Взлом WAX Bridge на $90 500: как проверить перевод USDC и USDT между сетями

22 октября 2026 года атакующий вывел из WAX Multi-Chain Bridge активы приблизительно на $90 500, воспользовавшись ошибкой проверки комиссии. В течение 86 секунд он создал пять заявок на вывод: USDC в Solana и USDT, DAI, WETH, WBTC в Ethereum. В истории WAX сумма списания по этим заявкам оказалась равной нулю, хотя мост отправил реальные токены из резервов. Это не ошибка в пользовательском графике и не обычная задержка подтверждения. Речь о нарушении учёта между исходным блокчейном и системой, разрешающей выплаты в целевых сетях.

По данным расследования Bitquery, опубликованного 24 октября, почти вся похищенная сумма достигла депозитных адресов биржи HitBTC в пределах 38 минут от первой атакующей операции. WAX впоследствии заменил код уязвимого контракта, ввёл ограничения по сумме одной операции и возобновил обработку выводов. Но возобновление работы моста не означает, что любой конкретный перевод обязательно завершился. Нужно самостоятельно выяснить, что происходило с вашим запросом, а не делать вывод по общему заявлению проекта.

Разбираем механизм атаки, судьбу пяти активов и самое полезное для владельца криптовалюты: как проверить перевод USDC или USDT между WAX, Solana и Ethereum, если токены списались, но не появились на кошельке. Покажем, где искать исходную операцию, чем заявка отличается от подписи и выдачи, как пользоваться WAX Block Explorer, Solscan и Etherscan, какие сведения сохранить для поддержки и почему нельзя вводить сид-фразу на «портале восстановления». Материал основан на информации, доступной на 27 октября 2026 года; статус конкретного маршрута и остатки резервов следует проверять непосредственно перед новой операцией.

Короткий ответ: что произошло и что делать владельцу токенов

• Причина атаки: уязвимый вызов eth.token::withdraw не запрещал отрицательное значение max_fee, поэтому отрицательная комиссия взаимно уничтожала сумму списания.
• Масштаб: исследователи оценили пять выводов суммарно в $90 528 по стоимости активов во время обменов. Ранние сообщения примерно о $75 тысячах не учитывали WETH и WBTC.
• Маршруты: похищенный USDC был выдан на Solana, остальные четыре актива - на Ethereum. Это факты конкретного эпизода, а не перечень всех направлений, поддерживаемых мостом.
• Статус проекта: WAX сообщил о локализации ошибки в контракте моста, отсутствии воздействия на базовую сеть и WAXP, а позднее - о возобновлении обработки заявок с дополнительной защитой.
• Если перевод завис: сохраните обе сети, адреса, токен, сумму, время, TXID исходной транзакции и возможный TXID целевой транзакции. Не повторяйте отправку до выяснения текущего состояния заявки.
• Если «поддержка» просит сид-фразу: не вводите её и ничего не подписывайте. Для чтения блокчейна достаточно публичного идентификатора операции; права на кошелёк никому передавать не требуется.

Важное различие: успешный вызов в WAX не обязательно равен получению USDC или USDT в другом блокчейне. Между этими событиями находятся регистрация заявки, обработка оператором, подпись и иногда самостоятельное получение токенов - claim. Именно на границе стадий чаще всего возникает путаница у пользователей межсетевых мостов.

Что такое WAX Multi-Chain Bridge и чем он отличается от обычного перевода

WAX известен как блокчейн для цифровых предметов, игр и NFT, однако его инфраструктура используется и для учёта взаимозаменяемых токенов. При обычном переводе WAXP между двумя аккаунтами WAX изменение баланса происходит в пределах одной сети. При мосте логика сложнее: актив остаётся в резерве одной цепочки, а пользователю в другой цепочке может выдаваться соответствующее отображение или освобождаться заранее заблокированный токен. Это два учётных контура с собственными правилами, подтверждениями и комиссиями.

В затронутом механизме на стороне WAX существовали учётные токены WAXUSDC, WAXUSDT, WAXDAI, WAXWETH и WAXWBTC. Они отражали право на соответствующие резервы, которыми распоряжалась инфраструктура моста в Ethereum или Solana. Когда легитимный пользователь выводит актив из WAX, он подаёт запрос со сведениями о монете, сумме, направлении и получателе. Система уменьшает его баланс на WAX, проверяет заявку, формирует подтверждение и позволяет получить обеспечивающий актив на нужной стороне.

В документации WAX об интероперабельности описаны варианты соединения с другими сетями, включая Ethereum и Solana. Однако наличие общего описания возможности мостов не заменяет проверки конкретного актива и рабочего интерфейса. Разные версии моста, маршруты и эпохи обновления могут поддерживать неодинаковые токены. Нельзя ориентироваться на старый скриншот или предполагать, что любой USDT в любом стандарте подходит к выбранному направлению.

Главная особенность такой системы - согласованность бухгалтерии. Если в исходной сети был списан эквивалент 100 USDC, система выдачи должна подтвердить именно соответствующее право на 100 USDC в целевой сети с учётом объявленных правил комиссии. Если же исходная бухгалтерия списала ноль, а внешний резерв уменьшился на 100 USDC, возникает необеспеченная выплата. Именно такой класс логической ошибки продемонстрировал октябрьский взлом.

Хронология атаки 22 октября: пять выводов за 86 секунд

Анализ Bitquery показывает, что атакующий подготовил новый аккаунт WAX fasdfas.al. Он был создан примерно за 40 минут до атаки и получил небольшое количество обёрнутого ETH, которое мог использовать для покупки ресурсов WAX. Это важно не из-за личности создателя аккаунта, а потому, что на самом атакующем счёте не было достаточных объёмов WAXUSDC или других выводимых активов. Средства в целевых сетях пришли из резервов моста, а не из предварительно оплаченного депозита этого участника.

Первые публично описанные вызовы начались 22 октября в 09:46:18 UTC. Перед каждым выводом атакующий открывал пустую строку баланса нужного токена через open. Затем он отправлял withdraw, где фактический параметр max_fee имел отрицательное значение, равное по модулю сумме вывода. После первой крупной заявки на USDC было выполнено ещё четыре - на USDT, DAI, WETH и WBTC.

Время UTC	Учётный токен на WAX	Запрошено	Сеть выдачи
09:46:18	WAXUSDC	52 986,497732	Solana
09:47:31	WAXUSDT	21 558,252354	Ethereum
09:47:40	WAXDAI	840,2750339	Ethereum
09:47:42	WAXWETH	2,54669928	Ethereum
09:47:44	WAXWBTC	0,10993227	Ethereum

Всего от первого до последнего вывода прошло 86 секунд. Для каждого вызова комиссия была выбрана так, чтобы сумма, подлежащая списанию с WAX-баланса, составила ноль. При этом заявка на получение полного количества базового актива не исчезала. По исследованию, подписывающая часть моста одобрила выплаты менее чем за минуту после каждой записи. На целевой стороне деньги затем потребовалось дополнительно получить с помощью транзакций, оплаченных сетевым газом.

