目前为止的黑客攻击损失中，超过80%是通过有漏洞的跨链桥被盗取。
当AxieInfinity和DeFiKingdoms等游戏类DApp维持着像Ronin和Harmony等整个生态系统时，Fantom或Avalance等网络协议已经在DeFi浪潮中赚的盆满钵满。这些区块链已成为以太坊汽油费和相对缓慢的交易时间的重要替代品。想要一种简单的能在不同区块链上的协议之间移动资产的方法变得比以往任何时候都更加迫切。
这就是区块链跨链桥的诞生之地。
由于多链场景的应用，所有DeFiDApp的总锁定价值飙升。截至2022年5月，该行业的TVL估计为1112.8亿美元。这些DeFiDApp中锁定和桥接的庞大资产吸引了恶意黑客的注意力，最新趋势表明，攻击者可能已经在区块链网桥中发现了薄弱环节。
根据Rekt数据库，2022年第一季度有12亿美元的加密资产被盗，根据同一来源，占历史被盗资金的35.8%。有趣的是，2022年至少80%的损失资产是从链桥上被盗的。
DeFi项目Kronos DAO被指控挪用客户资金后破产清算，投资者对其提起诉讼:7月12日消息，基于Klaytn的DeFi项目Kronos DAO涉嫌挪用80亿韩元客户资金，目前正在清算过程中，同时多数投资者正对其管理层提起诉讼。VEAT律师事务所于7月8日受理投资者的申请，要求对Kronos管理团队提起民事和刑事诉讼。
此前消息，Kronos DAO挪用用户在其vault质押的DAI投入Kairos Cash中，并亏损了600万枚DAI。Kronos DAO不仅没有对其投资者提前告知，并关闭Telegram等沟通渠道。（News 1）[2022/7/12 2:07:49]
最严重的攻击之一发生在3月份，当时Ronin桥被黑客入侵，损失了5.4亿美元。在此之前，SolanaWormhole和BNBChain的QubitFinance桥在2022年被盗了超过4亿美元。加密历史上最大的黑客攻击发生在2021年8月，当时PolyNetwork桥被盗了6.1亿美元，但被盗资金后有被追回。
链桥是区块链行业中最有价值的工具之一，但它们的互操作性对构建它们的项目提出了重要挑战。
了解区块链桥梁
类似于曼哈顿桥，区块链桥是连接两个不同网协议络的平台，可实现资产和信息从一个区块链到另一个区块链的跨链传输。通过这种方式，加密货币和NFT不会孤立在其本链中，而是可以跨不同的区块链「桥接」，从而增加这些资产的利用途径。
幸亏有链桥的存在，比特币可被用于基于智能合约的网络中，用于DeFi目的或者让NFL、NFT可以从Flow桥接到以太坊以进行细分或作为抵押品。
当然，想要转移资产还有一些其他不同的方法。比如Lock-and-Mint，顾名思义其桥接的工作原理就是将原始资产锁定在发送方的智能合约中，而接收网络在另一方铸造原始代币的副本。如果以太币从以太坊桥接到Solana，那么Solana中的以太币只是副本，而不是以代币本身。
USDC.Homes 已通过DeFi借贷协议Teller完成了首次销售:金色财经报道，加密房屋贷款公司USDC.Homes 已通过DeFi借贷协议Teller完成了首次销售。一位用户在德克萨斯州奥斯汀的一套价值 680,000 美元的公寓上获得了 500,000 美元的稳定币抵押贷款。Teller 称其为“第一个无抵押 DeFi 抵押贷款”，借款人没有提供抵押品（尽管他确实用USDC支付了首付），但凭借他的信用评分赢得了贷款。此外，Teller 表示，所有贷款交易都是通过Polygon的以太坊侧链在链上进行的，以使交易更快、更便宜。（decrypt）[2022/4/27 5:13:53]
锁定和铸币机制|来源：MakerDAO
虽然Lock-and-Mint方法是目前最流行的桥接方法，但还有其他方法可以完成资产转移，例如「burn-and-mint」或由智能合约自行执行两个网络之间交换资产atomicswaps。Connext和cBridge是依赖于atomicswaps的链桥。
从安全的角度来看，链桥可以分为两大类：受信任和去信任。受信任的链桥是依赖第三方来验证交易的平台，但更重要的是，它可以充当桥接资产的保管人。几乎所有特定于区块链的桥梁都可以找到可信桥梁的案例，例如BinanceBridge、PolygonPOSBridge、WBTCBridge、AvalancheBridge、HarmonyBridge、TerraShuttleBridge，以及Multichain或Tron的JustCryptos等DApps。
DeFi生态聚合器Booster与FilDA达成战略合作:据官方消息，DeFi生态聚合器Booster与FilDA正式达成战略合作，Booster所有存款全部存入FILDA，并实现存款双挖（BOO+FILDA），更加安全可靠。Booster与FilDA将携手共同开拓DeFi领域深度合作，一同为用户提供全面专业的数字金融体验。
