L2BEAT 用一个实验“破解”了 LayerZero：为什么“独立安全”不安全？

原文标题：《CircumventingLayerZero:WhyIsolatedSecurityisNoSecurity》

作者：KrzysztofUrbański，L2BEAT团队成员

编译：Babywhale，ForesightNews

L2BEAT从成立以来就投入了大量精力来分析和理解与Layer2协议相关的风险。我们始终以用户和生态系统的最大利益为出发点，尽最大的努力成为一个公正、独立的监督者，不会让我们对项目或相关团队的个人偏好影响事实。这就是为什么即使我们尊重项目团队投入项目的时间和努力，但也会对某些协议存在的潜在风险「拉响警报」或指出我们的担忧。尽早进行与安全相关的讨论可以让整个生态系统更好地为潜在风险做好准备，并对任何可疑行为更早地做出反应。

今天我们想就跨链应用的共享安全模型展开讨论。目前有两种安全模型：共享安全与独立应用安全。共享安全性就例如所有的Rollup。独立应用安全性主要由「omnichain」项目使用，这类项目的主要使用的是LayerZero。

共享安全与独立安全

共享安全性是指在给定基础架构上运行的特定代币或应用，而不是自由选择安全模型，他们必须遵守基础设施强加的任何安全要求。例如，OptimisticRollups通常会施加一个7天的最终窗口期——在此类Rollups上运行的应用不能简单地忽略或缩短这个期限。这虽然看起来像是一个障碍，但它是有原因的。这个期限为用户提供了安全保证，无论应用的内部安全策略是什么，都必须遵守这套安全政策，应用可能只会加强Rollups的安全性，而不会削弱它。

独立安全是指每个应用都负责定义其安全性，不受基础设施以任何方式进行的限制。这乍看之下似乎是个好主意，毕竟应用的开发人员最清楚应用可能需要哪些安全措施。但与此同时，它将评估与每个应用安全策略风险相关的责任转移给了终端用户。此外，如果应用开发者可以自由选择他们的安全策略，他们也可以随时更改。因此，对每个应用评估一次风险是不够的，每次应用的政策发生变化时都应该对其进行评估。

存在的问题

以太坊L2网络总锁仓量为54.6亿美元:金色财经报道，L2BEAT数据显示，截至1月9日，以太坊Layer2上总锁仓量为54.6亿美元。其中锁仓量最高的为扩容方案Arbitrum，约25.7亿美元，占比47.09%；其次是dYdX，锁仓量为9.87亿美元，占比18.07%；第三为Loopring，锁仓量为4.48亿美元，占比8.23%[2022/1/9 8:35:12]

我们认为每个应用都可以自由定义其安全策略的独立安全模型会带来严重的安全问题。首先，它增加了终端用户的风险，因为他们必须验证他们打算使用的每个应用的风险。

独立安全还增加了使用这种模型的应用的风险，例如增加了有关安全策略更改的额外风险——如果攻击者要更改应用的安全模型，还不如简单地禁用它，从而耗尽资金或以任何其他方式进行攻击。应用之上没有额外的安全层来防止被攻击。

此外，由于安全策略能够随时且即时更改，因此几乎不可能实时监控应用并告知用户风险。

我们发现它类似于智能合约的可升级性，我们已经在L2BEAT上发出了警告。我们告知用户在其智能合约中具有可升级性机制的Rollup和跨链桥，以及在每种情况下管理可升级性的确切机制。这已经相当复杂了，加之使用独立的安全模型更会使得数目成倍增加，几乎不可能有效跟踪。

这就是为什么我们认为独立的安全模型本身就是一种安全风险，并且我们假设默认情况下将使用这种模型的每个应用都应被视为有风险，除非证明并非如此。

证明安全漏洞存在

我们决定在主网上测试我们的假设。选择LayerZero框架进行实验是因为它是最流行的以独立安全为核心的解决方案之一。我们部署了一个安全的omnichain代币，之后更新安全配置，允许恶意提取代币。代币的代码基于LayerZero提供的示例，与实际部署的许多其他omnichain代币和应用程序非常相似或相同。

