HOL:又一跨鏈項目Wormhole被盜 跨鏈真的是偽命題嗎？

背景

2月3日，正當我們在開心過年的時候，Crypto行業卻再次發生了天價黑客攻擊事件，跨鏈協議Wormhole遭到黑客攻擊，損失高達12萬枚wETH（約合3.2億美元），是繼PolyNetwork這個DeFi史上最大被盜案之后，被盜金額第二大的事件了。

而無獨有偶的是，DeFi史上第一大和第二大的被盜案都是發生在跨鏈的項目上，這不禁讓眾人擔心起來，跨鏈是否有必要，或者說，為了安全性就不應該有跨鏈。而這樣的擔心很容易讓大家想起前段時間引起多方討論的V神的觀點“未來將是多鏈的，對跨鏈應用持悲觀態度。”

此次被盜事件究竟是怎么回事，跨鏈真的會像V神那樣嗎？波卡生態的從業者又會如何看待這次的被盜事件，容我們一一道來。

被盜不是跨鏈的罪，跨鏈市場依舊有前景

那么Wormhole被盜到底是怎樣一回事呢？Wormhole的被盜是否說明“跨鏈”市場的末日已至？在解釋這兩個問題之前，我們先來回顧一下Wormhole到底是什么？

Wormhole是Solana、以太坊的第一個雙向跨鏈橋。Wormhole允許用戶將ERC20通證鎖定在以太坊智能合約中，并在Solana上鑄造相應的SPL通證。作為Solana上最大的跨鏈橋，Wormhole還具備NFT認證工具，能夠跨鏈發送以太坊和Solana的NFT，包括當下最火的NFT之一CryptoPunks。

當前Wormhole鎖定的價值超過了10億美元，并支持Terra、Solana、Ethereum、Binance Smart Chain、Avalanche和Polygon等六大公鏈。作為備受矚目的明星項目，Wormhole的未來似乎一片光明，直到此次被盜事件的發生。

一夕之間，12萬wETH被盜，價值約3億美元，一躍成為了DeFi史上的第二大黑客事件。

而Wormhole事件與PolyNetwork事件都發生在跨鏈協議上，是否說明了跨鏈協議就是原罪？來讓我們對事件進行簡單的還原。

派盾：又一套利者通過Ankr漏洞獲利約350萬美元，獲利資金已轉入幣安?:12月2日消息，安全公司派盾在推特上表示，一名社區貢獻者發現0x9bae開頭地址通過Ankr漏洞獲利約350萬美元，且已將獲利資金，約187萬枚Binance-Peg BUSD與163萬枚Binance-Peg USDC轉入幣安。

此前消息，0x8d11開頭的地址借助Ankr漏洞用10枚BNB換得1550萬枚BUSD。[2022/12/2 21:18:09]

最開始攻擊者在Solana上鑄造了0.1 Wormhole ETH，得到了“transfer message”合約中的“post_vaa”函數，然后通過加載一個外部的合約繞過了簽名檢查合約，生成了Wormhole函數“complete_wrapped”所需的參數，進而進行了無限鑄幣。而發生這一切的根本原因是Wormhole使用了過期的系統合約，而沒有對參數所需的合約進行最新的升級。

一句話概括就是黑客通過一次很小金額的嘗試就獲得了一個函數，并通過外部的合約繞過Wormhole的協議驗證進而騙取了120,000ETH（wETH），并成功轉走了93,750ETH，剩下的wETH被緊急鎖定在了Solana中。而這不僅給Wormhole帶來了損失，甚至可能會導致wETH的貶值，最終導致一些基于此的項目方資不抵債。

Wormhole事件為我們再一次拉響警鐘，將跨鏈協議的安全性問題推向了歷史舞臺。引發了社區的熱議，V神年初對“跨鏈”的論斷再一次被大家從故紙堆里翻了出來，似乎是一條神預言。

V神在其發布的Reddit中指出，“想象一下如果你將100ETH移到Solana上的一座橋上以獲得100Solana-WETH，然后以太坊受到51%的攻擊，會發生什么情況？攻擊者將一堆自己的ETH存入Solana-WETH，然后在Solana方確認后立即在以太坊方恢復該交易。Solana-WETH合約現在不再完全支持，也許你的100Solana-WETH現在只值60ETH。即使有一個完美的基于ZK-SNARK的橋梁來完全驗證共識，它仍然容易受到此類51%攻擊的盜竊。”