Идентификатор первой транзакции WAX, приведённый в техническом разборе: 406b76e85ac057ac7322d4bf7ddbea6ac4a2b23539deaa00ea635d17518fb0c9. Используйте его только для чтения истории в обозревателе. Это не адрес для перевода, не адрес компенсации и не транзакция, которую следует повторять. Если обозреватель временно недоступен, сам хеш можно перепроверить в другом надёжном инструменте истории WAX.

Где именно находилась ошибка: отрицательная комиссия в withdraw

Чтобы понять причину потерь, не обязательно читать исходный код. Представьте стандартную модель, в которой баланс пользователя уменьшается на сумму вывода и комиссию. При выводе 100 условных единиц и комиссии 1 единица с его счёта списывается 101. При нулевой комиссии - ровно 100. Но если контракт по ошибке разрешает комиссии быть отрицательной и применяет обычное сложение, результат резко меняется.

В атакованной логике расчёт был эквивалентен выражению «списание = количество + max_fee». При max_fee, равной минус количеству, результат составляет ноль. Однако в отдельной записи о выводе количество оставалось положительным. Программы выдачи Ethereum и Solana ориентировались на этот второй показатель. Получалось два несогласованных факта: у инициатора ни одной монеты не ушло, а у резерва моста монеты были изъяты.

Это типичная ошибка валидации входных параметров и инвариантов. Проверка «поле существует» или «пользователь подписал транзакцию» ничего не говорит о том, укладывается ли число в разрешённый диапазон. В нормальной финансовой модели комиссия не должна превращаться в отрицательную величину, уменьшающую стоимость покупки до нуля или создающую новый баланс. Ещё важнее - чтобы контракт не разрешал внешнюю выдачу без доказанного соответствующего списания.

Техническую причину независимо отметила команда SlowMist в базе инцидентов. Bitquery также сравнила обычные выводы с атакующими: более трёх тысяч исторических записей не содержали отрицательных комиссий до рассматриваемого дня. Это не оправдывает ошибку, но объясняет, почему простое наблюдение «так раньше никто не делал» не заменяет полноценную проверку крайних значений на уровне кода.

Почему настоящие USDC и USDT оказались выданы без оплаты на WAX

Мост нельзя воспринимать как один монолитный перевод. В нём есть запись об операции в источнике, механизм, который считает запись допустимой, и отдельный контракт либо пул активов в сети назначения. Если система подписи признаёт заявку на вывод валидной только потому, что она оформлена как привычное событие контракта, бухгалтерская ошибка исходной цепи становится распоряжением резервом другой цепи.

В конкретном случае исследователи зафиксировали сначала некорректные вызовы на WAX, затем настоящие выплаты. USDC был получен в Solana, а USDT, DAI, WETH и WBTC - в Ethereum. Оба направления принимали результат работы уязвимой части, поэтому разные блокчейны сами по себе не защитили резервы. Консенсус Ethereum не способен проверить, действительно ли другое приложение корректно посчитало списание внутри WAX. Solana также не знает бухгалтерских правил стороннего приложения без предусмотренного межсетевого доказательства.

Это ключевой урок: безопасность конкретного блокчейна и безопасность приложения, соединяющего две цепочки, - разные задачи. Действительный хеш в целевой сети доказывает, что транзакция была включена и обработана по правилам этой сети. Он не доказывает, что ранее корректно сработала вся экономическая логика, позволившая её создать. Для оценки моста надо проверять обе стороны и правила, которые связывают их между собой.

При этом атака не была массовым подбором паролей обычных кошельков. Опубликованное расследование не устанавливает, что злоумышленник получил доступ к сид-фразам клиентов WAX. Уязвимость располагалась в контрактной логике приложения. Если ваш собственный кошелёк не подписывал посторонних операций, из одного факта взлома моста нельзя делать вывод, что его приватный ключ раскрыт.

Сколько вывели: почему в новостях фигурируют $75 тысяч и $90 500

Заметное расхождение в заголовках связано с составом украденных активов. Ранние сообщения в основном считали номинальную стоимость трёх стейблкоинов: USDC, USDT и DAI. Сумма этих выводов - примерно $75 385 при упрощённом расчёте один токен равен одному доллару. Но исследователи также нашли вывод обёрнутого эфира и обёрнутого биткоина, которые нельзя исключать из оценки только потому, что они не называются стейблкоинами.

Актив	Целевая сеть	Количество	Оценка Bitquery
USDC	Solana	52 986,497732	$52 986
USDT	Ethereum	21 558,252354	$21 558
DAI	Ethereum	840,2750339	$840
WETH	Ethereum	2,54669928	$6 138
WBTC	Ethereum	0,10993227	$9 005
Итого	-	-	около $90 528

WETH и WBTC в этой таблице оцениваются по ценам, которые атакующий получил при дальнейшем обмене на ETH, а не по условному курсу на момент чтения статьи. Поэтому итог округляют до $90,5 тысячи, а не используют как неизменную оценку на любой день. Для сравнения новостей нужно всегда уточнять дату расчёта, источник цены, перечень токенов и учитывает ли сумма остатки, комиссии или уже возвращённые средства.

По данным Bitquery, один вывод USDC составлял около 97% соответствующего резерва моста в Solana; для USDT показатель оценён примерно в 85%, для DAI - 81%, для WETH - 97%. В резерве WBTC осталось всего 87 сатоши. Эти исторические доли нельзя читать как сегодняшние остатки: после атаки состояние кошельков, лимитов и обеспечения могло измениться.

Путь средств после взлома: 38 минут до HitBTC - не то же самое, что возврат активов

Получить запись о выводе - лишь часть операции. Атакующему ещё требовались SOL и ETH для оплаты транзакций claim в целевых сетях. Согласно реконструкции Bitquery, на адрес Solana сначала поступило немного SOL через сервис Relay; после этого были получены USDC. На Ethereum средства для газа появились отдельно, затем кошелёк забрал четыре других актива. Движение газа помогает связать последовательность, но не раскрывает личность владельца адресов.

В Solana USDC перешли на адрес, который исследователи классифицировали как депозитный адрес HitBTC. В Ethereum остальные четыре токена были обменяны преимущественно через маршрутизаторы KyberSwap и Velora, после чего примерно 15,58 ETH отправились на другой депозитный адрес той же биржи. От первой атакующей операции до достижения депозитных адресов прошло около 38 минут. В сети депозитный адрес - обычный публичный адрес, а не открытая страница, на которой можно узнать фамилию клиента.

