Proč jsou kryptomosty nejzranitelnějším bodem ekosystému Web3 (a jak se to mění)

Kryptomosty (angl. "bridges") umožňují převod aktiv a dat mezi různými blockchainovými sítěmi, které samy o sobě nedokážou spolu "komunikovat".

Bez nich by neexistovaly převody ETH na Solanu, wrapped BTC na Ethereu ani likvidita proudící mezi desítkami řešení Layer 2.

Právě tato role prostředníka však z mostů udělala jeden z častějších cílů útoků v kryptoprostoru. Důvodem není náhoda, ale samotná architektura, na které jsou postaveny.

Proč jsou mosty strukturálně zranitelné

V jádru dělá každý most jednu věc: zamkne (nebo spálí) aktivum na zdrojovém řetězci a vydá ekvivalentní, "wrapped" verzi na cílovém řetězci.

To znamená, že někde musí existovat smlouva, tzv. vault, ve které je uložena celá zamčená hodnota. Tato smlouva představuje jedinečný, koncentrovaný rizikový bod: zatímco důsledky útoku na jednotlivou DeFi platformu se obvykle omezují na její vlastní uživatele, důsledky útoku na most se mohou dotknout všech, kdo přes něj kdy převedli prostředky.

Druhým problémem je model důvěry. Většina mostů se i dnes spoléhá na skupinu validátorů nebo multisig signatářů, kteří potvrzují, že transakce na zdrojovém řetězci se skutečně uskutečnila, než schválí uvolnění prostředků na cílovém řetězci.

Tento model je rychlý a levný na implementaci, ale v konečném důsledku jde o důvěru vůči omezenému počtu lidí a jejich soukromým klíčům - a právě tyto klíče jsou nejčastějším bodem kompromitace, ať už prostřednictvím krádeže, sociálního inženýrství, nebo phishingových útoků zaměřených na jednotlivé signatáře.

Nakonec musí most sladit zdrojový a cílový řetězec: dva systémy, které často mají zcela odlišnou logiku konsenzu, rychlost finality transakcí a způsob zaznamenávání stavu.

Bitcoin například zaznamenává prostředky prostřednictvím modelu UTXO (jednotlivé "mince", které se utrácí), zatímco Ethereum nebo Solana používají účtový model (stav se aktualizuje v rámci účtu, podobně jako u bankovního výpisu).

Když musí most přeložit událost z jednoho systému do druhého, vývojářský tým musí tento rozdíl ručně namodelovat v kódu smlouvy - a právě při tomto překladu, v logice, která ověřuje, zda je podpis nebo důkaz skutečně platný, nejčastěji vznikají jemné chyby, které je obtížné odhalit i během důkladných auditů.

Rozsah problému

Historie to potvrzuje čísly.

Vezměme si příklad mostu Ronin, který v roce 2022 podporoval hru Axie Infinity: tento most vyžadoval podpisy pěti z celkem devíti validátorů ke schválení transakcí.

Představte si to jako trezor, který se otevře jen tehdy, když pět z devíti strážců současně otočí svým klíčem.

Útočníci spojení se severokorejskou skupinou Lazarus neprolomili kryptografii - místo toho falešnou pracovní nabídkou oklamali zaměstnance společnosti, která kontrolovala čtyři z devíti klíčů.

Pátý klíč získali proto, že jedna DAO organizace (decentralizovaná komunita, která hlasuje o rozhodnutích) předtím dočasně udělila mostu oprávnění používat její podpis - oprávnění, které nikdy nebylo odvoláno.

Místo hackování systému tak jednoduše shromáždili dostatek "strážců" - a vyplatili si 173 600 ETH a 25,5 milionu USDC.

Ve stejném roce se odehrály ještě dva podobné útoky.

Most Wormhole přišel o 320 milionů dolarů poté, co se podařilo padělat podpis jednoho z jeho "guardian" validátorů; smlouva padělek nerozpoznala a schválila výplatu.

Most Nomad přišel o téměř 200 milionů dolarů ještě neobvyklejším způsobem: první osoba, která objevila chybu umožňující výběr prostředků bez platného důkazu, ji využila, a jakmile se to rozkřiklo, stovky dalších uživatelů zopakovaly stejnou transakci, čímž most během několika hodin přišel o významnou část svých prostředků.

