作者：?IOBCCapital
前段时间，AxieInfinity的底层区块链网络RoninNetwork失窃6亿美金，直到用户无法从跨链桥RoninBridge提款后盗窃案才被发现。跨链桥的资产安全问题再次引发热议。
事后，SkyMavisCOOAlexsanderLarsen表示，“RoninBridge被攻击不是因为智能合约存在漏洞，而与社会工程和人为错误有关”。AxieInfinity的投资方AnimocaBrands联合创始人YatSiu曾在采访中提到，“如果一座桥梁能够铸造代币，那它就像铸造机一样……桥梁是权威，但如果它们设计不当或存在漏洞，就会对生态系统构成巨大风险。”
本文我们具体聊聊Tokenbridge的工作原理以及如何保证可靠性和安全性。
一、Tokenbridge的特性和模型
在ethereum生态中，tokenbridge允许用户在两条链上传输数据，并且提供了快速和安全的链接。tokenbridge作为主链和侧链之间的桥梁，对于资产和数据的转移起到了决定性的作用。
三箭资本欠Moonbeam基金会逾 2700 万美元:7月19日消息，三箭资本欠Moonbeam基金会超过2700万美元，包括1700万美元的稳定币和当前价值1000万美元的Moonbeam代币。Moonbeam董事Aaron Evansa在6月写信给三箭，我们重申要求立即偿还我们的两项未偿贷款本金（7MM USDC和10MM USDT），该协议于2021年9月20日由Moonbeam基金会与3AC达成，3AC以12%的利率借入了开放式贷款。另外，Moonbeam 还聘请了 3AC 作为该网络的 moonriver (MVR) 和 glimmer (GLMR) 代币的“流动性顾问”。（CoinDesk）[2022/7/19 2:23:42]
1.链与网络的定义
Native：本地链是一个快速并且便宜的网络，所有收集validator的bridge操作都在native这一侧执行。
Foregin：这边可以是任何链，但通常是指以太坊的主网。
ERC20：在ERC20-ERC20bridge模式中，ERC667作为ERC20的实现可以在NativeSide端被创建和销毁。
纽约法院已冻结三箭资本在美剩余资产:7月13日消息，纽约法院已冻结三箭资本在美剩余资产，纽约南区法官马丁格伦在周二的法庭听证会上批准了这项紧急动议。格伦在书面决定中指出，只有指定的破产清算人有权转让、担保或以其他方式处置位于美国领土管辖范围内的债务人的任何资产。代表债权人的律师则表示，采取激进行动的一个主要原因是，三箭资本的两位创始人目前下落不明。[2022/7/13 2:09:26]
2.BridgeModes
bridge可以被配置成多种网络方式。当前支持的方式包括Native-to-ERC20?模式，ERC20-to-ERC20模式，ERC20-to-Native模式和AMB模式。
ERC20toERC20：?兼容的ERC20token被锁在foreignnetwork，同时在native边创建erc20token；当从navtive向foregin转移时，erc677token被销毁，erc20token被unlock。
ERC20toNative：coins被锁在foregin边，同时在native边创建erc20token。xDai用的是这种模式。
Halo Network获顶峰资本1000万美元基石投资:据官方消息，Halo Labs近日完成顶峰资本董事长李晋荣先生1000万美元基石投资。投资已于2021年5月14日完成，通过本次投资顶峰资本已获得治理代币HO787381枚。
Halo Network主网已于4月19日上线开启全球联动创世铸币，目前铸币还在进行中。
Halo Network采用双模式流动创新交易管理、跨链swap以及全新HPOS共识机制及原生预言机。Halo HUB共包含三个方向，分别为：基础层的改进使得光环系统具备了接入传统金融工具的基础条件并实现更高效和低成本的交易架构；光环系统在应用层面创造了一体化DeFi系列工具流；传统金融工具可通过相关配套工具获取基础数据及交易能力。[2021/5/18 22:14:21]
AMBBridge：在两个链之间可以传递任意的数据。例如，允许传输nfttoken以及它们的metadata。
3.Bridge?Components
bridge也包括一些组件，内容如下：
tokenbridge：监听事件，发送交易去授权资产传输；
动态 | 链杉资本、极豆资本战略投资Filenet:1月17日，链杉资本、极豆资本宣布战略投资Filenet。据了解，Filenet是一条采用DPOS+POC共识机制的分布式存储应用公链，自2018年创世区块挖出至今已顺利完成1.0及2.0迭代，此前已与科银资本、想象力基金、星际资本、联创资本、智胜资本等达成战略合作关系。[2020/1/17]
bridgeuiapplication：在链之间传输tokens和coins的dappgui工具；
bridgemonitor：?检查余额和未处理的events的工具；
bridgedeploymentplaybooks：可选的playbook。对于远程部署，可以管理tokenbridge的配置；
bridgesmartcontract：管理bridge的validator，收集签名和确认资产传递和丢弃。
为了方便理解，我们看一个usercase：
