某跨链协议在其所桥接的三条链上的资产池被黑客盗了，总计损失逾 6 亿美元。堪称 Defi 历史的黑夜。惨痛损失的背后，回顾起来，“每个项目都在跨链啊，跨链是伪命题”等声音背后，是把跨链简单化为一个热点的追逐，一个市场的口号与标签的认知偏狭。

Defi 历史黑夜背后的阿喀琉斯之踵（Achilles' heel）

“黑客是唯物主义的、实用主义的。当人们不清醒的时候，黑客就用狠狠的耳光把人们打醒。”

清醒之后值得社区和开发者们深省的是：

跨链基础设施的阿喀琉斯之踵
（Achilles' heel）

01

跨链的基本原理和模型

当你把资产从一个链转移到另外一个链，比如以太坊转到达尔文，你的资产其实并没有真的转移过去，而是通过在源链上锁定，然后在目标链上发行映射资产。

02

阿喀琉斯之踵为何脆弱？

跨链桥作为跨链基础设施的一个脆弱的单点是因为， 跨链安全挑战的高复杂度。

复杂度的来源，通过上文跨链原理的讲解，大家不难发现多条链之间的资产转移，特别是达尔文一直在攻克的技术难关，异构跨链（比如以太坊-BSC 跨链类似同构跨链难度略低，波卡-以太坊跨链就是异构跨链）。

在资产锁定和发行映射资产的过程中，加上 Defi 产品的复杂多链可组合性，涉及多个不同链不同合约，链底层，代币合约，跨链组件合约（每个链一个），应用层合约，只要一个有问题，系统就会被攻破，BSC 和 polygon 风险系数相对偏低，因为直接同构以太坊，久经考验，其他链就会存在较大风险。

Defi 历史黑夜背后的阿喀琉斯之踵（Achilles' heel）

03

跨链资产的“托管”难题

跨链安全的一个关键就是这个锁定的方式，比如某被攻击的链采用的跨链资金池托管，基于影子资产的基本跨链模型之下，托管似乎无法避免。

托管的方式最常见的是基于 Trust 的半中心化多签托管，跨链技术的探索者们一直致力于把这一方式进一步去信任化，消除第三方的人为参与，比如引入加密算法和经济博弈来提高被锁定资产的安全性。

Defi 历史黑夜背后的阿喀琉斯之踵（Achilles' heel）

04

去中心化就一定安全吗？

去中心化程度，安全，效率一直是区块链行业想要突破的不可能三角。在这次的事故中，是中心化的 Tether 反而第一时间通过更大中心化权限，冻结了黑客的资产，币安等交易所也及时伸出援手。达尔文团队一直在探索去信任跨链方案和进一步提高桥的安全性和跨链效率的突破。

05

去中心化跨链基础设施
能支撑 Defi 行业的飞速爆发吗？

Defi 产品的复杂度，跨链可组合性给用户带来高收益的同时，也加剧了对于跨链基础设施，跨链桥的安全考验。跨链挖矿收益的驱使下，托管跨链资金池的资金不断庞大，成为了黑客完美的猎物。

达尔文团队一直秉承安全第一的理念，致力于提供更安全的通用跨链桥方案，事故发生之后也第一时间进行了开发者研讨，以下和社区分享达尔文在跨链桥安全模型升级的思路。

达尔文跨链桥安全模型升级思路

01

安全模型思路：

1）安全冗余系统，而不是单一机制系统 (消息递送系统 + 消息守卫系统）

8 月 11 日 08:40 更新：慢雾安全团队分析指出：本次攻击主要在于 EthCrossChainData 合约的 keeper 可由 EthCrossChainManager 合约进行修改，而 EthCrossChainManager 合约的 verifyHeaderAndExecuteTx 函数又可以通过_executeCrossChainTx 函数执行用户传入的数据。因此攻击者通过此函数传入精心构造的数据修改了 EthCrossChainData 合约的 keeper 为攻击者指定的地址，并非网传的是由于 keeper 私钥泄漏导致这一事件的发生。

Defi 历史黑夜背后的阿喀琉斯之踵（Achilles' heel）

事故中某跨链协议，消息递送系统受到了攻击，消息守卫的双重保险可以进一步降低跨链安全风险。达尔文从业务和产品方面会专注于升级跨链消息递送系统 (Darwinia 桥的核心系统)

2）桥消息系统和应用层 (包括 Token) 的解耦

应用层需要为其安全性独立负责，桥消息系统只是提供了一套基础设施和消息递送服务 (有其可靠性、安全性前提和假设)，应用需要去考虑是否需要额外的增强，达尔文可以提供工具和解决方案。

3）跨链安全模型的角度是多维的

①源链和目标链的安全假设

②桥 chainrelay 设计安全假设

③工程假设

④运维假设

4）不同桥映射资产直接的隔离

某一个跨链消息系统出问题，不会影响基于其他桥的映射资产，具有局部性，不会影响辐射到全局。

5）进一步降低产品结构的复杂性

复杂性是安全的天敌。（达尔文计划将 Token 业务从 Darwinia 消息递送服务剥离，资产管理可能变成独立模块产品），将映射资产协议剥离独立出来，作为独立的可选应用和模块。(映射资产可能需要有相关的应用层主体负责)。

6）经济角度的黑天鹅救济和补充

吸收和借鉴行业经验，以及其他的保险机制， 比如 Ren 的经验：跨链资产 limit 是跟他们的加密经济系统的市值相关，以及使用安全多方计算来保证系统安全，每个分片的 REN 节点必须集体绑定不少于相应分片中锁定的 BTC 价值三倍的资产，来实现锚定。

Defi 历史黑夜背后的阿喀琉斯之踵（Achilles' heel）

02

安全实践

密码学方面：

  1. 加强跟安全公司的合作 (开源审计工作)；

  2. 建立安全专业人员队伍

a. 定期进行安全审计检查工作和研讨会议

b. 设定专职的安全专员以安全为目标

运维方面：

  1. 加强 Runtime & Pallet 安全审计，以及权限管理的设计和检查；

  2. 不迷信安全实践，多讨论多假设可能存在的风险；

  3. 推进更多的行业安全合作，协同升级跨链桥通用安全方案；

  4. 了解 PR Review 方面的挑战和问题和增强团队交叉知识学习和储备。

截至发文，黑客已经开始归还资产，似乎让社区松了口气。但血的教训面前，跨链桥安全挑战这条荆棘之路，达尔文会继续负重前行。