EFI:去中心化DeFi生态系统被盗超30亿，为何跨链桥安全事件频发

过去一年，整个去中心化金融(DeFi)生态系统被盗超过30亿美元，其中超过三分之二的被盗案件源自跨链桥。为了使DeFi发展成为一个可信且安全的生态系统，需要减轻该领域内的漏洞。本报告深入探讨了跨链桥的工作原理、过去一年发生的黑客攻击类型，以及一个跨链桥如何能够阻止两次单独的攻击尝试。

初识跨链桥

跨链桥能够在区块链之间传输数据，主要是代币资产，以利用更大的流动性，在成本和交易最终性方面建立更好的用户体验，并通过在更大的生态系统中分配交易负载来减少主链拥塞。

跨链桥的去中心化程度各不相同。在受信任或更集中的设置中，跨链桥的安全性来自监督其操作的指定方。在信任最小化或更分散的设置中，跨链桥的安全性来自底层链的验证者和操作跨链桥的算法。

大多数双向跨链桥使用lock和mint以及burn和mint模型的组合。为了将资产从一个生态系统转移到另一个生态系统，用户将他们的代币存入原始链上的智能合约中，然后在目标链上铸造等量的资产并提取给用户。为了转移回原始生态系统，用户将铸造的资产存入目标链上的智能合约中，然后这些资产将被烧毁，原始资产将在原始源链上发布。这种方法可确保在所有平台上持续供应代币。

去中心化交易平台UXUY完成320万美元种子轮融资:4月11日消息，去中心化交易平台UXUY宣布完成320万美元的种子轮融资，投资方包括Bixin Venture、WaterDrip Capital、KuCoin Ventures、Pionex、LK Venture、Arcane Group、Daoverse Capital、Lapin Digital等机构。

UXUY是基于MPC钱包的下一代创新型去中心化交易平台。UXUY致力于营造稳定币友好的交易环境，将创建多元稳定币流动性池。[2023/4/11 13:57:26]

跨链桥频频被盗的一年

跨链桥对黑客来说是一个有吸引力的目标。数百万美元的代币不仅被锁定在一个中心位置，而且通过跨多个链运行，跨链桥增加了它们潜在的故障点。所有前面提到的跨链桥被盗案都属于以下三类之一：

后端漏洞多重签名智能合约漏洞/执行错误后端漏洞

后端漏洞，或Web2攻击向量，意味着攻击者针对的是用户而不是跨链桥本身。在BadgerDAO的案例中，黑客利用他们的网络托管服务提供商Cloudflare生成了三个具有API权限的独li账户。通过API将恶意脚本集成到协议中，黑客诱使桥接用户签署代币批准调用，代表他们转移资金。这些资金随后被清算并通过BadgerBridge转移。

去中心化稳定币跨链交易平台EYWA将于10月底发布主网:10月25日消息，去中心化稳定币跨链交易平台EYWA宣布将于10月底发布主网，届时支持的资产将包括USDT、USDC、DAI以及BUSD，支持的链将包括以太坊、BNB Chain、Arbitrum、Avalanche、Fantom以及Polygon。

EYWA将以Aurora区块链将作为流动性中心，并在Aurora上托管合约。主网推出后将暂时维持较小流动性规模，以确保协议没有漏洞，未来将增大流动性，初期仅支持用户交易100至200美元金额的稳定币。[2022/10/25 16:38:01]

在这种特殊情况下，BadgerDAO团队很难单独阻止攻击，因为漏洞在于第三方。除了选择更可靠的服务提供商外，跨链桥的用户在给予无限代币批准时需要更加谨慎。

多重签名隐患

泄露的私钥导致了迄今为止最大的DeFi攻击，即Ronin桥黑客攻击。具有讽刺意味的是，黑客攻击可能是最容易防止的攻击媒介。通过有针对性的鱼叉式网络钓鱼策略，黑客能够访问大多数验证者私钥。在Ronin桥的案例中，SkyMavis的一名员工在不知不觉中下载了恶意软件\\关注公众号：枯藤老树新芽，回复1进入社区\\使攻击者能够访问相关的IT基础设施。从那里，他们能够轻松地偷走九个中的五个私钥。在一次类似的网络钓鱼攻击中，攻击者获得了Harmony的Horizon桥的内部工作记录，并转移了近一亿美金。

霍比特HBTC与Helium达成战略合作 携手构建去中心化物联网:据霍比特HBTC官方消息，霍比特HBTC宣布与Helium达成战略合作并支持Helium在中国及东南亚地区的去中心化物联网的建设与发展。

自2013年创立以来，Helium秉承着“通过为物联网设备创建无线网络来使世界变得更加紧密”的使命，借助基于区块链激励机制的新经济模型，尝试构建了可在全球范围内扩展且具有成本效益的网络基础架构。其已先后为雀巢饮用水（Nestle Waters）、NOWI、Salesforce等数百个客户提供解决方案。

此次与霍比特HBTC合作，旨在依托HBTC平台分布在广大地区广泛的技术消费者群，加速建立The People's Network和挖掘HNT，增加去中心化物联网在更广泛区域的采用，构建兼容的Hotspots并扩展生态系统，填补市场空白，满足物联网创新和加密采矿的巨大需求。