但在我们深入细节之前，让我们简要了解一下LayerZero安全模型是什么样的。

L2基础协议Metis将于11月19日上线主网:据官方消息，L2基础协议Metis将于北京时间11月19日23:00上线L2主网首个版本（仙女座）。Metis此前表示将在主网上线同时推出1亿美元生态基金，该生态系统基金由 Metis 及其投资者合作伙伴合作启动的去中心化自治公司Genesi推出，资金将分配给包括 DeFi、游戏和 DAO 等垂直领域内的项目。[2021/11/16 6:54:31]

正如LayerZero在白皮书上指出的，其「无需信任的链间通信」依赖于两个独立的参与者共同行动以确保协议的安全。

LayerZero在其网站上表示，其核心概念是「运行ULN(UltraLightNode)、可配置链上终端的用户应用」。LayerZero的链上组件依赖于两个外部链下组件在链之间中继消息——预言机和中继器。

每当任何消息M从A链发送到B链时，都会发生以下两个操作：

首先，预言机等到在A链上发送消息M的交易完成，然后在B链上写入相关信息，例如A链包含消息M的区块头的哈希值。

然后中继器向B链发送一个「证明」，证明存储的区块头包含消息M。

LayerZero假设中继器和预言机是独立、诚实的参与者。但LayerZero也在白皮书中表示，如果不满足该假设，例如中继器和预言机串通，导致「预言机提供的区块头和中继器提供的交易证明均无效，但仍然匹配」。

LayerZero声称「LayerZero的设计消除了合谋的可能性」。但事实上，这种说法是不正确的，因为每个用户应用程序都可以定义自己的中继器和预言机。LayerZero不通过设计保证这些组件是独立的并且无法串通，而是由用户应用提供这些保证。如果应用选择破坏它们，LayerZero没有任何机制可以阻止。

此外，默认情况下，所有用户应用都可以随时更改中继器和预言机，从而完全重新定义安全假设。因此，仅检查一次给定应用的安全性是不够的，因为它可能在检查后随时更改，正如我们将在实验中展示的那样。

实验设计

在我们的实验中，我们决定创建一个简单的omnichain代币CarpetMoon，同时在以太坊和Optimism上运行，并使用LayerZero在两个链之间进行通信。

我们的代币最初使用LayerZero提供的默认安全模型，使其与大当前部署的LayerZero应用完全相同。因此，它通常与使用LayerZero的任何其他代币一样安全。

首先，我们在以太坊和Optimism上部署我们的代币合约：

DeFIL全球社区发起人：DeFIL2.0将为Filecoin网络带来更高流动性:据官方消息，8月6日15时，DeFIL全球社区发起人Marvin受邀做客中币社区，开展了主题为《致力于实现更高流动性的DEFIL2.0》AMA访谈。他表示，DeFIL 2.0的定位是去中心化的Filecoin借贷和金融服务平台，同时打造了一个集算力NFT、永续算力通证、DeFi借贷、流动性挖矿、增强挖矿收益机制、DAO治理等一体化的去中心化金融生态。DeFIL2.0在为Filecoin网络带来更高流动性的同时，也将给Filecoin矿工和投资者带来更多的价值回报。[2021/8/6 1:39:17]

https://ethtx.info/mainnet/0xf4d1cdabb6927c363bb30e7e65febad8b9c0f6f76f1984cd74c7f364e3ab7ca9/

https://optimistic.etherscan.io/tx/0xf41389d71fa3942de5225efb067072728c6c6de56c241574187781db7c73d221