这个ERC20-to-ERC20模式的tokenbridge，展现了用户如何在主链和侧链直接相互转账。具体流程如下：
现场 | 创世资本CEO丰驰：只能提供钱的通证基金将遭到市场淘汰:金色财经8月25日现场报道，由VFUND和创世资本联合举办的中澳区块链生态峰会8月25日在澳大利亚墨尔本举行，创世资本CEO丰驰在会上指出：区块链市场经历了一系列变化。1.从早期野蛮生长到文明化；2.从狂热到理性；3.从投机到价值投资。他在会上表示：“市场早期基金方是强势方，但现在基金越来越多，项目方逐渐成为主角。目前每个项目大概有30到40个基金在看，每个基金每年大概有100多次投资机会，只能提供钱，而没有其他资源的通证基金会遭到市场淘汰。”[2018/8/25]
1.用户通过交易所购买了需要的tokens；
2.用户把购买的token锁在foreginbridge的智能合约里面，同时这个event会通过tokenbridge进行传递，在nativebridgecontract中会创建erc677标准的token，同时发送到用户账号上；
3.用户通过sidechain提供的dapp，使用dapp；
4.用户想把sidechain的资产转移回主链，通过燃烧erc677的token，tokenbridge把消息传递到foreignbridgecontract，智能合约解锁token；
5.用户把解锁后的token，通过交易所卖掉。
tokenbridge的基本定义，概念，流程都介绍完成了，那么如何去管理一个tokenbridge呢？包括对于tokenbridge的升级，维护，配置等等。这里就需要介绍tokenbridge中的角色。
二、TokenBridgeRoles
tokenbridge上的管理员负责bridge的安全，升级和智能合约的部署。管理员的操作都是通过多签名来确保安全的。???
AdministrativeGroupsandRoles
管理员负责管理bridge的智能合约，并负责validator的管理。管理员分为以下三个组：
1.GroupA-负责管理validator的集合
添加或者删除validators；
对于validators设置最小所需要的签名数量。
?2.GroupB-负责管理bridge的参数
对于user和validators设置每日限制；
设置每个transaction的min和max的限制；
设置gasprice的fallback；
设置终止阈值。
?3.GroupC-管理升级
智能合约的升级；
解锁funds。
ValidatorsRoles
提供100%的正常时间用于传递transactions；
在nativeside监听UserRequestForSignatures的事件，并签署一个批准对于传递的资产在foreignside；
在nativeside监听CollectedSignatures。一旦收集到了足够的签名，传输所有收集到签名给foreginside；
在foreignside监听UserRequestForAffirmationorTransfer事件并对于资产从foregin到native，发送一个准许给nativeside。
validator的主要作用一方面是监听两边的时间，另外一方面对于交易的传递做校验和传递。
Ronin被盗事件中，攻击者就是通过控制验证节点的方式盗取资产。Ronin链有9个验证节点，存、取加密资产需要9个验证者签名中的5个。攻击者设法控制了SkyMavis的4个Ronin验证器，另一个被控制的是由AxieDAO运行的第三方验证器。SkyMavis是AxieInfinity的开发商。
了解了跨链桥的工作机制后，对于如何规避Ronin事件类似的跨链桥安全问题的再度发生，从社会工程的角度，我们有以下几点思考：
跨链桥项目要关注签名验证节点的安全性，确保敏感信息安全存储；
如果跨链桥项目的签名是在线下进行的，网络必须更新签名的安全策略，关闭相关的服务模型，同时要考虑签名账户地址被泄漏的风险；
验证签名不仅要采取多重签名的方式，还要确保多签事实上属于执行隔离，签名内容的验证过程必须独立进行。
UserRoles
这里就不做过多解释了，主要就是在主链和侧链之间发起资产传递的请求。
三、Component-Monitor
tokenbridgemonitor的主要作用是识别tokenbridgeoracle过程中出现的数据不一致和异常情况。monitor从tokenbridgecontract获取数据以及bridge中的transation，分析他们的健康状态，并通过Json的数据格式展现出来。
四、总结
我们从另外一个视角分享了sidechain和mainchain的关系，在两条链中资产和数据的传输是通过tokenbridge来保证的：
tokenbridge通过权限角色模型并借助多签的方式，管理bridge的角色和配置；
validators负责两边transaction的确认和传输；
monitor负责监控数据的一致性和异常情况。
但是这也暴露了一个问题，tokenbridge的管理权限在admin手中，而admin使用是通过多签的方式保证安全的，是一种弱中心化的管理方式。所以，对于admin私钥安全性的管理就成为整个tokenbridge最核心的安全问题。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。