Далее монеты попали в инфраструктуру, обозначенную в системе адресных меток Bitquery как кошельки HitBTC. Это подтверждение маршрута по транзакциям и аналитической атрибуции, но не доказательство последующей продажи за фиат, снятия денег с биржи или того, что оператор уже их заморозил. Внутренние учётные записи централизованной площадки обычно не видны в публичном блокчейне. Заявление «средства ушли на биржу» не равнозначно утверждению «деньги безвозвратно выведены».

Исследователи также обнаружили другие поступления на HitBTC с связанных кошельков. Всего за утро они оценили связанные депозиты примерно в $115,6 тысячи, но не вся эта сумма была взята из WAX Bridge. Кража из моста - около $90,5 тысячи. Смешивать два показателя и писать, что мост потерял $115,6 тысячи, было бы фактической ошибкой. Отдельные следы газа проходили через Tornado Cash, однако факт использования миксера не устанавливает личность и гражданство оператора.

Второй участник попытался повторить ошибку: что известно о патче и перезапуске

Примерно через пять часов после первых выводов ещё один WAX-аккаунт lq52153yyb5r проверил схожий подход на маленьких суммах. В одной попытке у него даже возникло увеличение учётного баланса из-за ещё более отрицательной комиссии. Однако, согласно Bitquery, все четыре его запроса не были подписаны мостом, поэтому деньги в Solana по ним не поступили. Для пользователя это полезное напоминание: запись в исходном блокчейне может существовать без успешной выплаты на стороне назначения.

WAX заменил код уязвимого контракта примерно через 5 часов 11 минут после начала атаки, затем ввёл ограничения на размер отдельных переводов. В исследовании указано, что первые такие лимиты заработали в 16:31 UTC 22 октября. При новом ограничении единичная заявка на 52 986 USDC не прошла бы в прежнем объёме. Но лимит операции - не универсальная гарантия: он сдерживает возможный размер одной выплаты и не исключает другие ошибки или серию мелких операций без дополнительных защит.

В публичном сообщении WAX объяснял, что проблема ограничена приложением моста, WAXP и базовый блокчейн не пострадали. Позднее проект сообщил о возобновлении обработки выводов 23 октября в 15:50 UTC с исправлением и дополнительными механизмами безопасности. В публикациях также приводится обещание восполнить утраченные резервы для обеспечения выводов. Отдельный источник о заявлении проекта: разбор событий и сообщений WAX. Выполнение обещаний нужно проверять по последующим данным, а не считать установленным только из факта заявления.

Чего мы не знаем: была ли по состоянию на конкретную минуту 27 октября исполнена ваша личная заявка; сколько времени требуется на её ручную обработку; какие лимиты действуют для выбранной пары сейчас; возмещены ли уже все резервы и какие действия необходимы владельцу спорной операции. Это определяется актуальной информацией проекта и индивидуальными идентификаторами транзакций, а не общей датой возобновления работы.

WAXP не украден: почему это не отменяет риска для владельцев WAXUSDC

После громкого заголовка «взломали WAX» возникает естественная тревога: нужно ли срочно выводить весь WAXP, менять ключи и отключать кошелёк? Ответ зависит от того, какие активы и функции вы используете. По публичному сообщению команды, монета WAXP и сама цепочка продолжили работать, а ошибка касалась приложения межсетевого моста. Это значит, что техническая причина не была описана как сбой консенсуса или подмена правил всех переводов WAXP.

Однако держатель учётного WAXUSDC или WAXUSDT зависит не только от правильности его приватного ключа, но и от работоспособности механизма погашения отображённого актива. Если обеспечивающий резерв уменьшился, возможны задержки, временные ограничения и неопределённость со сроками исполнения заявок. Это риск обеспечения и инфраструктуры, который не виден из одного числа баланса в кошельке. Временная рыночная цена отображённого токена также может отличаться от номинала при нарушении доверия к выводу.

Отделяйте четыре понятия: безопасность личного ключа, работоспособность WAX, обеспечение конкретного токена моста и возможность его погашения в другой сети. Успешный перевод WAXP между WAX-аккаунтами не доказывает, что мост сейчас выдаст USDC. И наоборот, проблема с конкретным выводом USDT не доказывает, что все активы всех пользователей исчезли. Диагностика должна начинаться с точного имени токена и конкретной операции, а не с категоричного вывода из заголовка.

Почему «завис перевод» - слишком неточный диагноз

Человек открывает кошелёк, видит уменьшение суммы и пишет в поддержку: «USDC пропали». На практике за этим могут скрываться совершенно разные события. Первая ситуация - транзакция WAX вообще не попала в блокчейн или была отклонена. Вторая - она подтверждена, но указала неверный токен, сеть или адрес назначения. Третья - мост зарегистрировал запрос, но не создал или не подписал ответ на другой стороне. Четвёртая - подпись готова, но пользователь ещё не совершил claim и не оплатил газ.

Пятая ситуация - выдача уже состоялась в правильном блокчейне, но кошелёк не отображает токен из-за выбранной сети или списка активов. Шестая - токены поступили на биржевой адрес, но централизованный сервис не зачислил депозит из-за минимальной суммы, проверки происхождения средств, политики сети или временной приостановки. Последняя проблема вообще не решается повторной отправкой через мост.

Начальный порядок проверки: определить последнюю подтверждённую стадию, затем искать следующую недостающую. Не начинайте с чужих инструкций «повышаем газ» и «проводим синхронизацию кошелька». Такие действия возможны только после установления причины и должны соответствовать официальному механизму конкретной сети. Слепое повторение заявки при неизвестном статусе может создать второе списание, дополнительные комиссии и ещё одну спорную операцию.

Шаг 1. Соберите данные перевода до поиска решения

Для расследования вам не нужны секретная фраза, приватный ключ, пароль от биржи или право подключить кошелёк к постороннему сайту. Нужна публичная карточка операции. Запишите точное время отправки с часовым поясом, название исходной сети, токен в ней, сумму, предполагаемую сеть назначения, адрес получателя, интерфейс моста и имеющиеся идентификаторы. Если токен на WAX назывался WAXUSDC, зафиксируйте полное название - не сокращайте всё до «USDC».

Сохраните скриншот исходного интерфейса, но сопоставляйте его с блокчейном. Интерфейс может отставать, кэшировать старые данные, показывать промежуточный статус или быть закрытым после обновления. Надёжнее всего иметь TXID той транзакции, которой вы действительно отправили запрос. Кошелёк и мост иногда показывают разные ID: транзакция вызова, внутренний номер заявки, идентификатор пакета и транзакция назначения - не одно и то же.

Если вы совершали вывод с биржи, добавьте внутренний ID вывода из истории аккаунта. Это не криптографический хеш и может быть полезен только службе поддержки самой площадки. Не публикуйте в соцсетях паспортные документы, приватную переписку, адрес электронной почты и полные скриншоты личного кабинета. Публичный TXID помогает проверить маршрут, а персональные сведения для открытой проверки не нужны. Базовая методика изложена в материале BarbadosNews как проверить транзакцию по хешу.

