目前為止的黑客攻擊損失中，超過80% 是通過有漏洞的跨鏈橋被盜取。
當Axie Infinity 和DeFi Kingdoms 等遊戲類DApp 維持著像Ronin 和Harmony 等整個生態系統時，Fantom 或Avalance 等網絡協議已經在DeFi 浪潮中賺的盆滿缽滿。這些區塊鏈已成為以太坊汽油費和相對緩慢的交易時間的重要替代品。想要一種簡單的能在不同區塊鏈上的協議之間移動資產的方法變得比以往任何時候都更加迫切。
這就是區塊鏈跨鏈橋的誕生之地。
由於多鏈場景的應用，所有DeFi DApp 的總鎖定價值飆升。截至2022 年5 月，該行業的TVL 估計為1112.8 億美元。這些DeFi DApp 中鎖定和橋接的龐大資產吸引了惡意黑客的注意力，最新趨勢表明，攻擊者可能已經在區塊鍊網橋中發現了薄弱環節。
根據Rekt 數據庫，2022 年第一季度有12 億美元的加密資產被盜，根據同一來源，佔歷史被盜資金的35.8%。有趣的是，2022 年至少80% 的損失資產是從鏈橋上被盜的。
最嚴重的攻擊之一發生在3 月份，當時Ronin 橋被黑客入侵，損失了5.4 億美元。在此之前，Solana Wormhole 和BNB Chain 的Qubit Finance 橋在2022 年被盜了超過4 億美元。加密歷史上最大的黑客攻擊發生在2021 年8 月，當時PolyNetwork 橋被盜了6.1 億美元，但被盜資金後有被追回。
鏈橋是區塊鏈行業中最有價值的工具之一，但它們的互操作性對構建它們的項目提出了重要挑戰。
了解區塊鏈橋樑
類似於曼哈頓橋，區塊鏈橋是連接兩個不同網協議絡的平台，可實現資產和信息從一個區塊鏈到另一個區塊鏈的跨鏈傳輸。通過這種方式，加密貨幣和NFT 不會孤立在其本鏈中，而是可以跨不同的區塊鏈「橋接」，從而增加這些資產的利用途徑。
幸虧有鏈橋的存在，比特幣可被用於基於智能合約的網絡中，用於DeFi 目的或者讓NFL 、NFT 可以從Flow 橋接到以太坊以進行細分或作為抵押品。
當然，想要轉移資產還有一些其他不同的方法。比如Lock-and-Mint，顧名思義其橋接的工作原理就是將原始資產鎖定在發送方的智能合約中，而接收網絡在另一方鑄造原始代幣的副本。如果以太幣從以太坊橋接到Solana，那麼Solana 中的以太幣只是副本，而不是以代幣本身。
鎖定和鑄幣機制| 來源：MakerDAO
雖然Lock-and-Mint 方法是目前最流行的橋接方法，但還有其他方法可以完成資產轉移，例如「burn-and-mint」或由智能合約自行執行兩個網絡之間交換資產atomic swaps。 Connext（以前稱為xPollinate）和cBridge 是依賴於atomic swaps 的鏈橋。
從安全的角度來看，鏈橋可以分為兩大類：受信任和去信任。受信任的鏈橋是依賴第三方來驗證交易的平台，但更重要的是，它可以充當橋接資產的保管人。幾乎所有特定於區塊鏈的橋樑都可以找到可信橋樑的案例，例如Binance Bridge、Polygon POS Bridge、WBTC Bridge、Avalanche Bridge、Harmony Bridge、Terra Shuttle Bridge，以及Multichain（以前稱為Anyswap）或Tron 的Just Cryptos 等DApps。
相反，純粹依靠智能合約和算法來託管資產的平台是去信任的鏈橋。去信任鏈橋的安全因素與資產被橋接的底層網絡相關，即資產被鎖定的地方。在NEAR 的Rainbow Bridge、Solana 的Wormhole、Polkadot 的Snow Bridge、Cosmos IBC 以及Hop、Connext 和Celer 等平台中可以找到去信任的鏈橋。
