Три эксплойта «бесконечно печатающих» крипто-мостов за десять дней показывают, что кросс-чейн мосты — это неразрешимая проблема безопасности в криптоиндустрии, и аудиты не могут их спасти.
Уязвимости крипто-мостов — это архитектурный недостаток, а не неудача
Ключевые выводы
- Три взлома мостов «infinimint» произошли за десять дней в октябре: Initia ($2,7 млн), Cysic ($727 тыс.) и THEO от Autheo (~$1,76 млн).
- Каждый из них следовал одному и тому же рецепту — выпуск необеспеченных токенов в одной сети и вывод реальных активов до того, как кто-либо успеет отреагировать.
- Аудиты не помогли. Autheo был проверен Halborn, CertiK и Avelar Labs, и его всё равно обокрали.
- Мост — это машина для эмиссии, обернутая в код. В коде есть ошибки. Это проблема дизайна, а не просто серия неудач.
- Пока мосты не обеспечены залогом, не застрахованы или не заменены, каждый перенесенный токен — это необеспеченное обещание.
За десять дней в октябре три блокчейна были обокрадены с использованием одной и той же схемы: токены создавались из ничего, а затем похищались реальные деньги. Initia (https://initia.xyz) потеряла около 2,7 млн долларов 23 октября. Cysic потеряла около 727 000 долларов 17 октября. Токен THEO проекта Autheo (https://autheo.com) был выведен на сумму около 1,76 млн долларов 13 октября. Три разные команды, три разные кодовые базы, одна и та же уязвимость. Эти взломы крипто-мостов — не просто череда неудач. Это архитектурный недостаток, который индустрия пять лет уверяла, что сможет обойти с помощью инженерных решений.
Что на самом деле произошло
Initia, Layer 1 на базе MoveVM, который запускает сеть взаимосвязанных роллапов, стал самым заметным. Атакующий эксплуатировал уязвимость в кэшировании скриптов в его MoveVM — самой виртуальной машине, а не в поспешно написанном приложении — чтобы подделать состояние сети и зачислить себе WETH, iUSD и USDC, которые никогда не были обеспечены депозитами. Затем они вывели около $2,7 млн через LayerZero и Noble/CCTP до того, как сеть была остановлена в 15:41:30 UTC.
Деталь, которая должна вас напугать: Bitquery, компания по анализу ончейн-данных, обнаружила, что резерв USDC моста упал примерно с $1,09 млн до $63 за один день. Фальшивые балансы злоумышленника составили около $7,48 млн, но он смог вывести лишь около $3 млн — потому что резерв буквально иссяк. Остальные потери понесли честные пользователи, чьи выводы средств просто перестали обрабатываться. Они держали долговые расписки, а хранилище за этими расписками было пустым.
Cysic, проект в области аппаратного обеспечения с нулевым разглашением информации, пострадал 17 октября через другую уязвимость — взломанную базу данных поддержки и ошибку в обработке мостом сообщений о "mint". Злоумышленник подделал 10 млн токенов CYS в сети BNB Chain и вывел через мост около 306,6 ETH в Ethereum. Фонд заморозил 2,8 млн токенов и предложил вознаграждение в размере 10%. Злоумышленник отказался, затем перевел 300 ETH и 30,4 BNB в Tornado Cash.
Autheo был самым кинематографичным. 13 октября кто-то отминтил миллионы токенов THEO в сети Base через предполагаемую уязвимость моста Hyperlane — один исследователь оценил это в 119 миллионов, примерно 70% от общего предложения, — обменял их примерно на 700 ETH и сбросил. Токен рухнул за несколько часов. Затем атакующий сделал что-то странное: он отправил примерно на $1 млн токенов THEO на кошелек случайного незнакомца, что выглядит не как щедрость, а как намеренная попытка очернить невиновный адрес и запутать установление виновного.
Почему аудиты не выявили это?