Шаг 2. Найдите исходную операцию в WAX Block Explorer

Откройте WAX Block Explorer или другой надёжный обозреватель истории сети WAX. В строке поиска вставьте TXID, скопированный из кошелька, либо публичное имя аккаунта WAX. Найдите запись с временем, близким к отправке. Внимательно проверьте название контракта и действие: например, в атакованном механизме значимы eth.token и withdraw. Но не делайте вывод, что всякая запись withdraw автоматически относится к вашему мосту - на цепочке работают разные приложения.

Полезно прочитать не только общий статус транзакции, но и действия внутри неё. Сопоставьте инициатора, поле суммы, название токена, обозначение целевого блокчейна и адрес получателя. Учётная операция могла одновременно открыть строку баланса, инициировать вывод или выполнить технические действия. Поэтому последовательность логов важнее одного короткого названия в кошельке.

Если запись не найдена, проверьте, не перепутали ли вы TXID с внутренним номером заявки. Убедитесь, что обозреватель поддерживает нужную историю и что хеш скопирован целиком. При наличии публичного аккаунта проверьте его действия за выбранный период. Если операция завершилась ошибкой, не следует ожидать выплаты на целевой стороне без другой подтверждённой заявки. Если она прошла успешно, это доказывает только факт исполнения действия на WAX, но ещё не гарантирует наличие соответствующей транзакции Ethereum или Solana.

В диагностике инцидента пригодится также история контрактного баланса: появился ли у вас WAXUSDC, уменьшился ли он и была ли запись о выводе. Однако без сравнения со статусом мостового подписанта баланс не объясняет, где деньги сейчас. Успешное списание и зависшая обработка - другое состояние, чем неуспешная транзакция, в которой списания вообще не произошло.

Шаг 3. Отделите заявку от подписи моста и операции claim

После обнаружения исходной транзакции ищите подтверждение того, что мост принял её в обработку. Для некоторых межсетевых систем интерфейс показывает отдельные статусы Submitted, Pending, Signed, Ready to claim и Completed. Важно понимать: это общая терминология мостов, а не гарантия того, что в конкретной версии WAX каждый статус называется именно так. Смысл статуса надо сверять с реальной записью или сообщением службы поддержки.

Стадия Submitted означает, что запрос зарегистрирован в интерфейсе или отправлен в сеть; нужно проверить, подтверждён ли он на WAX. Signed в соответствующей модели означает, что мост подготовил разрешение на выдачу, но само по себе не удостоверяет получение денег адресатом. Ready to claim может означать необходимость отдельного действия в целевом блокчейне. Completed в UI желательно подтвердить транзакцией выдачи и изменением баланса, потому что интерфейс способен показывать итог по собственным правилам.

Во время паузы после взлома у некоторых заявок могла существовать исходная запись без последующей подписи. Исследование Bitquery отдельно отмечало период около 30 часов без подписания выводов. Заявка, оставшаяся на этой границе, не равна краже с вашего счёта; нужно выяснить, была ли она впоследствии обработана. Если проект сообщил о возобновлении работы, сначала проверьте очередь старых запросов, а не создавайте новую заявку на ту же сумму.

Если официальный интерфейс показывает кнопки Claim или Resume, не нажимайте на них по ссылке из чужого сообщения. Откройте домен проекта через собственные проверенные закладки или документацию, убедитесь, что адрес контракта соответствует официальному маршруту, и изучите, что именно предлагает подписать кошелёк. Выдача токенов и предоставление бессрочного права на их расходование - разные типы действий.

Шаг 4. Проверьте USDC в Solana через Solscan

В расследовании 22 октября первый крупный вывод был направлен в Solana. Для поиска аналогичной операции откройте Solscan и вставьте адрес получателя Solana или подпись транзакции назначения, если она известна. Помните, что адрес Solana выглядит иначе, чем адрес Ethereum формата 0x.... Сопоставьте его полностью, а не по нескольким первым символам. Совпадение картинки токена или его названия не подтверждает совпадение актива.

На странице адреса изучите разделы токенов и переводов. Найдите запись поступления USDC за ожидаемый период. Проверьте полученный объём, фактический адрес токена (mint address) и отправителя. В карточке конкретной транзакции полезны результат исполнения, Balance Changes, время включения в блок и список инструкций. Эти разделы описаны в официальной справке Solscan по транзакциям.

Если токен поступил на ваш адрес, но не виден в мобильном кошельке, проблема может быть в отображении: например, клиент не добавил соответствующий SPL-токен или показывает другой профиль. При этом одно наличие какого-то «USDC» в списке не гарантирует, что токен подлинный: на Solana названия и символы легко повторяются, а надёжный идентификатор - адрес выпуска. Перед ручным добавлением сравните mint с проверенным источником и информацией самого моста.

Если переводов в нужный период нет, не торопитесь заключать, что резерв украден или контракт не работает. Возможно, запрос ещё не подписан, выполнен в другой сети, отправлен на другой адрес или транзакция выдачи отсутствует. Возвращайтесь к исходной записи WAX и запросите точный идентификатор выдачи. Solscan не способен «найти» операцию, которой в Solana никогда не было, только по факту успешного действия WAX.

Шаг 5. Проверьте USDT, DAI, WETH и WBTC в Ethereum через Etherscan

Для направления Ethereum нужен Etherscan. Введите хеш транзакции назначения либо публичный 0x-адрес получателя. На странице транзакции убедитесь, что она относится именно к Ethereum Mainnet, а не к Arbitrum, Base или BNB Smart Chain. Одинаковый формат адреса в нескольких EVM-сетях не означает общих балансов и не делает все сети взаимозаменяемыми.

Главные поля для проверки: Status, From, To, Block, Timestamp и список ERC-20 Token Transfers. Внутри одной транзакции часто отображается нулевое количество ETH в поле Value, хотя токены действительно перемещены: передача USDT выполняется смарт-контрактом, а не обычным переводом нативного ETH. Поэтому смотрите события токена и изменение его баланса. Что именно раскрывает такой обозреватель, объясняет документация Ethereum о block explorers.

Для USDT важно проверить адрес контракта, а не только символ на экране. Поддельный токен может иметь название USDT, но не быть активом Tether. Обратите внимание, что WAXUSDT в исходной сети - отдельная запись моста; нельзя автоматически использовать тот же контракт для отображения ERC-20. Для WETH и WBTC проверьте конкретные обёрнутые версии актива, которыми оперировал маршрут. Это особенно важно при импорте токена вручную.

