CRVA güvenilmeyen varlık yönetim çözümünü ortaya çıkarıyor, Layer2 varlıklarının dondurulma sorununu çözüyor.

2025年4月23日，bir kullanıcı sosyal medya platformunda yardım istedi, belirtti ki, Bitcoin Layer2链上 arbitraj işlemi yaparken, 100.000 dolardan fazla unibtc varlığı sıkıştı ve çıkamadı.

Taraflardan alınan bilgilere göre, 17 Nisan'da unibtc'nin bir Bitcoin L2 zincirinde fiyat anormallikleri gösterdiğini ve BTC'den ayrıldığını fark etti ve bunun iyi bir arbitraj fırsatı olduğunu düşündü. Bir miktar BTC'yi bu Bitcoin L2'ye geçirdi, unibtc ile değiştirdi ve geri bağlanmasını bekleyip satmayı planladı.

Sadece 24 saat içinde, unibtc yeniden sabitlendi, ancak elindeki unibtc'yi satmaya çalıştığında, o zincirdeki unibtc-BTC likidite havuzunun resmi olarak kaldırıldığını fark etti. Bu, o zincirdeki tek unibtc ikincil piyasa çıkış kanalıydı. Elindeki unibtc'yi satamadığı için, unibtc'yi başka bir zincire geçirmeye çalıştı.

Unibtc'yi destekleyen tek zincirler arası köprüyü bulduğunda, "İşlem için proje tarafının imza yetkisi gerekiyor" mesajını aldı. Müşteri hizmetleri ile iletişime geçtikten sonra, unibtc'nin zincirler arası çoklu imza anahtarının resmi olarak yönetildiği ve izin olmadan kullanıcıların unibtc'yi diğer zincirlere taşıyamayacakları bilgisi verildi.

Taraflar yalnızca resmi ilgili kişilerle bu konuyu sormak için iletişime geçebilir. Karşı tarafın ön yanıtı: "Ana paranızı çekmenize izin verebiliriz, ancak arbitrajdan elde ettiğiniz kârı çekip çekemeyeceğiniz incelemeye tabi tutulacaktır."

Bununla birlikte, taraflar bu zincirde unibtc'nin çıkış yolunun tamamen kesildiğinin farkına vardı ve ellerindeki yaklaşık 200.000 dolarlık unibtc'nin "geçici olarak dondurulduğunu" öğrendi. Ne bu zincirde satabiliyorlardı ne de diğer zincirlere geçebiliyorlardı. Bu durumda çok çaresiz hissettiler ve sadece ana paralarını geri almayı umuyorlardı.

Ancak resmi ilgili kişilerin tutumu belirsizleşti, ne zaman ana paranın geri çekilebileceğini açıkça belirtmediler ve "risk incelemesi" "teknik kontrol" gibi gerekçelerle herhangi bir yazılı taahhüt de sağlamadılar.

Bir süre erteledikten sonra, resmi olarak unibtc'nin ayrılmasının, bir platformda birilerinin unibtc varlıklarını büyük ölçekte ödünç alıp çökertmesinden kaynaklandığı iddia edildi ve ilgili kişilere "bu platformdan hesap sormalarını" önerdi. Ancak ilgili kişiler, bu platformla iletişime geçtiklerinde uzun süre yanıt alamadılar.

Çaresiz kalan taraf, sosyal platformda yardım aramak zorunda kaldı; iki haftadan fazla süren müzakerelerin ardından, ilgili taraflardan olumlu bir yanıt almayı başardı ve varlıklarını başarıyla geri aldı.

Bu tür bir durum nadir değildir. Diğer tarafların geri bildirimlerine göre, geçen yıl da benzer yöntemlerle kullanıcıların unibtc çıkış yolları kesilmiş, bu da bu unibtc'lerin "gerçekten dondurulmasına" yol açmıştır.

Teknik açıdan bakıldığında, benzer merkeziyetçi kötü niyetli davranışların nasıl önlenip ortadan kaldırılacağı tartışmaya değer bir konudur. Öncelikle, unibtc'nin ihraççısı ve ikincil piyasa likidite havuzunun ilk LP'si olarak, doğal olarak unibtc'nin ikincil piyasa çıkış yolu üzerinde yetkiye sahiptir. Eğer bu yetkileri sınırlamak isteniyorsa, bunun daha çok yönetişim yoluyla yapılması gerekir, teknik araçlarla değil.

Ancak, çapraz zincir köprüsü ile ihraççıların kullanıcı taleplerini reddetme konusundaki işbirliği, unibtc'nin "ihraç - tek zincir dolaşımı - çok zincir dolaşımı" aşamasında belirgin teknik eksikliklere sahip olduğunu ortaya koyuyor: Bu çapraz zincir köprüsü açıkça yüksek derecede merkeziyetçi.

