DeFi security Summit 2023 - Session 15: Bridges Panel
三句話摘要
區塊鏈跨鏈橋接安全設計與防禦：從驗證者中心化、架構權衡、到實時監控的全景對話。 橋接安全的根本不在於增強可信方的防禦，而在於無信任的去中心化驗證設計、不可變智能合約、應用層可配置的安全定價，配合攻擊前監控機制。 驗證者中心化是系統性脆弱點：Multi-chain聲稱MPC但所有密鑰掌握在一人手中，Ronin的5/9多重簽名中4個簽署者屬同一實體，Harmony也面臨相同問題。檢驗驗證者獨立性需要社區進行鏈上分析調查，單純查看區塊鏈無法確認驗證者是否真正獨立或只是相互依賴的偽裝。
重點整理
重點- 1
驗證者中心化是系統性脆弱點：Multi-chain聲稱MPC但所有密鑰掌握在一人手中，Ronin的5/9多重簽名中4個簽署者屬同一實體，Harmony也面臨相同問題。檢驗驗證者獨立性需要社區進行鏈上分析調查，單純查看區塊鏈無法確認驗證者是否真正獨立或只是相互依賴的偽裝。
- 2
可升級合約帶來系統性風險：若所有驗證器運行相同代碼，代碼漏洞會像乘法般擴散到全部組件。不可變智能合約加上客戶端多樣性（各驗證器由不同開發公司構建）是更優解，讓攻擊面無法形成單點故障。
- 3
監控應在攻擊執行前攔截而非事後檢測：Layer Zero的「Pre-crime」模塊對每條跨鏈消息進行本地分叉驗證，按應用設定的不變式（如防雙重支付的會計機制）檢查，失敗消息在主網執行前被拒絕，成功保護了Stargate在44億美元TVL時期免受攻擊。速率限制和可配置區塊確認數同樣有效，能限制異常提現規模。
- 4
橋接聚合器增加依賴風險：聚合器引入額外中間件和多個橋接器，增加其中任一被攻擊的風險，且依賴第三方服務運營連續性（團隊不被逮捕、融資充足等）。直接使用單一可靠協議如Stargate更優，但聚合器在發現小眾鏈對接路由時有工具價值。
實用技巧與重點
乾貨- 重大攻擊案例與數據
- Multi-chain、Nomad、Ronin、Harmony：損失均超1億美元
- Multi-chain：密鑰集中於一人
- Ronin：5/9多重簽名，4個簽署者同一實體
- Stargate（基於Layer Zero）：TVL峰值44億美元，由Pre-crime保護
- Layer Zero架構組件
- 鏈上：智能合約端點（不可更改）部署於EVM、非EVM、Rollup、應用鏈
- 鏈下：預言機（檢索並提交區塊哈希）+ 中繼器（檢索並提交交易證明）
- 雙聯盟制：預言機聯盟與中繼器聯盟都需達成一致（可配置為3/5、4/7等）
- 應用層決定權：可自行選擇預言機/中繼器數量、自行運行其中一個組件、根據風險調整區塊確認數
- 防禦措施
- Pre-crime模塊：對每條消息進行本地分叉驗證，按應用設定不變式檢查
- 區塊確認數配置：新鏈設置高確認數（Aptos約3天），應用可自行調整
- 速率限制：防止異常大額提現
- 監控阻截：檢測攻擊合約部署但未執行時暫停協議，反編譯確認威脅後修復
- 監控案例
- 某組織通過監控檢測到攻擊合約已部署但未執行，協議方即時暫停，反編譯合約確認威脅，挽救全部TVL
- 審計團隊推薦
- OtterSec（Robert）、Zelik、Zokio、Paladin；Layer Zero已投入數千萬美元進行審計
- 橋接分類
- 中心化MPC橋
- 基於證明的去中心化橋（如ZK EVM）
- 樂觀橋（需欺詐證明監控）
結論
結論“橋接安全的根本不在於增強可信方的防禦，而在於無信任的去中心化驗證設計、不可變智能合約、應用層可配置的安全定價，配合攻擊前監控機制。”
完整解析
詳細區塊鏈跨鏈橋接因其高流動性和複雜性成為攻擊者的高價值目標。近年Multi-chain、Nomad、Ronin和Harmony等重大黑客攻擊造成的損失均超過1億美元，引發業界對橋接設計根本性問題的深度思考。小組專家從技術驗證到架構設計，系統性地分析了這些失敗案例的共同根源。
最核心的問題指向驗證者中心化。多個聲稱採用MPC（多方計算）的橋接實際上驗證權力高度集中：Multi-chain的所有密鑰掌握在一人手中，使其在創始人被逮捕時成為單點故障；Ronin的5/9多重簽名架構看似分散，但4個簽署者屬於同一實體且能訪問第5個，實質仍是中心化；Harmony也面臨類似問題。檢驗驗證者獨立性並非技術簡單問題——從區塊鏈本身很難確定簽署者是否真正獨立，需要社區進行深入調查，確認驗證者的身份、控制權和利益獨立性。
應對這些設計權衡，Layer Zero提出了不同的架構理念。它在所有鏈（包括EVM、非EVM、Rollup和應用鏈）部署不可更改的智能合約端點，鏈下由兩個獨立角色組成：預言機負責檢索並提交區塊哈希，中繼器負責檢索並提交交易證明。消息只有在預言機聯盟和中繼器聯盟都達成一致時才能通過協議，例如可配置為3/5或4/7多重簽名。關鍵創新是將安全定價權交給應用層——一個交易小額NFT的遊戲可能只需3個預言機和3個中繼器，而轉移全鏈USDC穩定幣的協議可引入更多獨立實體參與，甚至自行運行其中一個組件。這種架構還避免了可升級合約帶來的系統性風險：若所有驗證器運行相同代碼，代碼中的漏洞會像倍數般擴散到全部組件，不可變設計加上客戶端多樣性（各驗證器由不同開發公司構建）才能真正提升安全性。
監控在橋接防禦中扮演關鍵角色，但必須是攻擊執行前的阻截而非事後檢測。Layer Zero實現的「Pre-crime」模塊對每條跨鏈消息進行本地分叉驗證，按應用設定的不變式（如防雙重支付的會計機制、NFT項目的白名單地址等）檢查，失敗的消息在主網執行前被直接拒絕——這項防護在Stargate的TVL達44億美元時期成功抵禦了多起攻擊。速率限制和可配置的區塊確認數同樣有效，能在攻擊發生時限制異常提現規模。一個真實案例展示了監控的實際價值：某黑客組織部署了完整的攻擊合約但在執行前被檢測到，協議方迅速暫停系統並反編譯該合約確認威脅，最終挽救了全部資金。這證明黑客往往分步驟行動而非瞬間完成，留有時間窗口讓防禦方介入和修復。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
