查看原文
其他

白话科普:设计跨链桥时都要考虑哪些事?

0xKooKoo 极客 Web3 2024-02-09

作者:0xKooKoo,极客Web3 & Moledao技术顾问, 前Bybit技术负责人

感谢0xmiddle在本文撰写过程中提供的帮助。

Introduction

自区块链行业建立以来,涌现出数不胜数的L1/L2,几乎每条公链都发展出了自己的DeFi生态。某些人只在特定公链上交互,更多人则希望在不同链上寻找交易、挖矿等收益机遇。在这之中,跨链资金转移成为了必不可少的刚需。


除了普通用户,很多项目方也有在不同链间转移资金的需求,在不同链上引导流动性,做到“一钱多用”。


但不同的区块链是孤立的共识系统,资金没有办法从一条链直接跨到另一条链。资金跨链的本质,是跨链桥作为一个公共的交易对手方,在源链上接收用户资金,并在目标链上给用户打钱(发行映射资产,或从目标链储备的流动性池中为用户释放资金)。

到底怎么实现资金跨链才最好?最开始人们还比较信任中心化交易所,曾一度流传一句话:“中心化交易所就是最好的跨链桥。”但「充-换-提」的操作很繁琐,人们希望有一种纯链上方式,更直接的完成资金跨链。

而且,相比于中心化交易所,跨链桥可以完成更通用的跨链消息传递,不仅限于资金传递。例如,你如果使用一个跨链借贷dApp,从A链上提供抵押品,在B链上借出资产,就需要用到跨链消息传递。

如果考察跨链的历史来源,可以追溯到区块链技术发展的早期阶段。当时,不同公链的出现让人们意识到,链之间的互通性问题要被解决,否则会出现很多信息/资金孤岛。随着时间推移,人们提出了不同类型的跨链方法,逐渐形成了今天的通用跨链模式。

下面我们就来讲解一下跨链技术的一些发展。

Methodology

1. 自己寻找对手方
我们来想想,最符合直觉的跨链方法是什么?假如你在A链有100个USDT,你希望把它们转移到B链上。恰好有一个人在B链有100个USDT,他希望把USDT转移到A链去。你们俩一看这不刚好吗,于是一拍即合。
但当你把USDT在A链上转到对方的地址时,他却反悔了,没有在B链上将他的USDT转到你在B链的地址上。
因此,这种P2P交易的模式不是很靠谱,一来对方可能毁约,让你遭受损失,没有任何保障;二来,这个交易对手也不好找,你可能要等很久,才能碰到一个刚好和你要跨出去的金额匹配,但跨链方向相反的用户,甚至可能等到天长地久也等不到这样的对手方。

2. 公证人机制(Notary Schemes)

2.1 单个公证人


于是我们想到,既然对方可能违约,那我能不能找一个可信的第三方进行交易?我在源链上先把钱给他,然后他保证在目标链上把钱转给我。比如说,这个人同时在A链和B链上都有资产,然后他担保说,只要在A链收到我的100个USDT,就一定会从B链转给我100个USDT。


这比第一种P2P的链间资产交换好很多,因为有一个可信的公共对手方了,他手里掌握了一种神奇的东西,叫做「流动性」,你可以随时与它交易。


也就是说,你和他的交易变成了一种“点对池”的交易,而非“点对点”的交易。但你还是觉得不踏实,如果你和他交易100 USDT还好,倘若你要和他交易100万USDT呢?尽管他有比较好的信誉,但还卷款跑路。


说到底,这个公证人其实又是引入了一种中心化,依旧不是我们想要的Trustless 的跨链方式。


2.2 多个公证人(MultiSig)


那如果这个公证人不是一个人,而是一群人呢?我们可以建立一个共管账户,多个签名人共同管理该账户,他们要对一个消息进行签名,签名数达到阈值(一般是2/3),资金才会被转移。


这种情况下,如果其中少数人(不超过1/3)动了歪心思,想在源链上收我的款,又不想在目标链上给我打钱,或者离线了,也没有关系,其他诚实的公证人还是会签名,并把应给我的钱转出去。

这种方案比较靠谱了,弱化了中心化风险,安全性更高一些。比如一共有20个信誉良好的公证人,他们同时动歪心思的概率还是很低的。(这里不包括 Multichain那种20个节点实际上是一个人管理的情况,或是像Axie跨链桥那样被黑客盗取了2/3公证人的签名密钥。)

2.3 多个公证人(MPC)


