根據(jù)當(dāng)事人 W 的披露，4 月 17 日，他發(fā)現(xiàn)由 Bedrock 發(fā)行的 unibtc 在某比特幣 L2 鏈上出現(xiàn)價(jià)格異常并與 BTC 脫鉤，W 認(rèn)為脫鉤是暫時(shí)的不久會(huì)回錨，這里有很好的套利機(jī)會(huì)，便將部分 BTC 跨入該比特幣 L2，將其兌換為 unibtc 并待其回錨后賣出。

僅在脫鉤后 24 小時(shí)內(nèi)，unibtc 便已回錨，但 W 嘗試將手上的 unibtc 賣出時(shí)，卻發(fā)現(xiàn)該鏈上的 unibtc-BTC 流動(dòng)性池被 Bedrock 官方撤掉了，而這個(gè)代幣對(duì)該鏈上唯一的 unibtc 二級(jí)市場(chǎng)退出通道。W 沒(méi)法將手上的 unibtc 出掉，便嘗試把 unibtc 跨到其他鏈上。

當(dāng)他找到該鏈上唯一一個(gè)支持 unibtc 的跨鏈橋（名為 Free）時(shí)，卻收到提示——“交易需要項(xiàng)目方簽名授權(quán)”。W 找到 Free 跨鏈橋的客服，對(duì)面如此解釋：“unibtc 跨鏈的多簽密鑰由 Bedrock 托管，未經(jīng)他們?cè)S可，用戶無(wú)法把 unibtc 提到其他鏈上。”

沒(méi)有辦法，W 只能找到 Bedrock 相關(guān)人員詢問(wèn)此事，對(duì)方的初步回復(fù)是：“我們可以允許您提走本金，但您套利產(chǎn)生的利潤(rùn)能否提走，要暫留審核。”

至此，W 意識(shí)到這條鏈上 unibtc 的退出路徑被徹底切斷了，而自己手上價(jià)值約 20 萬(wàn) U 的 unibtc 被“暫時(shí)凍結(jié)”——既沒(méi)有辦法在該鏈上賣掉，也不能跨到其他鏈上。此時(shí)他感到非常無(wú)助，只求順利撤回本金。

然而 BedRock 相關(guān)人員的態(tài)度變得曖昧不清——既不明確說(shuō)明 W 什么時(shí)候可以撤回本金，也不提供任何書面承諾，以“風(fēng)險(xiǎn)審查”“技術(shù)排查”等理由進(jìn)行拖延。

拖延了一陣后，BedRock 聲稱，unibtc 脫鉤源于 LayerBank 平臺(tái)上有人大規(guī)模借走 unibtc 資產(chǎn)并進(jìn)行砸盤，然后 BedRock 的人建議 W“向 LayerBank 追責(zé)”。而 W 找到 LayerBank 后長(zhǎng)時(shí)間沒(méi)有得到回應(yīng)。

無(wú)奈之下，W 只好在推特上找到朋友進(jìn)行求助，經(jīng)過(guò)超兩周的周旋，終于得到了了 LayerBank 和 BedRock 官方的積極響應(yīng)，成功將資產(chǎn)追回。

W 的遭遇并非個(gè)例。根據(jù)其他當(dāng)事者的反饋，去年 BedRock 也曾用類似手段切斷用戶的 unibtc 退出路徑，導(dǎo)致這些 unibtc 被“實(shí)質(zhì)性凍結(jié)”。當(dāng)然，本文并不打算就上述事件的背后緣由加以揣測(cè)，僅從技術(shù)層面為大家闡述類似的中心化作惡行為該如何避免與杜絕。

首先復(fù)盤前述事件，我們可以看到，BedRock 身為 unibtc 發(fā)行方以及二級(jí)市場(chǎng)流動(dòng)性池的初始 LP，天然擁有 unibtc 二級(jí)市場(chǎng)退出通道的權(quán)限，如果要對(duì)其權(quán)力加以限制，更多要通過(guò)治理而非技術(shù)手段；

