Ponti blockchain: come falliscono i trasferimenti tra blockchain

La maggior parte delle spiegazioni sui ponti blockchain parte da una definizione. Un punto di partenza più rivelatore è la compromissione delle chiavi dei validatori: gli aggressori raggiungono il quorum necessario per inviare messaggi falsi di rilascio o conio. Risalire a ritroso da questo tipo di guasto mostra quali controlli rendono davvero affidabile il sistema.

Un ponte blockchain consente di trasferire valore o messaggi tra sistemi che non condividono lo stesso meccanismo di consenso. Nei modelli più comuni, un asset viene bloccato sulla blockchain di origine e una sua rappresentazione viene coniata su quella di destinazione; in alternativa, i fornitori di liquidità eseguono i trasferimenti e regolano le operazioni in un secondo momento. La sicurezza dipende dalla convalida, dalla custodia, dalla messaggistica, dalla finalità e dalla governance degli aggiornamenti su entrambe le blockchain.

Un ponte non trasferisce fisicamente il token originale. Crea o rilascia un diritto sulla base della prova che un altro sistema abbia raggiunto un determinato stato. Se i validatori accettano un messaggio falso o la custodia viene violata, gli asset sulla blockchain di destinazione possono restare privi di copertura, anche se ciascuna blockchain opera correttamente al proprio interno.

Per inquadrare i ponti blockchain nella più ampia trattazione di Securities.io, confrontali con Sicurezza degli smart contract e IA, Modello di riferimento dello stack DeFi e Società di revisione degli smart contract. Nel loro insieme, queste guide mostrano come la stessa questione relativa all’infrastruttura degli asset digitali cambi al variare dell’emittente, dell’asset, dei diritti dell’investitore o dell’infrastruttura operativa.

Dal blocco o dalla distruzione sulla blockchain di origine al riscatto e alla riconciliazione: il percorso dei ponti blockchain

Il passaggio «Blocca o distruggi sulla blockchain di origine» consiste nel rimuovere l’asset dalla circolazione oppure nel sottoporlo al controllo del ponte. Il risultato diventa quindi l’input per verificare la finalità sulla blockchain di origine, ossia attendere la conferma richiesta e rilevare eventuali riorganizzazioni. Questo trasferimento di responsabilità è il primo punto in cui mettere alla prova i ponti blockchain: chi riceve deve poter distinguere un cambiamento di stato completato da un messaggio, una stima o una registrazione provvisoria. Lo stesso controllo va applicato a ogni passaggio successivo, finché il riscatto e la riconciliazione non producono un esito verificabile in modo indipendente.

Esamina il diagramma a ritroso, partendo dal riscatto e dalla riconciliazione. Dallo stato finale si dovrebbe poter risalire al blocco o alla distruzione sulla blockchain di origine, alla regola di finalità, alle prove o alle firme dei validatori, al conio o al rilascio sulla blockchain di destinazione, alla copertura e all’offerta complessive, alla cronologia degli aggiornamenti e al riscatto; quindi, all’autorità impiegata per coniare o rilasciare l’asset sulla blockchain di destinazione, al rischio introdotto durante la convalida del messaggio e agli input accettati al momento del blocco o della distruzione sulla blockchain di origine. Se questa catena si interrompe, la compromissione delle chiavi dei validatori può sembrare una transazione completata, anche quando gli aggressori raggiungono il quorum necessario per inviare messaggi falsi di rilascio o conio. Questa ricostruzione a ritroso mantiene l’analisi concentrata sull’asset sulla blockchain di origine, sul messaggio tra blockchain, sul diritto sulla blockchain di destinazione e sulla riconciliazione della copertura, anziché sull’etichetta di un fornitore o sullo stato mostrato dall’interfaccia.

Tre stati spesso confusi nei ponti blockchain

Con «blocco e conio» si intende custodire gli asset sulla blockchain di origine e coniare una rappresentazione sulla blockchain di destinazione. La rete di liquidità, invece, prevede che un fornitore paghi il destinatario sulla blockchain di destinazione e riequilibri in seguito le disponibilità tra blockchain. La verifica nativa aggiunge una terza condizione: la blockchain di destinazione verifica il consenso o le prove della blockchain di origine, invece di affidarsi a un insieme separato di firmatari. Queste distinzioni sono importanti perché due utenti possono visualizzare una conferma simile pur avendo diritti diversi, dovendo fare i conti con tempistiche differenti o dipendendo da istituzioni diverse. Nei ponti blockchain, un confronto utile specifica, per ciascuno stato, quale registro fa fede e chi si assume le perdite.