Дело Autheo — это решающий удар по любимой защите криптоиндустрии. Этот проект был проверен Halborn, CertiK и Avelar Labs — тремя известными компаниями в сфере безопасности. Тем не менее, его обчистили. В этом и суть. Аудиты выявляют известные шаблоны уязвимостей в известных путях выполнения кода. Они не исправляют структурно ненадежную модель. Когда уязвимость кроется в логике кэширования виртуальной машины (Initia) или в промежуточном ПО обработки сообщений моста (Cysic, Autheo), ни один обзор смарт-контрактов не смог бы ее обнаружить. Значок «мы прошли аудит» — это маркетинговый инструмент, а не гарантия безопасности.
Более широкий контекст: мосты — это несущая стена
Отдалите взгляд, и вы увидите, что у каждой из этих атак есть один общий примитив: функция mint. Мост работает, блокируя реальный актив A в блокчейне X и выпуская (minting) квитанцию в блокчейне Y. Эта квитанция — обещание моста. Нарушьте функцию mint — или логику, определяющую, когда разрешён выпуск, — и вы сможете создать обещание, никогда не внося депозит. Это не новая идея. Это тот же экономический инвариант, который банки называют риском неплатежеспособности. Разница в том, что у банка есть капитал, страхование и регуляторы. У моста — смарт-контракт и надежда.
Это важно, потому что мультичейн — заявленное будущее криптоиндустрии, а мосты — её несущая стена. Абстракция цепей, рестейкинг, сотни новых L2 и L3 — все они предполагают свободное перемещение активов между цепями. Это перемещение обеспечивается мостами. И давление на безопасность не ослабевает: Chainalysis (https://www.chainalysis.com) оценивает, что группы, связанные с Северной Кореей, похитили более $1 млрд только в 2026 году, а сумма взлома Bitget в сентябре была пересмотрена в сторону увеличения до $387,5 млн. Профессиональные злоумышленники не гадают. Они поставили на промышленные рельсы охоту именно за этими уязвимостями типа mint-and-drain.
Кто побеждает, а кто проигрывает?
Проигравших легко назвать. Честные пользователи, державшие перемещённые активы, понесли разницу между фальшивыми и реальными балансами в Initia. Сами проекты за одну ночь сожгли месяцы доверия. А нарратив «аудировано = безопасно» получил ещё один серьёзный удар.
Победители менее очевидны. Архитектуры, не требующие мостов — нативная эмиссия, расчеты на основе намерений, руллы с единым слоем расчетов — получили бесплатную рекламную кампанию. Компании по обеспечению безопасности и страховщики получают более широкое mandate. А атакующие в третий раз за десять дней доказали, что это самое дешевое высокорентабельное уязвимое место в криптоиндустрии.
Вторичные последствия тише, но масштабнее: история о «абстракции цепей» — идея о том, что пользователям не нужно знать, в какой они цепи, — теперь несет скрытые обязательства. Каждый слой, скрывающий мост от пользователя, также скрывает риск неплатежеспособности этого моста. Абстракция — это победа в UX, но кошмар в управлении рисками.
Это уже случалось раньше?
Да, и 2022 год стал годом, когда мосты стали жертвами: Ronin ($625 млн), Wormhole ($325 млн), Nomad ($190 млн). Chainalysis давно ранжирует мосты как единственную цель атак с наивысшей стоимостью, а общие потери мостов за 2021–2024 годы превысили $2,5 млрд. Что изменилось сейчас, так это место, куда наносятся атаки. Ronin стал жертвой социальной инженерии валидаторов. Wormhole и Nomad пострадали из-за ошибок в логике смарт-контрактов. Initia стала жертвой ошибки в самой виртуальной машине, а Cysic и Autheo — ошибок в промежуточном программном обеспечении мостов. Индустрия исправила уязвимости на верхних уровнях стека — поэтому атакующие просто спустились ниже, где код новее, сложнее и менее тщательно проверяется.
Где это окажется в течение следующих трёх лет?