FilDA是基于HECO的跨链借贷DeFi项目，并通过跨链桥连通了以太坊、NEO和Elastos等多条公链资产，实现了跨链质押借贷。
Booster致力于成为一站式服务平台，用户可在Booster完成存款、借款、杠杆挖矿、复投、跨链挖矿等一些列DeFi行为。Booster由灵踪安全、慢雾科技完成审计，目前已开通多币种存款及合成资产质押挖矿，及BOO/USD等十多种币对的LP Token流动性挖矿，最高可享受8倍杠杆。Booster将于4月16日14:00在火币生态链Heco开启头矿。[2021/4/17 20:30:46]
相反，纯粹依靠智能合约和算法来托管资产的平台是去信任的链桥。去信任链桥的安全因素与资产被桥接的底层网络相关，即资产被锁定的地方。在NEAR的RainbowBridge、Solana的Wormhole、Polkadot的SnowBridge、CosmosIBC以及Hop、Connext和Celer等平台中可以找到去信任的链桥。
乍一看，去信任链桥似乎为在区块链之间转移资产提供了更安全的选择。然而，受信任和去信任的链桥都面临着不同的挑战。
受信任和去信任链桥的局限性
Ronin链桥作为一个集中的受信任运行平台，该链桥使用多重签名钱包来托管桥接资产。简而言之，多重签名钱包是一个需要两个或两个以上加密签名来批准交易的地址。在Ronin的案例中，侧链有九个验证者，需要五个不同的签名来批准存款和取款。
Gate.io BTC锁仓理财-DeFi流动性挖矿赚BTC上线5分钟售罄:据官方公告，Gate.io BTC、ETH、USDT、USDG锁仓理财DeFi流动性挖矿，已于今日中午12:00开启，其中BTC锁仓理财-DeFi流动性挖矿赚BTC上线后5分钟售罄。
Gate.io理财宝今日DeFi锁仓专区含各大主流币种与热门币种理财项目，详情点击原文链接。[2020/9/28]
其他平台使用相同的方法，但风险分散性更好一点。例如，Polygon依赖于8个验证器并需要5个签名。这五个签名由不同各方控制。就Ronin而言，SkyMavis团队单独持有四个签名，造成单点故障。黑客一次性控制了四个SkyMavis签名后，只需要一个签名就可以批准资产的提现。
3月23日，攻击者控制了AxieDAO的签名，这是完成攻击所需的最后一部分。在有史以来第二大加密攻击中，173600ETH和2550万USDC通过两次不同交易从Ronin的托管合约中流失。值得注意的还有，SkyMavis团队在近一周后才发现黑客攻击，这表明Ronin的监控机制至少存在一定不完善的地方，这也揭示了这个受信任平台的一个缺陷。
虽然集中化存在一个根本缺陷，但由于软件和编码中的错误和漏洞，去信任的链桥也很容易受到攻击。
SolanaWormhole是一个实现Solana和以太坊之间跨桥交易的平台，在2022年2月遭受了攻击，由于Solana的托管合同中的一个漏洞，3.25亿美元被盗。虫洞合约中的一个漏洞允许黑客设计跨链验证器，攻击者从以太坊向Solana发送了0.1ETH，以触发一组「传输消息」，诱使程序批准假定的12万枚ETH存款转移。
火币集团COO朱嘉伟：DeFi和中心化金融本身并不矛盾，两种形态有不同的存在价值:8月12日下午，火币以新基建浪潮下区块链的新机遇为主题，在上海举办了2020年季度策略会。会议现场，火币集团COO朱嘉伟表示：DeFi的爆发引发了中心化金融和去中心化金融的讨论，从短期来看，这两种形态的存在都是有理由和价值的。去中心化的DeFi更适用于简单的场景，包括质押借贷、算法衍生品等；而中心化金融对需要人服务的场景更友好。
DeFi和中心化本身并不矛盾，未来DeFi会作为自动化执行的基础，DeFi本身是自动化的，更适合和程序打交道，这些程序很可能是是中心化金融中的人来写出来的。而中心化金融能提供更多人的服务，处理复杂的逻辑和风险，对普通人交互会友好一些。
朱嘉伟表示：“今年我们组建了DeFi实验室，准备投入近千万美金参与全球DeFi发展，希望可以为全球DeFi生态的建设做出贡献。”[2020/8/12]
由于合同分类和结构存在缺陷PolyNetwork于2021年8月被盗6.1亿美元后，Wormhole黑客事件发生。该DApp中的跨链交易由称为「守护者」的集中节点组批准，并通过网关合约在接收网络上进行验证。在这次攻击中，黑客能够获得作为管理员的特权，从而通过设置自己的参数来网关。攻击者在Ethereum、BinancDe、Neo和其他区块链中重复该过程以提取更多资产。
所有的桥梁都通向以太坊
以太坊仍然是行业中最主要的DeFi生态系统，占行业TVL的近60%。与此同时，这些不同的网络协议作为以太坊DeFiDApp替代品，它们的兴起也引发了区块链桥的跨链活动。