然后我们设置了路由，以便LayerZero知道两条链上哪个合约对应哪个合约。

https://ethtx.info/mainnet/0x19d78abb03179969d6404a7bd503148b4ac14d711f503752495339c96a7776e9/

https://optimistic.etherscan.io/tx/0x037b1bad33faa5607bb5835460a1d5caaf3a147dc3a09762ac7703befcdb3c3c

代币已部署完成，它看起来与使用LayerZero的所有其他omnichain代币完全一样，使用默认配置，没有任何可疑之处。

我们向我们的「测试用户」Alice提供了10亿枚以太坊上的CarpetMoon代币。

https://ethtx.info/mainnet/0x7e2faa8426dacae92830efbf356ca2da760833eca28e652ff9261fc03042b313/

DeFIL2.0预计于8月上线以太网及币安智能链:8月3日消息，Filecoin去中心化平台DeFIL2.0预计于2021年8月正式上线以太网及币安智能链。DeFIL2.0多链并行旨在解决以太坊网络Gas费过高的问题，提升用户操作体验的同时为用户捕获多重生态价值。据悉，DeFIL2.0还将上线以太坊Layer2二层网络扩容方案Arbitrum。[2021/8/3 1:30:57]

现在Alice使用LayerZero将这些代币跨链至Optimism。

我们将代币锁定在以太坊上的托管合约中：

https://ethtx.info/mainnet/0xe4dc3757b86bfda8e7baddc088fb1a599e083ed77034c29e5dd8bd11f1e17771/。

包含着交易的消息正在通过LayerZero传递给Optimism：

https://layerzeroscan.com/101/address/0xc6005ccc1de4b300d538903b74848bff881d5dc5/message/111/address/0x201fe0d843b546f2e24d4c8444318d1c71b7nonced10d/。

跨链的代币正在Optimism上铸造，Alice现在在Optimism上拥有10亿枚MoonCarpet代币：

https://optimistic.etherscan.io/tx/0x5388ced88cf562acafff82d6798f791b0b38b90ee106df9bf91c0d86306ec302。

一切都按预期进行，Alice将代币跨链，并看到以太坊上的托管合约中有10亿枚MoonCarpet代币，她在Optimism的账户上有10亿枚MoonCarpet代币。但为了确保一切正常，她将一半的代币转回以太坊。

Quickswap成为算法稳定币协议FraxFinanceL2集成合作伙伴:Layer2去中心化交易所Quickswap宣布，算法稳定币协议FraxFinance已经选择QuickSwap作为官方L2集成合作伙伴。FRAX刚刚在QuickSwap.exchange上添加一个流动性池。FRAX的目标是成为QuickSwap和PolygonLayer2的稳定币选择。[2021/2/28 18:01:09]

我们从Optimism上销毁5亿代币的交易开始：

https://optimistic.etherscan.io/tx/0x118a57106488ad0bae1f3b920b1fd98b187752ad966f3a901fc53cff47f2097f。

有关该交易的信息被传递到以太坊：

https://layerzeroscan.com/111/address/0x201fe0d843b546f2e24d4c8444318d1c71b7d10d/message/101/address/0xc6005ccc1de4b300d538903b74848bff881d5dc5/nonce/1。

正如预期的那样，5亿枚MoonCarpet代币从托管合约返回到Alice的地址：

https://etherscan.io/tx/0x27702e07a65a9c6a7d1917222799ddb13bb3d05159d33bbeff2ca1ed414f6a18。

到目前为止，一切正常，也与假设的完全一致。Alice已经检查过她可以将代币从以太坊跨链到Optimism并再次跨链回来，她没有理由担心她的MoonCarpet代币。

但是假设本身存在问题——例如，我们的代币背后的团队遇到问题，坏人Bob获得了对我们应用的LayerZero配置的访问权限。

如此，Bob可以将预言机和中继器从默认的组件更改为由他控制的组件。

需要注意的是，这是为每个使用LayerZero的应用提供的机制，根植于LayerZero的架构中，它不是任何类型的后门，而是一种标准机制。

所以Bob将预言机更改为他控制下的EOA：

https://ethtx.info/mainnet/0x4dc84726da6ca7d750eef3d33710b5f63bf73cbe03746f88dd8375c3f4672f2f/。