ARK基金創始人：比特幣是1600年代以來又一個新的資產類別:ARK基金創始人Cathiewood最近在MSCI主辦、CFAInstitute和萬得3C協辦的直播中表示，在互聯網發展的早期階段，很少有人想到它會和商業聯系在一起，因為早期的互聯網主要是為情報部門、國防部門和學術界服務的，直到1991年之前，大眾還不允許被使用互聯網。所以最初的互聯網理所當然的不存在支付系統，我們認為區塊鏈技術就是互聯網內生的支付平臺，而比特幣就是所有加密貨幣中的儲備貨幣，我們認為區塊鏈技術大部分的價值會在向少數幾種加密貨幣匯聚。至于以區塊鏈技術為核心的去中心化的金融幾乎已經發展出一個平行的金融服務生態系統，包括投資、租賃、衍生品，幾乎包含傳統金融服務的方方面面。區塊鏈技術還處于發展的初期，它風險很大，但我們相信對其生態系統的管控治理已經得到很大程度的改善，因為疫情之后加密資產的崩潰，以及很多投資者破產，使得對區塊鏈的管控更加完善。我們也看到越來越多的機構投資者開始投資比特幣，我們也知道比特幣的總體供應只有2100萬枚，而現在已經到了1900萬，所以它具備稀缺性的特征，使之可以被看成是數字黃金。我們認為機構投資者的介入是一劑強心劑，而且比特幣的價格跟其他加密資產并沒有什么相關性。因此，我們相信，比特幣是1600年代以來，我們發現的又一個新的資產類別。過去六個月，最讓我們驚訝的就是像特斯拉這樣的公司開始買入比特幣以分散持有現金的風險，這有可能是因為這些公司想在非洲拓展業務，而這些地區由于本國貨幣幣值不穩定，很難進行交易。[2021/3/26 19:19:28]

然而真的如此么？可實際上V神提出的問題和Wormhole事件毫無關聯。

V神指出了，由于跨鏈產生了許多相互依賴的DApp，在任何一條鏈受到51%攻擊時，都有可能導致系統性的傳染，繼而威脅整個經濟系統的經濟。他認為以太坊上的應用程序應該彼此緊密連接，Avax上的應用程序應該彼此緊密連接，而不是跨鏈。跨鏈使得整個區塊鏈系統抵御51%攻擊的能力下降。

Wormhole事件并不存在51%攻擊，也不是系統性傳染導致的被盜，而僅僅是合約漏洞。被盜不是跨鏈的罪。

動態 | 幣安被盜BTC中又一關鍵地址異動，黑客持續洗錢中:據PeckShield數字資產護航系統（AML）最新數據顯示，繼昨天幣安被盜7,074枚BTC的其中1個包含1,060枚BTC bc1q2rdpy開頭的地址密集洗錢后，今天下午16時54分，另一存放有1,060枚BTC 16SMGihY9開頭的地址也出現異動。黑客又以不斷切割、分散的方式，頻繁操作了數百筆交易，直至新地址上最小額僅有0.78枚BTC。截至目前，幣安被盜7,074枚BTC分散后的7個主要地址中，已有2個開始密集洗錢，其中大部分小額地址存洗錢成功可能。[2019/6/15]

雖然我們不得不承認一點，“在以太坊上持有以太坊原生資產或在Solana上持有Solana原生資產總是比在Solana上持有以太坊原生資產或在以太坊上持有Solana原生資產更安全。”

畢竟在這個世界上沒有完美的代碼，跨鏈協議需要不斷的升級延化。可是跨鏈市場的存在依舊非常的重要。隨著DeFi賽道的高速發展，我們需要跨鏈協議來滿足快速膨脹的資金量。

跨鏈資產被盜事件的背后不是跨鏈之罪，而是其飛速發展的鎖倉量和復雜的流程。巨大的資金量和具有挑戰性的破解流程就像一個巨大的蛋糕吸引著黑客們的目光。

Wormhole事件和PolyNetwork事件就是合約中的漏洞導致，這也進一步讓項目方去思考，在跨鏈交易事件的驗證及合約權限管理的設計上似乎需要更加的謹慎小心。

生態如何看待此次跨鏈被盜？

那么波卡作為大家最熟知的跨鏈項目之一，想必大家也會非常關心波卡的情況，我們盛情邀請了Acala聯合創始人陳錫亮、Moonbeam中文社區的Yuki、以及Astar中文區負責人宋明時，看看他們是如何看待此次跨鏈被盜的。注：以下僅為個人觀點。

