L2BEAT实验“破解”LayerZero：为什么这个跨链协议是不安全的？

原文：《》by Krzysztof Urbański，L2BEAT 团队成员

编译：Babywhale，Foresight News

L2BEAT 从成立以来就投入了大量精力来分析和理解与 Layer 2 协议相关的风险。我们始终以用户和生态系统的最大利益为出发点，尽最大的努力成为一个公正、独立的监督者，不会让我们对项目或相关团队的个人偏好影响事实。这就是为什么即使我们尊重项目团队投入项目的时间和努力，但也会对某些协议存在的潜在风险「拉响警报」或指出我们的担忧。尽早进行与安全相关的讨论可以让整个生态系统更好地为潜在风险做好准备，并对任何可疑行为更早地做出反应。

今天我们想就跨链应用的共享安全模型展开讨论。目前有两种安全模型：共享安全与独立应用安全。共享安全性就例如所有的 Rollup。独立应用安全性主要由「omnichain」项目使用，这类项目的主要使用的是 LayerZero。（《》）

共享安全与独立安全

共享安全性是指在给定基础架构上运行的特定代币或应用，而不是自由选择安全模型，他们必须遵守基础设施强加的任何安全要求。例如，Optimistic Rollups 通常会施加一个 7 天的最终窗口期——在此类 Rollups 上运行的应用不能简单地忽略或缩短这个期限。这虽然看起来像是一个障碍，但它是有原因的。这个期限为用户提供了安全保证，无论应用的内部安全策略是什么，都必须遵守这套安全政策，应用可能只会加强 Rollups 的安全性，而不会削弱它。

独立安全是指每个应用都负责定义其安全性，不受基础设施以任何方式进行的限制。这乍看之下似乎是个好主意，毕竟应用的开发人员最清楚应用可能需要哪些安全措施。但与此同时，它将评估与每个应用安全策略风险相关的责任转移给了终端用户。此外，如果应用开发者可以自由选择他们的安全策略，他们也可以随时更改。因此，对每个应用评估一次风险是不够的，每次应用的政策发生变化时都应该对其进行评估。

存在的问题

我们认为每个应用都可以自由定义其安全策略的独立安全模型会带来严重的安全问题。首先，它增加了终端用户的风险，因为他们必须验证他们打算使用的每个应用的风险。

独立安全还增加了使用这种模型的应用的风险，例如增加了有关安全策略更改的额外风险——如果攻击者要更改应用的安全模型，还不如简单地禁用它，从而耗尽资金或以任何其他方式进行攻击。应用之上没有额外的安全层来防止被攻击。

此外，由于安全策略能够随时且即时更改，因此几乎不可能实时监控应用并告知用户风险。

我们发现它类似于智能合约的可升级性，我们已经在 L2BEAT 上发出了警告。我们告知用户在其智能合约中具有可升级性机制的 Rollup 和跨链桥，以及在每种情况下管理可升级性的确切机制。这已经相当复杂了，加之使用独立的安全模型更会使得数目成倍增加，几乎不可能有效跟踪。

这就是为什么我们认为独立的安全模型本身就是一种安全风险，并且我们假设默认情况下将使用这种模型的每个应用都应被视为有风险，除非证明并非如此。

证明安全漏洞存在

我们决定在主网上测试我们的假设。选择 LayerZero 框架进行实验是因为它是最流行的以独立安全为核心的解决方案之一。我们部署了一个安全的 omnichain 代币，之后更新安全配置，允许恶意提取代币。代币的代码基于 LayerZero 提供的示例，与实际部署的许多其他 omnichain 代币和应用程序非常相似或相同。

但在我们深入细节之前，让我们简要了解一下 LayerZero 安全模型是什么样的。

正如 LayerZero 在白皮书上指出的，其「无需信任的链间通信」依赖于两个独立的参与者（预言机和中继器）共同行动以确保协议的安全。

LayerZero 在其网站上表示，其核心概念是「运行 ULN (UltraLightNode) 、可配置链上终端的用户应用」。LayerZero 的链上组件依赖于两个外部链下组件在链之间中继消息——预言机 和中继器。

每当任何消息 M 从 A 链发送到 B 链时，都会发生以下两个操作：

• 首先，预言机等到在 A 链上发送消息 M 的交易完成，然后在 B 链上写入相关信息，例如 A 链包含消息 M 的区块头的哈希值（不同的链 / 预言机之间的确切格式可能有所不同）。
• 然后中继器向 B 链发送一个「证明」（例如 Merkle Proof），证明存储的区块头包含消息 M。

LayerZero 假设中继器和预言机是独立、诚实的参与者。但 LayerZero 也在白皮书中表示，如果不满足该假设，例如中继器和预言机串通，导致「预言机提供的区块头和中继器提供的交易证明均无效，但仍然匹配」。

LayerZero 声称「LayerZero 的设计消除了合谋的可能性」。但事实上，这种说法是不正确的（我们在下面展示的实验中证明了这一点），因为每个用户应用程序都可以定义自己的中继器和 预言机。LayerZero 不通过设计保证这些组件是独立的并且无法串通，而是由用户应用提供这些保证。如果应用选择破坏它们，LayerZero 没有任何机制可以阻止。

此外，默认情况下，所有用户应用都可以随时更改 中继器 和 预言机，从而完全重新定义安全假设。因此，仅检查一次给定应用的安全性是不够的，因为它可能在检查后随时更改，正如我们将在实验中展示的那样。

实验设计

在我们的实验中，我们决定创建一个简单的 omnichain 代币 CarpetMoon，同时在以太坊和 Optimism 上运行，并使用 LayerZero 在两个链之间进行通信。

