增强跨链桥安全性：DeepSafe网络解决方案

自各种跨链桥出现以来，黑客攻击事件几乎从未停止。2022年Axie官方跨链桥被盗6.2亿美元的事件震惊了世界，让许多人思考如何安全且无信任地运营跨链桥。然而，许多未解决的问题仍然困扰着这个领域。

就像公共区块链平台一样，跨链桥在设计方法上也面临着"不可能三角"，这个问题至今仍无法解决。为了在成本和用户体验方面保持优势，大多数跨链桥采用类似于多重签名的见证人模型。从这种方法被实施的那一刻起，它就成为了黑客的主要目标。

痛苦的历史经验表明，没有保护措施的见证人桥梁注定会最终失败。尽管如此，这样的桥梁在比特币生态系统中已经变得司空见惯，这是相当令人担忧的。

本文将从几个方面介绍我们的解决方案：通过为跨链桥项目提供见证人的动态轮换，结合隐私计算和TEE（可信执行环境）密钥封装，我们旨在进一步优化传统见证人桥梁的安全模型。这可能为比特币跨链桥带来突破。

1. 比特币生态系统的现状：多重签名无处不在

跨链桥的本质是向链B证明链A上有人发起了跨链请求并支付了所需费用。有多种方法可以实现这种证明。

轻客户端桥通常在链上部署智能合约来原生验证跨链消息，提供最高的安全性，但成本也最高。这种方法目前无法在比特币链上实现（声称提供比特币ZK桥的项目只能在将BTC移动到其他链时保证ZK桥，但在将BTC移回时无法保证）。

以BitVM为代表的乐观桥通过欺诈证明确保跨链消息的真实处理，但实现难度极高。大多数比特币跨链桥最终采用见证人模型，指定几个见证人在链下验证和确认所有跨链消息。

以DLC.link为代表的DLC桥在预言机/见证人多重签名模型的基础上引入了支付通道的概念，以限制见证人可以恶意行为的场景。然而，这种方法仍然无法完全消除其核心多重签名的固有风险。

跨链桥不可能三角：

1. 可扩展性 ：能否支持任意消息的传输？

2. 无信任性 ：是否避免或最小化信任假设？

3. 适应性 ：实现的便利性，特别是在包括比特币在内的不同区块链之间。

最终，在BitVM实现之前，我们观察到，除了客户端验证或同态绑定项目（如闪电网络/支付通道或RGB++）之外，其他比特币跨链桥本质上都依赖于多重签名。

历史表明，如果多重签名跨链桥和大型资产管理平台的信任问题得不到解决，资金盗窃事件只是时间问题。

作为回应，一些项目要求见证人过度抵押他们的资产，使用潜在的削减作为惩罚措施，或让大型机构充当见证人以提供信用背书，从而减轻跨链桥的安全风险。然而，从根本上说，基于见证人模型的桥梁具有与多重签名钱包类似的安全模型。最终，它们的信任模型由阈值决定，如M/N，容错能力相对有限。

如何有效地设置和管理多重签名，确保其尽可能无信任，并防止见证人恶意行为或增加外部攻击成本，是比特币Layer 2跨链桥的关键问题。DeepSafe网络试图通过基于ZKP-RingVRF算法和TEE（可信执行环境）的综合解决方案来解决基于见证人的桥梁的安全问题。

2. DeepSafe网络：为跨链桥设计的隐私计算基础设施

从本质上说，无论使用KYC、PoS还是PoW，目标都是实现去中心化和抗女巫攻击，防止关键管理权限集中在少数人手中。基于PoA和KYC的多重签名/MPC解决方案可以通过大型机构的信用背书来缓解安全风险。然而，这种模型与中心化交易所没有根本区别，因为您仍然必须信任这些指定的见证人不会挪用跨链桥池中的资金。这种方法本质上形成了一个联盟链，从根本上违反了区块链的无信任原则。

基于PoS的多重签名/MPC解决方案相比PoA更加无信任，进入门槛也低得多，但仍然面临各种问题，例如节点隐私的潜在暴露。

考虑一个由数十个节点组成的见证人网络，专门为特定的跨链桥服务。由于需要频繁的数据交换，这些节点的公钥和IP地址或其他身份信息很容易被暴露，使攻击者能够构建有针对性的攻击路径，经常导致一些节点密钥的盗窃。此外，见证人之间可能发生内部串通，特别是当节点数量相对较少时。