Если результат Success, токен действительно отправлен на указанный адрес в указанной сети и контракте, а кошелёк не показывает его, начните с переключения сети и проверки видимости актива. Если транзакция Failed, автоматического зачисления по ней не произошло, хотя плата за вычисления могла быть потрачена. Если хеша нет вовсе, искать нужно более раннюю стадию обработки моста, а не увеличивать комиссию воображаемой Ethereum-транзакции.

Почему у одного перевода могут быть два TXID и ещё один номер заявки

В классическом межсетевом процессе пользователь может видеть сразу три идентификатора. Первый - TXID исходной цепочки, подтверждающий отправку команды на WAX. Второй - внутренний ID мостового запроса, используемый приложением для сопоставления сообщений. Третий - хеш транзакции назначения, где токены действительно были выданы. Они относятся к одному пользовательскому намерению, но не являются одной и той же строкой.

К примеру, вы создали вывод 250 WAXUSDC на адрес Solana. Исходный TXID показывает уменьшение WAX-баланса или оформление заявки. Номер запроса связывает эту запись с работой инфраструктуры моста. Подпись Solana появляется только тогда, когда в целевой сети выполнена соответствующая операция. Если последнего идентификатора ещё нет, никакое количество обновлений кошелька не создаст подтверждение выдачи.

Пользователю не требуется угадывать хеш назначения по первому хешу. Алгоритмы транзакций и способы формирования подписей отличаются в разных цепочках. Если интерфейс моста не показывает связь, сохраните исходную запись и запросите у команды точный маршрут и целевую транзакцию. Не доверяйте «специалисту», который предлагает вычислить пропавший TXID за предоплату или просит загрузить файл кошелька на чужой сайт.

Практический признак аккуратного ответа поддержки: она называет конкретный исходный TXID, статус обработки, целевой блокчейн, адрес назначения и, если он существует, хеш выдачи. Формулировка «ваши средства уже отправлены, доплатите 10% для активации» без публичного доказательства - тревожный сигнал, а не полноценная диагностика.

Таблица статусов: что проверить и какое действие безопасно

Что видит пользователь	Что это может означать	Первая проверка и безопасное действие
WAX-транзакция не найдена	Хеш неверный, операция не отправлена или отсутствует в выбранном обозревателе	Уточнить TXID в кошельке; сверить аккаунт и время в другом WAX-обозревателе
WAX Failed / Error	Исполнение в исходной сети не состоялось	Прочитать ошибку; не искать «выплату» без подтверждённой заявки
WAX Success, моста нет в истории	Вызов другой функции, задержка интерфейса, неподдерживаемый маршрут	Сверить контракт и действие; искать официальный ID заявки
Pending / Queued	Запрос ожидает обработки или подписи	Проверить официальные объявления и не создавать дубликат
Signed / Ready to claim	Разрешение выдачи может быть готово	Проверить официальный интерфейс, контракт и сетевой газ; не переходить по фишинговой ссылке
Ethereum/Solana Success	Токены выданы на определённый адрес	Сверить адрес, сеть, контракт и историю токеновых переводов
Целевая транзакция Failed	Попытка выдачи не состоялась	Уточнить, можно ли безопасно повторить claim официальным способом
Биржа не зачислила депозит	Проблема в обработке депозитов, минимуме или проверке биржи	Подать тикет бирже с целевым TXID, сетью и токеном

Таблица - схема диагностики, а не список официальных статусных кодов WAX. Интерфейс и его подписи после обновления могут отличаться. Никогда не вводите приватный ключ ради «проверки статуса»: публичный обозреватель работает и без этого. Если результат одного сервиса противоречит результату другого, сравните исходные события в блокчейне и уточните версию приложения.

Что делать, если токены списались на WAX, а целевого хеша нет

Это один из наиболее неприятных, но понятных для диагностики сценариев. Вы видите подтверждение списания WAXUSDC, однако не можете найти подпись Solana. Сначала проверяйте момент отправки: были ли заявки во время объявленной паузы после взлома. Если да, узнайте, включена ли ваша операция в очередь последующей обработки. Bitquery сообщает, что после возобновления подписи мост начал разбирать и запросы, оставшиеся с предыдущего дня, но это не доказывает исполнение каждого из них.

Далее проверьте адрес и сеть назначения. Если они указаны ошибочно, задача перестаёт быть просто задержкой: у получателя может не быть контроля над адресом, а у моста - стандартной процедуры исправления. В такой ситуации публичный запрос с ID, временем и точными данными поможет установить, возможен ли возврат по правилам приложения. Не следует самостоятельно вызывать неизвестные методы контракта, копируя команды из комментариев в соцсетях.

Если актив всё ещё отражается в исходном WAX-кошельке, выясните, было ли фактическое списание. Кнопка подтверждения, исчезнувшая из интерфейса, не доказывает завершение операции. Если списание было, а подписанной выдачи нет, это уже конкретный запрос для оператора моста. Если подпись есть, но не было claim, вопрос другой - как выполнить предусмотренное получение, имея корректный адрес, сеть и достаточно нативного токена для газа.

Самое безопасное правило - одна неопределённая операция, одно расследование. Повторные переводы «на всякий случай» могут увеличить риск. Решение о второй попытке оправдано только после подтверждения, что первая не создаёт обязательства или уже отменена согласно официальному механизму, и после проверки действующих ограничений.

Если хеш назначения есть, но кошелёк показывает ноль

Предположим, обозреватель действительно показывает успешный ERC-20-перевод 200 USDT на ваш Ethereum-адрес. В мобильном приложении при этом ноль. Прежде всего убедитесь, что открыт именно тот аккаунт и правильная сеть. У разных кошельков бывает несколько адресов, профилей или типов счетов. При восстановлении кошелька с другим путём derivation пользователь может случайно смотреть не тот адрес, хотя старый баланс никуда не пропал.

После проверки аккаунта откройте соответствующий токен на Etherscan и посмотрите текущий баланс, а не только одно событие. Иногда актив поступил и позднее был отправлен дальше. Списания после получения могут объясняться вашими действиями, одобренным смарт-контрактом или компрометацией ключей; это отдельный расследовательский сценарий. Если приём подтверждён, а расходования нет, проблема может быть просто в видимости токена в приложении. При работе с EVM-кошельком пригодится также руководство BarbadosNews как пользоваться Rabby Wallet и проверять подписи.

Аналогичная логика работает для Solana: успешная выдача USDC в обозревателе не означает, что конкретный интерфейс уже добавил карточку токена. Проверяйте корректный mint и тот же публичный адрес. В справке MetaMask по отсутствующим токенам отдельно рекомендуют начинать с проверки сети, статуса транзакции и баланса в независимом обозревателе.

