跨链桥的工作原理及为何有40亿美元被盗

引言

区块链之间无法相互通信。以太坊无法读取索拉纳的状态，Arbitrum无法验证Avalanche上的交易。每条链维护自己的账本、共识和最终性规则。这种隔离是安全设计的特性，但也带来了一个实际问题：用户在一条链上持有资产，却希望在另一条链上使用这些资产。

桥梁的存在就是为了解决这个问题。桥梁是一种系统，允许用户在链A上存入资产，并在链B上接收相应的资产。这个概念听起来简单，但实施过程中却损失了数十亿美元。

核心难点在于验证。当用户声称在以太坊上存入了100 ETH，并请求在Arbitrum上获得100 ETH时，必须有人或某种机制来验证该存款确实发生了。用于此验证的机制决定了桥梁的安全模型、速度、成本和攻击面。正如Coinbase对桥梁黑客攻击的分析所指出的，桥梁安全失败始终源于桥梁声称的信任假设与实际执行的信任假设之间的差距。

本指南涵盖了主要桥梁架构的工作原理、为何最大的漏洞得以成功以及在信任桥梁处理资金之前需要检查的内容。

锁定与铸造：原始桥梁机制

最早且最常见的桥梁设计是锁定与铸造。该机制分为三个步骤：

1. 锁定。 用户将代币发送到源链上的智能合约。这些代币在该合约中被锁定（保留），而不是被销毁或转移。
2. 验证。 一组验证者、转发者或预言机观察源链上的存款，并在目标链上证明其有效性。
3. 铸造。 目标链上的智能合约铸造一个锁定代币的合成版本。用户收到“包装ETH”或“桥接USDC”，代表对锁定原始代币的索赔。

要返回，过程反向进行：用户在目标链上销毁合成代币，验证者证明销毁，原始代币在源链上解锁。

锁定与铸造的安全性完全依赖于验证步骤。如果攻击者能够说服目标链存款发生了而实际上并未发生，他们就可以铸造没有支持的代币。这正是最大的桥梁漏洞发生的原因。

算术问题。 锁定与铸造桥梁必须在锁定的原始代币和铸造的合成代币之间保持1:1的比例。如果在以太坊上锁定了10,000 ETH，那么目标链上应该存在恰好10,000个桥接ETH。任何差异意味着一些桥接代币没有支持。当漏洞导致没有支持的合成代币时，最后赎回的用户会发现保险库是空的。这会产生银行挤兑的动态：一旦漏洞消息传播，每个持有包装代币的人都会急于赎回，因为只有最早到达的人才能获得真实资产。

销毁与铸造：本地跨链代币

销毁与铸造通过销毁原始代币并创建一个新代币来消除包装代币的问题。

1. 销毁。 代币在源链上被永久销毁。
2. 验证。 销毁事件在目标链上被验证。
3. 铸造。 新代币在目标链上本地铸造。

该模型仅适用于发行者控制多个链上铸造的代币。Circle的USDC跨链转移协议（CCTP）是最大的实现。当用户通过CCTP将USDC从以太坊桥接到Avalanche时，以太坊上的USDC被销毁，而在Avalanche上铸造本地USDC。没有包装代币，没有流动性碎片，也没有没有支持的合成代币。

限制在于烧铸机制要求代币发行者在每个支持的链上部署和运营基础设施。这不是一种通用机制。任意的ERC-20代币无法使用烧铸机制，除非其开发者构建跨链铸造基础设施。CCTP目前支持十多条链，但每个集成都需要Circle的直接参与。

流动性池桥：速度通过资本

第三种模型通过在每条链上使用预先资助的流动性池，避免了包装和燃烧。

机制：

1. 存款。 用户将代币存入源链上的池中。
2. 取款。 用户（或代表其行动的中继者）从目标链上的池中提取等值代币。
3. 再平衡。 协议定期在链之间再平衡池，以维持足够的流动性。

Stargate（基于LayerZero构建）和Across Protocol使用这种模型的变体。其优势在于速度：因为代币已经存在于目标链上，所以没有铸造延迟。用户立即收到真实的本地代币。

权衡是资本效率。流动性必须在每个支持的链上预先配置，而这些资本只有在桥梁被积极使用时才能获得回报。在低交易量期间，流动性提供者的资本闲置时几乎没有收益。所有支持链的总资本需求可以达到数亿美元，这造成了进入壁垒，并且如果单一流动性提供者主导，则会产生集中风险。