我们如何解决这些问题？

为了解决这些问题，您可能本能地想到增强密钥保护措施以防止外部观察。一种可靠的方法是将密钥封装在TEE（可信执行环境）中。

TEE允许节点设备在安全的本地区域运行软件，其他系统组件无法访问其数据。您可以在安全执行环境中隔离私有数据或程序，防止机密数据被泄露或恶意篡改。

关键问题是确保见证人确实在TEE中存储密钥并生成签名。这可以通过让见证人提供来自TEE的远程证明信息来实现，该信息可以验证它正在TEE环境中运行。在任何链上验证TEE证明的成本几乎可以忽略不计。（最近，Scroll也宣布采用TEE作为ZKEVM的辅助证明器，并在其Sepolia测试网上验证了所有块。这表明在区块链环境中使用TEE来保护敏感操作的信心正在增长。）

即使引入了TEE，挑战仍然存在。如果见证人总数很少，例如只有五个，仍然会出现各种问题。即使封装在TEE中的密钥无法被"看到"，少数见证人委员会也无法确保抗审查性和可用性。如果这五个节点集体下线，跨链桥可能会瘫痪，使得无法锁定-铸造或赎回桥接资产，实际上永久冻结它们。

考虑到兼容性、去中心化和成本，我们提出以下方案：我们通过资产质押构建一个无许可的候选见证人网络。任何人都可以通过质押足够的资产加入。当网络达到大规模，比如数百或数千台设备时，我们定期从网络中选择一个节点子集作为跨链桥的见证人。这种随机选择有助于防止见证人角色的"固化"（这一概念也反映在当前的PoS以太坊中）。

如何确保选择算法的随机性？

传统的PoS区块链如Algorand和Cardano使用VRF（可验证随机函数）定期输出伪随机数来选择区块生产者。然而，传统的VRF算法通常无法保护隐私——关于谁参与了VRF计算以及哪些个人与VRF输出相关的详细信息几乎完全暴露。

跨链桥需要与PoS区块链不同的方法来选择见证人，特别是由于见证人身份的敏感性。与PoS链上的区块生产者不同，由于攻击场景有限，他们的身份通常可以在没有重大后果的情况下披露，如果跨链桥见证人身份暴露，如果他们的密钥被泄露或发生串通，可能导致严重的安全漏洞。

确保见证人身份保密是至关重要的。为了解决这个问题，DeepSafe网络采用了一种创新的RingVRF算法，将选定见证人的身份隐藏在所有候选人中。以下是其工作原理的简化描述：

1. 候选人注册和永久公钥（PPK）：

在进入DeepSafe网络之前，所有候选人在以太坊或专用的DeepSafe链上质押资产，并留下一个公钥作为注册信息，称为他们的"永久公钥"（PPK）。

所有候选人PPK的集合在链上形成一个公开可见的集合。这个PPK本质上充当他们的身份信息。

2. 使用VRF和临时公钥的选择过程：

每隔几分钟到半小时，DeepSafe网络使用VRF函数随机选择几个见证人。

在此选择之前，每个候选人在本地生成一次性"临时公钥"（TPK），并创建一个零知识证明（ZKP），证明此TPK与其在链上记录的PPK的关联。

换句话说，他们证明自己在候选人列表中，而不透露自己是哪个特定候选人。

3. 临时公钥在隐私保护中的作用：

TPK的目的是隐私保护。如果见证人直接从PPK集合中选择，宣布结果将直接透露谁被选中，严重损害安全性。

通过让每个人提交一次性TPK，DeepSafe网络从TPK集合中选择几个获胜者。您只知道自己是否获胜，不知道还有谁获胜。

4. 利用可信执行环境（TEE）：

为了进一步增强隐私，DeepSafe网络在将TPK明文发送出去之前，在TEE内将其加密为"密文"。这确保参与者不知道他们TPK的明文。

我们也可以在TEE内执行"临时公钥"的生成。由于TEE可以保持数据和计算的机密性，您不知道TEE内部发生了什么。一旦生成"临时公钥"，它将被加密成"密文"并发送到TEE外部。此时，您不知道"临时公钥"的原始明文是什么；您只看到一个加密的密文（注意，第二段中提到的临时公钥与永久公钥关联的证明也与临时公钥一起加密）。

