Broer mellom blokkjeder: Slik mislykkes overføringer på tvers av kjeder

De fleste forklaringer av broer mellom blokkjeder begynner med en definisjon. Et mer opplysende utgangspunkt er kompromittering av validatornøkler: Angripere oppnår det nødvendige quorumet for falske meldinger om frigivelse eller utstedelse. Ved å arbeide bakover fra denne feilen kan vi se hvilke kontroller som faktisk gjør systemet pålitelig.

En bro mellom blokkjeder gjør det mulig å overføre verdier eller meldinger mellom systemer som ikke deler én og samme konsensusmekanisme. Vanlige løsninger låser et aktivum på en kildekjede og utsteder en representasjon av det på en målkjede, eller bruker likviditetstilbydere til å gjennomføre overføringer og gjøre opp senere. Sikkerheten avhenger av validering, oppbevaring, meldingsformidling, endelighet og styring av oppgraderinger på begge kjedene.

En bro flytter ikke det opprinnelige tokenet fysisk. Den oppretter eller frigir et krav basert på bevis for at et annet system har nådd en bestemt tilstand. Hvis validatorer godtar en falsk melding eller oppbevaringen av aktiva blir kompromittert, kan aktiva på målkjeden bli uten dekning, selv om hver enkelt kjede fungerer som den skal.

For å sette broer mellom blokkjeder inn i Securities.io sin bredere dekning kan du sammenligne Sikkerhet for smarte kontrakter og KI, Referansemodellen for DeFi-stakken og Selskaper som reviderer smarte kontrakter. Til sammen viser disse veiledningene hvordan det samme spørsmålet om infrastrukturen for digitale aktiva endrer seg når utstederen, aktivumet, investorens rettighet eller driftsinfrastrukturen er forskjellig.

Kjeden fra låsing eller brenning på kildekjeden til innløsning og avstemming: forløpet for broer mellom blokkjeder

«Lås eller brenn på kildekjeden» innebærer at kildeaktivumet tas ut av omløp eller legges under broens kontroll. Resultatet blir deretter grunnlaget for å observere endeligheten på kildekjeden, der man venter på den påkrevde bekreftelsen fra kildekjeden og oppdager omorganiseringer. Denne overleveringen er det første stedet man bør teste broer mellom blokkjeder: Mottakeren må kunne skille en fullført tilstandsendring fra en melding, et estimat eller en foreløpig registrering. Den samme testen gjelder ved hver senere pil, helt til innløsning og avstemming gir et resultat som kan avstemmes uavhengig.

Les diagrammet baklengs, fra innløsning og avstemming. Sluttilstanden bør føre tilbake til låsing eller brenning på kildekjeden, regelen for endelighet, bevis eller validatorsignaturer, utstedelse eller frigivelse på målkjeden, samlet dekning og forsyning, oppgraderingshistorikk og innløsning. Deretter bør man følge sporet videre til myndigheten som ble brukt ved utstedelse eller frigivelse på målkjeden, risikoen som oppsto da meldingen ble validert, og inndataene som ble godtatt ved låsing eller brenning på kildekjeden. Hvis denne kjeden brytes, kan kompromittering av validatornøkler se ut som en fullført transaksjon, selv når angriperne oppnår quorumet for falske meldinger om frigivelse eller utstedelse. Dette omvendte sporet holder analysen rettet mot kildekjedens aktivum, meldingen mellom kjedene, kravet på målkjeden og avstemmingen av dekningen, snarere enn mot en leverandørbetegnelse eller status i et grensesnitt.

Tre tilstander som ofte forveksles i broer mellom blokkjeder

Låsing og utstedelse innebærer at aktiva på kildekjeden oppbevares, og at en innpakket representasjon utstedes på målkjeden. Likviditetsnettverk innebærer derimot at en leverandør betaler ut på målkjeden og senere balanserer beholdningene på tvers av kjedene. Verifisering på målkjeden stiller et tredje krav: Målkjeden verifiserer konsensus eller bevis fra kildekjeden i stedet for å stole på et separat sett med signatarer. Forskjellene er viktige fordi to brukere kan se en lignende bekreftelse, men ha ulike rettigheter, møte ulike tidsforløp eller være avhengige av ulike institusjoner. I broer mellom blokkjeder bør en nyttig sammenligning angi hvilken post som er autoritativ, og hvem som bærer tapet, for hver tilstand.

