Rootstock联合创始人建议跨链桥增设提现冷却期应对资金盗取

在近期一起涉及约4,000枚BTC被未经授权提取的事件后，Rootstock联合创始人Sergio Lerner提出，比特币跨链桥应部署强制性的提现延迟策略。该机制旨在为桥接运营商创造数小时的审查窗口，以便在异常操作发生前识别并阻断风险交易。

即时结算模式下的安全隐患与实际案例

Sergio Lerner，Rootstock Labs首席科学家兼联合创始人，在受访时强调，若缺乏时间锁定，单一验证失误将直接转化为不可逆的资金损失。他指出：‘一旦系统发出确认指令，资金即刻转移，没有缓冲空间。’

这一警告紧随一场严重安全事件：攻击者伪造无抵押支持的L-BTC代币，并利用SideSwap的提现服务从Liquid网络的联合钱包中提取接近4,000枚比特币。尽管攻击者自称“白帽”，但其行为仍造成重大风险。事后，Blockstream确认相关节点已修复，攻击者归还了3,400枚BTC。截至9月10日，仍有约598枚未追回，且Liquid仍在未恢复质押或交易功能的情况下持续出块。

时间延迟机制如何构建防御屏障

Lerner认为，若在无抵押代币生成与实际资金释放之间设定强制等待期，可显著降低损害程度。在此模型下，系统不会立即执行提现，而是启动一段可配置的冷却期。自动化监控工具可在结算前比对请求金额与实际抵押品，发现不匹配情况并触发警报。

‘若具备时间锁——无论软件或运营商如何指令，资金必须冻结指定时段——该漏洞仅会引发可控事故，而非全面崩塌。’他补充道，这种延迟可为全天候监控系统提供充足时间检测异常请求，使运营人员能在签名前暂停质押流程。

当前系统缺失关键防护环节

此次事件中，Liquid并未报告其“Peg-out Authorization Key”遭窃。而SideSwap表示，其平台无法区分伪造的L-BTC与真实资产，因此按常规流程处理了客户提交的4,000枚L-BTC提现请求。约23分钟后，联合钱包向指定地址支付了3,996枚比特币。

Rootstock已有成熟延迟实践方案

Rootstock已在双向质押通道中实施基于区块计数的提现延迟机制，尽管比特币共识本身不强制此规则。该机制依赖专用硬件设备——PowHSMs（工作量证明硬件安全模块），在签署提现交易前，自动验证是否已过4,000个Rootstock区块，相当于累计约36小时的工作量证明。

由于私钥始终保留在硬件内部，运营方无法绕过延迟条件。该系统结合合并挖矿机制，由比特币矿工为侧链提供算力支持。即使多数质押节点合谋，也无法强制提前释放资金，因为硬件自身会独立校验时间门槛。

多机构共治防止权力滥用

Lerner强调，撤销提现的权利不应集中于单一实体。相反，应由多个独立运营方共同持有控制权限，并通过硬件规则约束行为。在该设计中，运营人员可暂停处理，但不能更改收款地址或扣留资金。

‘为避免单点故障或审查风险，撤销权必须分散至多方，由硬件强制执行，而非依赖中心化密钥管理。’他进一步说明，只有当足够多参与者协同行动时，才能中断流程，但无法创建非法转账。

延迟时长应依交易规模动态调整

不同价值的交易需匹配相应延迟周期。36小时的等待对高频小额支付不适用，但对高价值桥接则具必要性。Lerner主张，高风险场景应视延迟为一种基础安全控制，类似银行金库的物理隔离机制。

他建议，延迟时间可依据交易金额或抵押要求设定不同阈值：小额交易采用较短等待期，大额请求则延长审查窗口。虽不推荐统一标准，但他以Rootstock的4,000区块机制为例，证明其在保护大规模资产方面的有效性。

未来方向：将安全保障嵌入比特币协议层

目前的防护依赖于外部硬件和组织协作，非原生共识规则。为此，Lerner提议推动原生比特币金库机制，将安全控制内置于底层协议。其中关键构想来自草案提案BIP-443，即引入OP_CHECKCONTRACTVERIFY（OP_CCV）操作码。

该机制允许比特币输出携带附加数据，通过未来交易限制资金使用方式。作为软分叉提案，它尚处早期阶段，但具备实现响应式安全的能力——例如在检测到凭证泄露、代码篡改等异常时，赋予用户或指定方取消提款的机会。

‘一旦机制进入共识层，矿工、运营方和管理员都必须遵守支出条件，而非在资金转移后才进行干预。’他总结道，对于大额跨链提现，延迟必须足够长，确保自动化系统与人工团队能及时介入，阻止不可逆损失。”