Když to všechno sečteme, obrázek se vyjasní. Podle analytické společnosti Chainalysis bylo jen v období 2021-2023 z mostů ukradeno více než 2,5 miliardy dolarů, zatímco širší odhady stanovují celkové ztráty mostů od roku 2021 dodnes na více než 2,8 miliardy dolarů.

Nejzajímavější na všech těchto číslech je opakující se vzorec: téměř všechny velké ztráty se odehrály na mostech, které se při potvrzování platnosti transakce spoléhají na omezený počet lidí nebo validátorů (tzv. mosty s nižší úrovní důvěry).

Mosty, které místo lidí využívají kryptografické, matematické ověřování - o čemž podrobněji píšeme dále - zůstaly dosud prakticky nedotčené. Jinými slovy, riziko roste všude tam, kde bezpečnost mostu závisí na jednání jednotlivců, a ne na kryptografickém ověření.

Jak se situace mění

Odvětví si z těchto útoků odneslo jasné ponaučení: dlouhodobým řešením není silnější multisig, ale úplné odstranění lidského prvku z procesu ověřování.

Z toho vyplývají tři směry vývoje, které v současnosti formují bezpečnější generaci mostů.

Ověřování light client a zero-knowledge

Namísto důvěry vůči skupině validátorů si cílový řetězec sám ověřuje, co se stalo na zdrojovém řetězci, podobně jako když si někdo sám prohlédne dokumenty, místo aby věřil cizímu slovu, že jsou v pořádku.

V pokročilejší variantě se využívá důkaz zero-knowledge: matematický záznam potvrzující, že se transakce uskutečnila, aniž by to musel kdokoli znovu ověřovat prostřednictvím celé historie řetězce.

Bezpečnost mostu tak už nezávisí na tom, zda jsou validátoři čestní, ale výhradně na tom, zda je matematika správná.

Protokol IBC od Cosmos tento přístup využívá již léta a stále více mostů na Ethereu přechází na podobný model, ačkoli taková infrastruktura se buduje obtížněji a pomaleji.

Nativní a kanonické mosty

Když most aktivum "zabalí" (wrap), ve skutečnosti vytvoří novou, syntetickou verzi tokenu, která představuje originál zamčený jinde.

Wrapped BTC na Ethereu například není skutečný Bitcoin, ale dluhopis, jehož hodnota odpovídá pouze hodnotě smlouvy, která jej vydává. Každá taková zabalená verze představuje další bod, který vyžaduje vlastní úroveň zabezpečení.

Proto stále více projektů přechází na jiný přístup: místo balení se token spálí na jednom řetězci a identický, kanonický token se vydá na druhém.

Přesně to dělá protokol Circle pro USDC. Výsledkem je nižší počet různých "verzí" téhož tokenu v oběhu, což zjednodušuje celý systém a snižuje počet komponent, o které je třeba se starat.

Distribuované sítě validátorů

Namísto toho, aby celá bezpečnost mostu spočívala na jedné pevné skupině validátorů, novější architektury kombinují několik nezávislých sítí, které si navzájem ověřují práci, díky čemuž každá další síť zvyšuje celkovou spolehlivost systému.

K tomu stále častěji přibývají další "brzdicí" mechanismy: timelocky, které zpožďují větší výplaty s cílem ponechat prostor pro reakci, automatické pauzy, jakmile systém zaznamená něco neobvyklého, a pojištění, které klientům nahrazuje ztráty, pokud by přesto došlo k narušení.

Praktická doporučení

Sdělení je jednoduché: každý most je aktivní součástí systému, nejen neutrální trubkou, kterou aktiva pouze procházejí.

Každý most nese vlastní rizikový profil v závislosti na tom, zda se spoléhá na lidi, nebo na kryptografii.

Před převodem větší hodnoty přes jakýkoli most se vyplatí ověřit, jaký model ověřování používá, jak dlouho funguje bez incidentů a zda prošel nezávislým auditem.

Bezpečnější budoucnost interoperability Webu3 se buduje právě snižováním počtu míst, kde je třeba vkládat důvěru do lidí - a stále více na místech, kde ji jednoduše nahrazuje matematika.