Sammenlign lås-og-utsted, likviditetsnettverk og innebygd verifisering etter de samme målene: beløp, tid, brukt likviditet, reverserbarhet, rettslig krav og resttap. Når det gjelder broer mellom blokkjeder, betyr ikke en raskere betegnelse automatisk en mer endelig tilstand, og en jevnere rapportert avkastning betyr ikke automatisk lavere økonomisk risiko. Ved å bruke samme målegrunnlag unngår man å forveksle forskjeller i tidsbruk eller regnskapsføring med reelle forbedringer.

Hvem kontrollerer de kritiske registrene i broer mellom blokkjeder?

Brukeren og oppbevaringskontrakten for broen befinner seg på hver sin side av driftskjeden. Brukeren setter i gang overføringen og påtar seg risiko knyttet til broen, blokkjeden og eiendelen, mens oppbevaringskontrakten for broen kontrollerer de låste eiendelene og forholdet mellom dem og tokenmengden. Registrene deres – henholdsvis kildetransaksjon, rute, beløp, mottaker, gebyrer og kvittering på destinasjonskjeden, og saldoer, myndighet til å utstede og brenne tokens, kode, oppgraderinger og pauser – bør stemme overens for den samme hendelsen, uten å være kopier av én leverandørs database. Validatorer eller reléoperatører, tokenet eller likviditetspoolen på destinasjonskjeden og styrings- og sikkerhetsteamet tilfører ulike beslutninger eller dokumentasjon. Hvis disse funksjonene behandles som om de var utskiftbare, blir det uklart hvor skjønnsfrihet, likviditet eller rettslig ansvar kommer inn.

Et driftsavbrudd for tokenet eller likviditetspoolen på destinasjonskjeden er en praktisk test på ansvarsforholdene i broer mellom blokkjeder. Tokenet eller poolen gir brukeren en representasjon av eiendelen eller likviditet. Spørsmålet er om brukeren og oppbevaringskontrakten for broen fortsatt kan rekonstruere posisjonen ut fra tokenmengde, sikkerhetsdekning, innløsning, likviditetspoolens dybde og administratorroller. Kontrakter kan fordele oppgaver, men parten som står ansvarlig for løftet til kunden, eiendelen eller forpliktelsen, kan ikke erstatte dokumentasjon med en klausul om utkontraktering. En robust utforming angir hvilket register som skal brukes som reserve, og hvem som har fullmakt til å løse et avvik.

Slik endrer broer mellom blokkjeder tilstand i praksis

1. Lås eller brenn på kildekjeden: Definer starttilstanden for broer mellom blokkjeder

Ta kildeeiendelen ut av omløp eller legg den under broens kontroll. I denne delen av prosessen med broer mellom blokkjeder fastsetter trinnet hvilke betingelser observasjonen av endelig status på kildekjeden kan bygge på. Brukeren står sentralt fordi vedkommende setter i gang overføringen og påtar seg risiko knyttet til broen, blokkjeden og eiendelen. Registreringen som brukes underveis, bør inneholde kildetransaksjon, rute, beløp, mottaker, gebyrer og kvittering på destinasjonskjeden.

Feilen som må utfordres på dette trinnet, er kompromittering av validatornøkler: Angripere oppnår det nødvendige flertallet for å sende falske meldinger om frigivelse eller utstedelse. For å teste dette trinnet registrerer du resultatet med samme tidsramme, omfang og gjeldende vilkår, og endrer deretter én forutsetning før du observerer endelig status på kildekjeden. For broer mellom blokkjeder angir en forsvarlig overlevering hvem som godkjente den, hvilket register som ble endret, hva som fortsatt kan reverseres, og hvem som bærer tapet dersom neste deltaker avviser dokumentasjonen.

2. Observer endelig status på kildekjeden: Finn beslutningsregelen for broer mellom blokkjeder

Vent på det nødvendige antallet bekreftelser fra kildekjeden, og oppdag omorganiseringer av kjeden. I denne delen av prosessen med broer mellom blokkjeder avgrenser trinnet hvilke betingelser valideringen av meldingen kan bygge på. Oppbevaringskontrakten for broen står sentralt fordi den kontrollerer de låste eiendelene og forholdet mellom dem og tokenmengden. Registreringen som brukes underveis, bør inneholde saldoer, myndighet til å utstede og brenne tokens, kode, oppgraderinger og pauser.