然而，前文中 Free 跨鏈橋與 BedRock 合謀拒絕用戶請(qǐng)求一事，卻暴露出 unibtc 在“發(fā)行—單鏈流通—多鏈流通”環(huán)節(jié)中存在明顯的技術(shù)缺陷：身為 BedRock 合作方的 Free 跨鏈橋顯然是高度中心化的。

真正 Trustless 的橋，應(yīng)該保證讓橋官方無(wú)法阻攔用戶退出，而 unibtc 凍結(jié)案中無(wú)論是 BedRock 還是 Free 跨鏈橋，都掌握著強(qiáng)有力的中心化權(quán)限，沒(méi)有提供抗審查的退出通道。

當(dāng)然，類似 unibtc 的案例并不少見(jiàn)，切斷用戶退出路徑的事在各大交易所身上都屢見(jiàn)不鮮，而對(duì)跨鏈橋或其它類型的項(xiàng)目方來(lái)說(shuō)，這種動(dòng)用中心化權(quán)限的案例也不在少數(shù)。2022 年 6 月時(shí)，Harmony Horizon Bridge 曾因遭黑客攻擊而暫停 57 種資產(chǎn)的提款通道，雖然這種行為有“正當(dāng)理由”，但還是讓一些人感到細(xì)思極恐；

2021 年的 StableMagnet 事件中，項(xiàng)目方通過(guò)事先預(yù)留的程序漏洞監(jiān)守自盜 2400 萬(wàn)美元，最終香港和英國(guó)出動(dòng)大量警力，才在社區(qū)協(xié)助下追回了 91% 的贓款。種種案例充分說(shuō)明，資產(chǎn)托管平臺(tái)若不能提供免信任的服務(wù)，最終必然釀成惡果。

然而，Trustless 并非唾手可得，從支付通道和 DLC 到 BitVM 和 ZK Rollup，人們嘗試了各種實(shí)現(xiàn)方式，雖然可以很大程度的保障用戶自主 權(quán)，提供可靠的資產(chǎn)撤離出口，但這背后仍存在不可避免的瑕疵。

比如，支付通道需要當(dāng)事人監(jiān)視對(duì)手方的潛在惡意行為，DLC 需要依賴于預(yù)言機(jī)；而 BitVM 使用成本高昂，在實(shí)踐環(huán)節(jié)中存在其他的信任假設(shè)；ZK Rollup 的逃生艙則要經(jīng)過(guò)漫長(zhǎng)的窗口期才能觸發(fā)，且需要先將 Rollup 停機(jī)，這背后的代價(jià)十分巨大。

從當(dāng)前各大技術(shù)方案的落地情況來(lái)看，并未出現(xiàn)堪稱完美的資產(chǎn)托管與退出方案，市場(chǎng)仍需要推陳出新。在下文中，DeepSafe Research 將以 DeepSafe 官方推出的資產(chǎn)托管方案為例，向大家闡明一種結(jié)合 TEE 和 ZK、MPC 的免信任消息驗(yàn)證方案，這種方案在成本、安全、用戶體驗(yàn)等不可兼得的指標(biāo)上做出了平衡，可以為交易平臺(tái)、跨鏈橋或任意的資產(chǎn)托管場(chǎng)景提供可靠的底層服務(wù)。

CRVA：加密隨機(jī)驗(yàn)證網(wǎng)絡(luò)

目前市面上應(yīng)用最廣泛的資管方案，大多采用多簽或 MPC/TSS 的方式判定資產(chǎn)轉(zhuǎn)移請(qǐng)求是否有效，這種方案優(yōu)勢(shì)在于落地簡(jiǎn)單、成本低、消息驗(yàn)證速度快，壞處則不言自明——不夠安全，往往趨于中心化。2023 年的 Multichain 一案中，21 個(gè)參與 MPC 計(jì)算的節(jié)點(diǎn)均為一人控制，是典型的女巫攻擊。此事足以證明，單純表面上的幾十個(gè)節(jié)點(diǎn)并不能提供較高的去中心化保障。

