作者:?IOBCCapital
前段時間,AxieInfinity的底層區塊鏈網絡RoninNetwork失竊6億美金,直到用戶無法從跨鏈橋RoninBridge提款后盜竊案才被發現。跨鏈橋的資產安全問題再次引發熱議。
事后,SkyMavisCOOAlexsanderLarsen表示,“RoninBridge被攻擊不是因為智能合約存在漏洞,而與社會工程和人為錯誤有關”。AxieInfinity的投資方AnimocaBrands聯合創始人YatSiu曾在采訪中提到,“如果一座橋梁能夠鑄造代幣,那它就像鑄造機一樣……橋梁是權威,但如果它們設計不當或存在漏洞,就會對生態系統構成巨大風險。”
本文我們具體聊聊Tokenbridge的工作原理以及如何保證可靠性和安全性。
一、Tokenbridge的特性和模型
在ethereum生態中,tokenbridge允許用戶在兩條鏈上傳輸數據,并且提供了快速和安全的鏈接。tokenbridge作為主鏈和側鏈之間的橋梁,對于資產和數據的轉移起到了決定性的作用。
Layer-2區塊鏈Optimism日交易量在六個月內首次超過Arbitrum:金色財經報道,根據Dune Analytics 的數據, Layer-2 區塊鏈 Optimism 的每日交易量在六個月內首次超過了其競爭對手 Arbitrum 。
7 月 25 日,Optimism 的交易總數為 844,290 筆,而 Arbitrum 的交易總數為 630,534 筆。這一增長可歸因于 Worldcoin (WLD) 的發布,這是一家由 Chat GPT 的 Sam Altman 創立的加密人工智能公司,基于 Optimism 區塊鏈。Optimism 的原生代幣 (OP) 在過去 24 小時內上漲了 4.5%。
Optimism 的每日活躍錢包指標仍低于 Arbitrum,為 51,062 個,而 Arbitrum 為 63,893 個。[2023/7/28 16:03:11]
1.鏈與網絡的定義
Native:本地鏈是一個快速并且便宜的網絡,所有收集validator的bridge操作都在native這一側執行。
CoinList推特賬號被黑并發布虛假空投信息,請用戶注意風險:7月23日消息,CoinList在其Telegram平臺發布公告表示,其官方推特平臺已被黑客攻擊,黑客發布虛假空投信息。請用戶不要點擊任何鏈接。CoinList當前沒有任何代幣計劃。[2023/7/23 15:53:23]
Foregin:這邊可以是任何鏈,但通常是指以太坊的主網。
ERC20:在ERC20-ERC20bridge模式中,ERC667作為ERC20的實現可以在NativeSide端被創建和銷毀。
2.BridgeModes
bridge可以被配置成多種網絡方式。當前支持的方式包括Native-to-ERC20?模式,ERC20-to-ERC20模式,ERC20-to-Native模式和AMB模式。
ERC20toERC20:?兼容的ERC20token被鎖在foreignnetwork,同時在native邊創建erc20token;當從navtive向foregin轉移時,erc677token被銷毀,erc20token被unlock。
DownDetector:用戶報告顯示Twitter出現問題:金色財經報道,據網絡狀況監測網站DownDetector,用戶報告顯示Twitter出現問題。[2023/6/18 21:44:14]
ERC20toNative:coins被鎖在foregin邊,同時在native邊創建erc20token。xDai用的是這種模式。
AMBBridge:在兩個鏈之間可以傳遞任意的數據。例如,允許傳輸nfttoken以及它們的metadata。
3.Bridge?Components
bridge也包括一些組件,內容如下:
tokenbridge:監聽事件,發送交易去授權資產傳輸;
bridgeuiapplication:在鏈之間傳輸tokens和coins的dappgui工具;
bridgemonitor:?檢查余額和未處理的events的工具;
bridgedeploymentplaybooks:可選的playbook。對于遠程部署,可以管理tokenbridge的配置;
Fireblocks報告BitGo TSS錢包存在漏洞,現已修補:金色財經報道,數字資產安全平臺 Fireblocks 在加密貨幣托管公司 BitGo 的閾值簽名方案 (TSS) 錢包中發現了一個嚴重漏洞,使其用戶的私鑰面臨被潛在黑客攻擊的風險。據悉,BitGo 在得知該漏洞后于 2022 年 12 月立即暫停了受影響的錢包服務,該漏洞被稱為“BitGo 零證明漏洞” 。該公司隨后于 2023 年 2 月發布了一個補丁來解決標記的問題,并通知客戶在 3 月 17 日之前更新他們的系統。(The block)[2023/3/17 13:11:05]
bridgesmartcontract:管理bridge的validator,收集簽名和確認資產傳遞和丟棄。
為了方便理解,我們看一個usercase:
這個ERC20-to-ERC20模式的tokenbridge,展現了用戶如何在主鏈和側鏈直接相互轉賬。具體流程如下:
1.用戶通過交易所購買了需要的tokens;
2.用戶把購買的token鎖在foreginbridge的智能合約里面,同時這個event會通過tokenbridge進行傳遞,在nativebridgecontract中會創建erc677標準的token,同時發送到用戶賬號上;
美聯儲7月加息100個基點的概率降至20.1%:7月25日消息,據CME“美聯儲觀察”:美聯儲到7月份加息75個基點的概率為79.9%,加息100個基點的概率為20.1%;到9月份累計加息75、100個基點的概率均為0%,累計加息125個基點的概率為52.7%,累計加息150個基點的概率為40.4%,加息175個基點的概率為6.8%。(金十)[2022/7/25 2:34:57]
3.用戶通過sidechain提供的dapp,使用dapp;
4.用戶想把sidechain的資產轉移回主鏈,通過燃燒erc677的token,tokenbridge把消息傳遞到foreignbridgecontract,智能合約解鎖token;
5.用戶把解鎖后的token,通過交易所賣掉。
tokenbridge的基本定義,概念,流程都介紹完成了,那么如何去管理一個tokenbridge呢?包括對于tokenbridge的升級,維護,配置等等。這里就需要介紹tokenbridge中的角色。
二、TokenBridgeRoles
tokenbridge上的管理員負責bridge的安全,升級和智能合約的部署。管理員的操作都是通過多簽名來確保安全的。???