Ronin桥黑客事件：624百万美元来自被盗密钥

2022年3月23日，攻击者从Ronin桥中盗取了624百万美元的ETH和USDC，该桥连接以太坊和用于游戏Axie Infinity的Ronin侧链。

Ronin的桥使用了多重签名验证方案。九个验证节点验证桥交易，任何五个节点可以授权提款。安全假设是，攻陷九个独立验证者中的五个是不可行的。

这个假设是错误的。Axie Infinity背后的公司Sky Mavis控制了九个验证节点中的四个。第五个验证者在高交易量期间授予Sky Mavis临时权限以代表其签名，并且从未撤销该权限。

攻击者（后来被FBI归因于朝鲜的Lazarus Group）攻陷了Sky Mavis的系统，并获得了所有五个验证者的私钥。凭借九个中的五个签名，他们授权了两次欺诈性提款：173,600 ETH和2550万USDC。

该漏洞在六天内未被发现。只有当一名用户尝试提取5000 ETH时，才发现桥没有足够的资金。

教训。 多重签名的安全性仅与签名者的独立性一样强。当单一组织控制大多数密钥时，多重签名就成为一个单点故障，增加了额外步骤。

Wormhole黑客事件：326百万美元来自验证绕过

2022年2月2日，一名攻击者利用Wormhole桥在Solana上铸造了120,000 wETH（包装ETH），而没有在以太坊上存入任何ETH。该漏洞价值约326百万美元。

Wormhole的桥依赖于一组19个守护者来验证跨链消息。守护者会观察以太坊上的存款，生成签名证明（称为VAA，验证行动批准），然后Solana侧的合约会在铸造之前验证签名。

漏洞在于Solana侧的签名验证。Wormhole的Solana合约使用了一个已弃用的系统指令（verify_signatures），未能正确验证传递给它的账户。攻击者伪造了一组假守护者，提交了带有该假集签名的伪造VAA，合约将其视为有效。

实际上，攻击者对Solana合约说“这些守护者批准了这个铸造”，而合约并没有检查这些守护者是否真实存在。

Jump Crypto支持的Wormhole从其自有储备中替换了被盗的120,000 ETH。完整的恢复在24小时内完成，这一前所未有的反应防止了持有wETH的Solana DeFi协议的连锁损失。

教训。 桥梁验证代码是高价值的攻击面。签名验证中的单个逻辑错误可以允许无限制的未经授权的铸造。

Nomad黑客事件：190百万美元因故障更新而损失

2022年8月1日，Nomad桥被抽走了大约190百万美元。与Ronin和Wormhole不同，Nomad并没有被一个复杂的团体攻击。它是被数百个个人模仿者在初次利用公开后抽走的。
你可能还喜欢：Cetus Protocol黑客事件和Sui漏洞：260百万美元攻击背后的完整故事

Nomad使用了一种乐观验证模型。跨链消息被提交并假定有效，除非在30分钟内受到挑战。一次例行的合约升级引入了一个错误：合约以受信任的根0x00（零字节32值）初始化。

在Nomad的验证逻辑中，每条消息都与受信任的根进行检查。由于0x00是Solidity中未初始化存储的默认值，因此每条消息自动通过验证。任何用户都可以提交任何消息，合约将其视为已证明。

一旦第一个攻击者证明任意消息被接受，其他人就复制了该交易，改变了接收地址，并重放了它。桥梁被一群 opportunistic 攻击者抽走，包括后来归还了大约3600万美元被追回资金的白帽黑客。

教训。 桥梁合约中的初始化错误可能是灾难性的。单个配置错误将Nomad的安全模型从“乐观验证与欺诈证明”转变为“根本没有验证”。

Harmony Horizon黑客事件：100百万美元来自五分之二的多签名

在2022年6月，Harmony Horizon桥损失了100百万美元，当时攻击者破坏了桥的多签名中两个五个验证者的私钥。Harmony的桥只需要五个签名者中的两个批准交易，这对于持有100百万美元的桥来说是一个异常低的门槛。

这次攻击强化了Ronin的教训：多签名桥的安全性仅与其最弱的签名者集一样强。当门槛相对于签名者数量较低时，单个基础设施的妥协可能就足够了。在攻击发生之前，安全研究人员曾公开批评Harmony的五分之二门槛。

