声明：本文旨在传递更多市场信息，不构成任何投资建议。文章仅代表作者观点，不代表MarsBit官方立场。
边肖：记得要集中注意力。
来源：JumpCrypto
原标题：安全性叠加：桥如何比较
简介在物理和加密的世界里，桥是用来连接被障碍物隔开的两个地方的。物理桥连接被山谷和河流等自然屏障分隔的陆地，而跨链桥协议连接无法通信和同步的区块链。每当这座桥被摧毁和攻击时，它的重要性就显露出来了。在物理世界中，历史上有据可查的灾难性桥梁坍塌足以说明它们有多重要，设计或建造不当的桥梁有多危险。
加密领域的跨链桥协议也是如此。就安全风险而言，跨桥很容易成为攻击目标。从智能合约可能存在的漏洞和攻击规模来看，跨链桥呈现二次风险面：随着桥接区块链数量的增加，维持跨链桥运行所需的智能合约数量也以二次形式增加(至少在对等模型中是这样)。根据定制配置在不同运行时间编写的更智能的契约也迅速增加了跨链桥接的风险。在辐条模型中，与中心链/网络相关的漏洞将导致不对称风险。
正如最近的Nomad攻击所显示的，一个错误可能会导致桥梁的大部分或全部资金损失。然而，该漏洞与跨链桥无关，它可能只是由于一个操作错误。在Ronin的跨链桥事件中，运营安全措施不佳给了钓鱼攻击可乘之机，黑客获得了大多数保证网络安全的认证节点的控制权，从而能够携带价值超过5亿的资金逃离。2月份的虫洞攻击也是因为缺乏验证审查，使攻击者能够创建一个虚假签名，窃取了超过3.2亿美元。
如果不注意安全，必然会出现更多的疏忽，遭受攻击和损失。对于黑客来说，拥有巨大跨链桥的TVL比普通协议更有吸引力。
上述攻击与协议的桥接逻辑无关，而与智能合约漏洞和操作疏忽有关。即使有最精细的代码和最好的安全审计，随着连接的区块链和启用的功能数量的增加，也不可避免地会有遗漏的漏洞。为此，跨链桥需要配置为在正常条件下安全工作，更重要的是应对极端条件。
用户在使用跨链桥时，主要关注以下特点：用户体验好、滑点低、效率高、资产安全。其中，安全性是评价跨链桥的重中之重。
考虑到这一点，我们来看看不同的桥梁是如何叠加其安全性的。我们将从以下三个层面来讨论比较不同跨链桥的安全性。
1.信任假说
2.代码质量保证
3.安全功能
前两个将讨论跨链桥是否在信任级和源代码级充分考虑了其漏洞/漏洞的来源。最后一点涉及到一个协议是否认识到无论多么仔细的编码和审核，漏洞都是不可避免的，并能据此建立额外的保障措施，将用户的潜在损失降到最低。
为了做到完全透明，在深入讨论之前，我们承认Jump Crypto确实是虫洞项目的运营守护者，也是虫洞的核心贡献者之一，但我们会在本文中尽可能做出客观的评估。我们欢迎并接受任何关于如何改进这篇文章的反馈，以显示跨链桥之间的差异的细节。
假设信任是从其核心形成的，跨链桥可以分解为三个部分：
1.智能合同：发送/接收区块链的每一条信息。
2.Oracle:验证信息是否来自原链。
3.中继：将消息提交给目标链。
实际中，交叉连接桥在预测机上实现共识(信息是否有效)可能会有很大差异，进而影响到中继器。
在我们深入研究它之前，这里有一个这个领域中一些最流行的桥所使用的共识机制的快速介绍。
AxelarAxelar运行在基于COSMOS的POS网络上。验证者由代币持有者选举产生，按比例获得投票权。投票权重通过对委托权利进行加权计算得出。Axelar网络通过(t，n)门限签名方案验证跨链信息，在该方案中，签名者的投票权被归一化为n，n必须大于t，即协议门限，才能对消息进行签名。Axelar network目前最多有50个验证者，必须获得超过66.67%的多数票才能签署消息(两个变量都可以通过治理投票进行修改)。
理论上，验证者的数量可以是无限的，但在实际操作中，由于验证者不需要为每个区块链跑节点，投票权会被倾斜。Axelar目前的核查人员名单中有47名核查人员，但其中只有20人拥有实际有效的投票权。在特定的区块链，这个数字甚至更小。举个例子，如果只考虑验证Aurora上的信息，成功发送一条消息只需要8个节点，审核消息只需要4个节点。