AdministrativeGroupsandRoles
管理員負責管理bridge的智能合約,并負責validator的管理。管理員分為以下三個組:
1.GroupA-負責管理validator的集合
添加或者刪除validators;
對于validators設置最小所需要的簽名數量。
?2.GroupB-負責管理bridge的參數
對于user和validators設置每日限制;
設置每個transaction的min和max的限制;
設置gasprice的fallback;
設置終止閾值。
?3.GroupC-管理升級
智能合約的升級;
解鎖funds。
ValidatorsRoles
提供100%的正常時間用于傳遞transactions;
在nativeside監聽UserRequestForSignatures的事件,并簽署一個批準對于傳遞的資產在foreignside;
在nativeside監聽CollectedSignatures。一旦收集到了足夠的簽名,傳輸所有收集到簽名給foreginside;
在foreignside監聽UserRequestForAffirmationorTransfer事件并對于資產從foregin到native,發送一個準許給nativeside。
validator的主要作用一方面是監聽兩邊的時間,另外一方面對于交易的傳遞做校驗和傳遞。
Ronin被盜事件中,攻擊者就是通過控制驗證節點的方式盜取資產。Ronin鏈有9個驗證節點,存、取加密資產需要9個驗證者簽名中的5個。攻擊者設法控制了SkyMavis的4個Ronin驗證器,另一個被控制的是由AxieDAO運行的第三方驗證器。SkyMavis是AxieInfinity的開發商。
了解了跨鏈橋的工作機制后,對于如何規避Ronin事件類似的跨鏈橋安全問題的再度發生,從社會工程的角度,我們有以下幾點思考:
跨鏈橋項目要關注簽名驗證節點的安全性,確保敏感信息安全存儲;
如果跨鏈橋項目的簽名是在線下進行的,網絡必須更新簽名的安全策略,關閉相關的服務模型,同時要考慮簽名賬戶地址被泄漏的風險;
驗證簽名不僅要采取多重簽名的方式,還要確保多簽事實上屬于執行隔離,簽名內容的驗證過程必須獨立進行。
UserRoles
這里就不做過多解釋了,主要就是在主鏈和側鏈之間發起資產傳遞的請求。
三、Component-Monitor
tokenbridgemonitor的主要作用是識別tokenbridgeoracle過程中出現的數據不一致和異常情況。monitor從tokenbridgecontract獲取數據以及bridge中的transation,分析他們的健康狀態,并通過Json的數據格式展現出來。
四、總結
我們從另外一個視角分享了sidechain和mainchain的關系,在兩條鏈中資產和數據的傳輸是通過tokenbridge來保證的:
tokenbridge通過權限角色模型并借助多簽的方式,管理bridge的角色和配置;
validators負責兩邊transaction的確認和傳輸;
monitor負責監控數據的一致性和異常情況。
但是這也暴露了一個問題,tokenbridge的管理權限在admin手中,而admin使用是通過多簽的方式保證安全的,是一種弱中心化的管理方式。所以,對于admin私鑰安全性的管理就成為整個tokenbridge最核心的安全問題。
撰文:PanteraCapital編譯:派蒙,ForesightNews? 全球性宏觀貿易的領路人 區塊鏈是實現全球宏觀貿易的基石.
1900/1/1 0:00:00作者:灑脫喜,DeFi之道比特幣自從去年11月份激活Taproot升級之后,似乎很少有新技術方案的聲音,而縱觀整個DeFI領域,閃電網絡的TVL規模在一眾協議當中也顯得毫不起眼.
1900/1/1 0:00:00鏈捕手消息,幣安宣布與美國國家錄音藝術科學學院簽署合作協議,成為第64屆格萊美年度大獎、格萊美周活動以及首屆錄音學院榮譽典禮有史以來首家官方加密資產交易平臺合作伙伴.
1900/1/1 0:00:00鏈捕手消息,數字銀行平臺Cogni宣布完成2300萬美元A輪融資,HanwhaAssetManagement和CaplinFO領投.
1900/1/1 0:00:00撰文:?D-TigerResearch一:AxieInfinityAxieInfinity是一款玩家通過讓三個NFT可收藏生物相互對抗來進行決斗的在線游戲.
1900/1/1 0:00:00鏈捕手消息,非營利組織GoldHouse宣布啟動規模為3000萬美元的風險投資基金GoldHouseVentures,將投資亞太地區本土創始人.
1900/1/1 0:00:00