跨链桥比较
2022-10-19 18:13
撰文：NIC Lin
本文将介绍跨链桥是什么并将跨链桥进行分类与比较，搭配一些著名跨链桥攻击事件进行分析。跨链桥是一个在不同链之间负责传递「讯息」的桥，至于是什么样的讯息，接下来会介绍。跨链桥的例子包含Multichain、Celer、LayerZero、Nomad、Hop等等。大家熟悉的跨链桥使用场景绝大多数都是将资产例如 ETH、BTC 进行跨链。但实际上「资产」是没办法跨链的，这是因为每一条链都是各自独立的，它们不会知道彼此的存在、彼此的状态。至于 Solana 上的 ETH 或是 ETH 上的 BTC 是怎么来的？那些都是跨链桥铸造出来的，只要这些跨链桥是安全的，这些铸造出来的币就是安全的。注：其他像是 USDT 或 USDC，有些是 Tether 和 Circle 到不同链上去铸造出来的，剩下则一样是由跨链桥所铸造。表面虽然是资产在跨链，但背后实际上就只是「讯息」在跨链而已。这些讯息像是「我在 A 链上把 X 资产锁住 / 烧毁了」或「我在 B 链上把 Y 资产解锁 / 铸造出来了」，讯息的接收方就按照讯息内容来执行相对应的处理。例如当 Alice 想透过一个跨链桥把 USDT 从 A 链「转移」到 B 链，实际上背后发生的是：- 跨链桥在 A 链的合约把 USDT 从 Alice 身上转过来，并送出一个讯息：「Alice 在我这锁住了 10 USDT」
- 讯息被带至跨链桥在 B 链的合约，合约从自己身上转 10 USDT 给 Alice 在 B 链上的地址
资产跨链实际上背后是单纯的讯息传递，中间省略许多细节「讯息」的传递是跨链桥的核心，现在最常见的资产跨链只是其中一种用途而已，像Aave的 V3 版本就是一个运行在多个网路之上的抵押借贷平台。但跨链桥并没有像上面那个例子这么简单。跨链桥的一个最根本的限制来自于「链不知道彼此存在」这个事实，因此它需要「相信某个人来传递讯息」。所以跨链桥的主要挑战就在于「要怎么验证一个送来的讯息的有效性」。注：这里的「相信」讯息传递者并非指完全相信，后面的段落中会介绍到有些桥是不需要相信讯息传递者的。传递者可能是好人也可能是坏人，但对传递者（们）的特质会有一些其他的假设。- 需要放多少信任在讯息传递者身上？对讯息传递者的行为有没有一些假设？是否假设讯息传递者只能诚实地执行他的工作？
- Light client + Trustless relayers
（如果对分类有其他想法或意见都欢迎留言或信件讨论。）顾名思义，Trusted Relayers 就是信任讯息传递者。基本上相信讯息传递者后，也不需要再验证讯息有效性了，只要是信任的讯息传递者带来的讯息都相信是有效的。而自然地当有了信任及中心化的假设，架构就会简单许多，而且成本会很低、使用体验会很好。Trusted Relayers 的技术没什么特别之处或亮点，就看这些讯息传递者的组成，可以是单个或多个（就像多签）；每一个讯息传递者背后也可以是多签或是 MPC。这里必须要提到的一点是 Trusted Relayers 的安全假设是 Honest Majority，也就是过半数的讯息传递者必须是诚实的好人。如果超过一半的讯息传递者是坏人或被骇客入侵，则这个跨链桥的就不再安全。另外要提到的是 Layer Zero 也是属于 Trusted Relayers，即便在他们的定义里讯息传递者的角色被分成「Oracle」及「Relayer」，但还是不改变整个桥的安全性仰赖这两个角色不能都是坏人。不过 Layer Zero 相较于其他 Trusted Relayers 桥的优点是：每个 dApp 能自己客制化自己需要的安全性。如果你很需要安全性，你可以把「Oracle」及「Relayer」的数量设定的很高。另一个优点是：每个 dApp 的安全性彼此是独立、不互相影响的。例子：Multichain、Celer、LayerZero、Wormhole、Ronin Bridge、XY2. Optimistic Verification
和 Optimistic Rollup 的 Optimistic 一样，都是先乐观地接受传递过来的讯息，但会验证讯息的有效性，如果发现是无效的则发起挑战。优点是绝大多数的时间系统都会是正常运作（因为作恶会被挑战并惩罚），讯息都是有效所以不需发起挑战，所以成本非常低，因为不需要在链上去验证讯息。缺点是必须要有一段挑战期（Optimistic Window），让负责验证的人有足够多时间验证并发起挑战。接下来会以Nomad为例，介绍 Optimistic Verification 的运作。Nomad 里有三个角色：Updater、Relayer 及 Watcher。- Updater 抵押担保品，并负责为讯息签名做担保，例如「我以我的担保品发誓 Alice 申请要从链 A 送 XXX 讯息到链 B」
- Relayer 单纯负责把讯息及 Updater 的签名送到目标链（链 B）上
- Watcher 负责监督 Updater，并在 Updater 作恶时反应