Не следует устанавливать стороннее расширение «обязательная синхронизация WAX Bridge», давать ему доступ к хранилищу браузера и импортировать seed-фразу, чтобы увидеть токен. Подлинный перевод не нуждается в оплате «отображения». Если монеты находятся на подтверждённом адресе и не были израсходованы, вопросы интерфейса обычно решаются без выдачи посторонним секретных данных.

Роль газа: когда нужно SOL или ETH, а когда это ловушка

Сетевые комиссии в межсетевом переводе могут возникать в разных местах. В WAX используются собственные ресурсы аккаунта, в Ethereum выполнение транзакций оплачивается ETH, в Solana - SOL. Если мост выдаёт актив по операции claim, пользователю иногда требуется небольшой запас нативной монеты целевой цепочки. Но это не универсальное правило: часть сервисов спонсирует газ, а часть проводит выдачу без отдельного пользовательского действия. Следовательно, ориентируйтесь на проверенную документацию именно вашего маршрута.

В истории взлома газ служил отдельным этапом: атакующие получали SOL и ETH, чтобы оформить выдачу из резервов. Сам факт того, что в расследовании использовался ETH для claim, не означает, что все пользователи WAX Bridge обязаны отправлять ETH на какой-то «проверочный» адрес. Реальная сетевая комиссия платится протоколу сети при подписании собственной транзакции, а не случайному аккаунту в Telegram.

Особенно подозрительно сообщение: «для получения 1 000 USDC переведите 100 USDT на новый адрес, это антифрод-проверка». Такое предложение не похоже на обычный механизм оплаты газа. Официальный контрактный вызов показывает, какая сеть активна, какой адрес взаимодействия выбран и какое действие подписывается. Если интерфейс предлагает новую произвольную «сумму разблокировки», остановитесь и проверьте первоисточник.

Наконец, комиссия и лимит перевода - разные вещи. Лимит может ограничивать максимальную сумму одной мостовой заявки, а комиссия определяет стоимость её обработки. После патча WAX ввёл ограничения на суммы, но это не делает любую транзакцию бесплатной или моментальной. Прежде чем подтверждать новую отправку, оцените полные расходы и возможные дополнительные стадии на стороне назначения.

Практический пример: 300 USDC отправлены из WAX в Solana

Предположим, пользователь хочет получить 300 USDC в Solana. Он открывает мост, выбирает соответствующий учётный актив в WAX, проверяет адрес своего кошелька Solana, сумму и отображённую комиссию. После подтверждения кошелёк показывает TXID операции WAX. Пользователь ждёт несколько минут, но токен в Solana не появляется. Это учебный пример, а не реальная транзакция из расследования.

Правильный первый шаг - найти исходный TXID и убедиться, что в нём записан ожидаемый withdraw, указаны 300 соответствующих единиц и корректный адрес назначения. Затем нужно открыть историю заявки моста: существует ли подпись или целевой хеш? Если нет, проблема пока на уровне мостовой обработки. Если есть подпись и требуется claim, пользователь проверяет официальный способ получения и наличие SOL для сетевых затрат. Если Solscan показывает успешную выдачу, он проверяет текущий баланс и mint USDC на адресе.

При этом не нужно отправлять ещё 300 USDC «для активации первого перевода». Если токены уже выданы, новая операция создаст второй перевод; если в очереди первая заявка, вторая не ускорит её автоматически. Если интерфейс недоступен, сохраните данные и обратитесь в официальную поддержку. Вопрос в тикете должен быть конкретным: «WAX TXID подтверждён, целевой TXID не найден, прошу проверить состояние выдачи по указанному адресу».

Практический пример: 500 USDT ожидаются в Ethereum

Второй условный сценарий: после отправки пользователь ждёт 500 USDT ERC-20 в Ethereum. Необходимо проверить, что выбран именно Ethereum Mainnet, а не TRON, BNB Chain или другой сетевой вариант USDT. Название USDT само по себе не задаёт маршрут. Подробнее о различиях сетевых версий есть в руководстве BarbadosNews USDT TRC-20 и ERC-20: как выбрать сеть.

Если в WAX заявка успешна, но Etherscan не показывает переводов USDT на целевой адрес, ищите номер мостового запроса, его подпись и фактический Ethereum TXID. Если транзакция назначения существует и имеет статус Success, найдите ERC-20-событие нужного контракта. Поле Value: 0 ETH не мешает факту получения 500 USDT, потому что токеновый перевод проходит через контракт.

Если USDT ушли на адрес централизованной биржи, нужно дополнительно проверить минимальный депозит, наличие поддержки ERC-20 и возможные сроки ручного зачисления. Биржа может иметь собственный внутренний ID и не зачислить даже подтверждённый токен автоматически. Обращение в поддержку самой биржи должно содержать целевой TXID и точную сеть, а не только сообщение «деньги списались с WAX».

Оба сценария показывают один принцип: сначала установить последнюю доказанную стадию, затем решать конкретный вопрос. Вмешательства в ключи, повторная отправка денег и любые операции «за вознаграждение эксперту» для этого не требуются.

Что написать в официальную поддержку WAX или сервиса получения

Сообщение в поддержку должно позволять сотруднику сразу найти вашу операцию. Напишите кратко, без эмоциональных обвинений и расплывчатого «мост сломался»: какая сеть отправления, токен, сумма, дата, TXID, адрес назначения, какой статус показывает интерфейс и что вы уже проверили в обозревателях. Укажите, что проверяете операцию в связи с известной паузой WAX Bridge 22-23 октября, если дата действительно попадает в этот период.

Пример обращения на английском:

Hello. I submitted a bridge withdrawal from WAX on [date and time UTC]. Source transaction: [WAX TXID]. Asset and amount: [WAXUSDC / amount]. Destination chain and public address: [Solana or Ethereum / address]. The source transaction is confirmed, but I cannot locate a destination-chain transaction. Could you confirm the bridge request status, whether it was signed, and the destination transaction hash if one exists? I am not sharing any wallet recovery credentials.

Пример по-русски для вашей переписки: «22 октября отправил заявку на вывод WAXUSDT в Ethereum. Исходный TXID указан ниже, операция подтверждена. Не могу найти целевой хеш в Etherscan; прошу уточнить, принята ли заявка мостом, была ли подпись и требуется ли действие claim. Название сети, адрес и сумма приложены».

Официальные контакты ищите через проверенный сайт WAX и документы проекта, а не по номеру телефона в рекламе или в ответе под постом о взломе. Для проверки доступности узлов сети можно также сверить статус-страницу WAX, но отсутствие аварии на ней не является гарантией работоспособности отдельного приложения моста. Если вы общаетесь с биржей, подавайте запрос через её собственный авторизованный интерфейс. Номер тикета и ответ сохраняйте. Для обычной проверки публичного перевода никто не должен требовать ваш секретный ключ, 12/24 слова восстановления или код двухфакторной аутентификации.

