Perché i bridge continuano a essere violati, e che cos'è davvero un token ponte
Per buona parte del 2021 e del 2022 i bridge fra catene sono stati la cosa derubata con maggiore regolarità in tutto il mondo cripto. Non gli exchange, non i wallet, non gli smart contract in generale: i bridge.
Ronin ha perso circa 625 milioni di dollari. Poly Network ne ha persi oltre 600. Wormhole circa 320. Nomad quasi 200. Fanno più di un miliardo e mezzo di dollari in quattro incidenti, e l'elenco è più lungo di quattro.
Nessuno di essi è stato un cedimento di Bitcoin, di Ethereum o di una qualsiasi catena sottostante. Capire perché è la cosa più utile che tu possa imparare sui bridge, perché ti dice esattamente di che cosa ti stai fidando quando ne usi uno.
Le catene non possono parlarsi
Il problema di fondo è semplice e spesso viene sorvolato. Bitcoin non ha la minima idea che Ethereum esista. Ogni catena convalida soltanto le proprie transazioni e non possiede alcun meccanismo per osservare lo stato di un'altra. Non esiste un modo integrato perché l'una venga a sapere che cosa è successo sull'altra.
Quindi «mandare BTC su Ethereum» è impossibile in senso letterale. I tuoi bitcoin non possono lasciare Bitcoin.
Quel che accade davvero è una sostituzione. Mandi BTC veri a un indirizzo controllato dal bridge. Il bridge se ne accorge, e qualcosa su Ethereum ti emette un token che rappresenta quei BTC. Quando vuoi uscire, bruci il token e il bridge rilascia l'originale.
La conseguenza cruciale: un token ponte non è il bene. È un credito su un fondo di quel bene, custodito da chi gestisce il bridge. Il suo valore poggia interamente sul fatto che quel fondo sia ancora lì e che l'operatore continui a onorare i rimborsi. Se il fondo viene svuotato, il tuo token avvolto è una ricevuta per nulla — che è esattamente ciò che i detentori hanno scoperto in ciascuno degli incidenti sopra.
Qualcuno deve stabilire che il deposito è avvenuto
Poiché nessuna catena può osservare l'altra, una terza parte deve sorvegliare la catena A e attestare alla catena B che c'è stato un deposito. Quel meccanismo di attestazione è il bridge, ed è da lì che sparisce tutto il denaro.
I progetti variano per quanta fiducia richiedono:
Un multisig o un insieme di validatori — un gruppo fisso di firmatari il cui quorum autorizza i rilasci. Semplice, veloce, e solido quanto il numero minimo di chiavi in grado di muovere i fondi.
Un modello ottimistico — i messaggi si presumono validi salvo contestazione entro una finestra. Economico, ma dipende dal fatto che qualcuno guardi davvero e che la logica di contestazione sia corretta.
Client leggeri e prove — la catena di destinazione verifica prove crittografiche dello stato della catena di origine. L'approccio più solido e il più costoso, ed è per questo che è meno diffuso di quanto dovrebbe.
Tutto il resto è variazione. Ciò che conta è che, quasi sempre, fra il fondo e un attaccante si frappongono un piccolo insieme di soggetti o una singola funzione di verifica.
I quattro cedimenti e che cosa insegna ciascuno
Ronin — chiavi compromesse, non codice compromesso. Il bridge usava nove validatori, di cui cinque necessari per autorizzare un prelievo. Un attaccante ha ottenuto quattro chiavi con phishing mirato, poi è arrivato alla quinta tramite un terzo a cui era stato concesso l'accesso alla firma tempo prima e a cui non era mai stato revocato. Cinque su nove, quorum raggiunto, fondi rilasciati. Nulla è stato violato dal punto di vista crittografico. Il controllo delle firme ha funzionato perfettamente: ha semplicemente verificato le firme di un attaccante.
La lezione non è «il multisig fa male». È che un quorum vale quanto l'indipendenza dei suoi firmatari. Quattro chiavi in una sola azienda più un permesso dimenticato non sono un cinque-di-nove, somigliano di più a un uno-di-due travestito.