針對(duì)傳統(tǒng) MPC/TSS 資管方案的不足，DeepSafe 的 CRVA 方案作出了大量改進(jìn)。首先，CRVA 網(wǎng)絡(luò)節(jié)點(diǎn)采用資產(chǎn)質(zhì)押的準(zhǔn)入形式，達(dá)到約 500 個(gè)節(jié)點(diǎn)后才會(huì)正式啟動(dòng)主網(wǎng)，按照估算，這些節(jié)點(diǎn)質(zhì)押的資產(chǎn)將長(zhǎng)期維持在幾千萬(wàn)美元或更高；

其次，為了提高 MPC/TSS 計(jì)算的效率，CRVA 會(huì)通過(guò)抽簽算法隨機(jī)抽選節(jié)點(diǎn)，比如每隔半小時(shí)抽 10 個(gè)節(jié)點(diǎn)，由它們作為驗(yàn)證人，驗(yàn)證用戶請(qǐng)求是否應(yīng)通過(guò)，然后生成對(duì)應(yīng)的門限簽名予以放行。為了防止內(nèi)部串謀或外部黑客攻擊，CRVA 的抽簽算法采用原創(chuàng)的環(huán)狀 VRF，結(jié)合 ZK 來(lái)隱藏被抽中者的身份，讓外界無(wú)法直接觀測(cè)被抽選者。

當(dāng)然，僅做到這種程度還不夠，雖然外界不知道有誰(shuí)被選中，但此時(shí)被抽中者本人知道，所以仍然有串謀的路徑。為了進(jìn)一步杜絕串謀，CRVA 的所有節(jié)點(diǎn)都要把核心代碼運(yùn)行在 TEE 硬件環(huán)境內(nèi)，相當(dāng)于把核心工作放在黑箱里進(jìn)行。這樣一來(lái)，任何人都無(wú)法得知自己是否被抽中，除非他能夠破解 TEE 可信硬件，當(dāng)然根據(jù)目前的技術(shù)條件，這極難做到。

上面講到的是 DeepSafe 的 CRVA 方案基本思路，在實(shí)際的工作流程中，CRVA 網(wǎng)絡(luò)內(nèi)的節(jié)點(diǎn)間要進(jìn)行大量的廣播通信與信息交換，其具體的流程如下：

1.所有節(jié)點(diǎn)在進(jìn)入 CRVA 網(wǎng)絡(luò)前，要先在鏈上質(zhì)押資產(chǎn)，留下一個(gè)公鑰作為注冊(cè)信息。這個(gè)公鑰又稱為“永久公鑰”。

2.每過(guò) 1 小時(shí)，CRVA 網(wǎng)絡(luò)會(huì)隨機(jī)挑選幾個(gè)節(jié)點(diǎn)。但在此之前，所有候選人都要在本地生成一次性的“臨時(shí)公鑰”，同時(shí)生成 ZKP，證明“臨時(shí)公鑰”與鏈上記錄的“永久公鑰”有關(guān)聯(lián)；換句話說(shuō)，每個(gè)人都要通過(guò) ZK 證明自己存在于候選人名單中，但又不透露自己是哪個(gè)；

3.“臨時(shí)公鑰”的作用在于隱私保護(hù)。如果直接從“永久公鑰”集合中抽簽，公布結(jié)果時(shí)，大家會(huì)直接知道哪些人當(dāng)選。如果大家只暴露一次性的“臨時(shí)公鑰”，再?gòu)?ldquo;臨時(shí)公鑰”集合中選出幾個(gè)人，你最多知道自己中簽，但不知道其他中簽的臨時(shí)公鑰對(duì)應(yīng)著誰(shuí)。

