Jak działają mosty międzyłańcuchowe i dlaczego skradziono z nich 4 miliardy dolarów

Wprowadzenie

Blockchainy nie komunikują się ze sobą. Ethereum nie może odczytać stanu Solany. Arbitrum nie może zweryfikować transakcji na Avalanche. Każdy łańcuch utrzymuje własną księgę, własny konsensus i własne zasady finalności. Ta izolacja jest cechą projektu bezpieczeństwa, ale stwarza praktyczny problem: użytkownicy posiadają aktywa na jednym łańcuchu i chcą ich używać na innym.

Mosty istnieją, aby to rozwiązać. Most to system, który pozwala użytkownikowi zdeponować aktywa na łańcuchu A i otrzymać odpowiadające im aktywa na łańcuchu B. Koncepcja brzmi prosto. Implementacja to miejsce, gdzie stracono miliardy dolarów.

Podstawową trudnością jest weryfikacja. Gdy użytkownik twierdzi, że zdeponował 100 ETH na Ethereum i prosi o 100 ETH na Arbitrum, ktoś lub coś musi zweryfikować, że depozyt faktycznie miał miejsce. Mechanizm wybrany do tej weryfikacji determinuje model bezpieczeństwa mostu, jego szybkość, koszt i powierzchnię ataku. Jak zauważyła analiza Coinbase dotycząca włamań na mosty, awarie bezpieczeństwa mostów konsekwentnie wynikają z luki między założeniami zaufania, które most deklaruje, a tymi, które faktycznie egzekwuje.

Ten przewodnik omawia, jak działają główne architektury mostów, dlaczego każdy z największych exploitów zakończył się sukcesem oraz co sprawdzić przed powierzeniem mostowi swoich środków.

Lock-and-mint: oryginalny mechanizm mostu

Najwcześniejszy i najczęstszy projekt mostu to lock-and-mint. Mechanizm działa w trzech krokach:

1. Zablokuj. Użytkownik wysyła tokeny do inteligentnego kontraktu na łańcuchu źródłowym. Tokeny są blokowane (przetrzymywane) w tym kontrakcie, nie spalane ani przenoszone.
2. Zweryfikuj. Zestaw walidatorów, przekaźników lub oracle obserwuje depozyt na łańcuchu źródłowym i poświadcza jego ważność na łańcuchu docelowym.
3. Wyemituj. Inteligentny kontrakt na łańcuchu docelowym emituje syntetyczną wersję zablokowanego tokena. Użytkownik otrzymuje „opakowane ETH” lub „mostowane USDC”, które reprezentują roszczenie do zablokowanego oryginału.

Aby wrócić, proces się odwraca: użytkownik spala syntetyczny token na łańcuchu docelowym, walidatorzy poświadczają spalenie, a oryginalne tokeny są odblokowywane na łańcuchu źródłowym.

Bezpieczeństwo lock-and-mint zależy całkowicie od kroku weryfikacji. Jeśli atakujący może przekonać łańcuch docelowy, że depozyt miał miejsce, gdy nie miał, może wyemitować niepokryte tokeny. To właśnie wydarzyło się w największych exploitach mostów.

Problem arytmetyczny. Mosty lock-and-mint muszą utrzymywać stosunek 1:1 między zablokowanymi oryginałami a wyemitowanymi syntetykami. Jeśli 10 000 ETH jest zablokowane na Ethereum, dokładnie 10 000 mostowanych ETH powinno istnieć na łańcuchu docelowym. Jakakolwiek rozbieżność oznacza, że niektóre mostowane tokeny są niepokryte. Gdy exploity tworzą niepokryte syntetyki, ostatni użytkownicy, którzy chcą odkupić, znajdują pusty skarbiec. To tworzy dynamikę runu na bank: gdy tylko wieść o exploicie się rozprzestrzeni, każdy posiadacz opakowanego tokena spieszy się, aby odkupić, wiedząc, że tylko pierwsi otrzymają prawdziwe aktywa.

Burn-and-mint: natywne tokeny międzyłańcuchowe

Burn-and-mint eliminuje problem opakowanych tokenów, niszcząc oryginał i tworząc nowy.

1. Spal. Token jest trwale niszczony na łańcuchu źródłowym.
2. Zweryfikuj. Zdarzenie spalenia jest weryfikowane na łańcuchu docelowym.
3. Wyemituj. Nowe tokeny są emitowane natywnie na łańcuchu docelowym.