Poly Network — il contratto è stato convinto a cambiare il proprio guardiano. L'attaccante ha trovato un percorso di chiamata fra catene che gli ha permesso di modificare il ruolo di keeper — ciò che decide quali messaggi siano legittimi — verso un indirizzo sotto il suo controllo. Da quel momento ogni prelievo fraudolento era, per quanto riguardava il contratto, debitamente autorizzato.
La lezione: la funzione più pericolosa di un bridge raramente è quella che muove il denaro. È quella che decide chi ha il permesso di farlo.
Wormhole — era difettosa la verifica delle firme stessa. Una routine di verifica poteva essere ingannata ad accettare un insieme falsificato di firme dei guardiani, il che ha permesso all'attaccante di coniare 120.000 wETH su Solana mai garantiti da nulla su Ethereum.
La lezione: «verificato tramite firme» non significa nulla senza un verificatore corretto. La crittografia stava bene; il codice attorno no.
Nomad — un cambio di configurazione ha aperto la porta a chiunque. Un aggiornamento di routine ha lasciato una radice di fiducia impostata su un valore nullo, con l'effetto di far apparire provato praticamente qualsiasi messaggio. L'exploit non richiedeva abilità particolari: la gente copiava la transazione del primo attaccante, sostituiva il proprio indirizzo e la ripeteva. È diventato uno svuotamento collettivo.
La lezione, ed è quella scomoda: non è stato un attacco esotico. È stato un errore di distribuzione. La maggior parte delle perdite sui bridge somiglia più a operazioni sbagliate che a crittografia sconfitta.
Che cosa significa per te
Gli asset ponte portano il rischio del bridge, non quello della catena. Detenere BTC avvolto su un'altra catena non è detenere BTC. È detenere un credito, garantito da qualunque sia il componente più debole di quel bridge. Può essere del tutto accettabile — ma dovrebbe essere una decisione, non un presupposto.
Preferisci non usare un bridge quando esiste un'alternativa. Se puoi comprare il bene in modo nativo sulla catena di destinazione, o usare un exchange centralizzato come punto di passaggio, hai scambiato il rischio del bridge con un rischio diverso e spesso meglio compreso. Nessuna delle due opzioni è priva di rischio; semplicemente falliscono in modi diversi, e i modi di guasto degli exchange sono almeno ben catalogati.
Non lasciare valore parcheggiato in forma ponte. Il rischio del bridge si accumula col tempo. Attraversare, fare ciò per cui sei andato e tornare ti espone brevemente. Tenere un asset avvolto per un anno ti espone per un anno.
Giudica un bridge dal suo modello di fiducia, non dalla sua interfaccia. Quanti firmatari possono muovere i fondi? Sono organizzazioni indipendenti o una sola squadra? Il codice è stato verificato e — più rivelatore — è sopravvissuto al tempo e ai volumi? Un frontale lucido non ti dice nulla.
Dimensiona la posizione in base alla fiducia. La regola semplice è non passare per un bridge più di quanto saresti disposto a perdere se l'operatore sparisse, perché nel caso peggiore è la stessa cosa.
Dove si colloca SSP
SSP supporta lo spostamento di asset fra catene EVM, e vale la pena essere precisi su che cosa questo protegga e che cosa no.
Il nostro due-di-due protegge le tue chiavi e le tue approvazioni. Nessuno può avviare una transazione verso un bridge senza che entrambi i tuoi dispositivi la firmino, e su ciascuno vedrai che cosa stai approvando. Quella proprietà regge in pieno.
Ciò che non può fare è rendere sicuro il bridge stesso. Una volta che i tuoi asset sono nel contratto di un bridge, sono governati dalle regole di quel contratto e dalla gestione delle chiavi di quell'operatore, non dal tuo multisig. L'approvazione su due dispositivi è un'ottima protezione contro chi voglia muovere i tuoi fondi senza permesso. Non è alcuna protezione contro il fatto che i fondi ti vengano presi da un posto in cui li hai deliberatamente mandati.
Non è un limite che possiamo aggirare con l'ingegneria, e fingere il contrario sarebbe disonesto. I bridge sono uno di quei punti del mondo cripto in cui la risposta onesta è che la sicurezza dipende quasi interamente da qualcun altro, e la reazione giusta è guardare bene chi sia quel qualcuno prima di attraversare.
