از ابتدای ظهور شبکههای بلاکچینی مختلف، یک مشکل اساسی وجود داشته: این شبکهها بهتنهایی در «حباب» خود کار میکنند و بهراحتی نمیتوان ارزش یا اطلاعات را بین آنها جابجا کرد. پلهای بینزنجیرهای یا Cross-Chain Bridges راهحلی برای این مشکل بودند—اما تبدیل به یکی از بزرگترین اهداف هکرها در تاریخ دیفای شدند. در این مقاله، با ساز و کار پلهای کراسچین، دلایل آسیبپذیری آنها و روشهای ارزیابی امنیت آشنا میشویم.
مشکل اساسی؛ چرا به پل نیاز داریم؟
تصور کنید بیتکوین خود را میخواهید در یک اپلیکیشن دیفای روی شبکه اتریوم استفاده کنید. این کار بهطور مستقیم ممکن نیست؛ چرا که BTC و ETH در شبکههای کاملاً مجزا اجرا میشوند. هر بلاکچین قوانین، استانداردها و معماری مختص به خود را دارد.
این مشکل که به آن «مشکل اینترآپرابیلیتی» (Interoperability) گفته میشود، باعث میشود که نقدینگی موجود در بلاکچینهای مختلف «جزیرهای» بماند. پلهای کراسچین میآیند تا این جزیرهها را به هم وصل کنند.
پل کراسچین چطور کار میکند؟
ساز و کار اصلی اکثر پلهای کراسچین بر پایه مکانیزم «قفل کردن و ضرب کردن» (Lock and Mint) است:
- گام ۱ — قفل کردن: شما ۱ ETH را در قرارداد هوشمند پل روی شبکه اتریوم قفل میکنید (Lock)
- گام ۲ — اثبات: پل این رویداد را در شبکه مقصد اثبات میکند
- گام ۳ — ضرب کردن: در شبکه مقصد (مثلاً بیانبی چین)، یک توکن معادل به نام «Wrapped ETH» یا wETH ضرب میشود
- بازگشت: وقتی میخواهید برگردید، wETH سوزانده میشود (Burn) و ETH اصلی آزاد میشود
در این مکانیزم، قرارداد هوشمند پل روی شبکه مبدأ به یک «خزانه» تبدیل میشود که همه داراییهای قفلشده را نگه میدارد. همین خزانه دقیقاً نقطهای است که هکرها هدف میگیرند.
انواع پلهای کراسچین
پلهای کراسچین از نظر معماری به چند دسته تقسیم میشوند:
پلهای متمرکز (Centralized Bridges)
در این پلها یک نهاد مرکزی (مثل صرافی) مدیریت انتقال را بر عهده دارد. امنیت بالاتر است اما با نقطه شکست مرکزی (Single Point of Failure) مواجه هستید. اگر آن نهاد هک شود یا ورشکست شود، داراییها در خطر است.
پلهای غیرمتمرکز (Decentralized Bridges)
این پلها از قراردادهای هوشمند و اعتبارسنجهای توزیعشده استفاده میکنند. غیرمتمرکز اما پیچیدهتر. بیشتر هکهای بزرگ در این دسته رخ دادهاند.
پلهای پیامرسانی (Messaging Bridges)
مثل لایرزرو (LayerZero) که فقط «پیام» بین زنجیرهها منتقل میکند، نه دارایی مستقیم. پروتکلهای لایه دوم مانند آربیتروم، آپتیمیزم و بیس هم نوعی پل پیامرسانی هستند.
چرا پلهای کراسچین بارها هک میشوند؟
پلهای کراسچین طبق آمار، بیشترین سهم را در کل خسارات هک دیفای دارند. دلایل این آسیبپذیری ساختاری است:
۱. تمرکز ارزش در یک نقطه
قرارداد هوشمند پل بهتنهایی ممکن است صدها میلیون یا میلیاردها دلار دارایی قفلشده داشته باشد. این آن را به یک «هدف ارزشمند» برای هکرها تبدیل میکند. هک رونین بریج ۶۲۵ میلیون دلار، هک ورمهول ۳۲۰ میلیون دلار و هک نامبرریمنت بریج ۱۸۵ میلیون دلار همه بر همین اساس بودند.
۲. پیچیدگی فنی بالا
پلها باید با چندین شبکه بلاکچینی ارتباط برقرار کنند. هر نقطه ارتباطی یک بردار حمله بالقوه است. در راهنمای جامع پلهای کراسچین میتوانید جزئیات فنی بیشتری بیابید.
۳. ضعف در منطق اعتبارسنجی
پل باید «اثبات» کند که یک رویداد در زنجیره مبدأ رخ داده است. اگر منطق اثبات (Proof Mechanism) ضعیف باشد، هکر میتواند رویداد جعلی ارسال کند. در هک ورمهول، هکر یک امضای جعلی ارسال کرد و پل آن را پذیرفت.
۴. کلیدهای خصوصی متمرکز
بسیاری از پلها از یک سیستم Multi-sig با تعداد محدودی امضاگر استفاده میکنند. اگر کلیدهای خصوصی این امضاگرها دزدیده شود (مثل هک رونین که ۵ از ۹ کلید به خطر افتاد)، هکر میتواند تمام داراییها را تخلیه کند.
