атомарные свапы не требуют доверенной третьей стороны, но им нужен контрагент, желающий совершить строго противоположную сделку в тот же момент, — поэтому они и остались нишевыми.
Крупнейшие взломы мостов
Поучительно то, что во всех этих случаях проблема, как правило, была не в смарт-контрактах.
- Poly Network, август 2021 года. Похищено около $611 млн в трёх сетях. Атакующий вернул практически всё.
- Wormhole, февраль 2022 года. Около $320 млн: изъян в проверке подписи позволил атакующему выпустить 120 000 обёрнутых ETH без внесения обеспечения. Jump Crypto возместила средства из собственных резервов.
- Ronin, март 2022 года. Примерно $625 млн в ETH и USDC — крупнейший взлом моста на сегодняшний день. Атакующие, связанные с северокорейской группировкой Lazarus Group, получили пять из девяти ключей валидаторов, отчасти через поддельное предложение о работе, отправленное сотруднику. Шесть дней никто ничего не замечал.
- Nomad, август 2022 года. Около $190 млн: неудачное обновление привело к тому, что система начала считать корректным практически любое сообщение, и всё превратилось в свободную раздачу, когда взлом стали копировать другие.
- Kelp DAO, апрель 2026 года. Примерно $292 млн, причём код контрактов вообще не был взломан. Атакующие скомпрометировали две RPC-ноды и вывели из строя третью, заставив мост опираться на инфраструктуру под их контролем. Мост использовал единственный верификатор без независимого второго мнения, поэтому ложные данные были приняты.
Четыре года разницы, совершенно разные технологии — а точка отказа одна и та же. Верификатор.
Обёрнутые токены и что вы на самом деле держите
После использования моста у вас обычно оказывается обёрнутый токен: это требование на актив, а не сам актив, и отправить его на нативный криптоадрес в исходной сети нельзя.
WBTC в сети Ethereum — это не Bitcoin. Это токен, обеспеченный биткоином, который хранится у кастодиана, и его стоимость зависит от того, останется ли кастодиан платёжеспособным и честным. То же справедливо для большинства перенесённых активов: обёрнутая версия надёжна ровно настолько, насколько надёжен держатель оригинала.
На практике это важно. Отправка WBTC на нативный адрес Bitcoin приведёт к потере средств. Две обёрнутые версии одного и того же актива, выпущенные разными мостами, также не взаимозаменяемы.
Как снизить риск
- Отдавайте предпочтение нативной эмиссии , где она доступна: CCTP от Circle и схожие механизмы убирают прослойку обёрнутых токенов.
- Изучайте устройство верификатора. Единственный верификатор или небольшая мультиподпись — слабое место. Независимая проверка несколькими сторонами надёжнее.
- Переводите через мосты небольшие суммы и только при необходимости. Каждая транзакция через мост — это экспозиция на систему, которая исторически давала сбои.
- Смотрите на объём заблокированных средств и историю работы: мост, удерживающий миллиарды, представляет собой цель, соразмерную этой сумме.
- Уточняйте, какую именно обёрнутую версию вы получаете и поддерживает ли её платформа-получатель.
- Никогда не оставляйте крупные балансы в контрактах мостов.
Место mb.io
Изолированность сетей — причина существования мостов, и это проблема, которую централизованная биржа обходит стороной. Регулируемая биржа снимает значительную часть этой проблемы: активами в разных сетях можно торговать через один счёт, не проводя ничего через контракт моста.
mb.io — регулируемая спотовая криптобиржа при поддержке MultiBank Group, финансового института, основанного в 2005 году и обслуживающего более 2 миллионов клиентов в 100+ странах.
- Регулируется VARA в ОАЭ и AUSTRAC в Австралии
- Оценка безопасности 10/10 от Hacken, независимого аудитора безопасности блокчейна
- Кастодиальное хранение институционального уровня на базе MPC от Fireblocks с сегрегацией клиентских средств
- Процессы пополнения и вывода, в которых сеть указывается явно до перемещения средств
- Покупка, продажа и обмен в три шага — от регистрации до сделки
- Круглосуточная поддержка клиентов в веб-версии и в приложениях для iOS и Android
Откройте счёт и начните торговать на mb.io.
Часто задаваемые вопросы
Что означает кросс-чейн?
Перемещение активов или данных между отдельными блокчейнами, у которых нет встроенного способа обмениваться информацией. Для этого нужна инфраструктура, стоящая между двумя сетями и подтверждающая, что произошло в каждой из них.
Почему мосты взламывают так часто?
Потому что они концентрируют крупные суммы за этапом проверки, который обычно проще, чем стоимость охраняемых им средств. Ronin, Wormhole, Nomad и Kelp DAO — все они отказали на уровне верификатора, а не в логике токенов.
Мост и кросс-чейн свап — это одно и то же?
Не совсем. Мост перемещает актив в другую сеть, обычно создавая обёрнутую версию. Обмен одного актива на другой между сетями — это кросс-чейн свап, который иногда использует мост «под капотом».
Что такое обёрнутый токен?
Токен в одной сети, представляющий актив, который хранится в другой. WBTC в сети Ethereum представляет биткоин, хранящийся у кастодиана. Его стоимость полностью зависит от того, действительно ли кастодиан держит базовый актив.
Атомарные свапы безопаснее мостов?
Структурно — да: ни одна из сторон не может забрать средства другой, и никакая третья сторона ничего не удерживает. Но им нужен контрагент, желающий совершить строго противоположную сделку в тот же момент, — поэтому они так и не масштабировались.
Сколько средств было украдено с мостов?
По оценке Chainalysis, только в 2022 году около $2 млрд в рамках 13 инцидентов — примерно 69% всей похищенной за тот год криптовалюты. Потери продолжились и позже, включая около $292 млн у Kelp DAO в апреле 2026 года.
Нужен ли мост, чтобы пользоваться несколькими блокчейнами?
Не обязательно. Покупка актива нативно в нужной вам сети через биржу, поддерживающую эту сеть, полностью избавляет от экспозиции на мосты.
