T26 · Cross-chain

一个现实问题

一个用户在 A 链上有 1000 USDC。他想去 B 链上的一个协议做点事，于是用一座桥把钱转过去。

两分钟后，B 链上的钱包显示：USDC 1000。图标是对的，名字是对的，小数位是对的。他把它存进一个借贷协议做抵押，借出一笔钱去做别的事。

三周后的某个凌晨，A 链上那座桥的锁仓合约被搬空了。

B 链上没有任何东西发生变化。合约地址没变，他的余额还是 1000，代币名字还是 USDC。唯一变化的是：这 1000 个代币背后，现在什么都没有了。

几分钟内它的价格掉到几分钱。借贷协议里他那笔抵押瞬间资不抵债，但清算人也不愿意接——接过来只会拿到一堆废纸。坏账留在了协议里，由所有存款人分摊。

回头看，这个用户从头到尾没做错任何事：他用的是主流的桥，看到的是熟悉的代币符号，钱包和行情软件都显示这是 USDC。

所以问题很尖锐：他手里那 1000 个东西，到底是什么？

思想实验

把两条链想成两个国家，它们之间没有直达的通信线路。

你在 A 国的仓库存了一箱货，仓库给你一张提货单。你带着这张单子到了 B 国，想在这边把它卖掉。

B 国的买家凭什么相信这张单子？ 他们看不到 A 国的仓库，也没办法自己去核实。

历史上人类解决这个问题只有三种办法。

第一种：请一个 B 国也认的公证人。 他在 A 国看过仓库，他说单子是真的，B 国的人就认。简单、快、便宜。风险也一目了然：公证人说了算。 他被收买、被胁迫、或者干脆自己印一张假单子，B 国没有任何办法发现。

第二种：B 国自己派人常驻 A 国仓库门口。 每一次入库出库都亲眼记下来，自己维护一本 A 国的流水账。这样 B 国不需要相信任何人，只需要相信自己派出去的那套记账规则。

代价是贵。这个人要一直在那里，要抄下 A 国仓库的全部变动，哪怕 99% 的变动和 B 国无关。而且如果 A 国的记账规则很复杂，这个人可能根本抄不动。

第三种：根本不传单子。 B 国有个人手里本来就有一箱同样的货。你把 A 国的单子给他，他把 B 国的货给你。他自己去承担「A 国那箱货到底在不在」的风险，因为他判断自己扛得住，并且收你一笔费用。

现在是关键的一层。

上面三种办法争论的从来不是「货怎么过去」——货一步都没有动过。三种办法争论的只有一件事：「A 国仓库里有一箱货归你」这条消息，B 国凭什么信。

所以，那张提货单从来不是货。它是一条消息。B 国那些人愿意用真金白银换它，是因为他们选择把这条消息解释成一件资产。

消息可以是假的。消息一旦是假的，被解释出来的那件资产，就从来没有存在过。

开头那个用户手里的 1000 USDC，就是一条消息的解释结果。锁仓合约被搬空的那一刻，消息的依据没了，解释也就没了。

你来决定

你要为自己的应用选一座桥，或者干脆自己设计一座。先选验证方式。

观察结果

四种做法摆在一起：

第二列是全表唯一重要的一列。它让第一条结论变得很直白：

不存在「无需信任」的跨链，只存在「信任谁」的不同选择。

任何一份宣传材料说自己 trustless，你要做的只有一件事：把那句话翻译成「如果谁作恶，我的钱会没」。 翻译不出来，说明你还没读懂它。

第二条结论解释了为什么桥是这个行业出事最多的地方之一。

桥的锁仓量是会增长的——它本质上是一个资金池，用的人越多越深。但它的安全预算不会跟着涨。一个有 N 个验证者的桥，锁仓从一千万涨到十亿，验证者还是那 N 个人，攻破它需要的成本几乎没变。

于是每座桥都在朝着同一个状态漂移：

攻破它的成本，迟早会低于攻破它的收益。

这句话本身就是下一章「经济攻击」的核心公式，只不过在桥这里它表现得格外赤裸——因为桥的资金是集中的。一个借贷协议被攻破，损失通常是某个池子；一座桥被攻破，损失是它锁的全部。