教训。 门槛选择与验证者数量同样重要。五分之九的多签名提供的安全性与五分之二的多签名有显著不同，尽管两者使用相同的基础机制。

累计损失和攻击模式

桥梁损失的规模在智能合约安全中是前所未有的。桥梁漏洞大约占过去十年170亿美元总加密货币黑客攻击中的30亿美元，使桥梁成为智能合约中被攻击最多的类别。

攻击模式分为三类：

密钥妥协。 攻击者获得足够的验证者或签名者密钥以伪造桥梁消息。Ronin和Harmony遵循了这一模式。漏洞不在代码中，而在于签名者基础设施的操作安全。

验证绕过。 攻击者发现验证逻辑中的一个错误，允许伪造的消息通过。Wormhole遵循了这一模式。漏洞是桥梁合约最关键功能中的代码级错误。

初始化或升级错误。 攻击者利用在部署或升级过程中引入的配置错误。Nomad遵循了这一模式。该漏洞是程序性的：团队在例行操作中犯了错误。

每种模式需要不同的防御措施。密钥泄露通过增加签名者多样性和使用硬件安全模块来缓解。验证绕过通过审计和正式验证来缓解。初始化错误通过包含强制测试运行的升级程序来缓解，这些测试运行在分叉网络上进行。

一个新出现的模式值得一提：治理攻击。攻击者如果积累足够的治理代币以控制桥接的升级机制，可以修改桥接合约以抽取资金。这种攻击比其他攻击更慢且更明显，但它针对的是治理集中或升级时间锁过短的桥接。桥接团队越来越多地使用多天的时间锁（48到72小时）进行合约升级，以便在恶意更改生效之前给用户时间进行提款。

基于意图的传统桥接替代方案

一种较新的方法完全绕过桥接合约，使用基于意图的跨链转移。Across Protocol和UniswapX的跨链模式让用户表达桥接意图：“我在以太坊上有1,000 USDC，想在Arbitrum上获得1,000 USDC。”一个解决者（称为中继者）立即从他们在目标链上的库存中发送代币，然后稍后索取报销。

这种模型减少了信任表面。用户从未将代币存入持有池资金的桥接合约。解决者承担报销风险，而结算合约强制执行用户收到了承诺的输出。没有大量锁定资产供攻击者瞄准。

权衡是对解决者的依赖：如果没有解决者愿意以可接受的价格满足意图，转移将不会执行。对于高流量路线（以太坊到Arbitrum，以太坊到Base），解决者竞争激烈。对于低流量路线，解决者可能不活跃。

轻客户端桥接和零知识验证

上述漏洞共享一个共同的弱点：它们依赖外部验证者或多重签名来证明其他链上发生了某些事情。如果这些证明者被攻破，桥接就会失败。

轻客户端桥接采取不同的方法。目标链运行一个轻客户端，直接验证源链的共识，而不是信任验证者集。

例如，通往以太坊的轻客户端桥接将跟踪以太坊的验证者集，并在链上验证区块头和状态证明。当用户声称在以太坊上存入代币时，桥接合约会根据它已经验证的以太坊区块头验证Merkle证明。

这种方法是最小化信任的：桥接信任源链的共识，而不是外部委员会。但它是昂贵的。在另一条链上验证以太坊的共识需要大量计算，这转化为高燃气费用。

零知识证明为成本问题提供了解决方案。与其在链上验证每个验证者签名，不如使用ZK证明将验证压缩为一个简洁的证明。目标链验证一个证明，而不是数百个签名。

像Succinct Labs、Polymer和Lagrange这样的项目正在构建ZK验证的桥接。这些项目仍在成熟中，但它们代表了跨链通信最强的安全模型：信任数学，而不是委员会。早期实施显示，随着ZK证明系统变得更加高效，验证成本正在下降，一些桥接已经在主网上运行，证明时间低于30秒。

这并未涵盖的内容

本指南解释了桥接机制和最大的漏洞。它不包括：

• 针对特定代币的桥接策略或针对特定资产使用哪个桥
• 桥接聚合器的详细比较（Li.Fi、Socket、Bungee）
• 桥接池的流动性提供经济学
• 超出桥接功能的跨链消息协议（LayerZero、Axelar、Chainlink CCIP 作为通用消息层）

