Кросс-чейн обмен сообщениями и общая ликвидность: модели безопасности LayerZero v2, Hyperlane и IBC 3.0

Протоколы интероперабельности, такие как LayerZero v2, Hyperlane и IBC 3.0, становятся критически важной инфраструктурой для мультичейн-экосистемы DeFi. Каждый из них использует свой подход к передаче кросс-чейн сообщений и обеспечению общей ликвидности, опираясь на различные модели безопасности:

• LayerZero v2 — модель агрегации доказательств с использованием децентрализованных сетей верификаторов (DVN)
• Hyperlane — модульный фреймворк, часто использующий комитет валидаторов с мультиподписью (multisig)
• IBC 3.0 — протокол легкого клиента с минимизацией доверия к ретрансляторам в экосистеме Cosmos

В данном отчете анализируются механизмы безопасности каждого протокола, сравниваются преимущества и недостатки легких клиентов против мультиподписей и агрегации доказательств, а также рассматривается их влияние на композируемость и ликвидность в DeFi. Мы также изучим текущие реализации, модели угроз и уровень внедрения, завершая обзор прогнозом того, как этот выбор архитектуры повлияет на долгосрочную жизнеспособность мультичейн DeFi.

Механизмы безопасности ведущих кросс-чейн протоколов

LayerZero v2: Агрегация доказательств с использованием децентрализованных сетей верификаторов (DVN)

LayerZero v2 — это протокол обмена сообщениями omnichain, который делает упор на модульный, настраиваемый на уровне приложений уровень безопасности. Основная идея заключается в том, чтобы позволить приложениям защищать сообщения с помощью одной или нескольких независимых децентрализованных сетей верификаторов (DVN), которые коллективно подтверждают кросс-чейн сообщения. В модели агрегации доказательств LayerZero каждая DVN по сути представляет собой набор верификаторов, которые могут независимо проверять сообщение (например, путем проверки доказательства блока или подписи). Приложение может потребовать агрегированные доказательства от нескольких DVN перед принятием сообщения, формируя пороговый «стек безопасности».

По умолчанию LayerZero предоставляет несколько готовых DVN — например, DVN, управляемую LayerZero Labs, которая использует валидацию мультиподписью 2-из-3, и DVN под управлением Google Cloud. Но что особенно важно, разработчики могут комбинировать DVN: например, можно установить конфигурацию «1 из 3 из 5», что означает необходимость подписи конкретной DVN плюс любых 2 из 5 остальных. Такая гибкость позволяет объединять различные методы верификации (легкие клиенты, zk-доказательства, оракулы и т. д.) в одном агрегированном доказательстве. Фактически LayerZero v2 обобщает модель Ultra Light Node из v1 (которая полагалась на одного ретранслятора и одного оракула) в агрегацию мультиподписей X-из-Y-из-N через DVN. Контракт LayerZero Endpoint приложения в каждой сети доставит сообщение только в том случае, если необходимый кворум DVN предоставил валидные подтверждения для этого сообщения.

Характеристики безопасности: Подход LayerZero минимизирует доверие настолько, насколько честна хотя бы одна DVN из обязательного набора (или если одно zk-доказательство верно и т. д.). Позволяя приложениям запускать собственную DVN в качестве обязательного подписанта, LayerZero даже дает приложению возможность наложить вето на любое сообщение, если оно не одобрено верификатором команды приложения. Это может значительно усилить безопасность (ценой централизации), гарантируя, что ни одно кросс-чейн сообщение не будет выполнено без подписи приложения. С другой стороны, разработчики могут выбрать более децентрализованный кворум DVN (например, 5 из 15 независимых сетей) для более сильного распределения доверия. LayerZero называет это «безопасностью, принадлежащей приложению» (application-owned security): каждое приложение выбирает компромисс между безопасностью, стоимостью и производительностью, настраивая свои DVN. Все подтверждения DVN в конечном итоге проверяются ончейн неизменяемыми контрактами LayerZero Endpoint, сохраняя уровень транспортировки без разрешений. Недостатком является то, что безопасность сильна лишь настолько, насколько сильны выбранные DVN — если настроенные DVN вступят в сговор или будут скомпрометированы, они могут одобрить мошенническое кросс-чейн сообщение. Таким образом, ответственность за выбор надежных DVN ложится на каждое приложение, иначе оно рискует ослабить свою безопасность.

