前段时间，Axie Infinity的底层区块链网络Ronin Network失窃6亿美金，直到用户无法从跨链桥Ronin Bridge提款后盗窃案才被发现。跨链桥的资产安全问题再次引发热议。
事后，Sky Mavis COO Alexsander Larsen表示，“Ronin Bridge被攻击不是因为智能合约存在漏洞，而与社会工程和人为错误有关”。Axie Infinity的投资方Animoca Brands联合创始人Yat Siu曾在采访中提到，“如果一座桥梁能够铸造代币，那它就像铸造机一样……桥梁是权威，但如果它们设计不当或存在漏洞，就会对生态系统构成巨大风险。”
本文我们具体聊聊Tokenbridge的工作原理以及如何保证可靠性和安全性。
一、Tokenbridge的特性和模型
在ethereum生态中，tokenbridge允许用户在两条链上传输数据，并且提供了快速和安全的链接。tokenbridge作为主链和侧链之间的桥梁，对于资产和数据的转移起到了决定性的作用。
1. 链与网络的定义
Native（Home）：本地链（侧链）是一个快速并且便宜的网络，所有收集validator的bridge操作都在native这一侧执行。
Kraken联合创始人：即将到来的比特币减半可能会引发下一个牛市的开始:金色财经报道，加密货币交易所Kraken联合创始人兼前首席执行官Jesse Powell在Bankless播客中预测，即将到来的比特币减半可能会引发下一个牛市的开始。?Powell表示，从这个行业损失 100 亿美元的资本只是一个巨大的打击。如果把它偷走，那本可以成为伟大的东西并推动这个行业向前发展。所以这需要一些时间才能从中恢复过来，FTX 的后果给许多零售用户和机构造成了数十亿美元的损失，使加密行业的声誉需要修复，这最终需要一些时间。不过，他表示，下一次比特币减半预计将在 2024 年上半年发生，这可能是市场的下一个看涨催化剂。?[2022/11/22 7:53:32]
Foregin（主链）：这边可以是任何链，但通常是指以太坊的主网。
ERC20：在ERC20-ERC20bridge模式中，ERC667作为ERC20的实现可以在NativeSide端被创建和销毁。
2. Bridge Modes
bridge可以被配置成多种网络方式。当前支持的方式包括Native-to-ERC20?模式，ERC20-to-ERC20 模式，ERC20-to-Native模式和AMB（arbitrary message bridge）模式。
LightSpeed风投合伙人：下一个10亿用户级Web3用例将会是游戏和社交网络:金色财经报道，LightSpeed风投合伙人Amy Wu在推特上表示，下一个10亿用户级Web3用例将会是游戏和社交网络，她认为，作为游戏和加密货币行业投资人，看到当前活跃DeFi用户大约有1000万，加密货币持有者大约1-2亿人，但全球游戏玩家数量有20亿。去年全球游戏年销售额为1750亿美元，比音乐+视频总和还多，前50名游戏特许经营权销售额都超过20亿美元，与社交网络相比，全球最大的游戏平台月活跃用户基本上在1-2亿人，Facebook月活在28亿，因此下一个10亿用户级Web3用例将会是游戏和社交网络。[2021/9/13 23:20:48]
ERC20 to ERC20 ：?兼容的ERC20 token被锁在 foreign network，同时在native边创建erc20token（erc677 token）；当从navtive向foregin转移时，erc677token被销毁，erc20token（foregin）被unlock。
ERC20 to Native ：coins被锁在foregin边，同时在native边创建erc20token。xDai用的是这种模式。
FTX.US总裁：希望FTX.US成为下一个Robinhood，可能会寻求几轮融资:9月4日消息，FTX.US总裁Brett Harrison近日接受采访时表示，他希望FTX.US成为下一个Robinhood，而且愿意倾听每一位客户评论，以扩大他们的用户群规模。Brett Harrison透露，FTX.US最终可能会寻求几轮融资，预计会“在不久的将来某个时候，但也可能会单独融资”，其中部分资金将会被用于招聘，扩大客户服务和合规人才。此外，FTX.US还准备扩大收购，继而准备与Coinbase和Robinhood等上市公司正面交锋。FTX.US最近在衍生品业务上已经取得进展，但仍需要获得美国商品期货交易委员会 (CFTC) 的许可，Brett Harrison表示，该公司从不回避推动监管，并希望与监管机构保持直接沟通，以可持续的方式让监管参与进来。（The Block）[2021/9/4 22:59:42]
AMB Bridge ：在两个链之间可以传递任意的数据。例如，允许传输nft token以及它们的metadata。
3. Bridge?Components
bridge也包括一些组件，内容如下：
Paxful：下一个比特币市场在非洲:数字货币交易平台Paxful认为，非洲将是继亚洲之后下一个比特币主要市场。理由如下：1、非洲人口众多，未来潜力巨大；2、非洲法币通货膨胀严重，比特币是天然通货膨胀对冲资产；3、比特币进入门槛极低，仅需网络、比特币钱包和一部智能手机即成为活跃的数字货币参与者。[2018/5/3]
tokenbridge：监听事件，发送交易去授权资产传输；
bridge ui application：在链之间传输tokens和coins的dapp gui工具；
bridge monitor：?检查余额和未处理的events的工具；