霍比特HBTC作为币核集团旗下的金融服务平台，可为广大用户提供币币、合约、杠杆、期权等多项加密资产业务，并涵盖了平台系统服务-HBTC白标券商、跨链公链-HBTC Chain以及优质项目投资机构-HBTC Labs。为去中心化在更全球范围内的发展与落地，提供有力支持。[2021/1/27 13:38:51]

在这两种情况下，如果私钥存储得更安全或跨链桥具有更高程度的去中心化，攻击本可以很容易地被阻止。可以说，更多的验证者节点分布在不同平台上可以阻止攻击。为了应对这些抢jie，SkyMavis已将Ronin验证器的门槛从5提高到8，而Harmony已经建立了一个安全运营团队来打击前端的攻击。

现场丨木言公子：Defi去中心化金融和NFT价值通证的碰撞，让Defi有更多可能性:金色财经现场报道，10月19日，由金色财经主办，链上科技，脉冲科技，达摩院协办的金色沙龙第56期在深圳站举办，COINBIG CMO木言公子表示，DeFi是构建在智能和约上的金融产品，2018年Fomo3D引爆。比特币算是科技和金融最完美的结合体。最初的区块链技术，比特币其实就是一个DeFi项目。DeFi是去中心化金融的缩写，也被称为开放式金融，与传统意义上的CeFi相对。DeFi是指用来构建开放式金融系统的去中心化协议，让任何一个人都可以随时随地进行各类金融活动。DeFi为什么会火爆？是因为它离钱近，来钱快，金融投资和融资门槛大幅降低，它不需要KYC，全球24小时实施联动，波动率更大，交易更快更刺激，从表面上看价格形成机制更公平，也就是利率随市场参数由公开算法来调整。第四是几乎没有信用风险，即中介和交易对手无法赖帐。NFT非同质化代币为游戏产业和艺术品产业区块链化提供了更多的可能性。Defi去中心化金融和NFT价值通证的碰撞，让Defi有更多可能性

最后，木言公子和大家分享了Coinbig平台币CAFE的商业逻辑，CAFE是基于DeFi理念设计的平台通证，完全1:1“铸造”、团队0预留，100%全流通、持续销毁、极限通缩。也是中心化交易所和去中心化金融的完美结合。CAFE最大的亮点是，所有投资人收益达到三倍或者币价稳定五倍的时候，所有募资才属于交易所，并且分红持续。也是去中心化金融和中心化交易平台的无缝连接。[2020/10/19]

一般来说，受信任的跨链桥比不信任的跨链桥更不去中心化且安全性更低，因为它们依赖于外部验证者。鉴于这些事件，更多信任最小化跨链桥的开发和使用可能会增加。

共为2020 | ChainUP创始人兼CEO钟庚发：去中心化存储是未来一大趋势，中长期来看以太坊也非常有潜力:金色财经现场报道，2020年6月21日，由金色财经主办的共为2020·区块链创新应用论坛在深圳拉开帷幕。ChainUP创始人兼CEO钟庚发在《十年一顾 再谈共识》圆桌对话中指出，去中心化存储是未来一大趋势。在以太坊这类去中心化的系统上，应用场景更加容易落地，但隐私数据的存储、政府机构和企业数据的存储问题亟待解决。要解决这些问题，首先要解决数据的保护和加密。我们会成立一个基金专门投入这个方向，这是我个人比较看好的。中长期来看，以太坊也是一个非常有潜力的方向，2.0让我们看到了它发展的后劲。[2020/6/21]

智能合约漏洞

在所有DeFi攻击中，最常见的类型是通过智能合约代码中的漏洞。漏洞的类型因协议而异，通常取决于现有的基础设施。以下是以这种方式攻击的跨链桥出现的问题的细分：

PolyNetwork：通过其中一个智能合约中的错误，黑客能够调用他自己的智能合约来重置桥上的中继器名称。他替换了所有四桥的中继器变为自己，成为这座桥的唯一“keeper”。

Multichain：Multichain团队发布公告指示用户撤销钱包批准，因为他们注意到他们的一个智能合约中有一个未使用的功能的错误。所述功能将允许不良行为者在没有有效签名的情况下将其个人合约作为转移目的地。看到此公告后，黑客利用此确切漏洞从用户账户中提取资金。

Qbridge：由于存款功能的逻辑错误，黑客能够在没有触发预设故障保护的情况下输入恶意数据。然后，他们在不提供押金的情况下，在桥的一侧铸造了无抵押资产。

Wormhole：虫洞桥有一个“监护人”网络，通过观察和证明事件来保护桥免受恶意行为者的侵害。在功能升级后，黑客能够监护人签名来批准交易。

Meter'sPassport：预先存在的功能允许自动包装和展开原生代币。本质上，打包的原生代币不需要被烧毁或锁定即可转移，因为它们在技术上已经解包。黑客利用此功能来模拟桥上的传输，通过对代码的不正确信任假设来铸造资产。

