Charles Hoskinson apresenta modelo de segurança de ponte da Cardano usando provas ZK de Midnight

Charles Hoskinson propôs um novo modelo de segurança para pontes da Cardano após o exploit da Wanchain envolvendo Cardano e BNB Chain. Em seu vídeo no quadro branco, “Getting Bridges back on Track”, ele descreveu como as provas ZK de Midnight, a autorização em camadas e circuit breakers automáticos poderiam reduzir o risco de futuros ataques a pontes.

Exploit da Wanchain expôs quatro superfícies de ataque da ponte

O incidente de ponte da Wanchain relatado anteriormente envolveu aproximadamente 515 milhões de tokens $NIGHT saindo do lado Cardano do tesouro da ponte antes que grande parte da liquidez chegasse às exchanges descentralizadas da Cardano. O protocolo de Midnight, a rede de validadores e o ativo nativo da Cardano não foram comprometidos.

Hoskinson também abordou os pedidos para restaurar o fornecimento de cNIGHT ao seu estado anterior. Ele disse que os tokens já haviam sido distribuídos como ativos nativos da Cardano, deixando Midnight e a Input Output sem um mecanismo centralizado para reverter a propriedade de tokens mantidos em carteiras de usuários.

No modelo descrito no vídeo, os usuários bloqueiam a representação em Cardano de $NIGHT antes de receber um ativo embrulhado correspondente na BNB Chain. Para devolver o ativo, é necessário destruir os tokens embrulhados antes que os tokens originais possam ser desbloqueados na Cardano.

Hoskinson identificou quatro superfícies de ataque distintas nesse processo: o contrato Plutus na Cardano, o contrato Solidity na BNB Chain, a infraestrutura fora da cadeia da Cardano e a infraestrutura fora da cadeia da BNB Chain. Uma falha em qualquer componente pode resultar em confirmações falsas, autorização inválida ou liberação não autorizada de tokens.

Ele acrescentou que pontes podem verificar mais do que transferências de ativos. Elas também podem comprovar status de transação, pertencimento de UTxO, eventos de cunhagem e queima, delegação, recompensas, resultados de scripts e ações de governança. Sua apresentação listou 42 categorias de possíveis alegações de estado da Cardano e 52 para Midnight.

Modelo ZK de Midnight removeria o operador da ponte

O modelo proposto por Hoskinson substitui o operador de ponte convencional por uma prova de conhecimento zero gerada pelo usuário e vinculada a um endereço de destino em outra blockchain. A prova seria enviada a um contrato verificador que checa se o evento exigido ocorreu na cadeia de origem.

Qualquer parte poderia retransmitir a prova porque a autorização dependeria de sua validade criptográfica, e não da identidade do mensageiro. Uma vez verificada, o contrato de destino poderia cunhar ou liberar o ativo correspondente sem depender de um operador de ponte para interpretar ambas as blockchains.

Midnight é uma cadeia parceira da Cardano com foco em privacidade que suporta aplicativos que combinam estado público e privado, provas de conhecimento zero e divulgação seletiva. Sua linguagem Compact foi projetada para permitir que desenvolvedores TypeScript criem aplicativos habilitados para ZK sem implementar diretamente a criptografia subjacente.

Hoskinson propôs combinar a verificação ZK com um sistema de assinaturas com limiar. Uma transação só prosseguiria quando ambos os mecanismos a aprovassem. Uma falha em qualquer uma das camadas poderia interromper a operação da ponte, enquanto a segunda camada continuaria protegendo os ativos bloqueados contra liberação não autorizada.

A base técnica inclui o artigo de pesquisa “Crossing with Confidence: Formal Analysis and Model Checking of Blockchain Bridges”, que define e testa propriedades de segurança em várias arquiteturas de ponte. Hoskinson não anunciou equipe de desenvolvimento, data de lançamento ou uma ponte ZK de Cardano e Midnight concluída.

Cardano Pub/Sub e Midnight Passport ampliam o modelo de segurança

Hoskinson também descreveu um sistema de alertas em toda a rede Cardano para conter ataques após sua detecção. Exchanges descentralizadas, protocolos de empréstimo, carteiras, exchanges centralizadas e operadores de pontes poderiam assinar canais de segurança verificados por meio de uma rede de publicação e assinatura.

Um alerta de uma ponte comprometida poderia acionar circuit breakers automáticos, permitindo que aplicativos conectados suspendessem negociações, retirassem liquidez, desativassem mercados de empréstimo ou parassem transferências. O objetivo é restringir a capacidade de um invasor de trocar ativos roubados por stablecoins ou movê-los por serviços de lavagem.

Hoskinson colocou a infraestrutura de Pub/Sub entre as prioridades da Cardano para 2027, após novos avanços em Ouroboros Leios. A Input Output anteriormente publicou um protótipo experimental de Cardano Pub/Sub, que foi arquivado em 17 de julho com um aviso de que o desenvolvimento havia sido movido para um novo repositório.

A parte final da proposta aborda uma proteção opcional de carteiras por white hat. Os usuários poderiam autorizar uma intervenção predefinida ao criar uma carteira não custodial. Durante um ataque ativo, uma parte white hat aprovada poderia mover ativos expostos, após o que o proprietário provaria em privado o direito de recuperá-los.

Hoskinson conectou esse processo ao Midnight Passport e à divulgação seletiva. A documentação de Midnight descreve o Passport como uma carteira de consumo anunciada, sem seed, com chaves residentes em hardware e recuperação com ajudante confiável. No modelo proposto, ele também poderia conectar em privado uma carteira ao seu proprietário, a uma autorização white hat e a uma apólice de seguro.

A pesquisa formal sobre pontes e o trabalho experimental de Pub/Sub já são públicos. A ponte ZK, os circuit breakers de produção, o sistema de licenciamento white hat e o modelo de seguro baseado em Passport permanecem como componentes propostos sem cronogramas de implementação publicados.