Confronta lock-and-mint, rete di liquidità e verifica nativa sulla base degli stessi parametri: importo, tempo, liquidità utilizzata, reversibilità, diritto azionabile e perdita residua. Nei ponti blockchain, un’etichetta che indica una maggiore rapidità non corrisponde automaticamente a uno stato più definitivo, così come un rendimento dichiarato più regolare non implica automaticamente un rischio economico minore. Usare un unico quadro di misurazione evita di scambiare differenze di tempistiche o contabili per miglioramenti effettivi.

Chi controlla i registri fondamentali nei ponti blockchain?

L’utente e il contratto di custodia del bridge si trovano su lati diversi della catena operativa. L’utente avvia il trasferimento e si assume i rischi legati al bridge, alla blockchain e all’asset, mentre il contratto di custodia del bridge controlla gli asset bloccati e il rapporto tra questi e l’offerta. I rispettivi registri — da un lato, transazione sulla catena sorgente, percorso, importo, destinatario, commissioni e ricevuta sulla catena di destinazione; dall’altro, saldi, autorità di conio e distruzione, codice, aggiornamenti e sospensioni — dovrebbero concordare sullo stesso evento, senza essere copie di un unico database di un fornitore. Validatori o relayer, token o pool di destinazione e governance e team di sicurezza introducono decisioni o prove distinte; considerarne intercambiabili le funzioni nasconde dove entrano in gioco discrezionalità, liquidità o responsabilità giuridica.

Un’interruzione del token o del pool di destinazione è una prova concreta di responsabilità per i ponti blockchain: è questo a fornire all’utente la rappresentazione dell’asset o la liquidità. La domanda è se l’utente e il contratto di custodia del bridge siano ancora in grado di ricostruire la posizione sulla base di offerta, copertura, rimborso, profondità del pool e ruoli amministrativi. I contratti possono distribuire i compiti, ma la parte responsabile della promessa fatta al cliente, dell’asset o dell’obbligazione non può sostituire le prove con una clausola di esternalizzazione. Una progettazione resiliente specifica quale registro usare in alternativa e chi è autorizzato a risolvere eventuali incongruenze.

Come cambiano concretamente stato i ponti blockchain

1. Blocco o distruzione sulla catena sorgente: definire lo stato iniziale dei ponti blockchain

Rimuovere l’asset sorgente dalla circolazione o porlo sotto il controllo del bridge. In questa fase dei ponti blockchain, il passaggio stabilisce le condizioni su cui può basarsi l’osservazione della finalità della catena sorgente. L’utente è centrale perché avvia il trasferimento e si assume i rischi legati al bridge, alla blockchain e all’asset. Il registro operativo dovrebbe conservare la transazione sulla catena sorgente, il percorso, l’importo, il destinatario, le commissioni e la ricevuta sulla catena di destinazione.

Il problema da verificare in questa fase è la compromissione delle chiavi dei validatori: gli aggressori raggiungono il quorum necessario per inviare messaggi falsi di rilascio o conio. Per verificare questa fase, registra il risultato usando le stesse tempistiche, lo stesso ambito e gli stessi termini applicabili, quindi modifica una sola ipotesi prima di osservare la finalità della catena sorgente. Per i ponti blockchain, un passaggio di consegne difendibile identifica chi lo ha approvato, quale registro è stato modificato, che cosa resta reversibile e chi assorbe la perdita se il partecipante successivo respinge le prove.

2. Osservare la finalità della catena sorgente: individuare la regola decisionale nei ponti blockchain

Attendere le conferme richieste dalla catena sorgente e rilevare eventuali riorganizzazioni. In questa fase dei ponti blockchain, il passaggio verifica le condizioni su cui può basarsi la convalida del messaggio. Il contratto di custodia del bridge è centrale perché controlla gli asset bloccati e il rapporto tra questi e l’offerta. Il registro operativo dovrebbe conservare saldi, autorità di conio e distruzione, codice, aggiornamenti e sospensioni.

