2022年自年初至今，仅5次的跨链桥攻击就导致了13.17亿美元的损失——这个数字是2022年Web3.0行业因黑客、欺诈、漏洞等事件造成总资产损失金额的57%。
之所以跨链桥攻击的损失如此巨大，是因其本身的固有安全漏洞及整个领域缺乏防御攻击专业意识和相关理论知识。
规模位于前三的跨链桥攻击事件分别为：RoninNetwork，造成6.24亿美元的损失；Solana跨链桥项目虫洞，造成3.26亿美元的损失；Nomad，造成1.9亿美元的损失。
本文将通过分析今年发生的这5起尤其是具有代表性的NomadBridge攻击事件，与大家探讨跨链桥的安全问题及解决方式。
跨链桥安全
在分析这几起攻击事件前，我们需要明确一下跨链桥存在的固有安全问题。
V神VitalikButerin曾在Reddit上写道，因为51%攻击的影响，他对跨链应用持悲观态度。然而除此之外，还有更多需要考虑的?其他问题。
金色午报 | 11月27日午间重要动态一览:7:00-12:00关键词：数字金融体系、Compound、Rattan、瑞波CEO
1.：愿同东盟各国在区块链等领域打造更多新的合作亮点；
2.北京市政府副秘书长：北京将持续推进建设法定数字货币试验区和数字金融体系；
3.Compound创始人：清算并非协议本身问题正在讨论是否进行赔偿；
4.委内瑞拉零售巨头Rattan接受加密货币付款；
5.灰度CEO发推“Okay,itistime”引发热议；
6.瑞波CEO：如果XRP被定性为证券 公司仍能运行；
7.单志广：区块链技术和HTTP是互联网应用协议中最核心的两个协议。[2020/11/27 22:19:31]
在2022年7月22日发布的一个推特视频中，Nomad的创始人JamesPrestwich解释了为何行业普遍在跨链应用建立安全模型方面缺乏专业知识，以及为何获取这些标准的专业知识需要花费一年的时间。
对于个人用户来说，很难将资产从一个区块链转移到另一个区块链，因此必须通过跨链桥来实现这一操作。跨链桥协议的原理是：用户在A链将代币存入，随后在B链上收到债务代币。一旦B链的债务代币被销毁，则A链存储的代币就会被释放。
金色午报 | 今日重要动态一览:1.武汉区块链企业达369家
2.诺奖获得者：区块链技术不可能取代银行的地位
3.BTC人气缓速上行，但流量少有留存，上午比特币持续回落，重回7400USDT下方
4.泰国逮捕涉嫌参与比特币的24名中国公民
5.Vitalik：以太坊基金会年预算3000万美元 资金可持续 6 年
6.以太坊顺利完成伊斯坦布尔升级，仍有半数节点未准备好升级
7.印度Erode县一对夫妇被控进行加密货币[2019/12/8]
为了实现这一功能，跨链桥需要实现这几个功能：保管用户存入的代币，向用户释放债务代币，以及在不同链之间发送消息的预言机。这使得跨链桥在安全方面更加脆弱——黑客可以下手的地方实在太多了。
条条大路通跨链桥，对黑客来说，又怎么能轻易拒绝这种快速暴富的攻击渠道？攻击造成的后果并不只是存款损失，一旦跨链桥产生漏洞或遭到攻击，整个跨链桥的代币将很可能失去所有价值。
RoninNetwork
RoninNetwork漏洞是有史以来最大的DeFi漏洞。
金色财经现场报道 清华大学信息技术研究院教授赵明：区块链处于早期阶段:金色财经现场报道，在清华大学区块链教育、产业创新峰会?暨青藤链盟成立大会上，清华大学信息技术研究院教授赵明表示，区块链技术还处在很早期的阶段，问题很多，比如公链交易费用极高，真正区块链落地需要相当多的问题需要解决，也需要更多的研究人员、开发人员深入到里面去研究。在今年会有很多不错的公链会发布，一定程度上解决了交易频率和交易费用的问题，但即使如此，区块链还是处于早期阶段。[2018/5/27]
3月底，CertiK审计团队监测到NFT游戏AxieInfinity侧链RoninNetwork遭到攻击，损失价值约6.24亿美元的17.36万枚ETH以及2550万枚USDC。
RoninNetwork需要验证九个验证节点中的五个签名。而攻击者黑了4个SkyMavis的私钥，制造了5个合法的签名，即：4个SkyMavis验证器和1个AxieDAO运行的第三方验证器产生的签名。
这导致5个验证器节点被破坏，高级鱼叉式网络钓鱼攻击是造成这一情况的罪魁祸首。
金色财经独家分析 比特币预测：A面是技术 B面是情绪:长久以来，在比特币价格方面人们看了太多“支撑点”、“压力位”以及MA，当分析师不断提出的8600、9000、10000美元等关键位置突破后，涨跌依然还没有定论，大涨大跌不为分析师的技术所动，股市那一套似乎不很奏效。金色财经独家分析，目前加密货币市场涨跌的规律还尚未形成，用股市分析来看确实有些形式大于内容，但这并不代表技术不可靠，抛开股市技术，可以看一看供需方面的技术：日前FundstratQuantamental创建了价格/矿工的盈利率的新的比特币定价标准，从生产和需求的角度来谈，让人更加信服；
