Chainlink CCIP 2.0 暴露跨链桥风险，发行方门控引发停滞

该功能于9月28日发布，在 CCIP 默认的委员会验证者（Committee Verifier）之外，新增了可选的跨链验证者（Cross-Chain Verifiers，CCVs）。发行方或第三方可以运营一个 CCV，并将其批准作为交付的条件。

这使得运营方的规则和正常运行时间直接影响到持有者的退出路径。Chainlink 的发布材料并未指明有哪个具名的生产资产和通道使用了由发行方运营的必需 CCV，因此该机制并不能作为持有者转账被阻止的证据。

转账可能等待的节点

CCIP 的 OnRamp 会汇总代币转账所适用的验证者要求，代币池则锁定或销毁代币。随后，OnRamp 将消息记录以供链下验证者服务使用。这些服务监视源事件，应用其最终性和验证规则，并发布与消息 ID 绑定的证明。

在目标链上，CCIP 的 OffRamp 在代币池释放或铸造代币之前检查所需的证明。其检查依据通道和代币池设置，当涉及接收方合约时，还会依据该接收方的要求。

发送方偏好可以追加到源侧验证者集合中。纯代币转账没有接收方回调，因此无需检查其验证者偏好。这一顺序将锁定或销毁置于验证之前，将目标链释放置于验证之后。

Chainlink 的 CCIP 2.0 允许发行方在锁定或释放之前拒绝转账，而必需的证明则可能延迟交付。

源交易可能已成功，而目标端交付仍处于待处理状态，因此Chainlink表示，所有必需的CCV必须返回有效结果，执行才能继续推进。其信任模型警告称，一个无响应的验证器可能导致所有需要其证明的消息陷入停滞。

如果发行方运行此类验证器并将其设为代币池的必需组件，那么发行方的服务就成为能够延迟完成的参与方之一。第三方运营商则会在该运营商的掌控下制造类似的依赖关系。

这是设计所允许的一种控制权，而非发行方故意阻止持有者转账的证据。

Chainlink表示，默认的委员会验证器由16个独立节点运营商组成，在此基础上还有额外的CCV并行运行。

发行方或应用选择其中一个验证器就多了一层检查，但同时也必须评估谁在运营其合约和链下服务、该服务适用哪些规则，以及它是否能保持可用。

Chainlink将外部CCV运营商的实施、维护和正常运行时间责任分配给其自身。对持有者而言，关键问题是：在此代币于此路由上，哪些证明是强制性的，以及谁能够生成每一项证明。

相关阅读

近150亿美元正在从LayerZero流出，如今一场2.92亿美元的诉讼将其安全模型推上审判台

持有者在交付停止时可以做什么

一旦所有必需的证明都存在，且任何可选验证器的法定人数已满足，目标链上的执行就是无需许可的。

Chainlink的默认执行器通常会提交交易，但任何人都可以提交，包括通过手动执行路径。更换执行器或支付目标链gas费并不会免除缺失的必需CCV证明。OffRamp在释放或铸造代币之前仍会检查证明。

恢复路径取决于消息在何处停止。如果所需证明尚未组装，目标消息可保持 UNTOUCHED 状态，意味着未记录任何执行。如果已提交的目标尝试在 OffRamp 的保护路径内失败，则可被标记为 FAILURE。

Chainlink 表示，失败尝试可在底层问题修复后重试。其默认执行器会在一个配置窗口内重试失败，该窗口目前设为八小时，该限制描述的是自动化服务。

只有在所需证明可用且目标侧故障已修复后，持有者才有可用的手动路径。手动执行指南描述了如何检查验证器状态和执行状态，包括索引器尚未收集到外部验证器结果的情况。

Chainlink 公布的手动执行路径并未规定，在所需验证器始终未证明时，对源链代币进行一般性的自动取消、退款或退回。任何发行人特定的补救措施都将取决于该资产的安排。

在 EVM 链上，已配置的 Chainlink Automated Compliance Engine 钩子可以在源池锁定或销毁任何内容之前拒绝出站转移。该预检失败会使源交易回滚。

单独配置的目标侧事后钩子可以在源侧转移开始后拒绝释放或铸造，使代币在政策条件解决并重试执行之前保持未交付状态。ACE 集成指南将这些描述为不同的可选配置。

一次实时发布，伴随部署问题

Chainlink 主网目录列出了支持的区块链网络和代币，但列表并不显示某个生产通道是否需要发行方运营的验证器，或是否启用了目标 ACE 闸门。合作伙伴公告或此前的资产迁移也无法确立这些设置。

没有代币池、路由和验证器配置，这项新权力无法归因于某个具名资产的发行方。

该版本还单独提供了快于最终性的转账。根据 Chainlink 的 FTF 指南，源链完全最终性仍是默认设置，而更快的选项可能使转账在足够深的深度重组后暴露于目标端重复执行的风险。

其他必需的 CCV 可能适用各自的重组规则，但这一速度选择并不改变所需证明的必要性。

CCIP 2.0 为发行方提供了更强的方式来设定跨链交付条件。对于持有者而言，关键问题在于哪些检查适用于其资产、由谁控制这些检查，以及如果转账开始后某项检查无法完成，存在何种补救措施。

文章《Chainlink CCIP 2.0 暴露跨链桥风险，发行方闸门触发停滞》首发于 CryptoSlate。