我们的代币最初使用 LayerZero 提供的默认安全模型，使其与大（可能不是全部）当前部署的 LayerZero 应用完全相同。因此，它通常与使用 LayerZero 的任何其他代币一样安全。

首先，我们在以太坊和 Optimism 上部署我们的代币合约：

https://optimistic.etherscan.io/tx/0xf41389d71fa3942de5225efb067072728c6c6de56c241574187781db7c73d221

然后我们设置了路由，以便 LayerZero 知道两条链上哪个合约对应哪个合约。

代币已部署完成，它看起来与使用 LayerZero 的所有其他 omnichain 代币完全一样，使用默认配置，没有任何可疑之处。

我们向我们的「测试用户」Alice 提供了 10 亿枚以太坊上的 CarpetMoon 代币。

现在 Alice 使用 LayerZero 将这些代币跨链至 Optimism。

我们将代币锁定在以太坊上的托管合约中：。

包含着交易的消息正在通过 LayerZero 传递给 Optimism：。

跨链的代币正在 Optimism 上铸造，Alice 现在在 Optimism 上拥有 10 亿枚 MoonCarpet 代币：。

一切都按预期进行，Alice 将代币跨链，并看到以太坊上的托管合约中有 10 亿枚 MoonCarpet 代币，她在 Optimism 的账户上有 10 亿枚 MoonCarpet 代币。但为了确保一切正常，她将一半的代币转回以太坊。

我们从 Optimism 上销毁 5 亿代币的交易开始：。

有关该交易的信息被传递到以太坊：。

正如预期的那样，5 亿枚 MoonCarpet 代币从托管合约返回到 Alice 的地址：。

到目前为止，一切正常，也与假设的完全一致。Alice 已经检查过她可以将代币从以太坊跨链到 Optimism 并再次跨链回来，她没有理由担心她的 MoonCarpet 代币。

但是假设本身存在问题——例如，我们的代币背后的团队遇到问题，坏人 Bob 获得了对我们应用的 LayerZero 配置的访问权限。

如此，Bob 可以将预言机和中继器从默认的组件更改为由他控制的组件。

需要注意的是，这是为每个使用 LayerZero 的应用提供的机制，根植于 LayerZero 的架构中，它不是任何类型的后门，而是一种标准机制。

所以 Bob 将 预言机 更改为他控制下的 EOA：。

中继器也同样被更改：。

现在奇怪的事情发生了。由于预言机和中继器现在在 Bob 的完全控制之下，他能够盗取 Alice 的代币。即使在 Optimism 上没有采取任何行动（MoonCarpet 代币仍在 Alice 的钱包中），Bob 也能够说服以太坊上的 MoonCarpet 智能合约（使用 LayerZero 机制）他在其他链上销毁了代币并且他能够提取在以太坊上的 MoonCarpet 代币。

首先，他使用由他控制的预言机更新以太坊的区块哈希： 。

现在他可以从托管合约中提取剩余的代币：。

实验结果

Alice 甚至不知道为什么以及什么时候发生了错误。突然之间，她在 Optimism 上的 MoonCarpet 代币不再得到以太坊上代币的支持。

智能合约不可升级，并且按预期运行。唯一可疑的活动是预言机和中继器的变化，但这是 LayerZero 内置的常规机制，因此 Alice 甚至不知道这种变化是否有意为之。即使 Alice 知道了这个变化，也已经太晚了——攻击者可以在她做出反应之前耗尽资金。

LayerZero 也无能为力——这些都是他们机制的有效执行，他们无法进行控制。理论上，应用本身可以阻止自己更改预言机和中继器，但据我们所知，已经部署的应用都没有这样做。

我们做了这个实验来测试是否有人注意到它，但正如我们所料，没有人注意到。有效地监控所有使用 LayerZero 构建的应用来检查它们的安全策略是否发生改变，并在发生这种情况时警告用户是几乎不可能的。

即使有人能够及时发现预言机和中继器已经发生变化并带来了安全风险，但为时已晚。由于新的预言机和中继器现在可以自由选择传递的消息或简单地禁用链间通信，用户通常对此无能为力。我们的实验清楚地表明，即使 Alice 注意到应用配置的变化，她也不能用她的跨链代币做太多事情——新的预言机和中继器已不再在原始的通信链条上接受消息，所以不会将消息返回以太坊。

结论

正如我们所看到的，即使我们的代币是使用 LayerZero 构建并按预期使用其机制，我们还是能够从代币的托管中窃取资金。当然，这是应用（在我们的例子中是 CarpetMoon 代币）的错误，而不是 LayerZero 本身的错误，但这证明 LayerZero 本身不提供任何安全保证。

当 LayerZero 描述他们关于预言机和中继器的安全模型时，他们假设应用所有者（或拥有私钥的人）不会做任何不合理的事情。但在对抗性的环境中，这种假设是不正确的。此外，它要求用户将应用开发者作为可信赖的第三方来信任。

因此在实践中，人们不能对使用 LayerZero 构建的应用的安全性做出任何假设——每个应用都应该被认为是有风险的，直到证明不是这样。

实际上，整个故事是从我们计划在 L2BEAT 网站上包含所有 omnichain 代币的 PR 开始的——我们很难弄清楚如何评估它们的风险。在分析风险时，我们提出了实验的想法。

如果在 L2BEAT 上线，后果是我们必须在使用 LayerZero 构建的每个应用之上放置警报，警告可能存在的安全风险。但我们想就安全模型展开更广泛的讨论，因为我们认为独立的安全是一种应该避免的模式，尤其是在我们的领域。

我们相信，随着 LayerZero 等独立安全模型越来越流行，将会有越来越多的项目滥用它们，造成大量破坏并增加整个行业的不确定性。