Ten model działa tylko dla tokenów, których emitent kontroluje emisję na wielu łańcuchach. Protokół Cross-Chain Transfer Protocol (CCTP) firmy Circle dla USDC jest największą implementacją. Gdy użytkownik mostuje USDC z Ethereum na Avalanche przez CCTP, USDC na Ethereum jest spalane, a natywne USDC jest emitowane na Avalanche. Nie ma opakowanych tokenów, fragmentacji płynności ani niepokrytych syntetyków.

Ograniczeniem jest to, że burn-and-mint wymaga od emitenta tokena wdrożenia i obsługi infrastruktury na każdym obsługiwanym łańcuchu. Nie jest to mechanizm ogólnego przeznaczenia. Dowolne tokeny ERC-20 nie mogą używać burn-and-mint, chyba że ich deweloperzy zbudują infrastrukturę emisji międzyłańcuchowej. CCTP obsługuje obecnie ponad kilkanaście łańcuchów, ale każda integracja wymaga bezpośredniego zaangażowania Circle.

Mosty oparte na pulach płynności: szybkość dzięki kapitałowi

Trzeci model unika zarówno opakowywania, jak i spalania, wykorzystując wstępnie zasilone pule płynności na każdym łańcuchu.

Mechanizm:

1. Depozyt. Użytkownik wpłaca tokeny do puli w łańcuchu źródłowym.
2. Wypłata. Użytkownik (lub przekaźnik działający w jego imieniu) wypłaca równoważne tokeny z puli w łańcuchu docelowym.
3. Rebalansowanie. Protokół okresowo równoważy pule między łańcuchami, aby utrzymać odpowiednią płynność.

Stargate (zbudowany na LayerZero) i Across Protocol używają wariantów tego modelu. Zaletą jest szybkość: ponieważ tokeny już istnieją w łańcuchu docelowym, nie ma opóźnienia związanego z biciem. Użytkownik natychmiast otrzymuje prawdziwe, natywne tokeny.

Kompromisem jest efektywność kapitałowa. Płynność musi być z góry umieszczona w każdym obsługiwanym łańcuchu, a ten kapitał przynosi zysk tylko wtedy, gdy mosty są aktywnie używane. W okresach niskiego wolumenu dostawcy płynności zarabiają niewiele, podczas gdy ich kapitał pozostaje bezczynny. Łączne wymagania kapitałowe we wszystkich obsługiwanych łańcuchach mogą sięgać setek milionów dolarów, co tworzy barierę wejścia i ryzyko koncentracji, jeśli jeden dostawca płynności dominuje.

Atak na most Ronin: 624 miliony dolarów z skompromitowanych kluczy

23 marca 2022 r. atakujący wyprowadzili 624 miliony dolarów w ETH i USDC z mostu Ronin, który łączył Ethereum z sidechainem Ronin używanym przez grę Axie Infinity.

Most Ronin używał schematu walidacji multisig. Dziewięć węzłów walidatorów weryfikowało transakcje mostu, a dowolne pięć mogło autoryzować wypłatę. Założenie bezpieczeństwa było takie, że skompromitowanie pięciu z dziewięciu niezależnych walidatorów byłoby niepraktyczne.

To założenie było błędne. Sky Mavis, firma stojąca za Axie Infinity, kontrolowała cztery z dziewięciu węzłów walidatorów. Piąty walidator udzielił Sky Mavis tymczasowego pozwolenia na podpisywanie w jego imieniu podczas okresu wysokiego wolumenu transakcji i nigdy nie cofnął tego pozwolenia.

Atakujący (później przypisani przez FBI do północnokoreańskiej Grupy Lazarus) skompromitowali systemy Sky Mavis i uzyskali prywatne klucze wszystkich pięciu walidatorów. Z pięcioma z dziewięciu podpisów autoryzowali dwie fałszywe wypłaty: 173 600 ETH i 25,5 miliona USDC.

Exploit nie został wykryty przez sześć dni. Wyszedł na jaw dopiero, gdy użytkownik próbował wypłacić 5000 ETH i odkrył, że most nie ma wystarczających środków.

Lekcja. Bezpieczeństwo multisig jest tak silne, jak niezależność jego sygnatariuszy. Kiedy pojedyncza organizacja kontroluje większość kluczy, multisig jest pojedynczym punktem awarii z dodatkowymi krokami.

Atak na Wormhole: 326 milionów dolarów z obejścia weryfikacji

2 lutego 2022 r. atakujący wykorzystał most Wormhole do wybicia 120 000 wETH (opakowanego ETH) na Solanie bez wpłacania żadnego ETH na Ethereum. Exploit był wart około 326 milionów dolarów.

