2022年区块链桥漏洞损失超20亿美元，如何避免？

与加密货币网络本身相比，区块链桥更易受黑客攻击，这对于朝着完整的多链未来发展的过程是一个挑战。

仅在2022年，就有超过20亿美元的资产因区块链桥漏洞而被盗，这是极为严重的。

通过回顾 2022 的一些攻击，我们可以更好地了解系统中的缺陷，通过已经存在或正在开发的某些安全措施来抵御它们，避免这种情况的发生。

社会工程学

社会工程学通常以交谈、欺骗、假冒或口语等非技术渗透手段，从合法用户中套取用户系统的秘密。

熟练的社会工程师都是擅长进行信息收集的身体力行者。很多表面上看起来一点用都没有的信息都会被这些人利用起来进行渗透。

比如说一个电话号码，一个人的名字，或者工作的ID号码，都可能会被社会工程师所利用。

社会工程攻击是最常见的安全漏洞形式。

每个人在生活中的某个时刻都曾遭受过社会工程攻击——通过网络钓鱼或蜜饯陷阱，其中承诺“好得令人难以置信的报价”以换取个人信息。

黑客在 2022 年最大的桥接攻击中使用了类似的方法来窃取资金。

备受瞩目的加密游戏 Axie Infinity 的区块链遭到网络钓鱼攻击，该攻击涉及虚假的 LinkedIn 工作机会。

该游戏的开发商 Sky Mavis 表示，其员工成为虚假工作机会的目标，甚至被要求参加多轮工作面试。当员工上钩时，黑客访问了他们的系统并从 Sky Mavis 的 Ronin Network 中窃取了 6.25 亿美元。

在对问题的事后分析中，Sky Mavis 表示他是高级鱼叉式网络钓鱼攻击的受害者。

泄露的私钥

2022 年 9 月，算法做市商 Wintermute 遭到黑客攻击，损失 1.6 亿美元，这可能是由于 Profanity 应用程序生成的私钥存在漏洞。

热钱包的私钥被利用并被用来抽干资金，有报道称之前在 Profanity 的地址中发现了漏洞，但该公司并未认真对待这些报道。

无独有偶，Slope 遭到黑客攻击的背后也有类似的原因，导致该公司损失 600 万美元。

智能合约漏洞

智能合约是存储在区块链中的程序，设置为在满足某些预定条件时触发。

例如，在电子商务方面，一旦你将某件商品添加到您的购物篮并付款，它就会向网站确认该商品应该送达。

因此，智能合约中的错误可能允许黑客在不满足任何条件的情况下非法触发区块链之间的资金转移。

在 Nomad 的案例中，黑客通过发现主要智能合约中的错误配置，能够从桥上榨取近 2 亿美元，该错误允许对代码有基本了解的任何人提取资金。

这些错误和安全漏洞被黑客公然利用是一个令人担忧的想法，但更令人不安的是，人们没有想到使用的“受信任”系统如此容易被利用。

解决方案：多重安全措施

桥接标准是一组规则，用于定义不同的区块链网络如何相互通信，在这种情况下，通过跨链桥接虽然其中一些协议本身存在被利用的风险，但当它们组合在一起时，会增加急需的额外安全层。

通过同时使用多个桥接标准，开发人员可以使用另一种协议来弥补一种协议中显示的弱点。

多重签名和委员会

多重签名技术需要多方签名或批准才能执行交易。它可以防止对网络的未授权访问，并确保任何一方都无法完全控制。

委员会网桥标准使用一组可信实体或委员会来管理网桥的安全性。

成员负责批准和监督网络交易。当多个组织共享对网络的访问时，委员会是有益的。

零知识

零知识 (ZK) 是一种密码技术，它允许双方相互交换信息，而无需透露超出绝对要求的任何其他信息。

通过允许开发人员利用链上的轻客户端，ZK 模型的集成消除了对委员会模型的需求。

通过使用零知识证明系统，特别是 ZK-SNARK 的“简洁性”属性，可以使用链上轻客户端高效地执行此验证过程。还可以验证状态转换和链上共识以获得最大安全性，类似于运行完整节点。

为此，链上轻客户端使用 ZKP 系统来证明源链的状态是有效的。

这是通过生成可以由目标链验证而无需知道源链的整个状态的证明来完成的。链上轻客户端的使用有助于提高区块链的安全性和可扩展性。

通过在目标链上验证源链的状态，目标链可以更加确信源链的状态是准确的。

这有助于防止欺诈和其他恶意活动，同时仍在努力扩展网络。

举一个实际的例子，ZK 可以用来证明交易已经被特定钱包的所有者授权，而无需泄露私钥。

Optimistic

一些桥梁使用“Optimistic”的交易验证方法，其中不是立即验证目标区块链上的每笔交易，Optimistic的桥梁假设每笔交易都是有效的，然后激励其他参与者指出欺诈交易以获得奖励。

只有在挑战期结束后，资金才会被清算。

这意味着Optimistic的桥梁在博弈论上是安全的，但在数学上并不安全，因为它们依赖第三方来关注正在发生的事情。

所有这些通常都是通过额外的流动性提供者从用户那里抽象出来的，这些流动性提供者独立检查过桥声明的真实性，并在收取几个基点的费用后立即在另一条链上提供资金。

Optimistic的桥梁即使不立即验证每笔交易，仍然可以非常安全。

这是因为他们使用的是“挑战与争论”的方法；如果用户认为交易处理不当，他们可以质疑交易，桥梁将进行调查。

实施多个桥梁标准的挑战

归根结底，最好的安全性是通过使用标准组合来实现的。

这样的话，如果一个网桥实现遇到错误或安全漏洞，其他标准仍然可以保护网络。

应该注意的是，当然桥接仍然依赖于连接网络的共识机制，网桥永远不会比它所连接的网络更安全。

安全访问多链世界

区块链桥对于为我们的多链世界提供不受限制的访问是必要的，但我们必须以创造性的方式加强这些桥梁以减少攻击点。

我们越专注于利用我们所掌握的整个网络范围，我们的区块链桥就会变得越坚固。