بزرگترین هکهای پلهای کراسچین
| پل | مبلغ خسارت | سال | روش هک |
|---|---|---|---|
| Ronin Bridge | ۶۲۵ میلیون دلار | ۲۰۲۲ | دزدی کلید خصوصی |
| Wormhole | ۳۲۰ میلیون دلار | ۲۰۲۲ | جعل امضا |
| Nomad Bridge | ۱۸۵ میلیون دلار | ۲۰۲۲ | باگ منطق اثبات |
| Horizon Bridge | ۱۰۰ میلیون دلار | ۲۰۲۲ | دزدی کلید خصوصی |
| Kelp DAO (rsETH) | ۲۹۲ میلیون دلار | ۲۰۲۶ | باگ قرارداد هوشمند |
آیا پلهای مدرن امنتر شدهاند؟
بعد از موج هکهای ۲۰۲۲، صنعت پلها پیشرفتهای امنیتی مهمی داشته است:
- ZK-Proofs: اثباتهای دانش صفر برای تأیید رویدادها بدون نیاز به اعتماد، امنیت بالایی دارند
- Optimistic Rollups: رویکردی که زمان «چالش» ایجاد میکند تا تراکنشهای مشکوک شناسایی شوند
- محدودیت روزانه: برخی پلها حداکثر ارزش قابل انتقال روزانه را محدود میکنند تا آسیب هک کاهش یابد
- Monitoring و Pause: سیستمهای هشدار خودکار که در صورت فعالیت مشکوک پل را متوقف میکنند
با این حال، همانطور که هک کلپ دائو در ۲۰۲۶ نشان داد، هنوز راه درازی تا امنیت کامل وجود دارد. برای پوشش ریسک پرتفولیوی خود در چنین شرایطی، نگهداری بخشی از دارایی به صورت تتر (USDT) یا داراییهای باثبات توصیه میشود.
چطور امنیت یک پل را ارزیابی کنیم؟
پیش از استفاده از هر پل کراسچین، این سوالات را بررسی کنید:
- آیا کد پل توسط شرکتهای معتبر ممیزی (Audit) شده است؟
- TVL پل چقدر است و آیا بیمه دارد؟
- سیستم Multi-sig چند امضا نیاز دارد و چه کسانی امضاگر هستند؟
- آیا یک Bug Bounty Program فعال دارد؟
- سابقه رویدادهای امنیتی آن چیست؟
همچنین پیشنهاد میکنیم مقاله راهنمای ییلد فارمینگ در دیفای را بخوانید تا دید جامعتری از ریسکهای دیفای داشته باشید. برای تحلیل عمیقتر از امنیت پروتکلها، گزارش Rekt News پایگاهی معتبر برای پیگیری هکهای دیفای است.
آینده پلهای کراسچین
راهحلهای بلندمدت برای مشکل اینترآپرابیلیتی احتمالاً در این مسیرها خواهند بود:
- Chain Abstraction: کاربر اصلاً نمیفهمد روی کدام زنجیره است—تجربه یکپارچه
- Native Cross-Chain Protocols: پروتکلهایی مثل لایرزرو که از ابتدا برای چندزنجیره طراحی شدهاند
- Atomic Swaps: تبادل مستقیم بدون واسط و بدون نیاز به «خزانه» مرکزی
همچنین پیشرفت اتریوم به سمت یک اکوسیستم چندلایهای با لایههای دو مختلف که با یکدیگر ارتباط بهتری دارند، میتواند نیاز به پلهای خارجی را کاهش دهد. برای اطلاعات بیشتر درباره مکانیزمهای امنیت شبکه، میتوانید مستندات رسمی اتریوم درباره پلها را مطالعه کنید.
برای دسترسی به آمار TVL پلهای مختلف و ردیابی ریسک، داشبورد پلهای DeFiLlama منبعی معتبر و بهروز است.
سوالات متداول
پل کراسچین چیست؟
پل کراسچین یک پروتکل است که امکان انتقال دارایی یا اطلاعات بین دو شبکه بلاکچینی مختلف را فراهم میکند. مثلاً انتقال ETH از شبکه اتریوم به بیانبی چین از طریق یک پل انجام میشود.
آیا پلهای کراسچین امن هستند؟
پلها بهطور ذاتی آسیبپذیرترین بخش اکوسیستم دیفای هستند. از سال ۲۰۲۲ تا ۲۰۲۶، مجموعاً بیش از ۲ میلیارد دلار از طریق هک پلها از بین رفته است. قبل از استفاده، ممیزیها و سابقه امنیتی پل را بررسی کنید.
مکانیزم Lock and Mint چیست؟
در این مکانیزم، دارایی در زنجیره مبدأ قفل (Lock) میشود و یک توکن معادل در زنجیره مقصد ضرب (Mint) میشود. برای بازگشت، توکن مقصد سوزانده (Burn) میشود و دارایی اصلی آزاد میگردد.
آیا پلهای مبتنی بر ZK امنتر هستند؟
بله، پلهای مبتنی بر Zero-Knowledge Proofs بهطور ریاضی اثبات میکنند که یک رویداد رخ داده است. این روش نیاز به اعتماد به واسطهها را حذف میکند و در تئوری امنیت بالاتری دارد؛ اما پیچیدهتر و گرانتر است.
هک کلپ دائو چه ربطی به پل داشت؟
کلپ دائو از پروتکل لایرزرو برای ارتباط Cross-Chain استفاده میکرد. هکر از ضعف قرارداد هوشمند کلپ دائو سوءاستفاده کرد تا rsETH را در ۲۰ زنجیره بلاک کند. اگرچه پروتکل لایرزرو مستقیماً هک نشد، این رویداد نشان داد که وابستگی به Cross-Chain چه ریسکی دارد.
