在我们深入解释LayerZero协议为什么不安全之前，让我们简要了解一下 LayerZero 安全模型是什么样的。
正如 LayerZero 在白皮书上指出的，其「无需信任的链间通信」依赖于两个独立的参与者（预言机和中继器）共同行动以确保协议的安全。
LayerZero 在其网站上表示，其核心概念是「运行 ULN (UltraLightNode) 、可配置链上终端的用户应用」。LayerZero 的链上组件依赖于两个外部链下组件在链之间中继消息——预言机 和中继器。
每当任何消息 M 从 A 链发送到 B 链时，都会发生以下两个操作：
- 首先，预言机等到在 A 链上发送消息 M 的交易完成，然后在 B 链上写入相关信息，例如 A 链包含消息 M 的区块头的哈希值（不同的链 / 预言机之间的确切格式可能有所不同）。
- 然后中继器向 B 链发送一个「证明」（例如 Merkle Proof），证明存储的区块头包含消息 M。
LayerZero 假设中继器和预言机是独立、诚实的参与者。但 LayerZero 也在白皮书中表示，如果不满足该假设，例如中继器和预言机串通，导致「预言机提供的区块头和中继器提供的交易证明均无效，但仍然匹配」。
LayerZero 声称「LayerZero 的设计消除了合谋的可能性」。但事实上，这种说法是不正确的（我们在下面展示的实验中证明了这一点），因为每个用户应用程序都可以定义自己的中继器和 预言机。LayerZero 不通过设计保证这些组件是独立的并且无法串通，而是由用户应用提供这些保证。如果应用选择破坏它们，LayerZero 没有任何机制可以阻止。
此外，默认情况下，所有用户应用都可以随时更改 中继器 和 预言机，从而完全重新定义安全假设。因此，仅检查一次给定应用的安全性是不够的，因为它可能在检查后随时更改，正如我们将在实验中展示的那样。
实验设计
在我们的实验中，我们决定创建一个简单的 omnichain 代币 CarpetMoon，同时在以太坊和 Optimism 上运行，并使用 LayerZero 在两个链之间进行通信。
我们的代币最初使用 LayerZero 提供的默认安全模型，使其与大（可能不是全部）当前部署的 LayerZero 应用完全相同。因此，它通常与使用 LayerZero 的任何其他代币一样安全。
首先，我们在以太坊和 Optimism 上部署我们的代币合约：
https://ethtx.info/mainnet/0xf4d1cdabb6927c363bb30e7e65febad8b9c0f6f76f1984cd74c7f364e3ab7ca9/
https://optimistic.etherscan.io/tx/0xf41389d71fa3942de5225efb067072728c6c6de56c241574187781db7c73d221
然后我们设置了路由，以便 LayerZero 知道两条链上哪个合约对应哪个合约。
https://ethtx.info/mainnet/0x19d78abb03179969d6404a7bd503148b4ac14d711f503752495339c96a7776e9/
代币已部署完成，它看起来与使用 LayerZero 的所有其他 omnichain 代币完全一样，使用默认配置，没有任何可疑之处。
我们向我们的「测试用户」Alice 提供了 10 亿枚以太坊上的 CarpetMoon 代币。
https://ethtx.info/mainnet/0x7e2faa8426dacae92830efbf356ca2da760833eca28e652ff9261fc03042b313/
现在 Alice 使用 LayerZero 将这些代币跨链至 Optimism。
我们将代币锁定在以太坊上的托管合约中：https://ethtx.info/mainnet/0xe4dc3757b86bfda8e7baddc088fb1a599e083ed77034c29e5dd8bd11f1e17771/。
包含着交易的消息正在通过 LayerZero 传递给 Optimism：https://layerzeroscan.com/101/address/0xc6005ccc1de4b300d538903b74848bff881d5dc5/message/111/address/0x201fe0d843b546f2e24d4c8444318d1c71b7nonced10d/。
跨链的代币正在 Optimism 上铸造，Alice 现在在 Optimism 上拥有 10 亿枚 MoonCarpet 代币：https://optimistic.etherscan.io/tx/0x5388ced88cf562acafff82d6798f791b0b38b90ee106df9bf91c0d86306ec302。
一切都按预期进行，Alice 将代币跨链，并看到以太坊上的托管合约中有 10 亿枚 MoonCarpet 代币，她在 Optimism 的账户上有 10 亿枚 MoonCarpet 代币。但为了确保一切正常，她将一半的代币转回以太坊。
我们从 Optimism 上销毁 5 亿代币的交易开始：https://optimistic.etherscan.io/tx/0x118a57106488ad0bae1f3b920b1fd98b187752ad966f3a901fc53cff47f2097f。