4.為了進(jìn)一步防止身份泄露，CRVA 打算讓你自己都不知道自己的“臨時(shí)公鑰”是啥。臨時(shí)公鑰的生成過(guò)程在節(jié)點(diǎn)的 TEE 環(huán)境內(nèi)完成，運(yùn)行 TEE 的你無(wú)法看到里面發(fā)生了啥。

5.然后在 TEE 內(nèi)把臨時(shí)公鑰明文加密為“亂碼”后再發(fā)給外界，只有特定的 Relayer 節(jié)點(diǎn)可以還原。當(dāng)然，還原流程也在 Relayer 節(jié)點(diǎn)的 TEE 環(huán)境里完成，Relayer 并不知道這些臨時(shí)公鑰對(duì)應(yīng)著哪些候選人。

6.Relayer 還原出全部“臨時(shí)公鑰”后，把它們統(tǒng)一歸集并提交給鏈上的 VRF 函數(shù)，從中抽選出中簽者，由這些人驗(yàn)證用戶前端發(fā)來(lái)的交易請(qǐng)求，然后根據(jù)驗(yàn)證結(jié)果生成門限簽名，最后再提交至鏈上。（需要注意，這里的 Relayer 其實(shí)也是隱藏身份且定期抽選的）

可能有人要問(wèn)，既然每個(gè)節(jié)點(diǎn)都不知道自己是否被抽中，那工作還怎么進(jìn)行？其實(shí)前面提到，每個(gè)人都會(huì)在本地 TEE 環(huán)境內(nèi)生成“臨時(shí)公鑰”，抽簽結(jié)果出來(lái)后，我們直接把名單廣播出去，每個(gè)人只要把名單傳入 TEE，在里面核對(duì)自己是否被選中即可。

DeepSafe 這套方案的核心在于，幾乎所有的重要活動(dòng)都在 TEE 硬件內(nèi)進(jìn)行，從 TEE 外部無(wú)法觀測(cè)到發(fā)生了什么。每一個(gè)節(jié)點(diǎn)都不知道被選中的驗(yàn)證人有誰(shuí)，防止了串通作惡，并大幅度增加了外部攻擊的成本。要攻擊基于 DeepSafe 的 CRVA 委員會(huì)，理論上要攻擊整個(gè) CRVA 網(wǎng)絡(luò)，加之每個(gè)節(jié)點(diǎn)都有 TEE 保護(hù)，攻擊難度大幅攀升。

結(jié)合 CRVA 的資產(chǎn)自托管方案實(shí)現(xiàn)

上面我們介紹了 CRVA 的大致原理，為大家說(shuō)清了 CRVA 如何實(shí)現(xiàn)去中心化免信任。下面我們將以名為 HelloBTU 的比特幣算法穩(wěn)定幣為案例，進(jìn)一步理清 CRVA 在資產(chǎn)托管方案中的應(yīng)用方式。

眾所周知，由于比特幣鏈上不具備圖靈完備的環(huán)境，無(wú)法直接實(shí)現(xiàn) Defi 等復(fù)雜的智能合約邏輯，所以主流的 BTCFi 是把比特幣橋接到其他鏈上再和智能合約交互。HelloBTU 的智能合約部分布置在以太坊上，用戶可以將 BTC 存入 HelloBTU 指定的收款地址，再由后者的官方橋把 BTC 跨到以太坊鏈上，然后和 HelloBTU 的算穩(wěn)智能合約進(jìn)行交互。

假設(shè)現(xiàn)在用戶要把 10 枚 BTC 質(zhì)押到 HelloBTU 平臺(tái)，具體操作是先把 10 枚 BTC 轉(zhuǎn)移到比特幣鏈上的一個(gè) Taproot 地址下，對(duì)應(yīng)的解鎖需要 2/2 多簽，其中一道簽名由用戶生成，另一道簽名由 CRVA 生成。

