Криптовалютные мосты — смарт-контракты для перевода активов между блокчейнами — стали главной целью хакеров: с 2021 по 2023 год через атаки на мосты похищено свыше 2 млрд долларов. Уязвимость возникает в коде валидации, управлении ключами и логике смарт-контрактов. Инвестор, использующий мосты, принимает риск полной потери переведённых средств.
Nomad потерял около $190 млн из-за ошибки в инициализации смарт-контракта: нулевой хеш корня Merkle принимался как валидный. Это позволило любому скопировать транзакцию первого атакующего и вывести средства без доказательств владения. Взлом носил «демократичный» характер — сотни адресов эксплуатировали уязвимость одновременно. Риск: публичные мосты с крупным TVL привлекают целенаправленный аудит кода от злоумышленников.
Poly Network лишился около $611 млн — крупнейший DeFi-взлом на тот момент. Хакер нашёл уязвимость в механизме вызова между контрактами, позволившую подменить хранителя активов и вывести средства из трёх сетей одновременно (Ethereum, BSC, Polygon). Примечательно: атакующий вернул большую часть средств. Риск: мосты, работающие в нескольких сетях, имеют пропорционально большую поверхность атаки.
Wormhole — мост между Solana и Ethereum — потерял ~$320 млн из-за ошибки в верификации подписей guardian-сети. Атакующий создал фиктивное подтверждение о депозите ETH и вывел обеспеченные wETH на Solana без реального обеспечения. Jump Crypto (инвестор проекта) покрыл потери из собственных средств, что спасло пользователей. Риск: не все проекты имеют инвестора, готового компенсировать ущерб.
Stargate (LayerZero) использует модель unified liquidity pools и внешних оракулов для кросс-чейн верификации. Крупных взломов самого Stargate зафиксировано не было, однако протокол подвергался атакам на уровне фронтенда и был объектом критики по централизации оракула. Риск: отсутствие взлома в прошлом не гарантирует безопасности — аудит кода и децентрализация верификации остаются ключевыми критериями.
При компрометации моста ликвидность L1-резервов может быть частично или полностью опустошена. Обёрнутые токены на принимающей сети (например, wETH) теряют обеспечение и торгуются с дисконтом или обнуляются. Страховые фонды протоколов редко покрывают полный ущерб всех пострадавших. Риск: декларирование убытков от взлома для НДФЛ в РФ юридически не урегулировано — задокументируйте все операции.
Ключевые критерии: наличие публичных аудитов от авторитетных компаний (Trail of Bits, OpenZeppelin), размер и срок работы bug bounty программы, тип верификации (нативный rollup-мост vs внешние валидаторы), объём TVL и история инцидентов. Нативные мосты L2 (Arbitrum Bridge, Optimism Gateway) наследуют безопасность Ethereum и считаются более надёжными. Риск: даже аудированные мосты взламывались — снижайте сумму переводов.
В редких случаях — частично. Poly Network вернул большую часть средств сам хакер; Wormhole покрыл убытки инвестор Jump Crypto. В большинстве случаев (Ronin, Nomad) пострадавшие получили частичную компенсацию через фонды проектов или судебные процессы. Полного возврата нет.
| Мост | Сумма потерь | Тип уязвимости |
|---|---|---|
| Poly Network (2021) | ~$611 млн | Подмена контракта-хранителя |
| Wormhole (2022) | ~$320 млн | Фиктивная верификация подписей |
| Ronin / Axie (2022) | ~$625 млн | Компрометация 5 из 9 validator-ключей |
| Nomad (2022) | ~$190 млн | Ошибка инициализации Merkle root |
| Критерий | Нативный мост L2 | Сторонний мост |
|---|---|---|
| Модель безопасности | Наследует Ethereum L1 | Внешние валидаторы / оракулы |
| Скорость вывода | ~7 дней (Optimistic) / часы (ZK) | Минуты — часы |
| История крупных взломов | Нет (на уровне моста) | Многочисленные (Nomad, Wormhole) |
| Централизация | Умеренная (секвенсер) | Высокая (мультисиг, оракул) |
| Компенсация при взломе | Зависит от протокола | Зависит от страхового фонда |
Найдите публичные отчёты аудиторов (Trail of Bits, OpenZeppelin, Certora) на сайте проекта или GitHub. Отсутствие свежего аудита — причина отказаться от моста.
Arbitrum Bridge, Optimism Gateway и аналоги не требуют доверия сторонним валидаторам. Медленнее, но принципиально безопаснее для крупных сумм.
Не переводите через мост сразу весь портфель. Разбивайте на части — при взломе риск ограничен суммой одного перевода.
Circle выпускает USDC нативно на Arbitrum, Optimism, Base. Нативный USDC не зависит от моста — это снижает риск депега при взломе.
Сохраняйте хеши транзакций и скриншоты балансов. Доходы от операций с токенами на L2 облагаются НДФЛ в РФ — документация обязательна.
В редких случаях — частично. Poly Network вернул большую часть средств сам хакер; Wormhole покрыл убытки инвестор Jump Crypto. В большинстве случаев (Ronin, Nomad) пострадавшие получили частичную компенсацию через фонды проектов или судебные процессы. Полного возврата нет.
Специализированные DeFi-страховщики (Nexus Mutual, InsurAce) предлагают покрытие риска смарт-контрактов, но страховые суммы ограничены, а выплаты не гарантированы. В РФ крипто-активы не защищены государственным страхованием вкладов.
Stargate не фиксировал крупных взломов на уровне смарт-контрактов, однако подвергался атакам на уровне фронтенда и критике по централизации оракула LayerZero. Аудиты проводились, но протокол продолжает развиваться — отслеживайте актуальные security-отчёты на официальном сайте.
Потеря активов в результате взлома не освобождает от налогообложения предыдущих доходов. Убытки от взлома не вычитаются из налогооблагаемой базы в явном порядке — налоговое регулирование крипто в РФ продолжает формироваться. Рекомендуется консультация с налоговым специалистом.
Bug bounty — программа вознаграждения за найденные уязвимости. Крупный размер выплат (от $1 млн) и длительный срок работы программы сигнализируют о зрелости проекта и серьёзном отношении к безопасности. Отсутствие программы или низкий потолок выплат — предупредительный знак.