Acala聯合創始人陳錫亮：

目前來說，大家普遍認為以后的區塊鏈生態會是一個多鏈的生態。因為不同的區塊鏈可以針對各自的應用場景進行不同的優化，所以從技術上來說應該是不可能有一條單一鏈從全方位角度優勝于所有的其他的鏈。

動態 | 澳大利亞又一數字貨幣交易所通過ADCA認證:據Cryptoninjas消息，澳大利亞數字貨幣交易所“Independent Reserve“（獨立儲備）已被ADCA （澳大利亞數字商業協會）認證為符合澳大利亞數字貨幣行業行為準則。據悉，獨立儲備交易所是澳大利亞交易報告和分析中心（AUSTRAC）監管的第一個交易所。[2018/9/27]

每一條鏈就類似一臺服務器，固然可以運行各種各式各樣的應用，但我們能有今天的互聯網，從字面上來說，就是因為各個服務器直接是互聯互通的。

跨鏈橋就是讓不同區塊鏈互聯互通的技術之一。包括Wormhole在內，主流的橋都是基于門限簽名的半中心化技術，如果簽名人聯合作惡，或者私鑰泄露，或者簽名驗證方案有漏洞（本次Wormhole漏洞），就會導致攻擊者可以幾乎無限制的增發跨鏈資產，造成嚴重損失。

那么這說明什么呢？是Wormhole團隊技術不行么？為什么明知道這種半中心化跨鏈技術有這么大的安全隱患，幾乎所有的主流跨鏈橋都還使用這種技術呢？

最主要的原因其實是包括比特幣和以太坊在內，很多L1本身在設計的時候，其實是沒有考慮到跨鏈的兼容性的，導致非常難實現更加安全的跨鏈技術。

主流L1都是EVM環境，而EVM支持的加密算法非常有限，而直接用EVM實現需要大量計算的加密算法又會導致gas非常高，甚至超過一個區塊支持的最大gas。這使得簡單容易實現的多簽橋成為了性價比最高的選擇。

類似Wormhole的多簽橋可能是目前的最優解，但并不說明這個會是一個最合適的長期方案。

波卡的共享安全設計從共識層面就解決了處理跨鏈消息最難的問題之一：回滾攻擊。如果要回滾一條平行鏈，就要回滾波卡主鏈，那么同時也會回滾所有其他平行鏈，如果大家都一起回滾，就不會有數據不一致的問題。

W3F還為波卡設計和實現了XCM跨鏈消息通用格式，為更復雜的跨鏈交互打下了基礎，包括跨鏈合約調用，超過兩條鏈的跨鏈消息等等，為跨鏈技術提供了一個扎實的基礎。

用比特幣納稅！美國又一個州提交相關法案:近日，繼美國亞利桑那州比特幣納稅法案被參議院通過后，喬治亞州也有兩位州參議員提出用比特幣納稅的法案。據法案公開記錄顯示，這項措施如果落地，將調整州政府稅務部的規定，允許其接受以比特幣等加密貨幣支付政府稅款以及各類許可證的費用。[2018/2/24]

Acala團隊是最早參與到XCM版本的設計和測試之中的，第一個實現了測試中的跨鏈轉賬，Karura也是第一個在Kusama中實現跨鏈功能的網絡。

目前在Karura上已經出了可以通過XCM和Kusama, Statemine, Bifrost等鏈進行安全的跨鏈轉賬，也通過XCM實現了完全去中心化的跨鏈質押衍生品產品LKSM，讓用戶可以在享受Kusama質押收益的同時可以通過LKSM參與Karura上面的各種不同DeFi協議。

隨著跨鏈技術的成熟和完善，我們將會在波卡生態中看到更多不同類型的跨鏈應用，真正的實現Web3中區塊鏈互聯網的愿景。

Moonbeam中文社區經理Yuki：

區塊鏈間的信息孤島逐漸減弱，開發者正快速意識到跨鏈橋在多鏈世界中的機遇。使用者對跨區塊鏈使用資產的需求越來越大，跨鏈橋作為跨不同生態并承載資產流動的“外交官“，是保障使用者在安全、低成本的前提下獲得和使用跨鏈資產的關鍵因素。