即便如此，技术也只是比特币价格的A面，B面仍然是情绪等非技术因素。由于加密货币背后的“实体”仍然不易找到，看政策，看期望，看整个市场带来的各类利好或利空。日前韩国一项调查中显示依据论坛的评论预测价格准确率超过了80%，可谓十分可靠的“情绪技术指标”了。加密市场的这种现象是可以理解的，毕竟即使在股市，“随便买买”的盲目，没有太多依据的看心情也是大有人在的。但应该反思的是，加密货币市场应该变得更有据可循一些，这需要更加严格风险控制体系、与实体经济的进一步结合，同时也需要大机构和专业投资者的进一步加入，那时候情绪依然是情绪，但技术会更加具有参考价值。[2018/5/14]
金色财经现场报道 万国集团董事长冯水兴：区块链技术是下一代科技革命领跑者:金色财经现场报道，在2018全球首届万国区块链技术博览会上，万国集团董事长冯水兴致开场词。他指出：区块链是下一代科技革命的领跑者，本次博览会为行业提供行业发展交流、探讨区块链应用落地的平台。万国集团希望能挖掘区块链落地项目，希望以此形成区块链生态圈，实现万国城集团弯道超车。社会经济发展瞬息万变，企业只有调整自己的步伐才能适应社会经济发展需求。[2018/4/21]
Solana跨链桥项目虫洞
北京时间2022年2月3日凌晨1点58分，CertiK审计团队监测到Solana跨链桥项目虫洞遭到攻击。
此次事件中，攻击者通过注入一个性的sysvar账户绕过了系统验证步骤，并成功生成了一条恶意“消息”，指定要铸造12万枚wETH。最后，攻击者通过使用恶意“消息”调用了“complete_wrapped”函数，成功铸造了12万枚wETH，价值约3.26亿美元。
铸币两分钟后，攻击者将1万枚ETH桥接到以太坊链上，约20分钟后，以太坊链上又产生了8万枚ETH的交易。时至今日，这些资金仍在攻击者的钱包里。
该事件造成的损失金额之大，令其成为了跨链桥史上第二大黑客攻击事件。
Harmony?Bridge
北京时间2022年6月23日19:06:46，CertiK审计团队监测到Harmony链和以太坊之间的跨链桥经历了多次恶意攻击。
CertiK团队安全专家分析，此次攻击事件可能源于黑客掌握了owner的私钥——攻击者控制MultiSigWallet的所有者直接调用confirmTransaction从Harmony的跨链桥上转移大量代币，导致Harmony链上价值约9700万美元的资产被盗，该笔资金后被转移至TornadoCash。
这起攻击事件涉及到了12笔价值约5万美元到4120万美元以上的交易及3个攻击地址，涉及到的代币包括ETH、USDC、WBTC、USDT、DAI、BUSD、AAG、FXS、SUSHI、AAVE、WETH和FRAX。
Qubit?Bridge
发生于年初的Qubit攻击事件也是一个典型的跨链桥漏洞事件。
2022年1月27日，CertiK审计团队监测到Qubit遭到攻击，导致了约8000万美元的损失。
攻击者调用了QBridge合约，在没有提供任何加密货币的情况下使bridge合约产生了攻击者已存款的虚假时间证明。
ETH和ERC-20的存款共享相同的事件证明，因此允许攻击者调用该函数利用不存在的ERC20存款事实生成虚假的ETH存款事件证明，并以此在另一条链上提取ETH。因此，攻击者在没有向合约发送任何代币的情况下通过了QBridgeHandler证明，并在交叉链上铸造了大约77,162个qxETH。黑客随后将盗取的资金存入了TornadoCash。
NomadBridge
北京时间2022年8月2日，CertiK安全团队监测到NomadBridge遭受攻击，导致了价值约1.9亿美元的损失。
合约的问题在于在initialize()函数被调用的时候，“committedRoot”被设成了0x00地址。因此，攻击者可以通过消息的验证，将在桥合约中的代币转移。锁仓总价值由1.9亿美元骤降为1.2万美元——这实质上使得攻击者可以在A链上存入1ETH而在B链上收到100ETH。
这个漏洞的神奇之处在于，看起来好像没有任何一个直接攻击者。但至少有41个钱包参与了此次攻击，我们可以认为它是Web3.0世界第一个「群体作案」。也许正是因为这个原因，攻击者可以轻易地从桥上提取资金。
第一笔可疑交易发生在8月2日凌晨5:32，100wBTC被转移到0x56d8......我们可以观察到代币从这里开始持续疯狂转移。
这样的漏洞也在吸引着如RariCapital攻击者这样的以往Web3.0黑客。
另外有个有意思的地方是，还有个恶意者试图对这起事件的黑客进行网络钓鱼攻击，ta持有ENSnomadexploiter.eth的EOA向持黑客EOA发送了链上信息，在8月2日注册冒充Nomad与黑客进行谈判：
Nomad在推特上发布声明称这不是他们干的
写在最后
这些攻击事件的漏洞在持续警醒我们：跨链桥漏洞所能造成的破坏性极其巨大。
Web3.0世界目前急需更安全和更广泛的跨链应用。未来同类性质的漏洞可能会出现的越来越多、越来越频繁。
我们可以尽力而为的至少是确保项目代码经过了完备的测试和安全审计，这将大幅提高面对高破坏性黑客攻击的抵御能力。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。