Il problema da verificare in questa fase è un bug nel contratto: il blocco, il conio, la contabilizzazione o la verifica delle prove possono essere aggirati. Per verificare questa fase, ricalcola il risultato usando le stesse tempistiche, lo stesso ambito e gli stessi termini applicabili, quindi modifica una sola ipotesi prima di convalidare il messaggio. Per i ponti blockchain, un passaggio di consegne difendibile identifica chi lo ha approvato, quale registro è stato modificato, che cosa resta reversibile e chi assorbe la perdita se il partecipante successivo respinge le prove.

3. Convalidare il messaggio: misurare il trasferimento del rischio nei ponti blockchain

Usa una prova a client leggero, un quorum di validatori, una contestazione ottimistica o un operatore fidato. In questa fase dei ponti blockchain, il passaggio ridefinisce le condizioni su cui può basarsi la creazione o il rilascio di asset sulla catena di destinazione. I validatori o i relayer sono fondamentali perché osservano e attestano gli eventi tra le diverse blockchain. La documentazione operativa dovrebbe riportare i membri, le chiavi, il quorum, gli incentivi, i messaggi e la possibilità di applicare penalità di slashing.

Il mancato intervento in questa fase è un disallineamento della finalità: la catena di destinazione agisce prima che lo stato della catena di origine sia irreversibile. Per verificare questa fase, sottoponi il risultato a uno stress test mantenendo invariati tempi, ambito e condizioni applicabili, quindi modifica un’ipotesi prima di creare o rilasciare gli asset sulla catena di destinazione. Nel caso dei ponti blockchain, un passaggio di consegne giustificabile indica chi lo ha approvato, quale registro è cambiato, che cosa resta reversibile e chi assorbe le perdite se il partecipante successivo respinge le prove.

4. Creazione o rilascio sulla catena di destinazione: riconciliare il registro autorevole dei ponti blockchain

Crea la rappresentazione wrapped dell’asset oppure trasferisci liquidità al destinatario. In questa fase dei ponti blockchain, il passaggio riconcilia le condizioni su cui possono basarsi il riscatto e la riconciliazione. Il token o il pool sulla catena di destinazione è fondamentale perché fornisce la rappresentazione dell’asset o la liquidità dell’utente. La documentazione operativa dovrebbe riportare l’offerta, le riserve sottostanti, il riscatto, la profondità del pool e i ruoli di amministrazione.

Il mancato intervento in questa fase è la perdita dell’ancoraggio dell’asset wrapped: la fiducia del mercato o il riscatto vengono meno nel rapporto tra la rappresentazione dell’asset e le riserve che la sostengono. Per verificare questa fase, confronta il risultato mantenendo invariati tempi, ambito e condizioni applicabili, quindi modifica un’ipotesi prima del riscatto e della riconciliazione. Nel caso dei ponti blockchain, un passaggio di consegne giustificabile indica chi lo ha approvato, quale registro è cambiato, che cosa resta reversibile e chi assorbe le perdite se il partecipante successivo respinge le prove.

5. Riscatto e riconciliazione: verificare l’esito finale dei ponti blockchain

Inverti il percorso, monitora le riserve sottostanti e risolvi i messaggi non recapitati o in ritardo. In questa fase dei ponti blockchain, il passaggio completa le condizioni su cui può basarsi l’esito registrato. Il team di governance e sicurezza è fondamentale perché modifica il codice e gestisce le emergenze. La documentazione operativa dovrebbe riportare il portafoglio multisig, il blocco temporale, gli audit, il monitoraggio, gli incidenti e il ripristino.

Il mancato intervento in questa fase è la cattura tramite aggiornamento: la governance sostituisce il codice sicuro o reindirizza gli asset sotto il suo controllo. Per verificare questa fase, dimostra il risultato mantenendo invariati tempi, ambito e condizioni applicabili, quindi modifica un’ipotesi prima di raggiungere l’esito registrato. Nel caso dei ponti blockchain, un passaggio di consegne giustificabile indica chi lo ha approvato, quale registro è cambiato, che cosa resta reversibile e chi assorbe le perdite se il partecipante successivo respinge le prove.

Costi, incentivi ed effetti sul bilancio dei ponti blockchain

I ponti aumentano l’utilità degli asset e l’accesso ai mercati, ma frammentano la liquidità tra le versioni wrapped e i diversi percorsi. Nel confrontare rendimenti o prezzi tra blockchain, occorre considerare commissioni, slippage, ritardi nella finalizzazione e rischio di perdita dell’ancoraggio.