Gerçekten güvenilmez bir köprü, köprü yetkililerinin kullanıcıların çıkışını engelleyemeyeceğini garanti etmelidir. Ancak bu durumda, hem ihraç eden taraf hem de köprü merkeziyetçi yetkilere sahiptir ve sansüre karşı bir çıkış yolu sunmamaktadır.

Benzer vakalar oldukça yaygındır, kullanıcıların çıkış yollarını kesmek, büyük borsalarda sıkça rastlanan bir durumdur ve çapraz zincir köprüler veya diğer türdeki proje sahipleri için merkeziyetçi yetkilerin kullanıldığı vakalar da az değildir. Haziran 2022'de, bir çapraz zincir köprüsü, bir hacker saldırısı nedeniyle 57 varlığın çekim kanalını durdurmuştur, bu tür bir eylemin "makul nedenleri" olsa da, yine de bazı kişilerde endişe yaratmıştır.

2021 yılında bir olayda, proje sahibi önceden ayırdığı bir yazılım açığını kullanarak 24 milyon doları çaldı. Sonunda, Hong Kong ve İngiltere büyük bir polis gücü ile, topluluğun yardımıyla 91% çalınan parayı geri aldı. Çeşitli vakalar, varlık saklama platformlarının güvene dayanmayan hizmetler sunamazlarsa, nihayetinde kötü sonuçlar doğuracağını açıkça göstermektedir.

Ancak, güvenilmezliği sağlamak kolay bir iş değil. Ödeme kanallarından ve DLC'lerden BitVM ve ZK Rollup'a kadar, insanlar çeşitli uygulama yöntemlerini denediler; bu, kullanıcıların özerkliğini büyük ölçüde güvence altına alabilir ve güvenilir varlık çekim yolları sunabilir, ancak bunun arkasında kaçınılmaz kusurlar hala mevcuttur.

Örneğin, ödeme kanalları tarafların karşı tarafın olası kötü niyetli davranışlarını izlemelerini gerektirir, DLC'ler oracle'lara dayanmak zorundadır; BitVM kullanımı oldukça maliyetli olup, uygulama aşamasında başka güven varsayımları bulunmaktadır; ZK Rollup'un kaçış kapsülü ise tetiklenmesi için uzun bir pencere süresinden geçmeli ve öncelikle Rollup'un durdurulması gerekmektedir, bunun ardındaki maliyet oldukça büyüktür.

Mevcut büyük teknik çözümlerin uygulanma durumuna bakıldığında, mükemmel bir varlık saklama ve çıkış çözümü henüz ortaya çıkmamıştır; piyasanın yeniliklere ihtiyacı var. TEE ve ZK, MPC'yi birleştiren güvenilmeyen mesaj doğrulama çözümü dikkat çekici. Bu çözüm, maliyet, güvenlik, kullanıcı deneyimi gibi birbirini dışlayan göstergelerde denge sağlamaktadır ve ticaret platformları, çapraz zincir köprüler veya herhangi bir varlık saklama senaryosu için güvenilir temel hizmet sunabilir.

CRVA: Kripto Rastgele Doğrulama Ağı

Piyasada en yaygın şekilde uygulanan varlık yönetim çözümlerinin çoğu, varlık transfer taleplerinin geçerliliğini belirlemek için çoklu imza veya MPC/TSS yöntemlerini kullanmaktadır. Bu tür çözümlerin avantajları arasında basit uygulanabilirlik, düşük maliyet ve hızlı mesaj doğrulama hızı bulunmaktadır; dezavantajları ise açıktır - yeterince güvenli değildir ve genellikle merkeziyete yönelir. 2023 yılında yaşanan çoklu zincir olayında, MPC hesaplamalarına katılan 21 düğüm tamamen tek bir kişi tarafından kontrol ediliyordu ve bu tipik bir cadı avıdır. Bu durum, yüzeydeki birkaç düğümün yüksek düzeyde merkeziyetsizlik garantisi sağlayamayacağını yeterince kanıtlamaktadır.

Geleneksel MPC/TSS varlık yönetim çözümlerinin eksikliklerine karşı, CRVA çözümü birçok iyileştirme gerçekleştirmiştir. Öncelikle, CRVA ağ düğümleri varlık stake etme şeklinde bir katılım modeli benimsemektedir. Yaklaşık 500 düğüm ulaşıldıktan sonra ana ağ resmi olarak başlatılacaktır. Tahminlere göre, bu düğümlerin stake ettiği varlıklar uzun vadede birkaç milyon dolar veya daha yüksek seviyelerde kalacaktır.