有关该交易的信息被传递到以太坊：https://layerzeroscan.com/111/address/0x201fe0d843b546f2e24d4c8444318d1c71b7d10d/message/101/address/0xc6005ccc1de4b300d538903b74848bff881d5dc5/nonce/1。
正如预期的那样，5 亿枚 MoonCarpet 代币从托管合约返回到 Alice 的地址：https://etherscan.io/tx/0x27702e07a65a9c6a7d1917222799ddb13bb3d05159d33bbeff2ca1ed414f6a18。
到目前为止，一切正常，也与假设的完全一致。Alice 已经检查过她可以将代币从以太坊跨链到 Optimism 并再次跨链回来，她没有理由担心她的 MoonCarpet 代币。
但是假设本身存在问题——例如，我们的代币背后的团队遇到问题，坏人 Bob 获得了对我们应用的 LayerZero 配置的访问权限。
如此，Bob 可以将预言机和中继器从默认的组件更改为由他控制的组件。
需要注意的是，这是为每个使用 LayerZero 的应用提供的机制，根植于 LayerZero 的架构中，它不是任何类型的后门，而是一种标准机制。
所以 Bob 将 预言机 更改为他控制下的 EOA：https://ethtx.info/mainnet/0x4dc84726da6ca7d750eef3d33710b5f63bf73cbe03746f88dd8375c3f4672f2f/。
中继器也同样被更改：https://ethtx.info/mainnet/0xc1d7ba5032af2817e95ee943018393622bf54eb87e6ff414136f5f7c48c6d19a/。
现在奇怪的事情发生了。由于预言机和中继器现在在 Bob 的完全控制之下，他能够盗取 Alice 的代币。即使在 Optimism 上没有采取任何行动（MoonCarpet 代币仍在 Alice 的钱包中），Bob 也能够说服以太坊上的 MoonCarpet 智能合约（使用 LayerZero 机制）他在其他链上销毁了代币并且他能够提取在以太坊上的 MoonCarpet 代币。
首先，他使用由他控制的预言机更新以太坊的区块哈希： https://ethtx.info/0xde2edee2cc7f070120e96c9df90d86696970befcfc221e18c6ac4168bb5b1d92/。
现在他可以从托管合约中提取剩余的代币：https://ethtx.info/0xda695f374b375d5372efeca37aae4c5a17f114d5a76db1e86edebb0924bcdcc7/。
实验结果
Alice 甚至不知道为什么以及什么时候发生了错误。突然之间，她在 Optimism 上的 MoonCarpet 代币不再得到以太坊上代币的支持。
智能合约不可升级，并且按预期运行。唯一可疑的活动是预言机和中继器的变化，但这是 LayerZero 内置的常规机制，因此 Alice 甚至不知道这种变化是否有意为之。即使 Alice 知道了这个变化，也已经太晚了——攻击者可以在她做出反应之前耗尽资金。
LayerZero 也无能为力——这些都是他们机制的有效执行，他们无法进行控制。理论上，应用本身可以阻止自己更改预言机和中继器，但据我们所知，已经部署的应用都没有这样做。
我们做了这个实验来测试是否有人注意到它，但正如我们所料，没有人注意到。有效地监控所有使用 LayerZero 构建的应用来检查它们的安全策略是否发生改变，并在发生这种情况时警告用户是几乎不可能的。
即使有人能够及时发现预言机和中继器已经发生变化并带来了安全风险，但为时已晚。由于新的预言机和中继器现在可以自由选择传递的消息或简单地禁用链间通信，用户通常对此无能为力。我们的实验清楚地表明，即使 Alice 注意到应用配置的变化，她也不能用她的跨链代币做太多事情——新的预言机和中继器已不再在原始的通信链条上接受消息，所以不会将消息返回以太坊。
结论
正如我们所看到的，即使我们的代币是使用 LayerZero 构建并按预期使用其机制，我们还是能够从代币的托管中窃取资金。当然，这是应用（在我们的例子中是 CarpetMoon 代币）的错误，而不是 LayerZero 本身的错误，但这证明 LayerZero 本身不提供任何安全保证。
当 LayerZero 描述他们关于预言机和中继器的安全模型时，他们假设应用所有者（或拥有私钥的人）不会做任何不合理的事情。但在对抗性的环境中，这种假设是不正确的。此外，它要求用户将应用开发者作为可信赖的第三方来信任。
因此在实践中，人们不能对使用 LayerZero 构建的应用的安全性做出任何假设——每个应用都应该被认为是有风险的，直到证明不是这样。
实际上，整个故事是从我们计划在 L2BEAT 网站上包含所有 omnichain 代币的 PR 开始的——我们很难弄清楚如何评估它们的风险。在分析风险时，我们提出了实验的想法。
如果在 L2BEAT 上线，后果是我们必须在使用 LayerZero 构建的每个应用之上放置警报，警告可能存在的安全风险。但我们想就安全模型展开更广泛的讨论，因为我们认为独立的安全是一种应该避免的模式，尤其是在我们的领域。
我们相信，随着 LayerZero 等独立安全模型越来越流行，将会有越来越多的项目滥用它们，造成大量破坏并增加整个行业的不确定性。
文章声明：以上内容(如有图片或视频亦包括在内)除非注明，否则均为谈天说币原创文章，转载或复制请以超链接形式并注明出处。