Vitalik Buterin（V神）预测了上周价值6.25亿美元的Ronin黑客攻击？
好吧，这不是真的，毕竟V神不是「真神」，但他还是比大多数具有前瞻性思维。
早在从一月份开始，他就开始在Reddit帖子中提出了对跨链桥安全性的基本担忧，认为它们本质上仍然容易受到攻击。
虽然Ronin黑客事件中没有利用他概述的特定弱点，但他的谨慎观点仍然得到了证实。
事实上，要找到支持V神对跨链安全的悲观观点的其他例子不困难，今年早些时候价值3亿美元的Wormhole黑客攻击也对其连接的链造成了损害。
桥接黑客的半规律性现在引出了一个问题，即为什么跨链平台显然比它们连接的第一层区块链更容易受到攻击。
跨链桥本质上是脆弱的，主要有两个原因。
首先，跨链桥只是增加了潜在黑客的攻击面，增加了加密货币生态系统的复杂性，从而扩大了攻击范围。
其次，许多构建方式与它们桥接的区块链完全不同，缺乏更大的开发社区意味着代码没有被广泛和仔细地搜索以发现潜在的Bug。
除此之外，正如V神指出的那样，它们增加了整个加密货币生态系统的整体风险，因为它们有可能将一个平台的漏洞（或多个漏洞）传播到许多其他平台。
Ronin黑客事件：发生了什么以及为什么它是跨链安全问题的完美示例
Ronin黑客事件是多种因素共同作用的结果，其中一些是不幸的，其中一些说明了跨链桥的固有弱点。
不幸的是，黑客似乎已经完成了一些老式的社会工程。换句话说，他们成功地通过网络诱骗了与Ronin有关的人，以获取用于验证桥上交易的私人加密密钥。
然而，尽管攻击涉及“人为错误”和运气不佳的因素，但Ronin的架构使黑客在获得私钥后更容易验证欺诈交易。
最致命的是，Ronin仅使用9个（是的：仅9个）验证节点进行操作，只要其中至少有5个节点签名，交易就会被批准。
由于早期的网络钓鱼攻击，黑客能够控制四个Sky Mavis验证器和一个由Axie DAO运行的第三方验证器。攻击者可以控制后者是因为Axie DAO在11月已将Sky Mavis验证者“列入白名单”以代表其签署交易。
因此，所有网络犯罪分子实际上需要做的就是控制由Sky Mavis控制的四个验证器，该公司是Ronin和Axie Infinity（Ronin连接到以太坊）背后的公司。
这基本上是黑客需要做的所有事情。黑客攻击如此简单可以说令人震惊，但同样令人震惊的是，尽管实际上发生在去年12月，Sky Mavis直到3月下旬才意识到发生了什么事。
这可以说说明了在加密货币生态系统中，跨链桥几乎是次要问题，只有在它们引起问题时才会受到大量关注。
还值得指出的是，在后续推文中，Ronin承认Ronin的验证者太少是一个很大的错误。事实上，它在推特上写道：“我们攻击的根本原因是小的验证器集，这使得攻击网络变得更加容易。”
这几乎是一个典型的例子，说明为什么跨链桥比它们连接的第一层区块链更容易受到攻击。也就是说，它们的去中心化程度要低得多，而且它们从更少的审计和监控中受益。
总之，这两个失败意味着每当黑客想要窃取一些以太坊时，他们可能会更好地查看跨链桥而不是以太坊本身。
黑客桥是新的黑科技
此帐户受到其他跨链桥接黑客的支持。例如，今年早些时候的Wormhole漏洞利用源于一个错误/编码漏洞，该漏洞允许黑客创建一个虚假的签名集，这反过来又允许他们签署铸造约120,000 ETH的交易。
黑客攻击显然比这复杂一点，但关键是攻击者能够识别出虫洞设计中尚未被跨链桥开发人员发现的漏洞。
为什么Wormhole的开发人员没有注意到这个缺陷并采取措施呢？好吧，有趣的是——也许一点也不奇怪——与Solana和Ethereum相比，没有多少开发人员在Wormhole上工作。
它的GitHub页面目前仅记录了1,756个提交和33个贡献者，而Solana的数字分别为 18,257和312。
至于以太坊，它有超过250个不同的GitHub存储库：最大的Solidity（它的编程语言）有22,089个提交和476个贡献者，而第三大的Go Ethereum（以太坊的实现）有13,243个提交和729个贡献者。
基本上，在整个以太坊上工作的开发人员数量很大，这解释了为什么它与许多连接到它的跨链桥不同，没有遭受真正重大的黑客攻击。
相反的情况适用于Wormhole和Ronin，以及最近被黑客入侵的其他网桥，包括Qubit、Poly Network和Meter.io Bridge。这些都是相对较小的操作，但由于它们提供了进入更广泛的加密货币生态系统的入口点，就黑客而言，它们都具有巨大的美元价值。
后一点对于理解为什么网桥成为网络犯罪分子不成比例的目标非常重要。它们基本上具有非常高的收益与黑客难度比，这意味着它们比大多数第一层区块链更容易被黑客入侵，但仍然提供了窃取大笔资金的途径。
跨链桥会有所改善吗？
虽然可以说事情可能总是这样，但至少一些跨链桥正在努力改进他们的安全实践。
例如，Wormhole在黑客事件曝光后不久就启动了一个漏洞赏金计划，而Poly Network在8月也做了同样的事情。
然而，其中一些计划比其他计划更好，因为虽然Wormhole的计划似乎相对开放，但Poly Network的总赏金基金只有500,000美元。因此，我们可能会继续在一些较小、资金不足和支持良好的跨链桥中看到问题。
更一般地说，值得重新审视上面引用的Vitalik Buterin的论点，并考虑他的中心观点，即跨链桥将相对安全的平台——以及（最重要的）它们的原生代币——暴露给那些不太安全的平台的漏洞。
这是跨链桥的根本问题，并且不会消失。因此，即使一些更好的桥接器可能会在未来几个月内改进其安全实践，但预计跨链桥接器黑客攻击在可预见的未来会以半定期的方式继续存在。