Hyperlane: Модель валидатора с мультиподписью и модульные ISM

Hyperlane — это инфраструктура интероперабельности, построенная вокруг ончейн-модуля межчейн-безопасности (Interchain Security Module, ISM), который проверяет сообщения перед их доставкой в целевую сеть. В простейшей (и стандартной) конфигурации ISM Hyperlane использует набор валидаторов с мультиподписью: комитет офчейн-валидаторов подписывает подтверждения (часто корень Меркла всех исходящих сообщений) из исходной сети, и на стороне назначения требуется пороговое количество подписей. Другими словами, Hyperlane полагается на кворум доверенных валидаторов для подтверждения того, что «сообщение X действительно было отправлено в сети А», что аналогично консенсусу блокчейна, но на уровне моста. Например, Wormhole использует 19 стражей (guardians) с мультиподписью 13-из-19 — подход Hyperlane схож по духу (хотя Hyperlane отличается от Wormhole).

Ключевой особенностью является то, что у Hyperlane нет единого закрепленного набора валидаторов на уровне протокола. Вместо этого запустить валидатора может кто угодно, а разные приложения могут развертывать контракты ISM с различными списками валидаторов и порогами подписей. Протокол Hyperlane предоставляет стандартные развертывания ISM (с набором валидаторов, запущенных командой), но разработчики вольны настраивать набор валидаторов или даже саму модель безопасности для своего приложения. На самом деле Hyperlane поддерживает несколько типов ISM, включая Aggregation ISM, который объединяет несколько методов верификации, и Routing ISM, который выбирает ISM на основе параметров сообщения. Например, приложение может потребовать мультиподпись Hyperlane и подтверждение внешнего моста (например, Wormhole или Axelar) — достигая более высокого уровня безопасности за счет избыточности.

Характеристики безопасности: Базовая безопасность модели мультиподписи Hyperlane зависит от честности большинства её валидаторов. Если пороговое количество (например, 5 из 8) валидаторов вступит в сговор, они могут подписать поддельное сообщение, поэтому допущение о доверии сводится к мультиподписи N-из-M. Hyperlane решает этот риск путем интеграции с рестейкингом EigenLayer, создавая экономический модуль безопасности (Economic Security Module, ESM), который требует от валидаторов внесения стейков в ETH, которые могут быть слэшированы за ненадлежащее поведение. Этот «Активно валидируемый сервис (AVS)» означает, что если валидатор Hyperlane подпишет невалидное сообщение (которого на самом деле нет в истории исходной сети), любой может предоставить доказательство в Ethereum, чтобы слэшировать стейк этого валидатора. Это значительно усиливает модель безопасности, создавая экономические стимулы против мошенничества — кросс-чейн сообщения Hyperlane становятся защищены экономическим весом Ethereum, а не только социальной репутацией валидаторов. Однако одним из компромиссов является то, что зависимость от Ethereum для слэшинга вводит зависимость от доступности (liveness) Ethereum и предполагает, что доказательства мошенничества могут быть отправлены вовремя. Что касается доступности самого протокола, Hyperlane предупреждает: если недостаточное количество валидаторов находится в сети для достижения порога, доставка сообщений может остановиться. Протокол смягчает это, позволяя гибко настраивать пороги — например, используя больший набор валидаторов, чтобы периодические сбои в работе не останавливали сеть. В целом, модульный подход Hyperlane к мультиподписи обеспечивает гибкость и возможность обновления (приложения сами выбирают свою безопасность или комбинируют несколько источников) ценой добавления доверия к набору валидаторов. Это более слабая модель доверия, чем полноценный легкий клиент, но с учетом последних инноваций (таких как рестейкинг залога и слэшинг) она может на практике приближаться к аналогичным гарантиям безопасности, оставаясь при этом более простой в развертывании во многих сетях.

IBC 3.0: Легкие клиенты с ретрансляторами, минимизирующими доверие

Протокол Inter-Blockchain Communication (IBC), широко используемый в экосистеме Cosmos, применяет принципиально иной подход: он использует ончейн легкие клиенты для проверки межцепочечного состояния, а не вводит новый набор валидаторов. В IBC каждая пара сетей устанавливает соединение, при котором Сеть B содержит легкий клиент Сети A (и наоборот). Этот легкий клиент, по сути, является упрощенной репликой консенсуса другой сети (например, отслеживает подписи набора валидаторов или хеши блоков). Когда Сеть A отправляет сообщение (пакет IBC) Сети B, ретранслятор (внецепочечный агент) передает доказательство (доказательство Меркла для пакета и заголовок последнего блока) в Сеть B. Модуль IBC Сети B затем использует ончейн легкий клиент для проверки того, что доказательство является валидным согласно правилам консенсуса Сети A. Если доказательство подтверждается (т. е. пакет был зафиксирован в финализированном блоке на A), сообщение принимается и доставляется в целевой модуль на B. По сути, Сеть B доверяет консенсусу Сети A напрямую, а не посреднику — именно поэтому IBC часто называют интероперабельностью с минимизацией доверия.

