一級標題
一級標題
一級標題
跨鏈橋成為了黑客猛烈攻擊的主要目標
據Elliptic統計，2022年黑客在跨鏈橋上盜取的資金已超過10億美元。在今年2月3日，連接Solana的跨鏈項目Wormhole遭到黑客攻擊，損失預計3.25億美元。在3月23日，
鑑於近期頻發的安全事件，MixMarvel DAO Venture特地針對一些技術安全問題，對相關技術負責人進行了採訪。技術負責人認為，橋樑安全問題將會是整個區塊鏈行業的重點問題。根據採訪結果，我們結合MixMarvel DAO Venture自身對底層技術的認知和思考，形成了本篇論述。
黑客攻擊為什麼大多發生在跨鏈橋
二級標題
二級標題
MixMarvel DAO Venture認為至少有兩個方面值得被關注。
首先，首先，首先，
首先，
跨鏈橋可以打破由不同公鏈之間交易困難而形成的“區塊鏈孤島”的狀態其次，跨鏈橋加強了底層基礎設施之間的合作。數據孤島狀態被打破之後，鏈與鏈之間的競爭合作逐漸白熱化。為了爭取到更多的資源，各個區塊鏈底層基礎設施項目會通過跨鏈橋進行互相合作，擴大各自的生態。
攻擊跨鏈比公鏈收益高且難度低
正文
正文
正文
1.收益方面：攻擊跨鏈橋更加有利可圖
根據DeFi Llama的數據，截至2022年7月，被鎖定在跨鏈橋的加密貨幣高達$10.88B，其中WBTC佔市場份額最大，TVL 達$5.2B，Multichain 排第二，其TVL 為$1.88B。
這意味著，跨鏈橋上的資產數量對黑客相當具有誘惑力。根據CertiK的報告，當一座“橋樑”上擁有數億美元的託管資產，並在兩個及以上的區塊鏈上操作，它們被黑客攻擊的可能性會大大增加。
2. 難度方面：51%攻擊
從難度上來看，黑客更有可能傾向於把目光集中在盜取難度更低的跨鏈上。在區塊鏈中，有一個51%攻擊的概念。無論PoW（工作量證明），還是PoS（權益證明），當涉及到共識機制，在理論上都有可能出現51% 攻擊的情況。
在PoW算法中，如果黑客掌握了51%以上的算力，在獲得記賬權上他就擁有了的絕對優勢。換句話說，他擁有了篡改區塊鏈數據的權利。
然而，如果要進行51%算力攻擊，黑客需要花費大量資金去購買挖礦設備和電力，來獲得比其他普通礦工更強的算力。因此，如果黑客攻擊公鏈，他需要執行51%算力攻擊，其成本太高，而利潤太低，從而造成得不償失的可能性更大。
事實上，攻擊大型公鏈至少需要幾個小時才能完成。而跨鏈則不同，如果黑客想攻擊跨鏈，他只需要找到目標跨鏈橋中存在的漏洞並攻破它就可以達成目的，根本無需花費高額的時間和金錢成本。
一級標題
哈希鎖定（Hash-locking)、見證人機制（Notary Schemes)、中繼（Relays）是目前最常見的區塊鏈跨鏈技術方案。
二級標題
二級標題
二級標題
哈希鎖定
中本聰（Satoshi）認為哈希時間鎖定合約（Hash Time Locked Contracts)是由Hashlocks和Timelocks組成，Hashlocks類似於雙重身份驗證，Timelocks要求預期的資金接收者在期限內提供正確的秘密短語然後收款。否則，該交易將返還資金給打款人。
因此，哈希鎖定只能做到交換而不能做到資產或者信息的轉移，其使用場景十分有限。至少在現階段，它並沒有被大面積應用。在後面的關於跨鏈不安全因素的分析中，我們將直接略過哈希鎖定。
二級標題
二級標題
中繼技術的缺點在於，當網絡負載較重時，中繼緩衝區的存儲空間可能會不足，從而導致溢出現象和信號丟幀。如果中繼器出現故障，會影響相鄰兩個子網的工作。
二級標題
二級標題
二級標題
見證人機制
見證人機制主要分為三類：單簽見證人、多重簽名見證人、分佈式簽名見證人。
多重簽名（Multi-Signature）見證人機制是目前被應用最廣泛的技術。多重簽名見證人機制運用了多重簽名技術，即一個交易需要兩個或者更多簽名才能生效。不同的跨鏈會根據自己的需求設置多簽規則，比如，3/6多簽，指6個人裡面需要3個擁有私鑰的驗證者對交易申請進行簽署才能成功完成一次交易。如果驗證者的私鑰被洩露，例如存儲私鑰的硬盤驅動器被盜或放錯了位置，很有可能對跨鏈資產帶來不可估量的損失。
跨鏈技術的不安全因素
正文
正文
正文
1. 多重簽名驗證存在的安全隱患是跨鏈資產被盜的主要原因
多重簽名驗證存在安全隱患，導致黑客攻擊頻繁發生，通常表現為以下三點：
a)私鑰洩露導致驗證器被挾持。比如，在Ronin Network和Horizon的攻擊事件中，黑客都利用了被洩露的私鑰來挾持簽名驗證器並完成了交易。為了識別存款指令或取款指令，Ronin Network由九個簽名驗證者保護，其中只需要有五個簽名就可以進行驗證和交易。黑客使用被黑的私鑰來偽造提款，同時通過gas-free RPC（沒有交易費用）的節點發現了一個後門，然後利用它控制了四個Ronin 驗證器和一個由Axie DAO 運行的第三方驗證器。
b)驗證所需要的驗證者節點數量較少，使黑客有機可乘。比如，Horizon橋僅只有四個多重簽名驗證，並且沒有保護好四個多重簽名中的兩個的安全。黑客只需要控制Horizon較少的簽名驗證器就可以完成資產盜取。因此，較少的（通常少於50%）被需要驗證的簽名驗證器可能難以保障跨鏈過程的穩健性。
2.中繼技術並非絕對安全
多方安全計算是最安全的跨鏈技術之一
二級標題
二級標題
二級標題多方安全計算比基於多重簽名方式的安全性更高
一級標題
一級標題
總結
總結
有人認為跨鏈智能合約可能會顛覆dApp的開發模式，但不會改變大多數區塊鍊網絡在本質上仍然是孤立的事實。要解決區塊鏈孤島的問題，橋是先決條件，橋的安全性是核心。
一級標題
一級標題
一級標題