中继器也同样被更改：

https://ethtx.info/mainnet/0xc1d7ba5032af2817e95ee943018393622bf54eb87e6ff414136f5f7c48c6d19a/。

现在奇怪的事情发生了。由于预言机和中继器现在在Bob的完全控制之下，他能够盗取Alice的代币。即使在Optimism上没有采取任何行动，Bob也能够说服以太坊上的MoonCarpet智能合约他在其他链上销毁了代币并且他能够提取在以太坊上的MoonCarpet代币。

首先，他使用由他控制的预言机更新以太坊的区块哈希：

https://ethtx.info/0xde2edee2cc7f070120e96c9df90d86696970befcfc221e18c6ac4168bb5b1d92/。

现在他可以从托管合约中提取剩余的代币：

https://ethtx.info/0xda695f374b375d5372efeca37aae4c5a17f114d5a76db1e86edebb0924bcdcc7/。

实验结果

Alice甚至不知道为什么以及什么时候发生了错误。突然之间，她在Optimism上的MoonCarpet代币不再得到以太坊上代币的支持。

智能合约不可升级，并且按预期运行。唯一可疑的活动是预言机和中继器的变化，但这是LayerZero内置的常规机制，因此Alice甚至不知道这种变化是否有意为之。即使Alice知道了这个变化，也已经太晚了——攻击者可以在她做出反应之前耗尽资金。

LayerZero也无能为力——这些都是他们机制的有效执行，他们无法进行控制。理论上，应用本身可以阻止自己更改预言机和中继器，但据我们所知，已经部署的应用都没有这样做。

我们做了这个实验来测试是否有人注意到它，但正如我们所料，没有人注意到。有效地监控所有使用LayerZero构建的应用来检查它们的安全策略是否发生改变，并在发生这种情况时警告用户是几乎不可能的。

即使有人能够及时发现预言机和中继器已经发生变化并带来了安全风险，但为时已晚。由于新的预言机和中继器现在可以自由选择传递的消息或简单地禁用链间通信，用户通常对此无能为力。我们的实验清楚地表明，即使Alice注意到应用配置的变化，她也不能用她的跨链代币做太多事情——新的预言机和中继器已不再在原始的通信链条上接受消息，所以不会将消息返回以太坊。

结论

正如我们所看到的，即使我们的代币是使用LayerZero构建并按预期使用其机制，我们还是能够从代币的托管中窃取资金。当然，这是应用的错误，而不是LayerZero本身的错误，但这证明LayerZero本身不提供任何安全保证。

当LayerZero描述他们关于预言机和中继器的安全模型时，他们假设应用所有者不会做任何不合理的事情。但在对抗性的环境中，这种假设是不正确的。此外，它要求用户将应用开发者作为可信赖的第三方来信任。

因此在实践中，人们不能对使用LayerZero构建的应用的安全性做出任何假设——每个应用都应该被认为是有风险的，直到证明不是这样。

实际上，整个故事是从我们计划在L2BEAT网站上包含所有omnichain代币的PR开始的——我们很难弄清楚如何评估它们的风险。在分析风险时，我们提出了实验的想法。

如果在L2BEAT上线，后果是我们必须在使用LayerZero构建的每个应用之上放置警报，警告可能存在的安全风险。但我们想就安全模型展开更广泛的讨论，因为我们认为独立的安全是一种应该避免的模式，尤其是在我们的领域。

我们相信，随着LayerZero等独立安全模型越来越流行，将会有越来越多的项目滥用它们，造成大量破坏并增加整个行业的不确定性。

标签：LAYERZEREROZEROLayeriumEqualizerMero CurrencyZero Knowledge Podcast

币安app官网下载热门资讯