Feilen som må utfordres på dette trinnet, er en kontraktsfeil: Låsing, utstedelse, regnskapsføring eller verifisering av bevis kan omgås. For å teste dette trinnet beregner du resultatet på nytt med samme tidsramme, omfang og gjeldende vilkår, og endrer deretter én forutsetning før du validerer meldingen. For broer mellom blokkjeder angir en forsvarlig overlevering hvem som godkjente den, hvilket register som ble endret, hva som fortsatt kan reverseres, og hvem som bærer tapet dersom neste deltaker avviser dokumentasjonen.

3. Valider meldingen: Mål risikooverføringen i broer mellom blokkjeder

Bruk bevis fra en lettklient, et validatorquorum, en optimistisk utfordringsmekanisme eller en betrodd operatør. I denne delen om blokkjede-broer omfordeler dette trinnet vilkårene som utstedelse eller frigivelse på destinasjonskjeden kan basere seg på. Validatorer eller reléoperatører står sentralt fordi de observerer hendelser på tvers av kjeder og attesterer dem. Dokumentasjonen bør bevare opplysninger om medlemskap, nøkler, quorum, insentiver, meldinger og muligheten for å ilegge straff.

Manglende utfordring på dette stadiet er et finalitetsavvik: Destinasjonen handler før tilstanden på kildesiden er irreversibel. For å teste dette stadiet må du stressteste resultatet med samme tidspunkt, omfang og gjeldende vilkår, og deretter endre én forutsetning før utstedelse eller frigivelse på destinasjonskjeden. For blokkjede-broer beskriver en forsvarlig overlevering hvem som godkjente den, hvilken post som ble endret, hva som fortsatt kan reverseres, og hvem som bærer tapet hvis neste deltaker avviser dokumentasjonen.

4. Utsted eller frigjør på destinasjonskjeden: Avstem den autoritative posten for blokkjede-broer

Opprett kravet på det innpakkede aktivumet, eller overfør likviditet til mottakeren. I denne delen om blokkjede-broer avstemmer dette trinnet vilkårene som innløsning og avstemming kan basere seg på. Destinasjonstokenet eller -poolen står sentralt fordi den gir brukeren en representasjon av eiendelen eller likviditet. Dokumentasjonen bør bevare opplysninger om tilbud, sikkerhetsstillelse, innløsning, pooldybde og administratorroller.

Manglende utfordring på dette stadiet er en frakobling av det innpakkede aktivumet: Markedstilliten eller innløsningen svikter i forbindelsen mellom representasjonen og sikkerheten som støtter den. For å teste dette stadiet må du sammenligne resultatet med samme tidspunkt, omfang og gjeldende vilkår, og deretter endre én forutsetning før innløsning og avstemming. For blokkjede-broer beskriver en forsvarlig overlevering hvem som godkjente den, hvilken post som ble endret, hva som fortsatt kan reverseres, og hvem som bærer tapet hvis neste deltaker avviser dokumentasjonen.

5. Løs inn og avstem: Test det endelige utfallet av blokkjede-broer

Følg banen i motsatt retning, hold oversikt over sikkerheten, og håndter mislykkede eller forsinkede meldinger. I denne delen om blokkjede-broer avslutter dette trinnet vilkårene det registrerte utfallet kan basere seg på. Styrings- og sikkerhetsteamet står sentralt fordi det endrer kode og håndterer nødsituasjoner. Dokumentasjonen bør bevare opplysninger om multisignatur, tidslås, revisjoner, overvåking, hendelser og gjenoppretting.

Manglende utfordring på dette stadiet er kapring gjennom oppgradering: Styringen erstatter sikker kode eller omdirigerer kontrollerte aktiva. For å teste dette stadiet må du bevise resultatet med samme tidspunkt, omfang og gjeldende vilkår, og deretter endre én forutsetning før det registrerte utfallet. For blokkjede-broer beskriver en forsvarlig overlevering hvem som godkjente den, hvilken post som ble endret, hva som fortsatt kan reverseres, og hvem som bærer tapet hvis neste deltaker avviser dokumentasjonen.

Kostnader, insentiver og balansevirkninger av blokkjede-broer

Broer øker nytten av aktiva og gir tilgang til markeder, men fragmenterer likviditeten mellom innpakkede versjoner og ruter. Gebyrer, glidning, finalitetsforsinkelse og risiko for frakobling bør tas med når avkastning eller priser på tvers av kjeder sammenlignes.