第三条结论是这一章的标题：

跨链传的是消息。资产只是消息的一种解释方式。

理解这句话，你就能回答开头那个问题了：那 1000 个代币，是 B 链上一份合约根据一条来自 A 链的消息铸出来的凭证。它的价值完全等于「那条消息为真」这件事的可信度，一分不多，一分不少。

建立模型

三层：传输、验证、解释

任何一座桥都能拆成三层，而且只有中间那层决定信任假设。

分清这三层能挡掉一大半营销话术。「我们有 20 个独立中继」听起来很安全，但中继属于传输层——中继再多，也只是保证消息送得到，不保证消息是真的。要问的永远是：验证层是谁。

资产的三种表示方式

同样是「把钱弄过去」，链上的实现有三种，用户看到的东西完全不同。

第一种是包装资产的来源，也是开头那个场景的来源。它有一个非常容易被忽略的后果：

同一种资产在目标链上会有多个互不相同的版本。 五座桥搬过去的 USDC 是五个不同的合约地址，符号可能都叫 USDC，但它们彼此不可互换：A 桥铸的币回不到 B 桥的锁仓里去。

于是流动性被切成了碎片，而且用户几乎没有办法分辨自己手里是哪一个。这是集成方必须自己处理的一件事：

你的合约白名单里写的是地址，不是符号。 任何按符号匹配资产的代码，迟早会接收到一个不该接收的东西。

第二种是发行方自己下场做跨链。信任假设从「桥」收窄到「发行方」，通常是包装资产的一个明显改进——前提是你本来就已经信任这个发行方了。

消息层：幂等与重放，又见 outbox

跨链消息必须满足两条性质，而它们和 T17 的 outbox 是同一套东西。

// SPDX-License-Identifier: MIT
pragma solidity ^0.8.4;

contract MessageReceiver {
    // 已执行的消息，防重放。键是消息的全局唯一坐标
    mapping(bytes32 => bool) public executed;

    event Executed(bytes32 indexed id);

    function execute(
        uint256 srcChainId,
        uint256 nonce,
        address sender,
        bytes calldata payload,
        bytes calldata proof
    ) external {
        // 1. 唯一 ID 必须包含目标链，否则同一条消息能在多条链上各执行一次
        bytes32 id = keccak256(
            abi.encode(srcChainId, block.chainid, nonce, sender, payload)
        );

        // 2. 幂等：执行过就直接拒绝
        require(!executed[id], "already executed");

        // 3. 验证层：这一行决定了整座桥的安全性
        require(verify(id, proof), "invalid proof");

        // 4. 先记账，再执行。顺序反了就是重入，原因见 T28
        executed[id] = true;
        _apply(sender, payload);

        emit Executed(id);
    }

    function verify(bytes32, bytes calldata) internal view virtual returns (bool) {
        return false; // 由具体的验证层实现
    }

    function _apply(address, bytes calldata) internal virtual {}
}

四个注释各对应一类真实事故。

唯一 ID 里必须包含目标链。 漏掉它，同一份证明可以在每条部署了这份合约的链上各执行一次。一次跨链转账变成 N 次铸币。

幂等必须在链上、用持久状态实现。 中继重发、用户手动重试、区块重组，都会让同一条消息到达不止一次。这和 T16 的主键幂等是同一个道理：去重的依据必须是消息自身的坐标，不能是「我记得发过了」。

验证那一行是整座桥的全部安全性。 后面的真实案例会展示，有多少事故就出在这一个函数里。

先记账、再执行。 反过来就是重入，下一章会把这条规则的代价演示得非常清楚。

最终性：跨链最容易被忽略的那条线

这是一个直接从 T17 继承过来的问题，而且后果严重得多。

源链    ：用户锁仓  →  交易进块  →  ...若干个确认...  →  足够深
目标链  ：                ↑
                    在哪一个时刻铸币？

