Security Challenges of Aave Governance V3 - Andrei Kozlov, DeFi Security Summit 2023

AAVE 協議在五年演進中，從多簽控制發展到完全去中心化投票治理，但隨著擴展至 Polygon、Avalanche 和 Optimism 等多條鏈，面臨根本性挑戰：如何在不陷入新中心化困境的前提下跨鏈擴展。Optimism 等官方橋接的安全性與主鏈相同，但 Polygon 官方橋和 Avalanche 橋（本質上只進行鑄造和銷毀）存在不同程度的中心化風險。傳統單一橋接依賴方案需耗費大量審計資源且無法保證絕對安全。

BGD Labs 的革命性解決方案是橋接聚合：同時使用三至四個獨立的橋接提供商，要求交易在目標鏈被確認多次（例如 2 之 3）才視為確認成功。由於各提供商擁有獨立的社區基礎和技術架構，同時發生黑客攻擊或全面故障的概率極低。系統進一步包含重試機制、緊急模式（需同時控制衛士和鏈上預言機才能啟動，增加攻擊難度）以及多層時間鎖，確保在某些橋接暫時失效的情況下系統仍能恢復。

治理層面的 V3 創新更為深遠。原始治理在以太坊上投票，當時 gas 成本低廉（約 1 美元），參與度高。今日高昂的 gas 費導致持有數十至數千美元代幣的小額持幣者放棄投票。簡單移至 Polygon 看似解決方案，但引入新問題：無法安全地在多鏈同時投票，因為無法在不同時間點同步狀態。V3 的答案是存儲證明。核心洞察是：以太坊區塊哈希本身包含該時刻的完整區塊鏈狀態信息。AAVE 只需將此哈希橋接至廉價鏈（如 Polygon），用戶即可無需橋接任何資金或持有側鏈資產，透過標準以太坊 RPC 生成存儲證明以證明其以太坊上的代幣餘額。結合中繼機制，投票成本可降至 20-30 美分。

系統設計中的載荷控制器也是創新：不通過橋接發送完整位碼，而只發送 ID，對應的代碼和狀態預先在各目標鏈上配置。這使得治理提案的模擬變得極為簡單——知道 ID 後，所有狀態轉換立即可知，無需等待跨鏈傳遞。治理流程包含多個時間鎖：提案後有時間讓持幣者準備餘額、投票期五天、結果返回前有時間鎖應對潛在惡意行為、跨鏈傳遞後再有時間鎖、最後執行前仍有時間鎖。這種多層緩衝即使不完全信任跨鏈基礎設施，也提供了充足的人工介入機會。

在開發實踐上，BGD Labs 廣泛應用形式驗證，發現定義系統屬性時許多看似合理的假設會被戳破，是最有效的除錯手段。他們也發現基礎區塊鏈機制（如存儲證明）在應用層被嚴重低估，歷史上缺乏優質代碼示例。跨鏈通訊協議測試極為困難，他們的做法是接受橋接提供商作為黑盒，透過多層隔離（發送者、接收者、多橋確認）進行單元測試，依賴聚合模式下各提供商獨立性的安全假設。