使用桥接前的实用检查

检查验证机制。 多签桥是最弱的模型。轻客户端和 ZK 验证的桥是最强的。乐观桥介于两者之间。了解你所信任的内容。

查看验证者或守护者集。 对于多签桥，检查有多少个签名者，谁在运营他们，以及他们是否真正独立。如果大多数签名者属于同一组织或地理管辖区，则多签提供的安全性有限。

审查审计历史。 桥接合约是高价值目标。寻找来自信誉良好的公司的多次独立审计。未经过审计或仅经过一次审计的桥接需要额外谨慎。注意审计的范围：对代币合约的审计并不涵盖验证逻辑。

考虑总锁定价值与安全预算。 持有 5 亿美元的五签九的多签桥与持有 500 万美元的桥呈现出非常不同的风险特征。攻击者会针对那些潜在收益足以证明努力的桥。理性的攻击者会计算妥协足够密钥的成本是否低于可以提取的价值。

首先用小额测试。 在桥接大量价值之前，先发送小额测试交易。验证接收地址、代币和金额是否正确。桥接交易通常是不可逆的。

对于 Rollup 优先使用本地桥。 对于以太坊 L2 Rollup（Arbitrum、Optimism、Base），规范桥直接继承以太坊共识的安全性。第三方桥可能更快，但引入额外的信任假设。对于安全性比速度更重要的大额转账，使用规范桥。 阅读更多：什么是跨链桥？为什么它们总是被黑？

什么是跨链桥？ {#faq-question-4160687517}

跨链桥是一个在两个无法本地通信的区块链之间转移资产或数据的系统。桥接在一个链上锁定、销毁或池化代币，并在另一个链上发行相应的代币，使用验证机制确保转移的合法性。

为什么桥接如此频繁被黑？ {#faq-question-1765570890}

桥接是高价值目标，因为它们持有大量锁定资产的池。它们还在两种不同安全模型的边界引入复杂的信任假设。验证机制中的漏洞（密钥被攻破、签名检查错误、初始化错误）可能允许攻击者在一次交易中耗尽整个池。

锁定-铸造与销毁-铸造有什么区别？ {#faq-question-0293370535}

锁定-铸造在源链上保留原始代币，并在目标链上铸造合成（包装）版本。销毁-铸造销毁原始代币，并在目标链上铸造新的本地代币。销毁-铸造生成本地代币而非合成代币，但要求代币发行者控制两个链上的铸造。

包装代币安全吗？ {#faq-question-3820965888}

包装代币的安全性仅与发行它们的桥接相关。如果桥接被攻击且支持资产被耗尽，包装代币将变得没有支持并失去其挂钩。持有包装代币的用户承担桥接的安全风险，而不仅仅是基础资产的风险。

桥接需要多长时间？ {#faq-question-8084085272}

它因机制而异。流动性池桥接和基于意图的桥接（Across）可以在几秒钟内完成。带有多重签名验证的锁定和铸造桥接通常需要10到30分钟。带有欺诈证明窗口的乐观桥接从乐观汇总到以太坊的提款可能需要7天，尽管快速桥接可以提前提供流动性以减少这一时间。

什么是轻客户端桥接？

轻客户端桥接直接在目标链上验证源链的共识，而不是依赖外部验证者集。它检查区块头和状态证明，信任源链自身的安全性。这比多重签名或乐观验证更少依赖信任，但操作成本更高。

使用桥接会损失资金吗？

会。如果在您存入后但在您提款之前桥接被利用，您的锁定代币可能会被盗。如果您持有包装代币而桥接被黑客攻击，您的包装代币可能会变得毫无价值。此外，错误的目标地址或不支持的代币类型可能导致永久性损失。

我应该使用哪个桥接？

没有单一的桥接适用于所有情况。对于USDC，Circle的CCTP是最安全的选择，因为它使用销毁和铸造，没有包装代币。对于一般的ERC-20转账，比较可用桥接的验证机制。优先选择具有轻客户端或ZK验证、多次独立审计和安全操作记录的桥接。桥接聚合器如Li.Fi可以帮助比较路径。

*免责声明：本文仅供信息参考，不构成财务、投资或法律建议。加密货币涉及重大风险，您在做出任何决定之前应进行自己的研究。信息截至2026年8月准确。*