在Moonbeam生態中，我們很高興看到許多為安全和互操作性努力的跨鏈橋開發者，比如Nomad、Axelar、Cbridge、Multi-chain、Connext等團隊，期待未來能出現更多解決使用者實際需求的跨鏈橋項目，提升不同鏈間的互操作性和安全性能。

Astar中國區負責人宋明時：

Wormhole跨鏈被盜事件的起因是黑客通過欺騙監護人簽名在Solana上鑄造wETH并解鎖盜走以太坊上ETH資產，再次敲響了跨鏈安全性的警鐘。

目前最常見的跨鏈解決方案仍然是通過公證人機制實現的異構跨鏈橋，通過在鏈A上鎖定資產并在鏈B上1:1映射發行新資產實現，主流跨鏈橋包括Multichain、cBridge等等都是利用公證人方案。但公證人方案在工程實現有很多有較高風險的步驟，包括充幣合約權限漏洞、多簽驗證漏洞、公證人信任問題等等。從Wormhole被盜事件中，我們看見的并不是“跨鏈是偽需求”，而是日益增長的跨鏈需求和異構跨鏈橋安全風險之間的矛盾。

異構跨鏈橋的安全風險本質上是來源于鏈A鏈B的安全性不同狀態不一致，相比之下，Polkadot的XCMP跨鏈機制完全消除了這樣的問題。

Polkadot平行鏈間的安全性是共享的，平行鏈間的消息和資產轉移信息會由平行鏈收集人打包到輸入輸出隊列，再由中繼鏈驗證人驗證，整個過程由同一組驗證人同時保證跨鏈消息的正確和鏈的安全，無需信任第三方驗證人，也不涉及安全性差異。從這樣的角度來看，Polkadot的跨鏈機制能夠很好解決多鏈背景下互操作性和跨鏈安全性的困局。

挫折無法阻止歷史的車輪

盡管，已經有多起跨鏈項目被盜事件，并且金額巨大，又因為涉及多條鏈和應用，影響甚廣，但是如果從科技進步和商業發展的角度來看，歷史上還沒有因為黑客問題而阻礙發展的前進的。

黑客事件是由于設計機制或者代碼層面有漏洞，被黑客加以利用從而造成財產損失。它是一種人為的事故，不是因為遇到技術瓶頸突破不了的困境，因此有非常多的方式來消化和處理這類問題。主要是事前預防、事后補救和新的解決方案。

事前預防

代碼審計已經是當前項目方正式推出項目前所必須要經過的一個步驟，可以發現并解決大部分低級錯誤和避免出現以前出現過的漏洞，以大幅提高項目的安全性。但是，代碼審計主要還是出于防守和比較靠經驗值，面對一些新興的技術解決方案，往往作為進攻方的黑客能夠在已經被審核過的代碼中找到一些新的漏洞，但是技術的成熟往往是通過不斷地打磨和迭代的，當越來越多的漏洞問題被發現并解決，一項技術足夠成熟了，那么出現黑客事件的概率就會降低許多。

當然，這其中還有一個最重要的前提是，這個市場是真實有效的，不會因為黑客事件而被打擊到消亡，那么只要需求還在，就依然會有應用朝著這個方向去發展，在前人的基礎之上做到更好更安全。如此，才能讓這個技術更加成熟。

事后補救

直接有效，用錢解決

事后補救，雖然略有一點馬后炮的感覺，但是如果換個角度來講，又可以看作是亡羊補牢為時不晚。

支付寶在剛開始做的時候，由于技術比較新有非常多的漏洞，所以時常發生被盜事件，而當時的支付寶就是采用的金錢大法，讓大家放心使用，有損失他們全賠，相當于用錢來保障這個技術能安穩的度過新手期走向成熟，如今的支付寶已經構建出一個龐大的安全堡壘，固若金湯。

同理，面對Crypto領域里發生的被盜事件，如果本身的業務沒有問題，并且市場很大，發生了因為漏洞而導致的損失，那么如果賠付了這些損失并修復了漏洞，自然還是可以繼續運營的。

而此次跨鏈協議Wormhole發生3.2億美元的黑客攻擊事件便是用的同樣的方法解決的。就在攻擊發生后，Jump Crypto——Jump Trading旗下加密投資部門，及時介入，自掏腰包地補充了120,000ETH，短短一天后，Wormhole橋便重新上線。