這里涉及到的幾種情況有：

假設(shè) 10 枚 BTC 轉(zhuǎn)入上述 Taproot 地址后，用戶用這 10 枚 BTC 鑄造了穩(wěn)定幣，現(xiàn)打算將 BTC 主動(dòng)贖回。此時(shí)用戶和 CRVA 各生成一個(gè)簽名，將這 10 枚 BTC 解鎖并轉(zhuǎn)回用戶地址即可。如果 CRVA 長(zhǎng)期未配合用戶，等時(shí)間鎖窗口期到期后，用戶可以單方面將這 10 枚 BTC 可以拿回，這個(gè)功能名為“用戶自主贖回”。

另一種情況是，用戶作為抵押物的 BTC 遭到了清算，現(xiàn)在他應(yīng)該配合 CRVA 把這些 BTC 轉(zhuǎn)移并交由 CRVA 單向通道控制。但用戶可以拒不配合，此時(shí)這些 BTC 被暫時(shí)卡住，誰(shuí)也拿不走；等時(shí)間鎖窗口期一過(guò)，這些錢可以被 CRVA 劃轉(zhuǎn)走，進(jìn)入 CRVA 控制的 Taproot 地址下 (CRVA 單向通道 )；

這里面有個(gè)細(xì)節(jié)，就是 BTC 進(jìn)入 CRVA 單向通道的時(shí)間鎖比較短，而用戶自主贖回的時(shí)間鎖更長(zhǎng)，換句話說(shuō)，如果 CRVA 和用戶之間無(wú)法彼此配合，這些 BTC 最終會(huì)優(yōu)先進(jìn)入 CRVA 單向通道。這樣一來(lái)，用戶方面賴賬作惡的行為可以被有效限制。

而對(duì)于 CRVA 作惡的情況，由于 CRVA 是一套自動(dòng)化運(yùn)行的節(jié)點(diǎn)網(wǎng)絡(luò)系統(tǒng)，只要其初始啟動(dòng)時(shí)的代碼中不包含惡意邏輯，就不會(huì)出現(xiàn) CRVA 主動(dòng)拒絕配合用戶的情況，所以基本可以忽略；

如果 CRVA 因停電、洪災(zāi)等不可抗力導(dǎo)致節(jié)點(diǎn)大量停機(jī)，根據(jù)上述方案中提及的流程，用戶依然有辦法把資產(chǎn)安全提走。這里面的信任假設(shè)就在于，我們信任 CRVA 足夠去中心化，不會(huì)主動(dòng)作惡（理由前面已經(jīng)充分說(shuō)明）。

如果 BTC 被劃轉(zhuǎn)到 CRVA 單向通道內(nèi)，往往說(shuō)明對(duì)應(yīng)的鏈上算穩(wěn)倉(cāng)位遭到了清算，此時(shí) BTC 的實(shí)際所有權(quán)歸屬于清算人。清算人可以發(fā)起提款請(qǐng)求，由 CRVA 進(jìn)行審理，若通過(guò)，CRVA 會(huì)為其生成簽名，并將對(duì)應(yīng)數(shù)額的 BTC 轉(zhuǎn)給清算人。

此時(shí)，如果 CRVA 長(zhǎng)期未響應(yīng)，時(shí)間鎖到期后，這些 BTC 會(huì)轉(zhuǎn)移至 DAO 控制的地址下，這步操作由多簽觸發(fā)，后續(xù)的處理則由 DAO 治理解決，這個(gè) DAO 由知名項(xiàng)目方、安全公司以及投資機(jī)構(gòu)共同組成，以遏制單一實(shí)體作惡為宗旨而建立。

以上就是10 萬(wàn)美元資金遭凍結(jié)詳解：從 unibtc 事件看免信任托管的必要性的詳細(xì)內(nèi)容，更多關(guān)于DeepSafe 的 CRVA 方案作出了大量改進(jìn)的資料請(qǐng)關(guān)注腳本之家其它相關(guān)文章！