5. 候选人必须将临时公钥的密文发送给指定的中继器节点。中继器负责解密这些密文并恢复"临时公钥"的整个明文。

这里有一个问题，即中继器知道谁发送了每个密文。只要中继器将每个密文解析为"临时公钥"，他们自然会知道哪个"临时公钥"对应哪个人。因此，上述工作也必须在TEE中完成。数百人的公钥密文进入TEE，出来后它们变成原始公钥。就像一个混合器，这可以有效保护隐私。

6. 中继器获得原始"临时公钥"后，将它们聚合并提交给链上的VRF函数以选择获胜者。这意味着从这些"临时公钥"中挑选几个获胜者来组成下一轮跨链桥见证人委员会。

这样，整体逻辑变得清晰：我们定期从见证人临时公钥集合中选择几个来充当跨链桥的临时见证人。这种设计被命名为CRVA（加密随机验证代理）。由于每个节点都运行TEE，MPC/TSS私钥片段、见证人的核心程序和所有计算过程都隐藏在TEE环境中。没有人知道具体的计算内容，包括被选中的人，甚至被选中的人自己也不知道。这从根本上防止了串通或外部攻击。

3. DeepSafe网络跨链消息生命周期

在概述了在DeepSafe中隐藏见证人身份和密钥的一般思路后，让我们整理DeepSafe网络的工作流程。假设左侧是源链，右侧是目标链，上面的整个图表构成了资产从源链到目标链的完整生命周期过程。从数据流的角度，让我们分析DeepSafe网络跨链过程的4个阶段：

首先，提取者在源链上发起提取操作后，消息由中继器发送到消息层。一旦消息到达消息层，它就会被动态委员会验证，以确认其在源链上的存在和有效性，然后进行签名。

这里有一个问题：既然前面提到没有人知道自己是否被选为委员会中的见证人，那么消息如何传递给特定的个人让他们签名？这实际上很容易解决。由于没有人知道谁被选为见证人，我们简单地向网络上的每个人广播待处理的跨链消息。

正如我们在开始时提到的，每个人的临时公钥都是在其本地TEE中生成和封装的，临时公钥无法从TEE外部看到。为了验证其临时公钥是否被选中，这部分逻辑直接部署在TEE内部。只要将待处理的跨链消息输入TEE，TEE内的程序就会确定是否确认消息的签名。

在TEE中签署跨链消息后，您仍然不能直接发送数字签名。如果您直接发送签名，每个人都会注意到您在跨链消息上附加了签名，可能会猜测您是所选见证人之一。因此，防止外界知道您是否签署了跨链消息的最佳方法是加密签名信息本身，类似于前面提到的加密临时公钥的方法。

总结：DeepSafe网络将通过P2P向每个人传播未签名的跨链消息。选定的见证人将在TEE内验证和签署消息，然后广播加密的密文。接收密文的其他人将在其TEE内解密，重复上述过程，直到所有选定的见证人都签署。最后，中继器解密原始TSS签名格式，完成跨链消息的确认和签署过程。

这个过程的核心是几乎所有活动都在TEE内进行，从外部看，没有人知道发生了什么。每个节点都不知道见证人是谁，也不知道自己是否被选为见证人，从根本上防止了串通，并显著增加了外部攻击的成本。

要攻击基于DeepSafe网络的跨链桥，您需要识别动态委员会中的所有见证人，但您根本不知道他们是谁。在这种情况下，您必须攻击整个DeepSafe网络。相比之下，仅基于POS和MPC的跨链桥基础设施（如ZetaChain）会暴露所有见证人身份。假设阈值限制为100/200，您只需要攻击至少一半的网络节点。

然而，对于DeepSafe，由于其隐私保护，理论上您需要攻击所有节点。此外，由于所有DeepSafe节点都运行TEE，此类攻击的难度将显著更高。

此外，DeepSafe网络本质上是一个见证人桥。见证人桥只需要在目标链上提交签名即可完成跨链处理，这是成本最低的选项。没有像Polkadot这样不必要的中继链设计，它避免了二阶验证的冗余，实现了快速跨链速度。这种跨链模型同时满足资产和消息互操作性的需求，确保良好的兼容性。

作为比传统跨链桥更深层的基础设施，DeepSafe的商业前景比高层跨链桥项目更广阔。未来，它还可以承担预言机的角色，不仅限于验证跨链消息，理论上还可以进入去中心化预言机领域并提供隐私计算服务。