bridge deployment playbooks：可选的playbook。对于远程部署，可以管理token bridge的配置；
bridge smart contract：管理bridge的validator，收集签名和确认资产传递和丢弃。
为了方便理解，我们看一个user case：
欧洲议会成员：为了下一个“大爆炸”时刻 英国必须拥抱区块链:欧洲议会成员：为了下一个“大爆炸”时刻 英国必须拥抱区块链；欧洲议会（MEP）的英国成员Kay Swinburne呼吁，在后退欧时代英国必须拥抱区块链，以让伦敦金融城保持“与时俱进”；她甚至将区块链技术在英国的潜力比作20世纪80年代的“金融大爆炸”。[2018/2/21]
这个ERC20-to-ERC20模式的token bridge，展现了用户如何在主链和侧链直接相互转账。具体流程如下：
1. 用户通过交易所购买了需要的tokens；
2. 用户把购买的token 锁在 foregin bridge的智能合约里面，同时这个event会通过 token bridge进行传递，在native bridge contract中会创建erc677标准的token，同时发送到用户账号上；
3. 用户通过sidechain提供的dapp，使用dapp；
4. 用户想把sidechain的资产转移回主链，通过燃烧erc677 的token，token bridge把消息传递到foreign bridge contract，智能合约解锁token；
5. 用户把解锁后的token，通过交易所卖掉。
token bridge的基本定义，概念，流程都介绍完成了，那么如何去管理一个token bridge呢？包括对于token bridge的升级，维护，配置等等。这里就需要介绍token bridge中的角色。
二、Token Bridge Roles
tokenbridge上的管理员负责bridge的安全，升级和智能合约的部署。管理员的操作都是通过多签名来确保安全的。? ??
Administrative Groups and Roles
管理员负责管理bridge的智能合约，并负责validator的管理。管理员分为以下三个组：
1. Group A - 负责管理validator的集合
添加或者删除validators；
对于validators设置最小所需要的签名数量。
?2. Group B - 负责管理bridge的参数
对于user和validators设置每日限制；
设置每个transaction的min和max的限制；
设置gas price的fallback；
设置终止阈值。
?3. Group C - 管理升级
智能合约的升级；
解锁funds。
Validators Roles
提供100%的正常时间用于传递transactions；
在native side监听UserRequestForSignatures的事件，并签署一个批准对于传递的资产在foreign side；
在native side监听CollectedSignatures。一旦收集到了足够的签名，传输所有收集到签名给foregin side；
在foreign side监听UserRequestForAffirmation or Transfer事件并对于资产从foregin到native，发送一个准许给native side。
validator的主要作用一方面是监听两边的时间，另外一方面对于交易的传递做校验和传递。
Ronin被盗事件中，攻击者就是通过控制验证节点的方式盗取资产。Ronin链有9个验证节点，存、取加密资产需要9个验证者签名中的5个。攻击者设法控制了Sky Mavis的4个Ronin验证器，另一个被控制的是由Axie DAO运行的第三方验证器。Sky Mavis是Axie Infinity的开发商。
了解了跨链桥的工作机制后，对于如何规避Ronin事件类似的跨链桥安全问题的再度发生，从社会工程的角度，我们有以下几点思考：
跨链桥项目要关注签名验证节点的安全性，确保敏感信息安全存储；
如果跨链桥项目的签名是在线下进行的，网络必须更新签名的安全策略，关闭相关的服务模型，同时要考虑签名账户地址被泄漏的风险；
验证签名不仅要采取多重签名的方式，还要确保多签事实上属于执行隔离，签名内容的验证过程必须独立进行。
User Roles
这里就不做过多解释了，主要就是在主链和侧链之间发起资产传递的请求。
三、Component - Monitor
token bridge monitor的主要作用是识别tokenbridge oracle过程中出现的数据不一致和异常情况。monitor从tokenbridge contract 获取数据以及bridge中的transation，分析他们的健康状态，并通过Json的数据格式展现出来。
四、总结
我们从另外一个视角分享了sidechain和mainchain的关系，在两条链中资产和数据的传输是通过token bridge来保证的：
tokenbridge通过权限角色模型并借助多签的方式，管理bridge的角色和配置；
validators负责两边transaction的确认和传输；
monitor负责监控数据的一致性和异常情况。
但是这也暴露了一个问题，tokenbridge的管理权限在admin手中，而admin使用是通过多签的方式保证安全的，是一种弱中心化的管理方式。所以，对于admin私钥安全性的管理就成为整个tokenbridge最核心的安全问题。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。