I budget per la sicurezza dovrebbero crescere in proporzione al valore bloccato; tuttavia, il numero di firmatari dei ponti e gli audit spesso restano invariati mentre aumentano i depositi. I limiti di velocità e i massimali di esposizione possono tutelare la sicurezza economica anche quando le misure di prevenzione tecnica falliscono.

Le reti di liquidità sostituiscono parte del rischio di custodia con il rischio di credito dei fornitori, di gestione delle scorte e di ribilanciamento. Il loro prezzo riflette il capitale disponibile su entrambe le blockchain e la probabilità che un regolamento ritardato o un’interruzione della catena blocchi le scorte.

Dove si verificano i guasti nei ponti blockchain e che cosa verificare per prima cosa

• Compromissione delle chiavi dei validatori: gli aggressori raggiungono il quorum necessario per inviare falsi messaggi di rilascio o di creazione. Interrompi il blocco o la distruzione degli asset sulla catena di origine mentre l’utente mantiene i suoi normali obblighi, quindi verifica se il modello di blocco e creazione conserva il significato descritto sopra.
• Bug nel contratto: è possibile aggirare il blocco, la creazione, la contabilità o la verifica delle prove. Interrompi l’osservazione della finalità della catena di origine mentre il contratto di custodia del ponte mantiene i suoi normali obblighi, quindi verifica se la rete di liquidità conserva il significato descritto sopra.
• Disallineamento della finalità: la catena di destinazione agisce prima che lo stato della catena di origine sia irreversibile. Interrompi la convalida del messaggio mentre i validatori o i relayer mantengono i loro normali obblighi, quindi verifica se la verifica nativa conserva il significato descritto sopra.
• Perdita dell’ancoraggio dell’asset wrapped: la fiducia del mercato o la possibilità di riscattare l’asset vengono meno, spezzando il legame tra la rappresentazione e la copertura. Bloccare o sospendere la coniazione o il rilascio sulla chain di destinazione, lasciando invariato l’obbligo del token o del pool di destinazione, quindi verificare se il modello lock-and-mint conserva il significato descritto sopra.
• Acquisizione del controllo tramite aggiornamento: la governance sostituisce il codice sicuro o reindirizza gli asset sotto il suo controllo. Bloccare o sospendere il riscatto e la riconciliazione, lasciando invariato l’obbligo del team di governance e sicurezza, quindi verificare se la rete di liquidità conserva il significato descritto sopra.

Una prova di stress efficace per i ponti blockchain combina la compromissione delle chiavi dei validatori con una discrepanza nella finalità, anziché testare i due scenari separatamente. Bloccare o ritardare la convalida del messaggio, rendere indisponibile il token o il pool di destinazione e richiedere al team di governance e sicurezza di riconciliare l’esito sulla base di multisig, timelock, audit, monitoraggio, gestione degli incidenti e ripristino. Il progetto supera la prova solo se il riscatto e la riconciliazione portano a un unico stato comprensibile, tutelano i diritti connessi alla rete di liquidità e stabiliscono chi si fa carico di eventuali ammanchi secondo regole definite prima dell’interruzione.

Esempio pratico: seguire un’operazione tramite ponti blockchain dall’inizio alla fine

Un utente blocca 100 token sulla chain A e riceve 100 token wrapped sulla chain B dopo che i validatori del bridge hanno firmato un messaggio. Se gli aggressori compromettono un numero sufficiente di chiavi dei validatori, possono coniare token wrapped senza che vi sia un blocco valido. Queste pretese contraffatte possono essere vendute prima che la discrepanza venga rilevata, mentre i detentori in buona fede si affrettano a riscattare la copertura limitata. Il problema è sorto nella convalida cross-chain, non nel meccanismo di consenso di nessuna delle due chain.

L’esempio può essere confutato modificando l’ipotesi verificata al momento di controllare la finalità della chain di origine oppure rimuovendo le prove fornite dai validatori o dai relayer. Segui il cambiamento attraverso la convalida del messaggio, la coniazione o il rilascio sulla chain di destinazione e il riscatto e la riconciliazione; non passare direttamente dai dati iniziali al risultato principale. Se il nuovo esito dei ponti blockchain non può essere riprodotto a partire dal blocco o dalla distruzione sulla chain di origine, dalla regola di finalità, dalle prove o dalle firme dei validatori, dalla coniazione o dal rilascio sulla chain di destinazione, dalla copertura e dall’offerta totali, dalla cronologia degli aggiornamenti e dal riscatto, il processo dipende da una valutazione o da una registrazione non documentata.