LayerZeroLayerZero是一个跨链互操作协议，它将区块链之间的无信任通信问题简化为Oracle和Relay之间的独立性问题。预测器将块报头转发到目标链，而中继器将事务证书转发到目标链。两者共同证明消息有效，信息确实提交给了原链。用户应用程序(UA)可以自由使用LayerZero的默认预测器和转发器，或者创建并运行自己的预测器和转发器。
默认的Oracle是链式分布式Oracle网络(DON ),它在三个参与者(FTX、多边形和红杉)之间使用门限签名方案。在撰写本文时，由于LayerZero代码库的封闭源代码性质，作者对其实现缺乏了解。关于特定应用版本的Oracle，LayerZero自己的Ackee audit指出，对于创建并运行自己的Oracle和repeater的应用来说，成功提交一个无效的事务证书和块头并不困难。然而，这种模块化确实有好处。如果将来出现任何漏洞，它们只会应用于那些使用受影响的Oracle-repeater对的应用程序。
Layer的信任假设依赖于两个实体的行为。3354只要预测器和中继相互独立运行，就不可能成功发送无效消息。但另一方面，由于这个系统需要预测器和继电器都正常运行来验证信息，所以它们中的任何一个都可以随意删除信息数据。
MultichainMultichain是一种跨链信息传输协议，起源于以前的Anyswap。Multichain使用安全多方计算(SMPC)来运行一个门限签名方案，创建一个公钥并对链间传递的消息进行签名。这些节点无信任地控制用户账户(EOA)，钱包地址与拆分的私钥一一对应。这些帐户用于存储资产并将其转移到目标链。目标链只需要检查发送者的地址是否可信，而不需要验证消息本身。
多链网络目前由24个SMPC节点组成，由不同机构运营，需要大多数节点(“大多数”量化标准似乎并不公开)共同验证消息。因此，该协议的安全性依赖于SMPC节点的信誉安全，并假设诚实节点占所有节点的一半以上。需要13个签名者在整个链上发送数据，12个节点审查消息。
NomadNomad是一个专注于EVM的跨链信息传输协议，它使用最优性机制来验证消息，其中消息被添加到Merkle树中，经过哈希和加密后成为新的根，并由更新程序发布到原始链。更新者必须支付押金，这将激励他们签发有效证书，并最大限度地减少停机时间。然后，观察者将有时间来争论新的根并提交欺诈证书。一旦超过时间范围，Merkle根被认为是有效的，并被转发到目标链进行发布，从而原始消息(因为Merkle根只是消息的“化身代表”)被发布到目标链。
这个最优模型只需要一个诚实的观察者来验证是否发布了无效的更新。这种安全模式的代价是观察者有大约30分钟的时间提交欺诈证书，这使得消息的传输延迟了30分钟。因为观察者可以通过向目标契约发送虚假的欺诈证书来防止消息被处理，所以Nomad使用一组由应用程序指定的许可观察者。协议的安全性基于至少存在一个诚实观察者的可能性，而更新者的经济安全性由于恶意行为而降低。
Nomad智能合同可以通过多签名治理模式升级，五分之三的签名者需要执行治理变更和处理恢复管理。
需要指出的是，最近的Nomad黑客事件与其共识机制的安全性无关；是不幸的合约配置错误，导致智能合约终端的恶意行为。
虫洞虫洞使用PoA守护网络作为预言机，使用无授权中继器网络跨链传输消息。九个守护者中的每一个都为虫洞支持的每条链运行一个完整的节点，监听每条链上虫洞核心契约发送的消息。这些监护人对这些消息进行验证和签名，然后在P2P网络上互相传递。一旦消息被超过2/3的监护人(至少13个)签名，就会被转发到目标链。这种设计的副产品是它允许一个完全不可信的中继器网络在目标链上发布消息。因为这些消息由监护人签名，所以消息内容既不能被更改也不能被审查，因为任何人都可以运行中继器来提交任何信息。