Relayer 负责将讯息及 Updater 签名送到链 B等到挑战期（Optimistic Window）结束后，讯息生效，完成讯息跨链。
Updater 对一个凭空捏造的讯息签名，并请 Relayer 伙伴送到链 B
Watcher 发现后，先到链 B 把讯息作废，再把证据（Updater 签名）送到链 A，没收 Updater 担保品链 A 的合约可以很清楚验证 Updater 所签名的讯息到底存不存在，因为只有使用者亲自送请求到合约，讯息才会真的存在。所以当 Updater 对一个不存在的讯息签名，这个签名就会变成作恶的 Updater 百口莫辩的证据，用来没收 Updater 的担保品。目标链（链 B）永远没办法知道链 A 上有谁要送什么讯息过来，所以链 B 合约没办法知道 Updater 担保的讯息到底是不是真的。那链 B 能怎么办？答案是需要引入 Permissioned Watcher。Permissioned Watcher 有权利能作废任何一个讯息，避免伪造的讯息造成任何破坏。但相反地它也可以作废一个正常的讯息，也因此这个角色必须要是 Permissioned，他需要是一个被信任的角色。如果有 Permissioned Watcher 乱搞，恶意作废正常的讯息，则这时候只能仰赖另一层信任，可能是 Governance 或是一个多签 Admin 之类的来介入，将恶意的 Watcher 剔除。和 Trusted Relayer 的安全假设非常不同，相对于 Trusted Relayer 需要假设有过半数诚实参与者，Optimistic Verification 只需要假设至少有一个 Watcher 是好人即可。这表示要攻破 Optimistic Verification，你需要攻破（例如骇入、贿赂、DoS）全部的 Watcher。不同于 Optimistic Rollup 挑战期多达七天，Optimistic Verification 的挑战期只有 30 分钟。这是因为 Optimistic Verification 的挑战不需要挑战者与被挑战者之间来回交互，而是直接提交一个一次定生死的证据：「Updater 签名的讯息存不存在？（yes/no）」。3. Light client + Trustless relayers
这种跨链桥的方式是让目标链成为来源链的轻节点，可以是链下运行一个轻节点，也可以是用链上合约模拟一个轻节点：合约里记录来源链每个区块并验证每个区块的标头档（Block Header）。除了验证标头档的内容是有效的之外，还需要验证共识，也就是 PoW 的验算或 PoS 的投票结果。PoW 的验算还算简单，但 PoS 的投票结果就复杂许多，尤其是像 Ethereum Beacon Chain 多达四十多万的 Validator，要维护这些名单在合约或计票的成本都非常高。另外每条链的区块内容和共识机制都不一样，因此要支援新的一条链并非简单的工作，再加上验证成本会比其他跨链桥高上许多，这些都是这种跨链桥的主要缺点。不过优点是它非常安全，它不需要相信负责带区块资讯来的 Relayer，它会自己验证区块和共识。
Light Client 合约验证 Relayer 带来的链 A 的区块资讯及共识注：虽然 Relayer 只是跑腿的，但还是需要假设有诚实的 Relayer 在线，确保正确的区块资讯会被带过来，避免造假的分叉链来破坏安全性。验证完区块标头档后，剩下就是去验证 (1) 交易存在于某个区块，或是 (2) 某个 event 在某个区块被 emit，或是 (3) 某个地址的 storage 是某个值。举例：(1) 像是验证 BTC 上 Alice 转帐给某个地址，或是在 OP_RETURN 附上某个讯息(2) 像是验证 ETH 上的 Bridge 合约确实 emit 了 CrossChainMessageRequestedevent（event 的 receipt 会存在 receipt tree，tree root 会记录在标头档里）(3) 像是验证 Optimism 上的 Bridge 合约的 storage 确实存在一笔资料是记录了 Alice 申请的讯息跨链的请求
接着 Alice 向 Light Client 合约利用 (1)(2)(3) 的方法证明自己发起过跨链请求验证成功后就能相信来源链真的存在一笔讯息跨链的请求。例子：Cosmos IBC、Near Rainbow Bridge注：Cosmos IBC 是透过运行轻节点，而不是用合约的方式，在不同（也仅限于） Cosmos 链之间传递讯息。Near Rainbow Bridge 只能在 Ethereum、Near、Aurora 三条链之间传递。除了建造复杂与验证成本高之外，这种跨链桥还有一个缺点是：每条链的 Finality 时间不一样，例如 BTC 来的资料可能要等六个区块（一小时）、ETH 来的资料可能要等 12.8 分钟等等，使用体验会差很多。HTLC 代表的是 Hashed TimeLock Contract（哈希时间锁定合约，接下来会假设读者知道 HTLC 的运作方式）。注：HTLC 不一定要用 Hash 的方式来做 commitment，可以用签章来代替。HTLC 优点是非常安全，但缺点是使用体验比其他跨链桥差很多，例如：- Free Option Problem，发起 HTLC 的人是被动方，对手方可以选择配合或不配合（看哪个对他有利）。不过如果对手方是一个有名声要顾的商家（称作 Router）就不需要那么担心这个问题