Most Wormhole opierał się na zestawie 19 strażników do weryfikacji komunikatów między łańcuchami. Strażnicy obserwowali depozyt na Ethereum, tworzyli podpisane poświadczenie (zwane VAA, Verified Action Approval), a kontrakt po stronie Solany weryfikował podpisy przed biciem.

Podatność była w weryfikacji podpisów po stronie Solany. Kontrakt Solany Wormhole używał przestarzałej instrukcji systemowej (verify_signatures), która nie poprawnie walidowała kont przekazanych do niej. Atakujący stworzył fałszywy zestaw strażników, przesłał sfałszowany VAA z podpisami z tego fałszywego zestawu, a kontrakt zaakceptował go jako ważny.

W efekcie atakujący powiedział kontraktowi Solany „ci strażnicy zatwierdzili to bicie”, a kontrakt nie sprawdził, czy strażnicy są prawdziwi.

Jump Crypto, które wspierało Wormhole, zastąpiło skradzione 120 000 ETH z własnych rezerw. Pełne przywrócenie nastąpiło w ciągu 24 godzin, co było bezprecedensową reakcją, która zapobiegła kaskadowym stratom w protokołach DeFi na Solanie, które posiadały wETH.

Lekcja. Kod weryfikacji mostu jest atrakcyjnym celem ataków o wysokiej wartości. Pojedynczy błąd logiczny w sposobie walidacji podpisów może pozwolić na nieograniczone nieautoryzowane bicie.

Hak Nomad: 190 milionów dolarów z powodu błędnej aktualizacji

1 sierpnia 2022 r. z mostu Nomad wyprowadzono około 190 milionów dolarów. W przeciwieństwie do Ronin i Wormhole, Nomad nie został zaatakowany przez wyrafinowaną grupę. Został opróżniony przez setki indywidualnych naśladowców po tym, jak początkowy exploit stał się publiczny.

Nomad używał optymistycznego modelu weryfikacji. Wiadomości międzyłańcuchowe były przesyłane i uznawane za prawidłowe, chyba że zakwestionowano je w ciągu 30 minut. Rutynowa aktualizacja kontraktu wprowadziła błąd: kontrakt został zainicjalizowany z zaufanym korzeniem 0x00, czyli zerową wartością bytes32.

W logice weryfikacji Nomad każda wiadomość była sprawdzana względem zaufanego korzenia. Ponieważ 0x00 jest wartością domyślną dla niezainicjalizowanej pamięci w Solidity, każda wiadomość automatycznie przechodziła weryfikację. Każdy użytkownik mógł przesłać dowolną wiadomość, a kontrakt akceptował ją jako potwierdzoną.

Gdy pierwszy atakujący zademonstrował, że dowolne wiadomości są akceptowane, inni kopiowali transakcję, zmieniali adres odbiorcy i odtwarzali ją. Most został opróżniony przez rój oportunistycznych atakujących, w tym białych kapeluszy, którzy później zwrócili około 36 milionów dolarów z odzyskanych środków.

Lekcja. Błędy inicjalizacji w kontraktach mostów mogą być katastrofalne. Pojedynczy błędnie skonfigurowany parametr zmienił model bezpieczeństwa Nomad z „optymistycznej weryfikacji z dowodami oszustwa” na „brak jakiejkolwiek weryfikacji”.

Hak Harmony Horizon: 100 milionów dolarów z portfela multisig dwa z pięciu

W czerwcu 2022 r. most Harmony Horizon stracił 100 milionów dolarów, gdy atakujący przejęli prywatne klucze dwóch z pięciu walidatorów w multisig mostu. Most Harmony wymagał tylko dwóch z pięciu podpisów do zatwierdzenia transakcji, co było niezwykle niskim progiem dla mostu trzymającego 100 milionów dolarów.

Atak wzmocnił lekcję z Ronin: mosty multisig są tak bezpieczne, jak ich najsłabszy zestaw podpisujących. Gdy próg jest niski w stosunku do liczby podpisujących, pojedynczy kompromis infrastruktury może być wystarczający. Badacze bezpieczeństwa publicznie krytykowali próg dwa z pięciu w Harmony przed atakiem.

Lekcja. Wybór progu ma znaczenie tak samo jak liczba walidatorów. Multisig pięć z dziewięciu oferuje znacząco inne bezpieczeństwo niż dwa z pięciu, nawet jeśli oba używają tego samego mechanizmu.