用技術方式來解決

項目方可以將區塊鏈回滾的方式，回到被攻擊前，從而避免黑客得逞。比如基于Monero的隱私穩定幣協議Haven Protocol就通過回滾的方式解決被黑客攻擊的影響，并修復鑄幣漏洞。

又比如最經典的以太坊“The DAO”黑客攻擊事件，最終通過將當時的以太坊硬分叉，回滾交易，就將被盜的資產給召回了，不過以太坊也因此分拆成為兩個不同的項目以太坊經典（ETC）和如今大家熟知的以太坊（ETH）。

通過治理的方式

當下，各個公鏈都在朝著去中心化治理的方式來管理該鏈未來的發展和處理相關事務。比如EOS就曾經成立了一個ECAF組織（The EOS Core Arbitration Forum，EOS核心仲裁組織），處理過被盜的資金。

所以，鏈上治理會是一個非常值得挖掘的方向，甚至會成為未來區塊鏈領域的重要組成部分。如何通過去中心化的方式去仲裁一些行為，并對一些不好的行為進行積極干預，從而保障生態的健康發展，這將會是一個不小的難題，但是一旦有成功的可行方案，將會很快地擴散到各個區塊鏈中，為各條鏈的發展保駕護航。

發動社區的力量

黑客攻擊造成的被盜對所有Crypto從業者都是有傷害的，所以往往遇到這些事情后，會有非常多從業者積極參與其中發動各方力量來解決被盜帶來的影響。

比如一些加密資產是通過中心化機構背書而發行的，比如USDT，那么便可以通過聯系這些機構對被盜的資金進行凍結。又或者利用一些圈外的治理力量，比如警察等行政力量，對黑客施壓甚至追蹤到黑客，從而逼迫黑客退回資金，或者抓住黑客等等。

DeFi史上最大被盜案PolyNetwork能順利解決，社區的力量功不可沒。

新的解決方案

老的解決方案有問題，但是技術還在進步，也許以前的問題會隨著新技術的推出而不再是困難。比如波卡所推出的更加去中心化的跨鏈交互方式，就是值得重點跟蹤的。

又比如在機制設計方面，不一定非得要唯“去中心化論”，還可以考慮有許多偏半去中心化的技術解決方案，又或者在設計時聯合多條公鏈的治理方，共同拿出一部分治理資金構建一些保險資金池機制，或者建立一些遇到類似聯合處理預案（比如發生跨鏈被盜就同時回滾）。

小結

還是那句話，只要市場依舊存在，就擋不住歷史車輪的前進。黑客問題不只是區塊鏈領域的問題，只要有新的技術，它便會如影隨形，但是也正因為有這些事件的發生，才會讓我們更加積極地去迭代技術，相信最終區塊鏈世界也一定會發展成為固若金湯的成熟技術。

后記

提到前幾天Gavin對XCM的新升級，提到波卡跨鏈相關技術正不斷迭代，需要密切關注其發展。

上周波卡創始人Gavin Wood在推特上分享了波卡的最新技術進展，他表示，XCM v3版本橋的基礎設施幾乎準備就緒，這意味著在波卡上的平行鏈能將XCM發送給彼此，也可以發送到Kusama上的平行鏈。

我們知道XCM作為波卡跨鏈協議的重要構成部分，其技術開發難度也不容小覷，XCM是Cross-Consensus Message Format的簡稱，也就是跨共識消息格式，簡單來說，XCM的定義就像一種廣義的語言一樣，只要語言基本定義相同，任何人（代指區塊鏈網絡）都可以實現在該模塊下的跨鏈，不管是信息還是資產，都可以無縫銜接。

因此，波卡的跨鏈或許將會給跨鏈發展帶來新的故事，畢竟現階段的跨鏈確實存在一些不容忽視的安全問題，但我們有理由相信隨著XCM的完善，跨鏈流程也會迎來轉變，這才是我們在區塊鏈技術發展上需要關注和期待的東西，而不僅僅局限于Crypto市場本身，畢竟價值與價格之間往往需要時間來平衡。

當然，像Wormhole這樣的事件或許還會發生，除了技術上的進步與發展，還需要整個區塊鏈行業的參與者共同加入到安全防護的陣營中，畢竟天下沒有密不透風的墻，只有共同努力把這堵安全之墻搭建好，才能保證行業參與者的資產安全，也才能促使行業發展的更好。

Tags：WORORMHOLOLEferrumnetworkGrow Export PlatformWHOLEGolem

TUSD