2022 年，区块链行业被盗资金中超过 60% 来自跨链桥攻击。Ronin 桥（$625M）、Wormhole（$320M）、Nomad（$190M）——这些数字背后是跨链桥在架构层面的深层脆弱性。本文从信任模型出发，系统分析为什么桥这么难做安全。

一、跨链桥的本质问题

区块链是孤岛。以太坊上的 ETH 无法直接在 Solana 上使用，因为两条链的状态完全独立。跨链桥要解决的问题是：

如何让链 A 上发生的事件（"用户锁定了 1 ETH"）在链 B 上产生可信的效果（"铸造 1 wETH"）？

这个问题的核心是跨链消息的验证：链 B 如何相信链 A 上真的发生了某件事？

根据验证方式的不同，桥有三类信任模型：

信任度 ↑
│
│  1. 可信中间人桥（Custodial）      → 信任特定机构
│
│  2. 多签/MPC 桥                   → 信任 N/M 验证者集合
│
│  3. 轻客户端桥（Trust-minimized） → 信任数学证明（密码学）
│
└──────────────────────────────────── 去中心化程度 →

二、三类桥的架构与攻击面

2.1 可信中间人桥（Custodial Bridge）

架构：用户将资产锁入一家机构，该机构在目标链上发行等值的包装资产。

用户 ── 存入 ETH ──► [中心化机构] ── 铸造 wETH ──► 用户
                          ↑
                     单点信任

代表：早期 WBTC（由 BitGo 托管），中心化交易所的跨链充提。

攻击面：

• 机构私钥被盗
• 机构作恶（rug pull）
• 监管查封

Ronin 桥（$625M）就属于这类的变种：使用多签，但实际上由 Sky Mavis 控制大部分签名者。