乍一看，去信任鏈橋似乎為在區塊鏈之間轉移資產提供了更安全的選擇。然而，受信任和去信任的鏈橋都面臨著不同的挑戰。
受信任和去信任鏈橋的局限性
Ronin 鏈橋作為一個集中的受信任運行平台，該鏈橋使用多重簽名錢包來託管橋接資產。簡而言之，多重簽名錢包是一個需要兩個或兩個以上加密簽名來批准交易的地址。在Ronin 的案例中，側鏈有九個驗證者，需要五個不同的簽名來批准存款和取款。
其他平台使用相同的方法，但風險分散性更好一點。例如，Polygon 依賴於8 個驗證器並需要5 個簽名。這五個簽名由不同各方控制。就Ronin 而言，Sky Mavis 團隊單獨持有四個簽名，造成單點故障。黑客一次性控制了四個Sky Mavis簽名後，只需要一個簽名就可以批准資產的提現。
3 月23 日，攻擊者控制了Axie DAO 的簽名，這是完成攻擊所需的最後一部分。在有史以來第二大加密攻擊中，173600 ETH 和2550 萬USDC 通過兩次不同交易從Ronin 的託管合約中流失。值得注意的還有，Sky Mavis 團隊在近一周後才發現黑客攻擊，這表明Ronin 的監控機制至少存在一定不完善的地方，這也揭示了這個受信任平台的一個缺陷。
雖然集中化存在一個根本缺陷，但由於軟件和編碼中的錯誤和漏洞，去信任的鏈橋也很容易受到攻擊。
Solana Wormhole 是一個實現Solana 和以太坊之間跨橋交易的平台，在2022 年2 月遭受了攻擊，由於Solana 的託管合同中的一個漏洞，3.25 億美元被盜。蟲洞合約中的一個漏洞允許黑客設計跨鏈驗證器，攻擊者從以太坊向Solana 發送了0.1 ETH，以觸發一組「傳輸消息」，誘使程序批准假定的12 萬枚ETH 存款轉移。
由於合同分類和結構存在缺陷Poly Network於2021 年8 月被盜6.1 億美元後，Wormhole 黑客事件發生。該DApp 中的跨鏈交易由稱為「守護者」的集中節點組批准，並通過網關合約在接收網絡上進行驗證。在這次攻擊中，黑客能夠獲得作為管理員的特權，從而通過設置自己的參數來欺騙網關。攻擊者在Ethereum、BinancDe、Neo 和其他區塊鏈中重複該過程以提取更多資產。
所有的橋樑都通向以太坊
以太坊仍然是行業中最主要的DeFi 生態系統，佔行業TVL 的近60%。與此同時，這些不同的網絡協議作為以太坊DeFi DApp 替代品，它們的興起也引發了區塊鏈橋的跨鏈活動。
業內最大的橋是WBTC 橋，由RenVM 背後的團隊BitGo、Kyber 和Republic Protocol 託管。由於比特幣代幣在技術上與基於智能合約的區塊鏈不兼容，因此WBTC 橋“包裝”原生比特幣，將其鎖定在橋託管合約中，並在以太坊上鑄造其ERC-20 版本。這座橋在DeFi Summer（自2020 年夏天以來，在DeFi 市場經歷了驚人的增長，所以稱為「DeFi summer」）大受歡迎，現在持有價值約125 億美元的比特幣。 WBTC 允許將BTC 用作Aave、Compound 和Maker 等Dapp 的抵押品，或者在多種DeFi 協議中產生收益或賺取利息。
Multichain，以前叫Anyswap，是一個DApp，它通過內置的鏈橋向40 多個區塊鏈提供跨鏈交易。 Multichain 在基於所有連接的網絡基礎上持有65 億美元。然而，以太坊的Fantom 橋是迄今為止最大的池，它鎖定了35 億美元。在2021 年下半年，Proof-of-Stake 網絡因為擁有有吸引力的收益農場，包括FTM、各種穩定幣或像SpookySwap 上發現的wETH，使之成為一個受歡迎的DeFi領域。