Nomad：由于执行不善的智能合约更新未能正确验证交易输入，一位用户能够从桥中提取不属于他们的资金。成千上万的其他用户复制了原始攻击者的通话数据，用自己的地址进行了修改，然后开始提空资产。

在过去的一年中，有针对性的智能合约盗窃是按被盗价值计算的最大黑客类型，包括非桥接DeFi盗窃。在大多数情况下，这种攻击向量很难缓解。大规模应对这些风险将需要更强大的安全审计，并代表开发人员需要更加关注细节。跨链桥的设计需要充分了解它们存在很大的攻击风险。

大规模的盗窃攻击往往会在加密货币领域引起相当多的关注。每一次黑客攻击都是关于如何保护一个依然相关初期并不断发展的生态系统的教训。在过去的几个月里，彩虹桥凭借其独特的基础设施和预防策略，已经阻止了两次单独的漏洞攻击尝试。

彩虹桥RainbowBridge

彩虹桥在以太坊主网与NEAR和Aurora网络之间转移资产。自推出以来，价值超过28亿美元的资产已通过这座桥转移。查看源自以太坊的跨链桥，目前超过85%的传输量发生在以太坊与Polygon、Arbitrum和Optimism之间。彩虹桥目前约占总价值锁定市场份额的6%。

彩虹桥是一个无需信任、无需许可的双向桥，它继承了以太坊和NEAR网络的安全性。从表面上看，这座桥的基础设施采用了典型的锁定和铸造模型。有四个附加组件为桥提供功能：

Relays中继：ETH2NEAR和NEAR2ETH中继是跨链桥的消息传递协议。它们将相关信息从相应的链中继到相应的客户端。由于网桥是无需信任的，因此任何人都可以与协议进行交互。

LightClients轻客户端：轻客户端代理实现专注于通过少量计算跟踪其相应链的状态。计算和数据处理是如此之小，以至于它们可以在智能合约中运行而不会影响成本或效率。ETHonNEAR客户端是在Rust中作为NEAR智能合约实现的以太坊轻客户端。同样，NEARonETH是在以太坊上以Solidity实现的NEAR轻客户端。

Provers证明者：证明者负责验证特定的密码信息。它们与相应的轻客户端分开实现，以实现可扩展性、增强的特异性和分离操作的关注点。

Watchdogs看门狗：NEARonETH轻客户端验证除验证器签名之外的所有标头数据。它采用了一种乐观的方法，假设所有签名都是有效的，除非另有证明。这就是watchdog发挥功用的地方。有一个4小时的挑战窗口，预先批准的watchdog可以对签名数据提出异议。

如前所述，彩虹桥是无需信任的未经许可的，任何人都可以在未经许可的情况下与智能合约交互或部署、维护或使用桥接器。此外，用户只需要信任NEAR和Ethereum网络的安全性；没有额外的验证者来监督桥上资产的流动。

在两个不同的场合，黑客试图以完全相同的方式利用彩虹桥。他们充当中继者，向NEARonETH客户端发送无效数据，试图从网桥中提取资金。该交易已成功提交到以太坊网络，需要5ETH的保证金。在漏洞利用尝试不到一分钟后，自动看门狗就对恶意交易提出了质疑，不仅阻止了攻击，而且还导致攻击者损失了他们的保证金。

NEAR团队在设计这座桥时假设它会受到攻击。他们完全避免了集中故障点带来的额外风险，并实施了自动缓解系统来保护网桥免受攻击。此外，桥接器定期接受审计以验证功能，要求用户存款以阻止他们攻击系统，为团队提供自动警报系统，并运行频繁的漏洞赏金计划以补偿那些发现他们没有发现的漏洞的人。

总体而言，由于其自动检查系统和团队对细节的关注，彩虹桥的安全级别有所提高。桥是去中心化的：没有可以泄露密钥的集中式运营商。然而，这并不意味着这座桥是完全防黑客的。随着任何即将到来的升级，开发人员需要确保所有代码简洁、高效和安全，以防止任何智能合约漏洞。

结论

更大的加密生态系统会演变为一个多链世界，没有一个单一的区块链会统治所有这些世界。互操作性对于实现这一目标至关重要。跨链桥不仅有助于消除孤立的生态系统，还提供更大的流动性、更好的用户体验并减少单个网络拥塞。

跨链桥对于黑客来说是有吸引力的目标，需要在设计时考虑到这种风险。更高程度的去中心化和更细心的开发人员监督是两个有助于防止未来攻击的解决方案。包括彩虹桥背后的团队在内的开发人员还实施了更强大的安全措施、阻止漏洞利用的赏金计划和系统审计，以确保桥上资金的安全。为了让DeFi发展成为一个可信的生态系统，需要减少桥梁中的漏洞。

在加密行业你想抓住下一波牛市机会你得有一个优质圈子，大家就能抱团取暖，保持洞察力。如果只是你一个人，四顾茫然，发现一个人都没有，想在这个行业里面坚持下来其实是很难的。

想抱团取暖，或者有疑惑的，欢迎加入我们——公众号：枯藤老树新芽

感谢阅读，我们下期再见！

标签：EFIDEFIDEFNEAREFINdefi币官网DEFLY价格RunEarner

XLM热门资讯