Skumulowane straty i wzorce ataków

Skala strat mostów jest bezprecedensowa w bezpieczeństwie inteligentnych kontraktów. Exploity mostów stanowią około 3 miliardów dolarów z 17 miliardów dolarów całkowitych hacków kryptowalutowych w ciągu ostatniej dekady, co czyni mosty najbardziej atakowaną kategorią inteligentnych kontraktów.

Wzorce ataków skupiają się w trzech kategoriach:

Kompromitacja kluczy. Atakujący uzyskuje wystarczającą liczbę kluczy walidatorów lub podpisujących, aby sfałszować wiadomości mostu. Ronin i Harmony podążały tym wzorcem. Podatność nie leży w kodzie, ale w bezpieczeństwie operacyjnym infrastruktury podpisującej.

Obejście weryfikacji. Atakujący znajduje błąd w logice weryfikacji, który pozwala sfałszowanym wiadomościom przejść. Wormhole podążał tym wzorcem. Podatność jest błędem na poziomie kodu w najbardziej krytycznej funkcji kontraktu mostu.

Błędy inicjalizacji lub aktualizacji. Atakujący wykorzystuje błędną konfigurację wprowadzoną podczas wdrożenia lub aktualizacji. Nomad podążał tym wzorcem. Podatność ma charakter proceduralny: zespół popełnił błąd podczas rutynowej operacji.

Każdy wzorzec wymaga innej obrony. Kompromitację kluczy łagodzi się poprzez zwiększenie różnorodności podpisujących i użycie sprzętowych modułów bezpieczeństwa. Obejście weryfikacji łagodzi się poprzez audyty i formalną weryfikację. Błędy inicjalizacji łagodzi się poprzez procedury aktualizacji, które obejmują obowiązkowe testy na forkowanych sieciach.

Czwarty pojawiający się wzorzec zasługuje na wzmiankę: ataki na zarządzanie. Atakujący, który zgromadzi wystarczającą liczbę tokenów zarządzania, aby kontrolować mechanizm aktualizacji mostu, może zmodyfikować kontrakt mostu, aby wyprowadzić środki. Ten atak jest wolniejszy i bardziej widoczny niż inne, ale celuje w mosty, których zarządzanie jest skoncentrowane lub których blokada czasowa na aktualizacje jest zbyt krótka. Zespoły mostów coraz częściej stosują wielodniowe blokady czasowe (48–72 godziny) na aktualizacje kontraktów, aby dać użytkownikom czas na wypłatę środków przed wejściem w życie złośliwej zmiany.

Alternatywa oparta na intencjach dla tradycyjnych mostów

Nowsze podejście całkowicie omija kontrakty mostów, wykorzystując transfery międzyłańcuchowe oparte na intencjach. Across Protocol i tryb międzyłańcuchowy UniswapX pozwalają użytkownikom wyrazić intencję mostowania: „Mam 1000 USDC na Ethereum i chcę 1000 USDC na Arbitrum.” Solver (zwany przekaźnikiem) natychmiast wysyła tokeny ze swojego własnego zapasu w łańcuchu docelowym, a następnie później ubiega się o zwrot kosztów.

Ten model zmniejsza powierzchnię zaufania. Użytkownik nigdy nie deponuje tokenów w kontrakcie mostu, który przechowuje zgromadzone środki. Solver przejmuje ryzyko zwrotu kosztów, a kontrakt rozliczeniowy egzekwuje, że użytkownik otrzymał obiecany wynik. Nie ma dużej puli zablokowanych aktywów, która mogłaby być celem atakującego.

Kompromisem jest zależność od solvera: jeśli żaden solver nie jest skłonny zrealizować intencji po akceptowalnej cenie, transfer nie zostanie wykonany. W przypadku tras o dużym ruchu (Ethereum do Arbitrum, Ethereum do Base) konkurencja solverów jest silna. W przypadku tras o niskim wolumenie solvery mogą nie być aktywne.

Mosty lekkich klientów i weryfikacja z wiedzą zerową

Powyższe exploity mają wspólną słabość: polegają na zewnętrznych walidatorach lub multisigach, które poświadczają, że coś wydarzyło się w innym łańcuchu. Jeśli ci poświadczający zostaną skompromitowani, most zawodzi.

Mosty lekkich klientów stosują inne podejście. Zamiast ufać zestawowi walidatorów, łańcuch docelowy uruchamia lekkiego klienta, który bezpośrednio weryfikuje konsensus łańcucha źródłowego.