协议的安全性来自于监护人的声誉和权威。就Wormhole而言，这是一个由Web3中19个最大的承诺和基础设施提供商组成的团体。签署虚假消息需要13个监护人，审查消息需要7个监护人。此外，现有监护人有能力投票罢免或更换其他监护人。
代码质量保证代码质量保证是指在链中部署代码之前需要完成的工作。这可能涉及以下几个方面：
1.审计：对已发布的核心功能和新功能进行多次独立的质量审计。
2.赏金：包括为漏洞披露者提供诱人的奖励，以及可以随时支付大笔赏金的行业声誉。
3.测试：在每一次代码变更时测试尽可能多的协议栈，以便在不断成长的软件生态系统中进行回归测试。
4.部署安全：开放环境下开发，代码合并前审查，合同字节码验证，升级前模拟测试。
下表总结了五种跨链网桥协议在这四个方面的性能。
AxelarAxelar有几个公开的、声誉良好的审计，并运行一个相当强大的测试套件(尽管它的活动在最近几个月有所减少):持续集成(CI)和持续交付(CD)运行、bash构建脚本和校验和验证。Axelar与Immunefi合作设立漏洞赏金计划，向严重漏洞披露者提供最高100万美元的赏金，但其他级别的赏金相对较少。Axelar repo有定期提交代码的贡献者，并且Pull请求需要至少一个审阅者的批准。
LayerZeroLayerZero在代码部署上似乎有些不透明。虽然有一些顶级审计员的公开审计，但缺乏开放的持续集成(CI)和持续交付(CD)过程。代码好像是一次性公开发布，不是敏捷开发流程。测试似乎相对过时，仅限于JavaScript测试。拉式请求似乎缺少强制性的同行审查步骤。LayerZero确实在4月宣布了一项与Immunefi合作的1500万美元漏洞奖金计划。然而，到目前为止，还没有相关项目公开发布，也没有关于如何提交漏洞以获取赏金的说明。
MultichainMultichain已经进行了许多公开审计，并与Immunefi一起开展了高达200万美元的奖金计划。多链进行的测试似乎停滞不前，似乎仅限于一般ABI和简单转移测试。尽管有持续集成(CI)和持续交付(CD)运行以及有限的单元和集成测试，但是部署过程似乎主要是手动的。Multichain的repo有贡献者定期提交代码，但似乎只有一方需要合并代码(原始开发者可以合并自己的代码)。
NomadNomad最近接受了Quantstamp的公开审计，拥有Immunefi的漏洞赏金计划，赏金高达100万美元。Nomad的测试套件包括一些与Foundry的路由和消息传递相关的测试。和Axelar一样，它也有bash构建脚本来构建和验证字节码。Nomad的Repo有贡献者定期提交代码，它的Pull请求需要至少两方来合并代码(原始开发者加一个独立评审者)。
WormholeWormhole的安全页面突出了他们已经完成的和正在进行的来自行业领先的审计公司的审计。虫洞在Immunefi上有一个1000万美元的赏金计划。自2月份被黑客攻击以来，虫洞已经支付了超过1100万美元的漏洞赏金，其中包括5月份支付给一名白帽黑客的1000万美元。虫洞的repo使用混合单元和集成测试，具有可扩展的持续集成(CI)和持续交付(CD)套件，并运行一系列模拟测试来验证升级的向后兼容性和未来的升级能力。此外，虫洞通过主动提交和贡献者提交的方式开放构建，可以实现透明的代码审查和负责任的公开。虫洞的拉取请求需要至少三方来合并代码(原始开发人员加上两个独立的评审人员)。
注意，协议的代码质量保证方法在一次严重的安全事件后会有很大的提高。比如被黑客攻击后，虫洞的代码质量保证方法提升很快。同样，经过本周的攻击，Nomad protocol很可能在不久的将来采用更多的代码质量保证方法。显然，在事件发生之前采用这些实践是最好的，但不幸的是，它们并不总是在优先列表上。
如上所述，跨链桥一旦出现安全问题，成本极高。上述代码质量保证措施对跨链桥供应商的安全计划至关重要。在本节中，我们将仔细研究每个跨链桥正在开发或部署的协议内安全功能，以了解这些跨链桥如何在核心信任假设和代码保证根本不足的情况下实现多层防御。
