如何评估跨链桥安全性？（桥梁工程安全风险评估范围）

我和源自 Socket 的 Vaibhav Chellani 想一致同意两个用以评估结果相同转接构架安全可靠概述的信用风险构架。与各种 L2 的信用风险架构一样，她们的总最终目标在于，能够快速将某一软件系统“分类”到具有相似特征的某特定软件系统类型中，同时可以足够细致向使用者呈现她们采用那些转接时需要接受的安全可靠假定有哪些。

她们主要关注在镜像坊和其它链之间的转接，因为她们即将在 l2beat.com 上介绍那些 (翻译者注：目前转接附注已上架)，但是，关于那些软件系统安全可靠性的基本逻辑推理也适用于任何链与另两条链的转接。此刻，她们正在寻找更广为社区对这个一致同意架构的意见反馈。

对于终端使用者而言，金融资产转接是指从作者链（source chain）接收某种金融资产的存款，并将这笔金融资产接起处于最终目标链（destination chain）上的使用者。

比如，典型的转接业务流程就是，Alice 将资本金转往 A 链的转接合同，而后 Alice 在 B 链上收到源自转接的资本金。

广为而言，此种业务流程有两种发生形式：

如前所述输入输出的虚拟货币转接 —— 那些转接能让资本金面以输入输出的形式跨链流动。一般，它容许一笔金融资产在作者链上锁定或封存后，在最终目标链上铸成出。范例：Rollup 转接、Polygon 原生植物转接、Anyswap（anyCall）和 Axelar 互联网。

资本金面互联网 —— 也有转接会充值许多已铸成出的金融资产。她们容许使用者将金融资产迁移至另许多链上，并假定那些金融资产已透过“输入输出”转接（Message Bridge）提前将金融资产迁移过去。范例：如前所述 Nomad 转接的 Connecxt、如前所述 Hop Optimistic Bridge 的 Hop、许多其它 HTLC（Hash Time-Lock Contract，基元时间锁合同）和条件式提款（如 nova 等）。

轻应用程序校正状况科学性

叙述：在最终目标链上校正作者链状况切换科学性的转接。该校正操作过程透过零知识断定同时实现 (状况切换操作过程伴随着两个 zk 断定的生成) 或是诈欺断定系统完成 (容许分立的校正者就新状况根的科学性提出争议）。

范例：所有 Rollup 都算是这里的范例，L1 会透过 FraudProof（诈欺断定）或 ValidityProof（科学性断定）校正 L2 的状况切换。

轻应用程序校正一致意见

叙述：在最终目标链上校正作者链一致意见的转接。这依赖于作者链所采用的一致意见监督机制，一般而言包括对当前校正者理事会的 quorum 亲笔签名的检查和，假如其作者链采用的是 PBFT 式的一致同意和投票表决（propose-and-vote）一致意见协定（如 Tendermint、HotStuff、Casper FFG 协定）。或者，假如作者链采用 PoW 协定或“最久链”式的 PoS 协定（如 Ouroboros、ETH 2.0 LMD Ghost 等），则采用有关的锯齿规则检查和最久链。

范例：NEAR Rainbow 转接（忽略与 NEAR 亲笔签名监督机制校正操作过程的复杂程度有关的 Optimistic 构成部分），Polygon 的 PoS 转接（检查和 Heimdall 链的一致意见）以及 Cosmos IBC（校正另两条 Cosmos 链的亲笔签名）。

内部校正者集

叙述：采用内部校正者作为事实作者的转接，即形成两个分立理事会的校正者们，而不是作者链和最终目标链上的校正者。这依赖于那些校正者所采用的同时实现，她们可能会采用 MultiSig （多签）、运行一致意见演算法（一般而言是源自一致同意和投票表决的一类的演算法）、采用 Threshold Signature 监督机制（TSS，Benfeld亲笔签名监督机制）或 SGX 等……无论它采用什么技术，都属于此种校正形式。

范例：Wormmhole、Multichain、Axelar、DeBridge、Synapse、Stargate。

乐观式校正

叙述：具有挑战期（challenge period，翻译者注：指其它校正者发现转接消息无效时，可以对其科学性进行挑战的时间段）的转接。

这类校正形式中的诚实一方会在此期间内避免纳入诈欺信息。然而，这里有几个关键参数需要考虑：

挑战期时长：越长越好

Watcher 集规模：无需许可 > 需要许可

范例：Hop Protocol、Connext Amarok、Across、Nomad Token Bridge。

混合校正形式

叙述：有一种混合以上各种校正形式的结构。

资本金面互联网的安全可靠性

除了真的跨链发送金融资产以外，还有另一种的方法：跨链充值（swap），只透过易手而不用跨链移动金融资产，就能进行跨链充值。（翻译者注：易手即一方金融资产成为另一方所有，即金融资产所有者发生更换。）

举个简单的范例：A 链上的 Alice 想将金融资产转往 B 链。Bob（资本金面提供者，LP）在 B 链上已经有了一样价值的金融资产，他用自己在 B 链上的这笔金融资产为 Alice 在 A 链上的余额提供充值服务，并收取服务费。最终，Alice 会获得 B 链上的那笔金融资产，Bob 则能获得 A 链上的那笔金融资产 服务费。

这部分仅叙述了“充值”协定的安全可靠性，即 LP 在接受了你在作者链上的存款后，有多大可能会携款潜逃。那些充值金融资产拥有铸成出它的输入输出型转接的安全可靠性。

也有许多其它充值金融资产的形式：

HTLC: 又称基元时间锁合同，可以用于跨链两方之间进行原子充值金融资产。一般而言只需要使用者做两步操作，一是锁定，二是解锁。可能发生的失败情况是，你的资本金会在固定的“休眠”期限内被锁定。范例：Connext NXTP、Liqualit。

条件式提款（Conditional Transfer）：容许 LP 透过捷径消息转接，以此让 LP 可以在任何转接资本金时，立即为终端使用者提供资本金，并从输入输出转接中接收资本金。在失败情况下，假如没有 LP 提供资本金面，则会激活慢速路径（slow path）。范例：Hop、Connext Amarok、MakerDAO Teleport。

内部校正者：让使用者可以将资本金转往受信任的转接提供者处，提供者会承诺释放资本金至另两条链上。这里可能出现的失败情况是，你的资本金会丢失。范例：币安

利用基础链的抗审查性（例如，许多 Rollup）

依赖于校正者集的诚实

激活慢速路径：默认模式为慢速路径，不会损失资本金

自己进行质押：使用者可以质押参与互联网，成为校正者并自己处理卡住的提款事物

冻结：暂停系统，直到转接运行方上架之前无法运行

不受限制（转接可以铸成原生植物/权威虚拟货币）

需许可（由转接运营商提供资本金面）

无需许可（任何 LP 可以提供资本金面）

可升级性

需许可的行动者

过去 24 小时内提款量

过去 24 小时内的 unique transfer（分立地址提款）

可用的资本金面

支持的虚拟货币/区块链