Как распознать фальшивый портал компенсаций после взлома

После любого резонансного инцидента возникают сайты с обещаниями «получить компенсацию», «проверить право на возврат» и «синхронизировать активы». Одна группа мошенников копирует дизайн кошелька и просит ввести сид-фразу. Другая предлагает подключить кошелёк и подписать транзакцию, предоставляющую постороннему контракту право тратить токены. Третья выманивает «страховой депозит», который якобы автоматически вернётся вместе с недостающими USDT.

Основная проверка проста: для просмотра статуса межсетевой операции достаточно TXID и публичного адреса. Если сайт отказывается показывать сведения без приватного ключа, это не диагностический сервис. Если обещает выплату только после перевода денег на «активационный адрес», остановитесь. Если страница появилась по ссылке из личного сообщения, независимо найдите подтверждение на официальном ресурсе проекта и проверьте точное написание домена.

Согласие на подключение кошелька не всегда означает немедленную кражу, но подписываемое действие может быть опасным. Читайте запросы Approve, Permit, SetApprovalForAll и аналогичные полномочия; они отличаются от чтения публичного баланса. Не спешите подтверждать непонятную подпись ради обещания «вернуть замороженные токены». Особенно осторожно относитесь к предложениям установить расширение из архива, скачать «приватный мостовой клиент» или выполнить команду в терминале.

Если вы уже ввели сид-фразу на подозрительном сайте, рассматривайте её как скомпрометированную и действуйте по процедурам безопасного переноса средств с нового устройства или кошелька, учитывая действующие ограничения и не отправляя деньги на случайные адреса. Если подписали разрешение, оцените его через надёжные инструменты управления допусками. Это другой инцидент, не следует смешивать его с первоначальным багом WAX Bridge.

Могут ли вернуть потери и что означает обещание пополнить резервы

Проект WAX публично сообщил о намерении восполнить резервы, чтобы обеспечить выводы. Это заявление оператора, а не доказательство, что всем клиентам уже были произведены выплаты или что существует форма прямой денежной компенсации каждому владельцу токенов. Если у вас спорная операция, сначала нужно выяснить, где актив находится и какие права по этому маршруту возникли. Возможно, проблема в обработке заявки, а не в индивидуальном праве на «страховую выплату».

Не путайте восстановление обеспечивающего резерва, возврат похищенных токенов с биржи, компенсацию пользователям и разблокировку обычных ожидающих заявок. Это разные процессы с разными источниками денег и участниками. Bitquery проследила путь до депозитных адресов HitBTC, но не установила публично, что средства были заморожены или возвращены. В дальнейшем проект или биржа могли публиковать новости; на дату подготовки статьи такие новости следует перепроверять отдельно.

Для претензии сохраняйте не только TXID, но и историю обращения, условия обслуживания на дату перевода, уведомления проекта и доказательство принадлежности адреса без раскрытия ключа. Если сумма значительна, может понадобиться индивидуальная юридическая консультация в вашей юрисдикции. Никакая статья не должна обещать гарантированного возмещения только на основании факта публичного расследования.

Почему новые лимиты помогают, но не превращают мост в безрисковый сервис

После октябрьского инцидента WAX ввёл ограничение размера одной мостовой операции. Его польза понятна: даже при неожиданной ошибке одно распоряжение не должно иметь возможность забрать практически весь резерв отдельного актива. Дополнительное время для выявления странной серии выводов повышает шансы остановить ущерб. Особенно существенна защита резервов, где раньше один запрос мог забрать 80-97% доступного обеспечения.

Но лимиты не исправляют все классы рисков. Ошибка может присутствовать в сумме списания, в проверке подписей, в маршрутизации токенов, в проверке повторных заявок и в коде обновления контракта. Технические меры должны работать вместе: проверка неотрицательности и диапазонов входных значений, сохранение учётных инвариантов, лимиты на выплаты, мониторинг аномалий, ограничение полномочий подписанта и возможность безопасной паузы. Даже хороший аудит не гарантирует отсутствие неизвестных багов.

Для обычного пользователя это означает: перед переводом оценивайте не только красивый интерфейс и размер комиссии, но и историю безопасности, текущие лимиты, ликвидность резервов, публичные уведомления об обслуживании, целевую сеть и понятность пути возврата. Использование нескольких меньших переводов может ограничить риск ошибки адреса в одном действии, но увеличивает комиссии и не спасает от системной проблемы моста. Метод тестовой небольшой отправки полезен лишь когда маршрут действительно принимает такие суммы и не находится в режиме аварийной паузы.

Другой урок - смотреть на природу отображённого токена. WAXUSDC и реальный USDC в Solana могут иметь одинаковую экономическую цель, но право на погашение зависит от моста и его резервов. Токен на экране кошелька не превращается автоматически в наличные доллары или депозит у эмитента. Риски стейблкоинов и обеспечения отдельно объяснены в материале BarbadosNews что такое USDT и USDC.

Чек-лист перед следующим переводом USDC или USDT через любой мост

Перед новой отправкой убедитесь, что вы действительно используете рабочий официальный маршрут и понимаете, какие операции придётся выполнять в каждой сети. Выпишите полный путь активов: исходная цепочка и учётный токен, мост, целевая цепочка и контракт токена, адрес получателя, комиссии, возможный claim, лимиты и сроки. Не экономьте несколько секунд на проверке сети - это может стоить всей суммы.

Проверьте, нет ли действующего предупреждения о паузе, ограничениях или уязвимости. Если в интерфейсе видна кнопка перевода, это ещё не гарантирует, что подпись и выдача сейчас обрабатываются. Прочитайте, кому принадлежит контракт, какие активы служат обеспечением, и можете ли вы самостоятельно проверить получение через обозреватель. Сохраните TXID сразу после первой отправки, а не только в момент обращения в поддержку.

Для крупной суммы разумно сначала выполнить небольшой тестовый перевод, если он допускается минимальными лимитами и соответствующей политикой получателя. После успешного теста проверьте всю цепочку, включая фактический баланс в целевой сети. Не основывайте вывод «маршрут безопасен» только на одной удачной попытке: технические ограничения и состояние резервов меняются. Размер следующего перевода выбирайте с учётом риска, не превышая сумму, временную недоступность которой вы можете выдержать.

Не путайте сети выпуска USDT. ERC-20 и TRC-20 - разные форматы операций, а поддержка одной версии биржей не означает поддержки другой. Если после перевода токен не появился, сперва проверьте адрес и контракт, потом сетевой статус, а не отправляйте второй перевод ради «проверки». Для обменных механизмов полезен отдельный материал BarbadosNews как работают DEX-биржи: обмен активов внутри сети и кроссчейн-перевод - разные процедуры, даже когда приложение объединяет их в одну кнопку.

FAQ: ответы на главные вопросы после взлома WAX Bridge

Был ли взломан весь блокчейн WAX?

