为什么安全性和去中心化现在比以往任何时候都重要
简要总结
-
最近一起备受瞩目的跨链攻击据报道窃取了约 2.92 亿美元，这是 2026 年迄今为止最大的加密货币黑客事件。跨链层再次受到密切关注，教训依然是用户不断为之付出代价的那一个：桥的安全性不是一项功能，而是架构本身。
-
Across 不依赖静态验证器集合、多重签名或可以凭空铸造的封装代币。它运行在一个无需许可的独立中继者（relayer）网络之上，这些中继者用自己的资金来满足用户意图。
-
中继者网络在设计上就是去中心化的。任何人都可以运行中继者。第一个完成填充的人获胜。用户永远不需要等待一个封闭的签名者群体来批准转账。
-
结算由 UMA 的乐观预言机在事后进行验证。只需一个诚实的参与者对错误的数据包提出质疑，系统就能保持稳定。这就是安全底线。
-
Across 已处理超过 350 亿美元的交易量（涵盖所有集成），截至本文撰写时，从未因协议级故障而损失用户资金（根据 Across 官方文档）。通过 across.to 安全转移资金。
上个月，一个备受瞩目的跨链协议据报道在一次事件中被盗约 2.92 亿美元，成为 2026 年迄今为止最大的加密货币安全事件。资金并非通过面向用户的智能合约漏洞泄漏，而是通过跨链桥依赖的消息传递和验证层泄漏——这是一套链下机制，决定来自一条链的消息是否允许在另一条链上转移资金。
这一区别至关重要。因为大多数跨链桥用户在点击“确认”时，并不会评估消息传递层。他们评估的是前端界面、深度图、费用和品牌。他们合理地假设，按钮背后的协议已经为他们做好了安全方面的工作。
有时确实如此。有时则不然。而当安全不足时，最终承担损失的还是用户。
任何重大跨链桥的失败都会损害整个跨链行业，因为每一次失败都会降低用户的期望，玷污整个加密货币的品牌形象，从而减缓大规模采用的潜力。但最近的事件是一个有用的提醒，提醒我们为什么 Across 被设计成目前的形式，以及为什么在牛市中看似“无聊”的选择——我们的中继者网络、原生资产规则、乐观预言机结算——恰恰是决定用户是保住资金还是失去资金的关键。
这里有三个关键因素：中继者网络的架构、该网络的去中心化程度，以及用户永远不是承担风险一方的原则。
中继者网络就是桥
历史上，大多数跨链桥都要求用户信任以下两者之一：要么是一个封闭的验证器集合，要么是所转移资产的封装版本。两者都很脆弱。封闭的验证器集合的安全性取决于需要合谋或被攻陷的最小集合规模——这正是 Ronin 在 2022 年损失约 6.24 亿美元的原因（九个验证器密钥中有五个被盗）。封装资产的安全性取决于铸造它的合约——这正是 Wormhole 在同一年损失约 3.2 亿美元的原因（攻击者找到了一种在没有适当抵押品的情况下铸造封装代币的方法）。
Across 没有传统意义上的验证器集合，也不铸造封装代币。Across 拥有一个中继者网络。
中继者是独立的第三方运营商，在多个链上运行专门的节点。当用户提交意图时（“我想将 X 数量的代币 A 从链 1 发送到链 2”），该意图会广播给所有正在监听的中继者。中继者开始竞赛。第一个在目标链上交付资金并向 Across 链上的 SpokePool 合约提交有效证明的中继者获胜。这就是整个面向用户的流程。用户在几秒钟内获得资金。中继者则在稍后结算后获得补偿。
这种设计改变的是谁承担风险。在传统桥中，用户先提交资产，然后等待一个封闭的签名者群体或消息传递层来确认转账。在 Across 中，中继者先垫付资金。中继者承担最终性风险、Gas 风险和时机风险。用户直接从中继者的余额中近乎即时地收到原生资产，然后离开。
这种风险转移是结构性的。而去中心化则是确保系统诚实运转的关键。
设计上的去中心化，而非营销口号
如果任何人都可以加入，那么中继者网络才真正与验证器多重签名不同。Across 的中继者网络是无需许可的。没有白名单，没有协议级的 KYC 门槛，没有决定谁可以填充订单的委员会。
为什么这对安全性很重要？因为一个无需许可的中继者市场在竞争性上是封闭验证器集合无法比拟的。中继者在速度和费用上竞争。最快、资本效率最高的运营商赢得最多的填充订单。没有特权地位。没有中继者能“保证”赢得下一个意图。如果一个中继者离线、被攻陷或开始作恶，其他中继者会在毫秒内绕开它，因为它们自己想要完成填充。
这与 5-of-9 验证器多重签名在去中心化形态上截然不同。多重签名名义上是去中心化的——少数命名实体持有命名密钥掌握权力，一旦其中足够实体被攻破，系统就会崩溃。而无需许可的中继者市场在运作上是去中心化的——它不依赖于任何特定运营商的诚实，而是依赖于整个市场的持续存在，这更难被攻击。
结算层也遵循同样的原则。在中继者完成一个意图填充后，该填充会与其他所有近期填充打包成一个数据包，提交到以太坊主网上的 HubPool 合约。该数据包会经历大约一小时的活跃窗口期。在这段时间内，任何人都可以对数据包提出质疑，如果他们认为有问题的话。不仅仅是团队。不仅仅是中继者。任何人。如果数据包受到质疑，争议将由 UMA 的乐观预言机解决，该预言机将问题提交给 UMA 代币持有者进行投票。如果数据包正确，则最终确定，中继者获得报销。如果不正确，则提议者的保证金将被罚没。
由此产生的安全保证在跨链领域是不同寻常的：只要至少有一个诚实的参与者在监视，系统就能保持安全。不是五个中的九个。不是验证器的法定人数。只需要一个。这个假设比大多数跨链桥运行的假设要弱得多——而这正是关键所在。
用户安全第一，内置于架构中
Across 自 2022 年以来就一直使用一个短语，它比大多数营销文案都经得起考验：原生资产最大化（canonical asset maximalism）。这个想法很简单。当用户跨链 1 个 ETH 时，他们应该在目标链上收到 1 个 ETH。不是封装代币。不是代表物。不是由可能无偿付能力的桥合约铸造的欠条。而是真正的 ETH。对于稳定币、主要 L2 资产以及 Across 转移的任何资产，都是如此。
这听起来像是一个用户体验选择。但它主要是一个安全选择。
最近的安全攻击应该给行业带来什么教训
这次备受瞩目的跨链攻击，据大多数说法，是连接两条链的链下验证层的失败，而不是任何单个智能合约的失败。这种失败模式已经存在多年。它与 2022 年的 Ronin 同一形状。它与 2023 年的 Multichain 同一形状。具体技术细节不同，但结构性教训不变。如果一个小型链下运营商集合或一个封闭的消息传递层是用户和资金之间的唯一屏障，那么这个小型集合就是攻击面——句号。
行业的回应不能是“相信我们，我们会更小心”。它必须是架构性的。一个依赖封闭验证器集合或封装代币铸造者的跨链桥，最终当该封闭集合被攻陷时，必然会损失用户资金。而一个依赖无需许可的中继者市场、原生资产和乐观争议解决的跨链桥，从一开始就没有这个单点故障。
这就是 Across 的理由，也是 Across 自 2022 年以来一直在阐述的理由。它从未变得不那么正确。相反，每一次新的攻击都让这一点更加明显。