- 不同 Router 的服务品质会有差异，导致使用体验不一致
以上是四种跨链桥的介绍，接下来会分析每一种跨链桥发生过的攻击事件。1. Trusted Relayers 跨链桥的攻击事件
1) Multichain, 2021.07, ~8M loss
在他们的 MPC 套件库中重用了该是随机产生的随机值，导致私钥可以被还原。相关链接：- https://medium.com/multichainorg/anyswap-multichain-router-v3-exploit-statement-6833f1b7e6fb
2) PolyNetwork, 2021.08, ~600M loss
智能合约漏洞导致攻击者能获得存取协议资产的权限。相关链接：- https://en.wikipedia.org/wiki/Poly_Network_exploit
- https://certik.medium.com/polynetwork-hack-analysis-a86513f2a730
3) Multichain, 2022.01, ~3M loss
智能合约漏洞导致攻击者可以任意转走受害者的 wrapped token（例如 WETH、WBNB 等）。相关链接：- https://medium.com/multichainorg/action-required-critical-vulnerability-for-six-tokens-6b3cbd22bfc0
- https://halborn.com/explained-the-multichain-hack-january-2022/
4) Qubit, 2022.01, ~80M loss
智能合约漏洞以及合约升级过程的疏忽，导致攻击者可以直接把协议里的资产全部提走。相关链接：- https://certik.medium.com/qubit-bridge-collapse-exploited-to-the-tune-of-80-million-a7ab9068e1a0
5) Wormhole, 2022.02, ~300M loss
智能合约漏洞让攻击者可以跳过权限检查，无限铸造出新的代币。相关链接：- https://wormholecrypto.medium.com/wormhole-incident-report-02-02-22-ad9b8f21eec6
6) Ronin Bridge, 2022.03, ~600M loss
- https://www.theverge.com/2022/7/6/23196713/axie-infinity-ronin-blockchain-hack-phishing-linkedin-job-offer
7) Horizon Bridge, 2022.06, ~100M loss
- https://halborn.com/explained-the-harmony-horizon-bridge-hack/
2. Optimistic Verification 跨链桥的攻击事件
Nomad, 2022.08, ~190M loss
智能合约漏洞及合约升级过程的疏忽，导致任何人都可以伪造跨链讯息来转走资产。相关链接：- https://www.coinbase.com/blog/nomad-bridge-incident-analysis
3. Light Client + Trustless Relayers 跨链桥的攻击事件
Near Rainbow Bridge, 2022.05 & 2022.08, no fund lost
两次尝试伪造跨链讯息的攻击都被 watchdog 服务挡下来。相关链接：- https://decrypt.co/108015/nears-rainbow-bridge-blocks-another-attack-costing-hackers-5-ethereum
其实可以看出来攻击事件都是发生在 Trusted Relayers 节点安全管理问题及合约出现问题，没有针对 Optimistic Verification、Light Client 或 HTLC 跨链桥本身协议成功的攻击事件。接着是不同种跨链桥技术在「成本（Cost）」、「使用者体验（UX） 」及「安全性（Security）」三个方面的比较。以下会直接以图片呈现
- Trusted Relayers：成本最低，因为不需什么复杂的验证，Relayer 带来的资讯都直接相信