Perché i ponti blockchain sono importanti oggi

Gli exploit dei bridge hanno reso la convalida cross-chain uno dei più evidenti rischi di concentrazione della finanza digitale. I progetti si stanno orientando verso prove più solide, limiti di velocità, interruttori automatici, liquidità segmentata e poteri di aggiornamento più circoscritti. I vantaggi dell’interoperabilità vanno valutati rispetto al valore massimo che il malfunzionamento di un singolo validatore o contratto può mettere a rischio.

La lezione duratura dei ponti blockchain è che il blocco o la distruzione sulla chain di origine e il riscatto e la riconciliazione non sono lo stesso evento. Le decisioni intermedie determinano l’asset sulla chain di origine, il messaggio cross-chain, la pretesa sulla chain di destinazione e la riconciliazione della copertura, mentre l’utente e il team di governance e sicurezza possono vedere parti diverse della registrazione. L’automazione è utile quando rende più semplice verificare queste decisioni; diventa pericolosa quando le riduce a un unico stato che nasconde l’acquisizione del controllo tramite aggiornamento.

Le prove a sostegno dei ponti blockchain

Le fonti principali sui ponti blockchain sono BIS: i rischi della DeFi per la stabilità finanziaria, FSB: quadro normativo globale per le attività relative alle cripto-attività e NIST: panoramica della tecnologia blockchain. Vanno lette come livelli complementari: regole e definizioni, struttura istituzionale o di mercato e prove operative necessarie per verificare un caso concreto. Nessuna di queste fonti sostituisce i documenti del prodotto, i rendiconti o i registri delle transazioni descritti sopra.

Domande da porsi prima di affidarsi ai ponti blockchain

• L’utente può dimostrare la transazione di origine, il percorso, l’importo, il destinatario, le commissioni e la ricezione sulla chain di destinazione prima di verificare la finalità della chain di origine?
• Quale registrazione fa fede se il contratto di custodia del bridge e il token o il pool di destinazione sono in disaccordo?
• Chi finanzia o si fa carico dell’esposizione generata durante la convalida del messaggio?
• In cosa si differenzia la rete di liquidità dal modello lock-and-mint sul piano giuridico ed economico?
• Come farebbe il sistema a rilevare un bug nel contratto prima del riscatto e della riconciliazione?
• Che cosa succede se i validatori o i relayer non sono disponibili oppure le prove che forniscono sono obsolete?
• Un revisore indipendente può riconciliare l’esito con il blocco o la distruzione sulla chain di origine, la regola di finalità, le prove o le firme dei validatori, la coniazione o il rilascio sulla chain di destinazione, la copertura e l’offerta totali, la cronologia degli aggiornamenti e il riscatto?

Nel caso dei ponti blockchain, sostituite espressioni come «se ne occupa la piattaforma» con nomi di account, contratti, date e orari, regole di approvazione ed entità responsabili. Una risposta completa dovrebbe consentire a un revisore di risalire dal riscatto e dalla riconciliazione al blocco o alla distruzione sulla chain di origine, identificare il responsabile di ogni registrazione e calcolare chi sopporta la perdita prima che si verifichi un’eccezione.

Il principio fondamentale dei ponti blockchain

L’analisi dei ponti blockchain è più chiara quando segue, attraverso le cinque fasi operative, l’asset sulla chain di origine, il messaggio cross-chain, la richiesta sulla chain di destinazione e la riconciliazione delle riserve, verificando il risultato rispetto al blocco o al burn sull’origine, alla regola di finalità, alle prove o alle firme dei validatori, al mint o al rilascio sulla destinazione, alla copertura e all’offerta totali, alla cronologia degli aggiornamenti e al rimborso. Il flusso spiega che cosa cambia; la tabella dei partecipanti individua chi può autorizzare il cambiamento; il confronto tra i tre stati evita di confondere affermazioni non confrontabili; e la mappa dei guasti mostra dove dovrebbe diminuire il livello di fiducia. Questa combinazione permette di distinguere un miglioramento reale da un attrito o da un rischio trasferito a un livello meno visibile.

Fonti primarie sui ponti blockchain

• BIS: rischi per la stabilità finanziaria della DeFi
• Quadro normativo globale del FSB per le attività relative alle cripto-attività
• Panoramica della tecnologia blockchain del NIST