但多签的账户管理方式,也有很多不方便的地方。


多签使得签名规则更容易暴露。如果是5/7的签名方案,多签钱包的智能合约代码会暴露到底有多少个签名方,黑客可以有的放矢的寻找这些签名方,伺机盗取私钥。


多签需要对不同的公链进行适配。比如有的公链不支持智能合约,你就得用该链特制化的密码学原语实现多签账户,如果这个也不支持,你这个多签钱包就搞不了。


多签的签名人定了就不能改。比如5/7的签名方案,你如果想改成6/8的方案,或者你想更换签名人,就得重新部署多签合约,而且还要把资金转移到新的多签合约中。


首个BTC衍生品tBTC的跨链方案,就是用了多签的方式,因为很蹩脚难用,已经被淘汰了。当前的跨链桥,大多采用了更先进的MPC的方式。

MPC全称Multi-Party-Computation(多方安全计算),是一种私钥分片技术。多签账户是多个私钥管理一个账户,而MPC账户则是一个私钥管理一个账户,该私钥被切分为多个碎片,多个签名人各持有一个私钥碎片,当签名人数达到阈值时才可以合成完整的签名,签名过程不会暴露完整私钥。
MPC账户有以下优势:
比普通多签钱包的保密性更强。当需要签名的时候,由例如5/7个私钥碎片各自去签名,多个子签名融合到一块构成最终的一个合法签名。这样一来,链上看到的是一个单一的、普通的签名,你无法分辨它是否来自MPC账户,更无法知道背后的签名人是谁,也无法知道私钥碎片的数量和具体的签名规则。
可以比多签钱包更好的适配大多数公链。MPC是一种签名技术,与链无关。MPC账户其实就是一个普通账户,不管一条公链是否支持智能合约,都可以通过MPC技术构建共管账户。
MPC更换签名机制更灵活。可以支持更灵活的签名规则调整,比如随时改变私钥碎片数量、签名阈值,也可以随时更换签名人,只需要把私钥进行重新分片(Re-share)即可。
3. 进一步的安全措施

3.1 冷热分离


公证人的托管账户收到了A链上我的100个USDT后,给我在B链的地址转过去100个USDT,这个行为的触发流程该怎么做?


假设说每个公证人成员都有一台机器在监听A链上的transaction,当他们发现我给跨链桥托管账户转了100个USDT,且这笔transaction里面声明了,我希望在链B上名为user2的地址接收这些USDT。


此时公证人集体进行联合签名,将B链上跨链桥账户中的100个USDT转给user2。这个过程肯定要写成代码,自动化运行,否则公证人都得实时在线,收到请求还得立刻操作,太不现实了。


这个自动化程序里会包含几个部分


1、监听程序:负责监听源链上的交易,为了过滤无关交易或无效交易,这一步可能会做一些基本的格式验证;


2、校验程序:这里会包含所支持区块链的轻节点客户端(也可能是全节点),负责验证源链上某笔与跨链桥合约产生交互关系的交易,真的被打包进区块并上链了;


3、签名程序:负责签名发起目标链上向用户的转账交易。

但自动化也带来一个问题,就是这个自动化程序有可能被黑客攻击和操纵。因此为了控制风险,跨链桥会采取冷热分离的措施。自动化程序控制的是热秘钥,转账的金额受到限制,遇到大额转账,则必须让公证人用冷秘钥进行手动签名。冷热分离的规则可以在MPC账户中实现。

3.2 风险隔离


如果真的有bug,不要一次事故全部一锅端吧?因此要做好资金池的隔离,用多个托管账户来管理流动性资金,比如按照不同公链之间做隔离,例如A和B,B和C,C和D全都是独立开来的资金池。


3.3 TEE


公证人所运行的自动化监听和签名程序,可以运行在TEE设备中,这样可以大幅度提高黑客攻击的难度。TEE全称为可信执行环境(Trusted Execute Environment ),是给定设备上运行的与主操作系统隔离的计算环境,就像一块飞地(Encalve)。


这种隔离是通过硬件强制实现的,具有极高的安全性,因此TEE可以运行具有高安全性要求的应用程序,例如加密密钥管理、生物特征认证、安全支付处理等。

3.4 PoA向左,PoS向右


为了让跨链桥更加安全,在公证人的选择方面有两个方向:


一种是尽可能选择信誉良好的大公司、知名机构。对于这些机构而言,作恶的成本极高,可能会损失掉积累多年的商誉。此外,要尽可能让他们在地理分布上足够多元化(避免集中在同一司法辖区)。


比如跨链桥项目Wormhole就选择了这样的模式,它的19个节点背后都是体量庞大、资金雄厚的知名大机构,这就是PoA的方式。


另一种方式则是Permissionless的公证人准入,但要求他们做质押,如果行为不端,他们质押的资金就会被slash。这就是PoS的方式。ZetaChain用的便是这种。

两种方式谁优谁劣,不好直接武断的给结论。取决于跨链桥项目方在各自的方向上做的怎么样。


无论是PoA还是PoS,你可以把跨链桥直接做成一条公链,每个节点跑着相同的程序,所有跨链请求和处理的过程都会被记录到这条链上。这条链本身也可以承载应用,从而成为一个生态枢纽。