Na przykład most lekkiego klienta do Ethereum śledziłby zestaw walidatorów Ethereum i weryfikował nagłówki bloków oraz dowody stanu w łańcuchu. Gdy użytkownik twierdzi, że zdeponował tokeny na Ethereum, kontrakt mostu weryfikuje dowód Merkle'a względem nagłówka bloku Ethereum, który już zweryfikował.

To podejście minimalizuje zaufanie: most ufa konsensusowi łańcucha źródłowego, a nie zewnętrznemu komitetowi. Jest jednak kosztowne. Weryfikacja konsensusu Ethereum w innym łańcuchu wymaga znacznych obliczeń, co przekłada się na wysokie koszty gazu.

Dowody z wiedzą zerową oferują rozwiązanie problemu kosztów. Zamiast weryfikować każdy podpis walidatora w łańcuchu, dowód ZK może skompresować weryfikację do jednego zwięzłego dowodu. Łańcuch docelowy weryfikuje jeden dowód zamiast setek podpisów.

Projekty takie jak Succinct Labs, Polymer i Lagrange budują mosty z weryfikacją ZK. Wciąż dojrzewają, ale reprezentują najsilniejszy model bezpieczeństwa dla komunikacji międzyłańcuchowej: ufaj matematyce, nie komitetowi. Wczesne implementacje pokazują spadające koszty weryfikacji w miarę, jak systemy dowodów ZK stają się bardziej wydajne, a niektóre mosty już działają na mainnecie z czasem dowodzenia poniżej 30 sekund.

Czego ten przewodnik nie obejmuje

Ten przewodnik wyjaśnia mechanikę mostów i największe exploity. Nie obejmuje:

• Strategii mostowania specyficznych dla tokenów ani tego, którego mostu użyć dla danego aktywa
• Szczegółowego porównania agregatorów mostów (Li.Fi, Socket, Bungee)
• Ekonomiki dostarczania płynności dla pul mostów
• Protokołów komunikacji międzyłańcuchowej poza ich funkcją mostowania (LayerZero, Axelar, Chainlink CCIP jako ogólne warstwy przesyłania wiadomości)

Praktyczne kontrole przed użyciem mostu

Sprawdź mechanizm weryfikacji. Mosty multisig są najsłabszym modelem. Mosty lekkich klientów i z weryfikacją ZK są najsilniejsze. Mosty optymistyczne plasują się pomiędzy. Wiedz, czemu ufasz.

Przyjrzyj się zestawowi walidatorów lub opiekunów. W przypadku mostów multisig sprawdź, ilu jest sygnatariuszy, kto nimi zarządza i czy są naprawdę niezależni. Jeśli większość sygnatariuszy należy do tej samej organizacji lub jurysdykcji geograficznej, multisig zapewnia ograniczone bezpieczeństwo.

Przejrzyj historię audytów. Kontrakty mostów są celami o wysokiej wartości. Szukaj wielu niezależnych audytów przeprowadzonych przez renomowane firmy. Most, który nie był audytowany lub był audytowany tylko raz, wymaga szczególnej ostrożności. Zwróć uwagę na zakres audytów: audyt kontraktu tokena nie obejmuje logiki weryfikacji.

Rozważ całkowitą wartość zablokowaną w porównaniu z budżetem bezpieczeństwa. Most przechowujący 500 milionów dolarów z multisigiem pięć z dziewięciu przedstawia zupełnie inny profil ryzyka niż most przechowujący 5 milionów. Atakujący celują w mosty, gdzie potencjalna wypłata uzasadnia wysiłek. Racjonalny atakujący oblicza, czy koszt skompromitowania wystarczającej liczby kluczy jest mniejszy niż wartość, którą można wydobyć.

Najpierw przetestuj małymi kwotami. Przed przeniesieniem znacznej wartości wyślij małą transakcję testową. Zweryfikuj, czy adres odbiorcy, token i kwota są poprawne. Transakcje mostowe są zazwyczaj nieodwracalne.

Preferuj natywne mosty dla rollupów. Dla rollupów L2 Ethereum (Arbitrum, Optimism, Base), most kanoniczny dziedziczy bezpieczeństwo bezpośrednio z konsensusu Ethereum. Mosty stron trzecich mogą być szybsze, ale wprowadzają dodatkowe założenia zaufania. Używaj mostów kanonicznych dla dużych transferów, gdzie bezpieczeństwo jest ważniejsze niż szybkość.