Согласно публичному заявлению команды WAX, атака затронула приложение межсетевого моста, а не консенсус базовой сети и не монету WAXP. Исследование Bitquery связывает проблему с логикой eth.token::withdraw и внешними резервами. Поэтому нельзя автоматически переносить новость о мосте на каждую обычную транзакцию WAX. Но владельцам отображённых токенов моста важно проверять возможность их погашения.

Правда ли похитили только $75 тысяч?

Нет, это неполная ранняя оценка, примерно соответствующая сумме USDC, USDT и DAI. При учёте WETH и WBTC исследование Bitquery даёт около $90 528 по ценам обмена того дня. Состав активов и правила оценки обязательны для корректного сравнения сообщений, а число не следует трактовать как свежую оценку текущих резервов.

Почему у меня WAX-транзакция успешна, а USDC в Solana не пришли?

Успех в WAX подтверждает исполнение исходного действия, но не обязательно подпись моста и фактическую выдачу в Solana. Проверьте номер заявки, адрес назначения, ожидаемую подпись Solana и состояние claim. Если данных нет, сохраните исходный TXID и обратитесь в официальную поддержку, уточнив, была ли заявка обработана после паузы.

Может ли перевод появиться позже без моих действий?

Это зависит от устройства конкретного маршрута: некоторые выплаты обрабатываются автоматически, другие требуют отдельного получения. Во время остановки мост мог держать запросы в очереди; после перезапуска их обработка могла возобновиться. Но одного заявления о перезапуске недостаточно, чтобы гарантировать будущую выплату по конкретному TXID. Отслеживайте индивидуальный статус и не создавайте дубликат вслепую.

Надо ли отправить ETH или SOL, чтобы «разблокировать» USDT?

Иногда для собственного вызова claim в целевой сети действительно нужен сетевой газ - ETH или SOL. Но это не означает необходимость перевода денег постороннему человеку, «специалисту» или на адрес «комиссии восстановления». Проверяйте официальную транзакцию, которую подписывает ваш кошелёк, её сеть и назначение. Требование оплатить разблокировку через личное сообщение - серьёзный признак мошенничества.

Можно ли найти украденные токены и узнать, кто был атакующим?

Транзакции и движение активов до депозитных адресов можно проследить с помощью обозревателей и аналитических меток. Bitquery установила маршрут до инфраструктуры, приписываемой HitBTC. Но публичная блокчейн-история сама по себе не раскрывает личность владельца биржевого аккаунта, не показывает все внутренние действия биржи и не доказывает возврат средств. Атрибуция адресов также требует осторожности.

Что делать, если USDT есть в Etherscan, но не отображаются в MetaMask?

Убедитесь, что выбран нужный аккаунт и Ethereum Mainnet. Проверьте контракт токена и текущий баланс адреса по данным обозревателя, а не только один скриншот. Если токены действительно находятся на том же адресе, проблема может быть в отображении актива в приложении. Никогда не вводите сид-фразу на внешнем сайте «для синхронизации».

Значит ли возобновление WAX Bridge 23 октября, что перевод безопасен сегодня?

Нет. Публикация о возобновлении подтверждает решение оператора на указанную дату, но не гарантирует отсутствие новых ограничений, полное обеспечение резервов или успешность любого текущего перевода. Перед действием проверьте актуальное уведомление проекта, соответствие маршрута нужным активам, размер лимита и условия получения. И даже после этого остаётся обычный риск смарт-контрактов и инфраструктуры.

Влияет ли взлом на USDT TRC-20 в сети TRON?

В опубликованной последовательности пяти атакующих выплат фигурируют Solana и Ethereum; списания USDT в TRON не описаны. Название USDT используется в нескольких сетях, но они не становятся одним общим балансом. Нельзя считать происшествие на WAX Bridge прямым доказательством проблемы с любым переводом USDT TRC-20. Для операции TRON следует использовать собственный обозреватель и проверять конкретный маршрут. Например, на BarbadosNews есть подробная инструкция по TronScan и USDT TRC-20.

Можно ли получить компенсацию через сайт, найденный в поисковике?

Нельзя считать такой сайт официальным только потому, что он первым в выдаче или использует логотип WAX. Опубликованное обещание восполнить резервы не создаёт автоматической формы возврата через неизвестный домен. Любое предложение ввести сид-фразу, подписать непонятный Approve либо перечислить «страховой взнос» следует рассматривать как опасное до независимой проверки через официальный проект.

Главное: чему научил взлом WAX Bridge и как не потерять деньги второй раз

Октябрьский инцидент показал, насколько опасной бывает небольшая ошибка в расчётах. Одно допустимое для ввода отрицательное число превратило вывод с нулевым списанием на WAX в реальную выплату USDC на Solana и других активов на Ethereum. В результате за 86 секунд из резервов ушли примерно $90,5 тысячи. Выведенные средства затем прошли через отдельные транзакции получения и достигли депозитных адресов HitBTC. Эти факты подтверждены публичной историей и исследованиями, но не раскрывают всего последующего движения внутри централизованной биржи.

Для владельца криптовалюты главное практическое правило: не судите о судьбе денег по одному экрану кошелька. Отдельно проверьте исходную транзакцию WAX, обработку заявки мостом и выдачу в Ethereum или Solana. Сопоставьте контракт токена, сеть, адрес и фактическое изменение баланса. Если какой-то стадии нет, составьте обращение с конкретным TXID и ожидаемым результатом. Не повторяйте перевод и не переводите деньги за «разблокировку», пока не понимаете, что произошло.

WAX сообщал об исправлении контракта, ограничениях на размер операций и возобновлении обработки выводов 23 октября. Однако пользователю по-прежнему необходимо проверять актуальное состояние его личной операции, а не рассчитывать на общую формулировку «мост снова работает». Материал подготовлен по открытым источникам на 27 октября 2026 года и носит образовательный характер; это не гарантия восстановления активов и не индивидуальная финансовая либо юридическая консультация.

Первоисточники и методика проверки

Основой фактической хронологии, сумм, данных об аккаунтах и движения средств стало on-chain расследование Bitquery от 24 октября 2026 года. Механизм ошибки дополнительно сверялся с реестром инцидентов SlowMist и техническим разбором уязвимого eth.token::withdraw. О возобновлении моста и позиции проекта относительно WAXP сообщалось в официальном сообщении WAX об инциденте и в последующих заявлениях, подробно изложенных обозревателем Coinyong.

Прикладные шаги проверки основаны на общих механизмах исследуемых сетей и документации WAX, Solscan и Ethereum. Учебные примеры на 300 USDC и 500 USDT условные, а перечень возможных статусов интерфейса - диагностическая схема, не цитата из API WAX Bridge. Ни один приведённый в статье адрес или хеш атакующего нельзя использовать как реквизит для отправки денег.