İkincisi, MPC/TSS hesaplamalarının verimliliğini artırmak için, CRVA, her yarım saatte bir 10 düğümü rastgele seçmek üzere bir çekiliş algoritması kullanacak; bu düğümler, kullanıcı taleplerinin geçip geçmeyeceğini doğrulamak için doğrulayıcı olarak görev yapacak ve ardından karşılık gelen eşik imzasını oluşturup serbest bırakacak. İçerideki komplo veya dışarıdan siber saldırılara karşı korunmak için, CRVA'nın çekiliş algoritması, seçilen kişilerin kimliğini gizlemek için ZK ile birleştirilen orijinal bir dairesel VRF kullanıyor ve dışarıdan seçilen kişilerin doğrudan gözlemlenmesini engelliyor.

Sazışları daha da önlemek için, CRVA'nın tüm düğümleri temel kodu TEE donanım ortamında çalıştırmak zorundadır, bu da temel işlevin bir kara kutuda gerçekleştirilmesi anlamına gelir. Bu durumda, kimse kendisinin seçilip seçilmediğini bilemeyecek, ancak TEE güvenilir donanımını kırabilirse bunu öğrenebilir; elbette mevcut teknoloji koşullarına göre bu son derece zordur.

Gerçek iş akışında, CRVA ağı içindeki düğümler arasında büyük miktarda yayın iletişimi ve bilgi alışverişi yapılması gerekmektedir. Bu sürecin detayları şunları içerir: düğümler varlıklarını teminat gösterir ve açık anahtar kaydı gerçekleştirir, düzenli olarak geçici açık anahtarlar oluşturur ve ZKP kanıtı sağlar, Relayer düğümleri aracılığıyla rastgele seçim yapılır ve son olarak seçilen düğüm TEE ortamında doğrulama ve imza işlemi gerçekleştirir.

Bu sistemin özü, neredeyse tüm önemli etkinliklerin TEE donanımı içinde gerçekleşmesidir; TEE dışından neler olduğuna dair gözlem yapılamaz. Her bir düğüm, seçilen doğrulayıcıların kim olduğunu bilmez, bu da kötü niyetli işbirliklerini önler ve dış saldırıların maliyetini önemli ölçüde artırır. CRVA tabanlı komiteyi saldırmak için teorik olarak tüm CRVA ağını hedef almak gerekmektedir; ayrıca her düğüm TEE korumasına sahip olduğundan, saldırı zorluğu önemli ölçüde artmaktadır.

CRVA'nın varlık kendi kendine saklama çözümü ile birleştirildi

HelloBTU adı verilen Bitcoin algoritmalı stabilcoin örneğinde, akıllı sözleşme kısmı Ethereum üzerinde yer alıyor. Kullanıcılar, BTC'lerini belirlenen ödeme adresine yatırabilir, ardından resmi köprü aracılığıyla BTC'lerini Ethereum blockchain'ine taşıyabilir ve daha sonra HelloBTU'nun akıllı sözleşmesi ile etkileşime geçebilir.

Kullanıcının 10 adet BTC'yi HelloBTU platformuna stake etmek istediğini varsayalım, bu işlem öncelikle 10 adet BTC'nin Bitcoin'in on-chain bir Taproot adresine transfer edilmesiyle başlar, ilgili kilidin açılması için 2/2 çoklu imza gereklidir, bu imzalardan biri kullanıcı tarafından oluşturulur, diğeri ise CRVA tarafından oluşturulur.

Farklı durumlarda, kilidi açma işlemi biraz farklılık gösterir:

1. Kullanıcının aktif geri alımı: Kullanıcı ve CRVA birer imza oluşturur, BTC'yi kilidini açar ve kullanıcının adresine geri gönderir. Eğer CRVA uzun süre işbirliği yapmazsa, zaman kilidi penceresi süresi dolduğunda, kullanıcı tek taraflı olarak BTC'sini geri alabilir.

2. BTC tasfiye edildi: Kullanıcılar, BTC'yi CRVA tek yönlü kanala taşımak için CRVA ile işbirliği yapmalıdır. Kullanıcı işbirliğini reddederse, BTC geçici olarak kilitlenir; zaman kilidi penceresi geçtikten sonra, CRVA bunu transfer edebilir.

3. CRVA tek yönlü kanal: Likidatör, çekim talebinde bulunabilir, CRVA inceleyip imza oluşturur. Eğer CRVA uzun süre yanıt vermezse, zaman kilidi süresi dolduktan sonra, BTC DAO kontrolündeki bir adrese aktarılır.

Bu tasarım, kullanıcıların kötü niyetli bir şekilde borçlanma olasılığını sınırlarken, CRVA'nın durması gibi mücbir sebepler için de bir çözüm sunar. ERC-20 varlıkları için de benzer bir ilke geçerlidir. Eğer köprü bu öz yönetim çözümünü benimserse, varlık ihraç edicisinin durumu tek taraflı olarak kontrol etmesi oldukça zor olacaktır.