3.5 观察者


还有一种增强安全性的方法是,设置一个观察者的角色。该角色负责监控跨链行为,如果发现问题,可以在链上报告并中止交易。由于观察者需要一个窗口期来做出反应,因此跨链转移的到账时间可能被延迟,所以,只有大额交易或敏感跨链操作,用户接受转账延迟的情况下,观察者才会介入。


其他跨链方案
哈希锁定
回到本文所说的第一种方法:P2P的寻找跨链资产交换的对手方。如果我们害怕对手方赖账,那可以设置一套机制,一旦谁反悔了,另一方可以把钱拿回来,完璧归赵。
这就是哈希锁定,它巧妙地利用了哈希锁和时间锁,迫使资金的接收方必须在 deadline之前确定收款,并且产生源链上的收款证明,而打款方凭借这个收款证明,一定可以获取接收人在目标链上的等价资产,否则双方的资金都将原路返还。
但是这种方式只能进行资金的交换,无法完成通用的跨链信息转移。而且哪怕单从资金跨链转移的角度讲,哈希时间锁的用户体验也很不好:
如果币价的波动对交易对手(流动性提供方)不利,他可能理性地选择不成交;
为了完成一笔跨链交换,用户和交易对手都必须操作两次签名。
因此,哈希时间锁作为一种跨链解决方案,基本已被淘汰。早期使用这种方案的跨链桥(例如cBridge、Connext)都已经改弦更张了。
链上轻客户端
这种方式是直接在目标链上部署源链的轻客户端合约。如果你在一条链上部署了合约,那么这条链的所有节点都会运行你部署的合约代码。所以,链上轻客户端的方案,实际上是让目标链直接验证来自源链的交易。
这种方式具有极高的安全性,但也是最昂贵的。昂贵体现在以下几个方面:
目标链的轻客户端合约需要实时接收和验证来自源链的新区块头,这个过程非常耗Gas,即便用ZK来实现简洁证明,验证一个ZK证明的Gas消耗也不会低于40万Gas(EVM为例),而在MPC方案中,链上仅需验证的就是一个签名而已,Gas消耗只有2万出头,差了20倍!一个更安全,但是贵20倍的桥,你会用吗?
开发轻客户端合约的工程量巨大,而且为了让跨链桥兼容更多的异构链,你需要在不同链的完全不同的开发环境中,实现其他各个链的轻客户端合约,对开发人员简直是地狱级挑战。这就导致合约编写出现bug的概率变大,也就是说轻客户端桥的安全性仅仅是理论层面的,在工程实践方面,反而很不安全。
为了降低开发工程量,有一个可行的方案是引入一条中继链,让所有链与这条中继链互相建立轻客户端合约,这的确可以让曾经C(n,2)的工作量减少为 n,但依旧不会太小。原本从源链到目标链直接的跨链传递,也变成了源链→中继链→目标链的二阶传输,这会产生额外的gas消耗和时间消耗。
因此,轻客户端的技术方案,目前来看,无法被用于构建更普适的跨链桥。

End Game


首先,不同的公链有着不同的做法,背后也有不同的资源在支持,只要不服输,生态一定会存在,即使短期内发展不是很好,也说不定哪天做了一个升级就又活过来了。像这种底层infra的事情就是看谁坚持得久,看谁针对市场调整得快。


Bitcoin和Ethereum不能解决所有的应用场景,又或者说在某一个细分赛道,总有人不喜欢第一名,于是新造一个轮子,因此未来一定会是多链的。或者以后底层都不是链了,那未来一定是多生态的,多个生态之间的资金和消息怎么做传递呢,就一定需要有跨链/跨生态技术!


跨链这件事情上用户最关注什么呢?无非是以下几点:


速度:一笔跨链操作需要多久完成


费用:我需要为一笔跨链操作支付多少


安全:跨链桥是否安全,资金会不会丢失


流动性:是否有足够的流动性以支持我的交易以及可接受的price impact


连接范围:你支持多少条链,是否支持我的跨链操作中需要用到的链


体验:跨链操作是否方便,例如是否支持Gas代付、费用预估是否准确、是否支持进度查询和浏览器查看,出现失败的情况是否频繁,失败如何处理等等。


我们先从安全、费用、连接范围三个比较清晰的角度来概览一下一些项目的特性。

点击链接查看清晰表格(表格不断更新中):

https://docs.google.com/spreadsheets/d/1LKlbd5KJUnQIx3ZBTgyMADhxHtWVwBH9qDRm765tPMw/

为了完全说清楚跨链桥,其实还有很多维度的细节需要讨论,例如上面表格里面的所有维度和数据分析。那么你在跨链时,会在意哪些要素呢?你经常使用的跨链桥有哪几个?你认为跨链桥应该着重在哪些方面优化?如果你有你的想法,欢迎与作者交流。
继续滑动看下一个

白话科普:设计跨链桥时都要考虑哪些事?

0xKooKoo 极客 Web3
向上滑动看下一个

您可能也对以下帖子感兴趣

文章有问题?点此查看未经处理的缓存