如果目标链在源链刚出块时就铸币，而源链随后发生重组、那笔锁仓交易不再存在——目标链上的币已经铸出来了，源链上的抵押从来没有过。

这是凭空增发，而且没有任何办法收回。

T17 的 outbox 讲过同一件事：不可回滚的动作，必须等到足够深之后才做。 跨链是这条规则最昂贵的应用场景，因为「已经发出去的通知」还能道歉，「已经铸出去的币」只能认。

所以每一座桥都有一个等待深度。而这里有两个现实的坑：

第一，等待深度是按链配置的，不是全局常量。 不同链的最终性模型差别极大，有的有明确的确定性最终性，有的只有概率性保证。把一条链的参数抄到另一条链上，是一个会被利用的错误。

第二，等待深度和用户体验直接冲突。 「三秒到账」是市场上最有效的宣传语之一，而它的实现方式往往是：把等待深度调小，或者干脆让垫资方承担这段风险。 后者是诚实的做法，前者是把风险偷偷转嫁给全体用户。

攻击面清单

桥出事多，不是因为写桥的人水平差，而是因为它同时具备三个性质：资金集中、验证逻辑复杂、跨越两套安全模型。

把攻击面列全，按历史上真实出现的频率排序：

最后一行值得单独说。很多桥的底层是通用消息通道——它能传的不只是「给某人铸多少币」，而是「在目标链上调用这个地址的这个函数」。

这让它非常强大，也让一次成功的伪造从「多铸一些币」升级成「以桥合约的身份做任何事」。集成这类通道时要加一句自己的约束：只接受来自特定源地址、特定格式的消息，不要接受任意调用。

算一次账

下一章会把这件事做成方法论，这里先做一次最简单的：

攻破成本 = 拿到 M 把私钥的成本  +  Gas  +  时间
攻破收益 = 桥上锁着的全部资产

安全的条件：攻破成本 > 攻破收益

第二行通常是公开可查的——锁仓量就写在链上，任何人都能读。第一行则很难估，但你至少能问出几个有答案的问题：验证者有几个、分别是谁、是不是同一个团队运营、密钥怎么保管、有没有时间锁。

当锁仓量增长了两个数量级，而第一行的答案一个字都没变时，这座桥已经进入了一个只是还没轮到它的状态。

它叫什么

动手

- 钱去了哪个地址？那是一个锁仓合约，还是一个 EOA？
- 它发出了什么事件？事件里有没有目标链 ID、接收方、nonce？
- 这个合约锁了多少钱？（读它的余额，不是读官网的数字）
- 这个合约是代理吗？谁能升级它？有没有时间锁？

- 是谁发起的这笔交易？（中继、验证者、还是你自己？）
- 它调用了哪个函数？参数里带的「证明」长什么样？
- 铸币的权限归谁？去读那个代币合约的 mint 相关权限
- 你收到的代币，合约地址是什么？它和这条链上「官方」的同名代币是同一个地址吗？

不合格：「如果桥被攻击，我的钱会没。」——这是废话
合格：  「如果这 8 个验证者里有 5 个的私钥同时泄露，
         我在目标链上的包装资产会变成没有抵押的空头凭证。」

AI Lab

第一步：
把跨链桥分成三类：外部验证者、轻客户端、挑战期。
对每一类，用「如果 ___ 作恶或失效，用户的钱会没」这个句式写出信任假设，
主语必须具体到角色和数量，不要写「桥」「系统」这种词。
再补充这三类各自的延迟、成本和接新链的难度。

第二步：
把桥拆成传输层、验证层、解释层。
说明每一层出问题分别会导致什么后果，
并指出哪一层的问题会导致资金损失，哪一层只会导致消息卡住。

第三步：
找一次真实发生过的跨链桥资金损失事件。
按你上面的分层框架，说明：
1. 攻击者具体做了什么？发了什么交易？
2. 失效的是哪一层？
3. 如果这座桥用的是另外两种架构之一，这次攻击还成立吗？
4. 这次事件发生前，有没有办法从链上公开数据提前看出风险？

真实案例

改一个变量

带走的问题

本章自测