- Optimistic Verification：只需要验证 Merkle Proof
- Light Client：要验证最多东西，包含共识、区块标头档及交易或状态的证明
- HTLC：验证的东西很简单，但会需要多笔交易（Lock/Unlock）才能完成
- Trusted Relayers：体验最好，Relayer 动作多快跨链就有多快，使用者也不需要做什么事
- Optimistic Verification：需要等待挑战期（Optimistic Window），以及有可能遇到 Updater 下线或 Watcher 恶搞
- Light Client：需要等待 Finality、不同链会有不一样的体验，且支援的链少
- HTLC：需要多笔交易（Lock/Unlock）才能完成、使用者需要保持在线、Router 们的服务品质不一致
- Trusted Relayers：安全性最低、需要大多数多签成员是诚实的假设，或是少部分成员被 DoS 打下线也会造成服务停摆
- Optimistic Verification：只需要假设至少有一个 Watcher 是诚实的，但 Updater 被 DoS 打下线还是会造成服务停摆
- Light Client：非常安全，必须要能攻击那些链的共识才有可能造成伤害
- HTLC：最安全，必须要攻破 hash function 才有可能造成伤害
Rollup Bridge 指的是 Rollup 和其 L1 之间的原生桥，因为 L1 和 Rollup 之间可以直接传递讯息，且讯息的有效性是被零知识证明或诈欺证明所保障的，所以比 L1 与 L1 之间的跨链桥还要安全许多。不过 Rollup 原生桥会有一些延迟：ZK Rollup 要等待零知识证明产生并上链、Optimistic Rollup 要等待挑战期结束。注：延迟主要是发生在 Rollup -> L1 的讯息，L1 -> Rollup 的讯息都非常快速。如果不想等待则可以使用第三方提供的服务：你用原生桥的方式转钱给第三方，第三方在 L1 先把钱垫付给你，他再慢慢等钱从原生桥过来。更多关于 Rollup Bridge 的介绍可以参考 imToken 的系列文《Rollup Bridge 介绍（一）：Maker DAI Bridge》：https://medium.com/imtoken/rollup-bridge-%E4%BB%8B%E7%B4%B9-%E4%B8%80-maker-dai-bridge-678c62228eb5
如果你只是单纯使用跨链服务，例如把钱从链 A 转到链 B，则你不需要担心太多，即便桥被骇，只要桥还有残存流动性或后来有新注入的流动性，你的跨链请求就一定会被完成。但如果你是想要提供流动性给跨链桥来赚跨链手续费的话，就要谨慎选择跨链桥了。如果被盗的金额太大，项目方赔不出来，那你就一定会赔钱。可以选择有额外安全机制的跨链桥，例如 Celer 和 XY 都有对跨链转帐订一个上限（例如单次或一段时间内最高累积只能转 100M）。其实就和使用 AMM 一样，提供流动性一定会承受比单纯 swap 更大的风险。1) ZK Light Client Bridge
前面有提到 Light Client 跨链桥虽然安全，但成本很高，好消息是零知识证明可以有效降低这个成本。但要注意的是零知识证明只能提高效率，并不能提高安全性。而且零知识证明更为复杂，要等到 ZK Light Client 支援足够多的链还要很长一段时间。有两个新项目在实作 ZK Light Client：- https://blog.succinct.xyz/post/2022/09/20/proof-of-consensus
- https://twitter.com/dawnsongtweets/status/1574775694139314176
- 如果跨链交易再搭配去 DEX 做 swap 的话那 MEV 机会又更多
想了解更多资讯可以参考 Nomad 创办人在 ETHAmsterdam 的MEV Day 的演讲及投影片。他推断跨链 DEX 做不起来，因为价格会因为更多的 MEV 机会影响而导致没有竞争力，要用跨链 DEX 还不如单纯先把资产跨链再自己去 DEX swap。https://medium.com/taipei-ethereum-meetup/%E8%B7%A8%E9%8F%88%E6%A9%8B%E6%AF%94%E8%BC%83-4327192f7200
** 本文仅代表原作者观点，不构成任何投资意见或建议。-END-
【发布文章仅为传播更有价值的信息，文章版权归原作者所有，其内容与观点不代表 Unitimes 立场。本微信平台出现的图片均在互联网收集而来，版权归版权所有人所有，若版权者认为其作品不宜供大家浏览或不应无偿使用，请添加微信 unitimes2018 联系我们，本平台将立即更正。】
【免责声明】市场有风险，投资需谨慎。本文不构成投资建议，用户应考虑本文中的任何意见、观点或结论是否符合其特定状况。据此投资，责任自负。
相关Wiki