與Fantom 不同，大多數L1 區塊鏈使用獨立的直接網橋連接網絡。 Avalanche 橋主要由Avalanche 基金會託管，是最大的L1<>L1 橋。 Avalanche 是最強大的DeFi 領域之一，因為其擁有包括Trader Joe、Aave、Curve 和Platypus Finance 等Dapp。
Binance 橋也以45 億美元的鎖定資產脫穎而出，緊隨其後的是Solana Wormhole，其TVL為38 億美元。
同樣，就TVL而言，Polygon、Arbitrum 和Optimism 等擴展解決方案也是最重要的橋樑之一。 Polygon POS 橋是以太坊及其側鏈之間的主要入口點，是第三大橋，託管了近60 億美元。同時，Arbitrum 和Optimism 等流行的L2 平台的鏈橋的流動性也在上升。
另一個值得一提的橋是Near Rainbow 橋，旨在解決著名的互操作性三難困境（去中心化，擴容，安全性）。這個將Near 和Aurora 與以太坊連接起來的平台可能會為實現去信任鏈橋的安全性提供寶貴的機會。
如何提升跨鏈安全性
作為託管橋接資產的兩種方法，受信任橋接和去信任橋接都容易存在基礎面和技術面的缺陷。儘管如此，仍有一些方法可以防止和減少由黑客對區塊鏈的惡意破壞造成的影響。
在受信任鏈橋的情況下，很明顯需要增加所需簽名者的比例，同時還要讓多重簽名分佈在不同的錢包中。儘管去信任的鏈橋消除了與中心化相關的風險，但仍然存在漏洞和其他技術限制的風險情況，如Solana Wormhole 或Qubit Finance 漏洞利用案例所示。因此，有必要實施鏈下行動以盡可能保護跨鏈平台。
協議之間的合作是很有必要的。 Web3 空間的特點是其社區聯合性，因此讓業內最聰明的人共同努力使該空間成為一個更安全的地方求之不得。 Animoca Brands、Binance 和其他Web3 品牌籌集了1.5 億美元，以幫助Sky Mavis 減少Ronin 橋由於黑客攻擊的帶來的財務危機。通過共同努力協作可以為多鏈未來將互操作性提升到一個新的水平。
同樣，與鏈分析平台和CEX的協調合作有助於追踪和標記被盜的Token。這種情況可能會在中期抑制犯罪分子的積極性，因為將加密貨幣兌現為法定貨幣的網關應該由已建立的CEX 中的KYC 程序控制。上個月，兩名20 歲的年輕人在NFT 領域實施詐騙後受到法律制裁。同樣應該對已確認身份的黑客要求同樣的懲罰才是公平的。
審計和漏洞賞金也是改善任何Web3 平台（包括鏈橋）安全狀況的另一種方式。 Certik、Chainsafe、Blocksec 等認證組織有助於使Web3 交互更安全。所有鏈橋活動都應由至少一個認證組織進行審核。
同時，漏洞賞金計劃在項目及其社區之間創造了協同效應。白人黑客在其他黑客進行惡意攻擊之前識別漏洞方面發揮著至關重要的作用。例如，Sky Mavis最近推出了一項價值100 萬美元的漏洞賞金計劃，以加強其生態系統的安全性。
結論
激增的L1 和L2 解決方案作為整體區塊鏈統挑戰以太坊DApp 的生態系統， 它們激增催生了通過跨鏈在網絡之間移動資產的需求。這是互操作性的本質，也是Web3 的支柱之一。
儘管如此，當前的可互操作場景依賴於跨鏈協議，而不是多鏈方法， Vitalik 在今年年初對這種情況發出了。儘管對空間互操作性的需求非常明顯，仍需要在此類平台中採取更強大的安全措施。
不幸的是，挑戰不會輕易克服。受信任和去信任的平台都存在設計缺陷。這些固有的跨鏈缺陷已經變得顯而易見。截至目前為止，在12 億美元的黑客攻擊中損失中，超過80% 通過有漏洞的鏈橋被盜取。
此外，隨著行業價值的不斷增加，黑客技術也變得越來越強大。社會工程和網絡釣魚攻擊等傳統網絡攻擊手法已經成為Web3 過去的發展歷史了。
所有代幣版本都和每個區塊鏈本地相對應的多鏈方法仍然很遙遠。因此，跨鏈平台必須吸取以往的經驗教訓，加強流程監管，盡可能減少黑客攻擊的成功性。