Sikkerhetsbudsjettene bør øke i takt med verdien som er låst, men broenes signatørgrupper og revisjoner forblir ofte uendret mens innskuddene vokser. Grenseverdier for transaksjonsrater og eksponering kan ivareta økonomisk sikkerhet selv når tekniske forebyggende tiltak svikter.

Likviditetsnettverk erstatter noe av risikoen ved oppbevaring med kredittrisiko hos tilbydere, lagerbeholdningsrisiko og risiko ved rebalansering. Prisen gjenspeiler kapitalen på begge kjedene og sannsynligheten for at forsinket oppgjør eller driftsstans i en kjede låser lagerbeholdningen.

Hvor blokkjede-broer svikter – og hva som bør testes først

• Kompromittering av valideringsnøkler: Angripere oppnår quorumet som kreves for falske frigivelses- eller utstedelsesmeldinger. Stans låsing eller brenning på kildesiden mens brukeren beholder sin vanlige forpliktelse, og kontroller deretter om lås-og-utsted-modellen fortsatt har betydningen som er beskrevet ovenfor.
• Feil i smartkontrakten: Låsing, utstedelse, regnskapsføring eller verifisering av bevis kan omgås. Stans observasjonen av finaliteten på kildesiden mens broens oppbevaringskontrakt beholder sin vanlige forpliktelse, og kontroller deretter om likviditetsnettverket fortsatt har betydningen som er beskrevet ovenfor.
• Finalitetsavvik: Destinasjonen handler før tilstanden på kildesiden er irreversibel. Stans valideringen av meldingen mens validatorene eller reléoperatørene beholder sin vanlige forpliktelse, og kontroller deretter om opprinnelig verifisering fortsatt har betydningen som er beskrevet ovenfor.
• Kursavvik for innpakket eiendel: Markedstilliten eller innløsningen svikter mellom representasjonen og de underliggende verdiene. Stans preging eller frigivelse på målkjeden mens tokenet eller poolen der fortsatt er underlagt sine vanlige forpliktelser, og undersøk deretter om lås-og-preg-modellen fortsatt fungerer slik den er beskrevet ovenfor.
• Overtakelse gjennom oppgradering: Styringen erstatter sikker kode eller omdirigerer kontrollerte eiendeler. Stans innløsning og avstemming mens styrings- og sikkerhetsteamet fortsatt har sine vanlige forpliktelser, og undersøk deretter om likviditetsnettverket fortsatt fungerer slik det er beskrevet ovenfor.

En nyttig stresstest av broer mellom blokkjeder kombinerer kompromittering av validatornøkler med avvik i endelighet, i stedet for å teste hvert forhold isolert. Frys eller forsink valideringen av meldingen, gjør tokenet eller poolen på målkjeden utilgjengelig, og krev at styrings- og sikkerhetsteamet avstemmer resultatet ved hjelp av multisignatur, tidslås, revisjoner, overvåking, hendelseshåndtering og gjenoppretting. Utformingen består bare hvis innløsning og avstemming gir én forklarlig tilstand, ivaretar rettighetene knyttet til likviditetsnettverket og fastsetter hvem som bærer eventuelle tap etter regler som var på plass før avbruddet.

Gjennomgått eksempel: Følg én hendelse med broer mellom blokkjeder fra start til slutt

En bruker låser 100 token på kjede A og mottar 100 wrapped tokens på kjede B etter at broens validatorer har signert en melding. Hvis angripere kompromitterer nok validatornøkler, kan de prege wrapped tokens uten en gyldig låsing. Disse falske kravene kan bli solgt før avviket oppdages, mens ærlige innehavere kjemper om å innløse den begrensede dekningen. Feilen oppsto i valideringen mellom kjedene, ikke i konsensusen på noen av kjedene.

Eksempelet kan motbevises ved å endre forutsetningen som styrer observasjonen av kildekjedens endelighet, eller ved å fjerne dokumentasjonen fra validatorer eller reléoperatører. Følg endringen gjennom valideringen av meldingen, preging eller frigivelse på målkjeden og innløsning og avstemming; ikke hopp direkte fra inndata til hovedresultatet. Hvis det nye utfallet for broer mellom blokkjeder ikke kan gjenskapes ut fra låsing eller brenning på kildekjeden, regelen for endelighet, bevis eller validatorsignaturer, preging eller frigivelse på målkjeden, samlet dekning og tokenmengde, oppgraderingshistorikk og innløsning, avhenger prosessen av en udokumentert vurdering eller registrering.

