Perché i ponti crypto sono il punto più vulnerabile dell'ecosistema Web3 (e come sta cambiando)

I ponti crypto (in inglese "bridges") consentono il trasferimento di asset e dati tra diverse reti blockchain che, di per sé, non sono in grado di "comunicare" tra loro.

Senza di essi non esisterebbero i trasferimenti di ETH verso Solana, i BTC wrapped su Ethereum, né la liquidità che scorre tra le decine di soluzioni Layer 2.

Ma è proprio questo ruolo di intermediario ad aver reso i ponti uno dei bersagli più frequenti degli attacchi nel settore crypto. Il motivo non è casuale, ma risiede proprio nell'architettura su cui sono costruiti.

Perché i ponti sono strutturalmente vulnerabili

In sostanza, ogni ponte fa una cosa sola: blocca (o brucia) l'asset sulla catena di origine ed emette una versione equivalente, "wrapped", sulla catena di destinazione.

Ciò significa che da qualche parte deve esistere un contratto, il cosiddetto vault, in cui è custodito l'intero valore bloccato. Questo contratto rappresenta un punto di rischio unico e concentrato: mentre le conseguenze di un attacco a una singola piattaforma DeFi si limitano di solito ai suoi utenti, le conseguenze di un attacco a un ponte possono ripercuotersi su chiunque abbia mai trasferito fondi attraverso di esso.

Il secondo problema riguarda il modello di fiducia. La maggior parte dei ponti si affida ancora oggi a un insieme di validatori o firmatari multisig che confermano l'avvenuta transazione sulla catena di origine prima di autorizzare il rilascio dei fondi sulla catena di destinazione.

Questo modello è rapido ed economico da implementare, ma si riduce alla fiducia riposta in un numero limitato di persone e nelle loro chiavi private, ed è proprio in queste chiavi che si concentra il punto più comune di compromissione, sia tramite furto, ingegneria sociale, sia attraverso attacchi di phishing mirati ai singoli firmatari.

Infine, un ponte deve conciliare la catena di origine e quella di destinazione: due sistemi che spesso presentano una logica di consenso, una velocità di finalità delle transazioni e una modalità di registrazione dello stato completamente diverse.

Ad esempio, Bitcoin registra i fondi attraverso il modello UTXO (singole "monete" che vengono spese), mentre Ethereum o Solana utilizzano un modello ad account (lo stato viene aggiornato all'interno di un account, in modo simile a un estratto conto bancario).

Quando un ponte deve tradurre un evento da un sistema all'altro, il team di sviluppo deve modellare manualmente questa differenza nel codice del contratto, ed è proprio in questa traduzione, nella logica che verifica se una firma o una prova è effettivamente valida, che nascono più spesso gli errori sottili, difficili da individuare anche durante controlli approfonditi.

L'entità del problema

La storia lo conferma con i numeri.

Prendiamo l'esempio del ponte Ronin, che nel 2022 supportava il gioco Axie Infinity: questo ponte richiedeva le firme di cinque validatori su un totale di nove per approvare le transazioni.

Immaginatelo come una cassaforte che si apre solo se cinque guardiani su nove girano contemporaneamente la propria chiave.

Gli aggressori collegati al gruppo nordcoreano Lazarus non hanno violato la crittografia, ma hanno ingannato i dipendenti dell'azienda che controllava quattro delle nove chiavi con una falsa offerta di lavoro.

Hanno ottenuto la quinta chiave perché un'organizzazione DAO (una comunità decentralizzata che vota sulle decisioni) aveva in precedenza concesso al ponte l'autorizzazione temporanea a utilizzare la propria firma, autorizzazione mai revocata.

Così, invece di violare il sistema, hanno semplicemente raccolto un numero sufficiente di "guardiani", incassando 173.600 ETH e 25,5 milioni di USDC.

Nello stesso anno si sono verificati altri due attacchi simili.

Il ponte Wormhole ha perso 320 milioni di dollari dopo essere riuscito a falsificare la firma di uno dei suoi validatori "guardian"; il contratto non ha rilevato la contraffazione e ha autorizzato il pagamento.

Il ponte Nomad ha perso quasi 200 milioni di dollari in un modo ancora più singolare: la prima persona che ha scoperto una falla che consentiva il prelievo di fondi senza una prova valida l'ha sfruttata, e non appena la notizia si è diffusa, centinaia di altri utenti hanno ripetuto la stessa transazione, lasciando il ponte privo di una parte significativa dei propri fondi nel giro di poche ore.