Три прогноза. Во-первых, «инфиниминт» — выпуск необеспеченных токенов и опустошение резервов — станет стандартной атакой на мосты, поскольку для неё не требуется компрометация ключей, а масштаб зависит от объёма средств в мосте. Во-вторых, мосты будут рассматриваться как те финансовые посредники, которыми они фактически являются: ожидается, что требования к аудиту резервов, доказательству платёжеспособности и обязательному страхованию перейдут из разряда маркетинговых украшений в базовые стандарты, возможно, под давлением регуляторов. В-третьих, победившие архитектуры перестанут использовать мосты. Нативная эмиссия стейблкоинов на каждой цепочке, расчёты на основе намерений (intent-based settlement), где решатели конкурируют за выполнение ордера пользователя без промежуточного моста для эмиссии, и роллапы, разделяющие базовый слой расчётов, будут постепенно вытеснять мосты. Мосты не исчезнут. Но они будут понижены в статусе с базовой инфраструктуры до специализированной обеспеченной инфраструктуры.
Угол зрения трейдера
Речь не о том, куда пойдет цена любого токена. Речь о том, где находятся ваши деньги. Рассматривайте «активы, находящиеся внутри контракта моста» как отдельную категорию риска — отдельно от самого протокола. Там, где позволяет ликвидность, отдавайте предпочтение нативным или напрямую выпущенным активам вместо обернутых и перемещенных через мосты версий, потому что обернутый токен наследует платежеспособность того моста, который его выпустил. Следите за проектами, которые публикуют доказательства резервов в реальном времени или имеют стороннее страхование; именно они относятся к мосту как к банку, а не к смарт-контракту. Обратите внимание на «подарок» Autheo случайному кошельку: это атака на атрибуцию, направленная на замедление работы правоохранительных органов и создание правдоподобного отрицания. Ожидайте большего.
Счёт стал просроченным
Следующая девятизначная крипто-кража, вероятно, не станет результатом ошибки с приватным ключом или манипуляцией оракулом через флеш-кредит. Это будет кто-то, кто выпустит миллиард долларов IOU через функцию mint моста и уйдёт, пока резервы не опустеют. Неприятная правда заключается в том, что пять лет «аудитов, аудитов, аудитов» не закрыли эту брешь — потому что брешь не в коде. Она в концепции. Мы построили целую мультичейн-экономику на предположении, что машину для эмиссии можно защитить достаточным покрытием тестами. Октябрь 2026 года стал моментом, когда счёт стал просроченным. Единственный вопрос в том, прочтёт ли индустрия этот счёт до прихода следующего.
FAQ
Что такое эксплойт «инфиниминта» на мосте? Это атака, при которой злоумышленник чеканит неограниченное количество необеспеченных токенов в одной сети и выводит их через мост в виде реальных активов. Термин происходит из описания атаки на Initia аналитиком ончейн-данных Spreek: атакующий «создал токены, доступные для перевода через мост, в сети Initia без обеспечения и вывел их обратно, опустошив контракт моста».
Почему кросс-чейн мосты постоянно взламывают? Мост должен чеканить токен-квитанцию каждый раз, когда актив блокируется. Если злоумышленник нарушит логику, защищающую этот процесс чеканки, он сможет создавать квитанции без депозитов и выкупать реальное обеспечение. Это не просто уязвимость безопасности, а проблема неплатежеспособности, которая присуща самой архитектуре мостов.
Предотвращают ли аудиты взломы мостов? Не надёжно. До эксплойта в октябре 2026 года проект Autheo прошёл аудиты от Halborn, CertiK и Avelar Labs, но всё равно был обчищен. Аудиты выявляют известные шаблоны ошибок в проверенном коде; они не исправляют структурно ненадёжную модель и не обнаруживают ошибки в слое кэширования виртуальной машины.
В безопасности ли мои активы, переведённые через мост? Любой токен, пересёкший мост, несёт риск неплатежеспособности этого моста. Нативные активы — нет. По возможности отдавайте предпочтение нативным или напрямую выпущенным активам вместо обернутых или переведённых через мост, а также выбирайте проекты, публикующие доказательства резервов в реальном времени.
Что именно это исправляет? Нативная эмиссия, расчеты на основе намерений и обеспеченные или застрахованные мосты — а также рассмотрение операторов мостов как финансовых посредников, подлежащих подтверждению резервов. Долгосрочное решение — меньше объектов для мостов, а не лучшие мосты.