业内最大的桥是WBTC桥，由RenVM背后的团队BitGo、Kyber和RepublicProtocol托管。由于比特币代币在技术上与基于智能合约的区块链不兼容，因此WBTC桥“包装”原生比特币，将其锁定在桥托管合约中，并在以太坊上铸造其ERC-20版本。这座桥在DeFiSummer大受欢迎，现在持有价值约125亿美元的比特币。WBTC允许将BTC用作Aave、Compound和Maker等Dapp的抵押品，或者在多种DeFi协议中产生收益或赚取利息。
Multichain，以前叫Anyswap，是一个DApp，它通过内置的链桥向40多个区块链提供跨链交易。Multichain在基于所有连接的网络基础上持有65亿美元。然而，以太坊的Fantom桥是迄今为止最大的池，它锁定了35亿美元。在2021年下半年，Proof-of-Stake网络因为拥有有吸引力的收益农场，包括FTM、各种稳定币或像SpookySwap上发现的wETH，使之成为一个受欢迎的DeFi领域。
与Fantom不同，大多数L1区块链使用独立的直接网桥连接网络。Avalanche桥主要由Avalanche基金会托管，是最大的L1<>L1桥。Avalanche是最强大的DeFi领域之一，因为其拥有包括TraderJoe、Aave、Curve和PlatypusFinance等Dapp。
Binance桥也以45亿美元的锁定资产脱颖而出，紧随其后的是SolanaWormhole，其TVL为38亿美元。
同样，就TVL而言，Polygon、Arbitrum和Optimism等扩展解决方案也是最重要的桥梁之一。PolygonPOS桥是以太坊及其侧链之间的主要入口点，是第三大桥，托管了近60亿美元。同时，Arbitrum和Optimism等流行的L2平台的链桥的流动性也在上升。
另一个值得一提的桥是NearRainbow桥，旨在解决著名的互操作性三难困境。这个将Near和Aurora与以太坊连接起来的平台可能会为实现去信任链桥的安全性提供宝贵的机会。
如何提升跨链安全性
作为托管桥接资产的两种方法，受信任桥接和去信任桥接都容易存在基础面和技术面的缺陷。尽管如此，仍有一些方法可以防止和减少由黑客对区块链的恶意破坏造成的影响。
在受信任链桥的情况下，很明显需要增加所需签名者的比例，同时还要让多重签名分布在不同的钱包中。尽管去信任的链桥消除了与中心化相关的风险，但仍然存在漏洞和其他技术限制的风险情况，如SolanaWormhole或QubitFinance漏洞利用案例所示。因此，有必要实施链下行动以尽可能保护跨链平台。
协议之间的合作是很有必要的。Web3空间的特点是其社区联合性，因此让业内最聪明的人共同努力使该空间成为一个更安全的地方求之不得。AnimocaBrands、Binance和其他Web3品牌筹集了1.5亿美元，以帮助SkyMavis减少Ronin桥由于黑客攻击的带来的财务危机。通过共同努力协作可以为多链未来将互操作性提升到一个新的水平。
同样，与链分析平台和CEX的协调合作有助于追踪和标记被盗的Token。这种情况可能会在中期抑制犯罪分子的积极性，因为将加密货币兑现为法定货币的网关应该由已建立的CEX中的KYC程序控制。上个月，两名20岁的年轻人在NFT领域实施后受到法律制裁。同样应该对已确认身份的黑客要求同样的惩罚才是公平的。
审计和漏洞赏金也是改善任何Web3平台安全状况的另一种方式。Certik、Chainsafe、Blocksec等认证组织有助于使Web3交互更安全。所有链桥活动都应由至少一个认证组织进行审核。
同时，漏洞赏金计划在项目及其社区之间创造了协同效应。白人黑客在其他黑客进行恶意攻击之前识别漏洞方面发挥着至关重要的作用。例如，SkyMavis最近推出了一项价值100万美元的漏洞赏金计划，以加强其生态系统的安全性。
结论
激增的L1和L2解决方案作为整体区块链统挑战以太坊DApp的生态系统，它们激增催生了通过跨链在网络之间移动资产的需求。这是互操作性的本质，也是Web3的支柱之一。
尽管如此，当前的可互操作场景依赖于跨链协议，而不是多链方法，Vitalik在今年年初对这种情况发出了。尽管对空间互操作性的需求非常明显，仍需要在此类平台中采取更强大的安全措施。
不幸的是，挑战不会轻易克服。受信任和去信任的平台都存在设计缺陷。这些固有的跨链缺陷已经变得显而易见。截至目前为止，在12亿美元的黑客攻击中损失中，超过80%通过有漏洞的链桥被盗取。
此外，随着行业价值的不断增加，黑客技术也变得越来越强大。社会工程和网络钓鱼攻击等传统网络攻击手法已经成为Web3过去的发展历史了。
所有代币版本都和每个区块链本地相对应的多链方法仍然很遥远。因此，跨链平台必须吸取以往的经验教训，加强流程监管，尽可能减少黑客攻击的成功性。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。