Sommando il tutto, il quadro diventa chiaro. Secondo la società di analisi Chainalysis, solo nel periodo 2021-2023 sono stati sottratti dai ponti oltre 2,5 miliardi di dollari, mentre stime più ampie collocano le perdite totali dei ponti dal 2021 a oggi oltre i 2,8 miliardi di dollari.

Ciò che colpisce di più in questi numeri è lo schema che si ripete: quasi tutte le perdite più ingenti si sono verificate su ponti che si affidano a un numero limitato di persone o validatori per confermare la validità di una transazione (i cosiddetti ponti a fiducia inferiore).

I ponti che, invece delle persone, utilizzano una verifica crittografica e matematica, di cui parleremo più avanti, sono rimasti finora pressoché intatti. In altre parole, il rischio aumenta ovunque la sicurezza di un ponte dipenda dal comportamento di singoli individui, anziché da una verifica crittografica.

Come sta cambiando la situazione

Il settore ha tratto una lezione chiara da questi attacchi: la soluzione a lungo termine non è un multisig più forte, bensì l'eliminazione completa dell'elemento umano dal processo di verifica.

Da qui derivano tre direzioni di sviluppo che stanno attualmente plasmando una generazione più sicura di ponti.

Verifica light client e zero-knowledge

Invece di affidarsi a un gruppo di validatori, la catena di destinazione verifica autonomamente ciò che è accaduto sulla catena di origine, in modo simile a chi controlla di persona dei documenti invece di fidarsi della parola altrui sulla loro correttezza.

Nella variante più avanzata, si utilizza una prova zero-knowledge: un dato matematico che conferma l'avvenuta transazione, senza che nessuno debba riverificare l'intera storia della catena.

La sicurezza del ponte non dipende quindi più dall'onestà dei validatori, ma unicamente dalla correttezza della matematica.

Il protocollo IBC di Cosmos utilizza questo approccio già da anni, e un numero crescente di ponti su Ethereum sta adottando un modello simile, anche se questo tipo di infrastruttura è più difficile e lenta da costruire.

Ponti nativi e canonici

Quando un ponte "avvolge" (wrap) un asset, in realtà crea una nuova versione sintetica del token, che rappresenta l'originale bloccato altrove.

Ad esempio, il BTC wrapped su Ethereum non è vero Bitcoin, bensì un IOU che vale quanto il contratto che lo emette. Ogni versione wrapped di questo tipo costituisce un ulteriore elemento che richiede il proprio livello di sicurezza.

Per questo motivo, un numero crescente di progetti sta passando a un approccio diverso: anziché avvolgere l'asset, il token viene bruciato su una catena ed emesso in forma identica, canonica, sull'altra.

Il protocollo di Circle per USDC funziona esattamente così. Il risultato è un numero inferiore di "versioni" diverse dello stesso token in circolazione, il che semplifica l'intero sistema e riduce il numero di componenti da monitorare.

Reti di verificatori distribuite

Invece di affidare l'intera sicurezza del ponte a un unico insieme fisso di validatori, le architetture più recenti combinano diverse reti indipendenti che controllano reciprocamente il proprio operato, cosicché ogni rete aggiuntiva aumenta l'affidabilità complessiva del sistema.

A ciò si aggiungono sempre più spesso ulteriori meccanismi di "frenata": timelock che ritardano i pagamenti più consistenti per lasciare spazio a una reazione, pause automatiche non appena il sistema rileva qualcosa di insolito, e assicurazioni che risarciscono i clienti in caso di violazione.

Linee guida pratiche

Il messaggio è semplice: ogni ponte è una componente attiva del sistema, non un semplice condotto neutrale attraverso cui passano gli asset.

Ogni ponte comporta il proprio profilo di rischio, a seconda che si affidi a persone o alla crittografia.

Prima di trasferire un valore consistente attraverso un ponte, vale la pena verificare quale modello di verifica utilizza, da quanto tempo opera senza incidenti e se è stato sottoposto a un audit indipendente.

Un futuro più sicuro per l'interoperabilità del Web3 si costruisce proprio riducendo il numero di punti in cui la fiducia deve essere riposta nelle persone, e sempre di più nei punti in cui questa viene semplicemente sostituita dalla matematica.