从共识机制和桥安全分析，看这五大 NFT 平台的安全性_投资理财_生活常识

对于任何软件公司来说，安全是一个根本性的困难和不对称的问题。而对于安全问题来说，是没有什么灵丹妙药的——仅在上个月，就有几家技术公司出现了明显的漏洞（如 Okta、HubSpot）。然而，加密货币的自我托管和不可逆的性质意味着安全漏洞可能会导致数十亿美元的永久性损失。这种持续的风险对于具有长期雄心的 NFT 项目来说是一个巨大的挑战。

数亿美元的用户资金损失严重损害了 NFT 领域的声誉，并严重损害了相关的公司和项目。这种风险对许多正在进入该领域的企业来说是不可接受的，特别是那些有现有客户基础、声誉和法律义务的企业。因此，安全作为 NFT 项目选择平台的一个标准将变得越来越重要。

每个平台都有强烈的动机将自己定位为足够安全。可事实是，所有的解决方案都是有交换条件的，重要的是项目需要对他们和他们平台的具体交换条件有一个非常清楚的了解。

我是 Alex Connolly，Immutable ‌的首席技术官和联合创始人——我们为大规模、高质量的 NFT 项目（尤其是游戏）建立了领先的平台之一。我想通过写这篇文章，对一些最受欢迎的 NFT 平台所做的选择进行详细且基本公正的评估，这些平台包括 Ronin、Polygon、Immutable、Solana 和 Optimism。

我将特别专注于每个平台的底层安全的两个核心要素：

共识安全：通过攻击平台的节点/验证者（例如通过 51% 的攻击）窃取资产的难度
桥的安全：将资产从以太坊转移的机制的安全性。这通常是更大的担忧，因为妥协通常会使用户资金直接面临风险

这篇文章将是对 NFT 平台安全的一次深入探讨，从而为相关项目负责人做出明智选择提供必要的技术细节。如果你只是想简单了解一些重点内容，可以看看下面这个表格。

接下来，就让我们深入探讨一些 NFT 平台的安全性吧。

Ronin

Ronin 是由 Sky Mavis Labs 创建的区块链，目前专门为 Axie Infinity 及其生态系统提供动力。

共识安全

Ronin 是一个“侧链”——一个拥有自己节点和共识机制的区块链，但它与以太坊保持着官方“桥”的连接。Ronin 是一个权力证明（POA）区块链，它一有 10 个节点，这些节点把自己的声誉押在不会滥用权力的事实上。这与以太坊的测试网如 Goerli（20 个节点的 POA）相同。如果这些节点中的任何 5 个（50% 以上）成为恶意的或妥协的节点，那么它们将能够对网络进行 51% 的攻击，并通过双花或其他攻击窃取用户的资金。一般来说，这被认为是一个极低的节点数量（比特币有 15000 个，以太坊有接近 6000 个），并产生一个更中心化的网络，从而换取更快更便宜的交易。此外，用户不能运行自己的节点，Ronin 节点的源代码是不公开的，因此 Ronin 用户无法对其进行审计。

桥安全

Ronin 的官方以太坊桥由 5-9 的“多签（multisig）”控制。多签要求总共 n 个密钥持有者中的 m 个签名者批准每笔交易。在 Ronin 中，每一个桥动作都需要得到这个多签的批准。然而，没有任何机制来检查充值或提现是否真的有效——任何能够接触到 9 把私钥中的 5 把的人都可以将 Ronin 桥中持有的任何代币的任何数额提取到任何以太坊地址上。这意味着该桥的任何用户都是直接信任这个多签的所有资金。

2022 年 3 月，在一名黑客获得了 Axie 团队持有的 4 把私钥和 Axie DAO 验证器（节点）借给 Axie 团队的 1 把私钥（给他们 5/9）后，这种信任被黑客窃取了 6.25 亿美元。我们目前所知的情况表明，这是一个典型的网络安全漏洞，由于这些验证器私钥的中心化造成了严重的后果。Sky Mavis 已经承诺偿还那些损失的资金，并在未来三个月内达到 21 个独立验证者，以确保 Ronin 对未来的攻击有更大的弹性，尽管在更强大的共识/桥机制和网络的可扩展性之间可能会有权衡。

Polygon

Polygon 目前提供权益证明以太坊侧链（Polygon PoS），以及专门的 NFT 服务业务 Polygon Studios，支持 Skyweaver 和 ZED RUN 等主要项目。Polygon 正朝着提供一系列不同的扩展解决方案的方向发展，其中大部分是基于 zk-rollup 技术（稍后讨论），但目前只有 Polygon PoS 是作为 NFT 平台上线。

共识安全

Polygon PoS 是一条侧链，其基本模式与 Ronin 相似，只是 Polygon 是一个“提交（commit）侧链”，它定期将链上状态的检查点提交给以太坊。Polygon PoS 共识有两个主要组成部分。首先是 Bor 链，这是 Polygon 交易实际发生的地方：一个轮流的区块生产者子集从更大的验证者池中选择，运行一个修改过的权威证明网络，决定交易的包含和排序。然而，这个子集中只有一个区块生产者（见 PolygonScan 区块验证者）被选中，以提出 64 个连续的区块。

接下来是 Heimdall 检查点系统，更多的验证者（目前上限为 100 人）就 Bor 区块最后约 30 分钟的总结快照达成三分之二“权益证明”共识，并将该快照作为检查点发布在以太坊上。然而，虽然有 100 个验证者，但 4 个验证者控制了 53% 的权益，7 个验证者控制了 67% 的权益（见这里，点击“显示全部”并按权益排序），而所需的三分之二多数指的是权益，而不是验证者的数量。这意味着，只有 7 把私钥被破坏，链上的所有资金，而不仅仅是桥上的资金，才能通过恶意检查站被盗；而且质押者必须随时保持他们的私钥热度。此外，由于法定人数需要三分之二的质押，而 43% 的权益由 3 个验证人控制，因此只需破坏 3 个热钱包，就足以完全冻结提现和检查点。