Axelar在白皮书中，Axelar描述了一个由网络分配的资金池，作为治理控制的保障和备份机制，以便在Axelar中断的情况下为用户提供恢复治理的指导。在这样的危机中，门限契约(Axelar验证者管理)存储的“紧急解锁密钥”将与辅助恢复用户集共享。如有必要，该队列可以扩展到数以千计的个人和机构，他们可以共同控制网络以：
1.为可转入/转出特定链的资金量设定利率限制。
2.确定链中原始资产的包装形式
这些功能似乎是专有的，它们还没有开源。此外，这些建议的功能不是提供被动安全来限制风险，而是在生死关头被激活。
LayerZeroLayerZero的桥接模型包括要求交易应用程序选择目标链上的中继器。因此，在该模型中，协议中安全功能的关键在于中继器。
4月，LayerZero团队在协议中引入了他们的安全功能方法，称为“圆顶”和“预犯罪”。关于dome功能的公开信息很少，但博客帖子提供了犯罪前如何工作的线索。犯罪前模型基本上允许用户应用程序(UA)定义一组特定的状态，中继器必须根据这些状态进行验证。如果这些状态未被验证，中继器将不会中继该事务。
请注意，这些功能似乎是专有的，还不是开源的。虽然在概念上很强大，但很难独立评估其有效性。
在最近的一篇文章中，Chainmultichain披露了他们的一些安全措施，包括提到他们的网桥配置的一些安全功能：
1.交易量限额和总交易量限额：该功能允许将交易量较大的区块链限制在特定的上限内。此外，对于低交易量的区块链，总交易量有限。
2.在线监控：该模式包括监控软件和在线看门狗，以检测异常行为并触发紧急响应行为。
3.产品暂停：该功能允许暂停所有产品，在实施应急响应行为时有效暂停所有产品。
4.保障基金：这其实就是一个保障基金，拿出所有跨链费用的10%来补偿用户在特殊情况下的财产损失。
NomadNomad利用了最优验证模型，即在原始链上对消息进行签名，并且将在目标链上强制执行一个内置的时间窗口。在某种程度上，我们可以观察到这类似于“打开这封信不能早于这个时间”。这段时间对于实现“自动断路器”和在Merkle root被认为有效之前停止转移资产是有用的。这已经作为一个概念出现在Nomad文档中，并且开发似乎正在进行中。
WormholeWormhole的消息传递模型是组播的，即消息由guardian/Oracle网络从原始链进行公证，而将消息带到目标链的中继器是不可信的。这种模式基本需要Oracle非常强大的网络，协议中的安全功能依赖于此。
虫洞项目有三个主要的协议内安全功能正在开发中：监督，会计和紧急关闭。这些特性是在公开可见的情况下开发的，这使我们能够洞察它们最终将如何工作。这些功能正等待被监护人开发和采用。
1.监督：该功能在守护者/预言机中实现，允许守护者在一个时间窗口内监控来自任何受监管链的价值流的名义数量。监护人可以为每个链设置一个可接受的上限。一旦达到这个上限，就会阻止资产在这个链条之外的流动。
2.记账：该功能在守护者/预言机中实现，允许守护者维护自己的区块链(又称“虫链”)，可以作为不同链条之间的跨链总账。这个账本不仅可以让监护人充当链条中的核对人，还可以充当记账插件。在原始链没有足够资金的情况下，监护人可以拒绝跨链交易(验证独立于智能合约的逻辑)。
3.关闭：该功能在链上实现，让守卫者在意识到跨链桥的威胁后，达成共识暂时停止跨链桥上的资产流动。的当前实现允许通过建议的实现中的链上函数调用来实现。
结论未来几个月或几年，我们相信安全会成为跨链桥差距拉大的地方。那些优先考虑安全的跨链桥更有可能度过危机，而那些不优先考虑安全的跨链桥很可能无法生存。安全可能只是竞争优势的一个来源，但现在它必须是每个跨链桥应该优先考虑的第一个功能。我们希望所有跨链桥联合起来，共同提高跨链桥的安全技术水平。
编辑：亚历克斯