Hvorfor broer mellom blokkjeder er viktige nå

Utnyttelse av broer har gjort validering på tvers av kjeder til en av de tydeligste konsentrasjonsrisikoene i digital finans. Utformingene beveger seg i retning av sterkere bevis, satsgrenser, effektbrytere, oppdelt likviditet og mer begrensede oppgraderingsfullmakter. Fordelene ved interoperabilitet bør veies opp mot den maksimale verdien én feil hos en validator eller i en kontrakt kan sette i fare.

Den varige lærdommen om broer mellom blokkjeder er at låsing eller brenning på kildekjeden og innløsning og avstemming ikke er samme hendelse. Beslutningene imellom avgjør hva som skjer med eiendelen på kildekjeden, meldingen mellom kjedene, kravet på målkjeden og avstemmingen av dekningen, mens brukeren og styrings- og sikkerhetsteamet kan ha innsyn i ulike deler av dokumentasjonen. Automatisering er verdifull når den gjør disse beslutningene enklere å kontrollere; den er farlig når den slår dem sammen til én status som skjuler overtakelse gjennom oppgradering.

Dokumentasjonen bak broer mellom blokkjeder

Det viktigste grunnlaget for broer mellom blokkjeder er BIS: Risikoer for finansiell stabilitet ved DeFi, FSBs globale regelverk for aktiviteter knyttet til kryptoaktiva og NISTs oversikt over blokkjedeteknologi. Les dem som utfyllende lag: regler og definisjoner, institusjonell struktur eller markedsstruktur og den operative dokumentasjonen som trengs for å teste en konkret påstand. Ingen av dem bør brukes som erstatning for produktdokumentene, kontoene eller transaksjonsregistrene som er beskrevet ovenfor.

Spørsmål du bør stille før du stoler på broer mellom blokkjeder

• Kan brukeren dokumentere kildekjedetransaksjonen, ruten, beløpet, mottakeren, gebyrene og mottaket på målkjeden før endeligheten på kildekjeden er bekreftet?
• Hvilket register gjelder hvis broens oppbevaringskontrakt og tokenet eller poolen på målkjeden ikke stemmer overens?
• Hvem finansierer eller bærer risikoen som oppstår når meldingen valideres?
• Hva skiller likviditetsnettverket fra lås-og-preg-modellen i juridisk og økonomisk forstand?
• Hvordan vil systemet oppdage en feil i kontrakten før innløsning og avstemming?
• Hva skjer når validatorer eller reléoperatører ikke er tilgjengelige, eller dokumentasjonen deres er utdatert?
• Kan en uavhengig kontrollør avstemme resultatet mot låsing eller brenning på kildekjeden, regelen for endelighet, bevis eller validatorsignaturer, preging eller frigivelse på målkjeden, samlet dekning og tokenmengde, oppgraderingshistorikk og innløsning?

Når det gjelder broer mellom blokkjeder, bør uttrykk som «plattformen håndterer det» erstattes med navngitte kontoer, kontrakter, tidsstempler, godkjenningsregler og ansvarlige enheter. Et fullstendig svar bør gjøre det mulig for en kontrollør å gå bakover fra innløsning og avstemming til låsing eller brenning på kildekjeden, identifisere hvem som eier hvert register og beregne hvem som bærer tapet før et avvik oppstår.

Hovedprinsippet bak broer mellom blokkjeder

Blokkjed broer blir klarest å forstå når analysen følger eiendelen på kildekjeden, meldingen på tvers av kjedene, kravet på målkjeden og avstemmingen av dekningen gjennom de fem driftsfasene. Resultatet må verifiseres mot låsing eller brenning på kildekjeden, finalitetsregelen, bevis eller validatorsignaturer, utstedelse eller frigivelse på målkjeden, samlet dekning og mengde i omløp, oppgraderingshistorikk og innløsning. Flyten forklarer hva som endres, deltakeroversikten viser hvem som kan godkjenne endringen, sammenligningen av de tre tilstandene hindrer at ulike typer krav forveksles, og feiloversikten viser hvor tilliten bør svekkes. Samlet gjør dette det mulig å skille reelle forbedringer fra friksjon eller risiko som bare er flyttet til et mindre synlig lag.

Primærkilder om blokkjedebroer

• BIS: Risikoer for finansiell stabilitet ved DeFi
• FSBs globale regelverk for aktiviteter knyttet til kryptoaktiva
• NISTs oversikt over blokkjedeteknologi