IBC 3.0 относится к последней итерации этого протокола (около 2025 года), которая вносит улучшения в производительность и функциональность: параллельную ретрансляцию для снижения задержек, кастомные типы каналов для специализированных сценариев использования и межцепочечные запросы (Interchain Queries) для чтения удаленного состояния. Примечательно, что ни одно из этих изменений не затрагивает основную модель безопасности легкого клиента — они лишь повышают скорость и расширяют возможности. Например, параллельная ретрансляция означает, что несколько ретрансляторов могут пересылать пакеты одновременно, чтобы избежать узких мест, улучшая живучесть системы без ущерба для безопасности. Межцепочечные запросы (ICQ) позволяют контракту в Сети A запрашивать данные у Сети B (с доказательством), которые затем проверяются легким клиентом Сети A для Сети B. Это расширяет возможности IBC за пределы передачи токенов до более общего доступа к данным между сетями, что по-прежнему подкрепляется верифицированными доказательствами легких клиентов.

Характеристики безопасности: Гарантия безопасности IBC так же сильна, как целостность исходной сети. Если в Сети A имеется честное большинство (или соблюден установленный порог консенсуса) и легкий клиент Сети A в Сети B обновлен, то любой принятый пакет обязательно поступил из валидного блока на A. Нет необходимости доверять каким-либо валидаторам мостов или оракулам — единственными допущениями являются нативный консенсус двух сетей и некоторые параметры, такие как период доверия (trusting period) легкого клиента (после которого старые заголовки истекают). Ретрансляторам в IBC не нужно доверять; они не могут подделать валидные заголовки или пакеты, так как они не пройдут проверку. В худшем случае злонамеренный или неактивный ретранслятор может цензурировать или задерживать сообщения, но любой желающий может запустить ретранслятор, поэтому живучесть в конечном итоге обеспечивается, если существует хотя бы один честный ретранслятор. Это очень сильная модель безопасности: фактически децентрализованная и безразрешительная по умолчанию, отражающая свойства самих блокчейнов. Компромиссы заключаются в стоимости и сложности — поддержка легкого клиента (особенно высокопроизводительной сети) в другой сети может быть ресурсозатратной (хранение изменений набора валидаторов, проверка подписей и т. д.). Для сетей на базе Cosmos SDK, использующих Tendermint/BFT, эти затраты управляемы, и IBC очень эффективен; но интеграция гетерогенных сетей (таких как Ethereum или Solana) требует сложной реализации клиентов или новой криптографии. Действительно, внедрение IBC в сетях, отличных от Cosmos, шло медленнее — такие проекты, как Polymer и Composable, работают над легкими клиентами или zk-доказательствами для расширения IBC на Ethereum и другие экосистемы. Улучшения IBC 3.0 (например, оптимизированные легкие клиенты, поддержка различных методов верификации) направлены на снижение этих затрат. В итоге модель легкого клиента IBC предлагает самые сильные гарантии доверия (отсутствие внешних валидаторов вовсе) и надежную живучесть (при наличии нескольких ретрансляторов), ценой более высокой сложности реализации и того факта, что все участвующие сети должны поддерживать протокол IBC.

Сравнение легких клиентов, мультиподписей и агрегации доказательств

Каждая модель безопасности — легкие клиенты (IBC), мультиподписи валидаторов (Hyperlane) и агрегированные доказательства (LayerZero) — имеет свои плюсы и минусы. Ниже приведено их сравнение по ключевым параметрам:

Гарантии безопасности

• Легкие клиенты (IBC): Обеспечивают высочайшую безопасность, привязывая ончейн-проверку к консенсусу исходной сети. Здесь нет нового уровня доверия; если вы доверяете исходному блокчейну (например, Cosmos Hub или Ethereum) в том, что он не создает блоки повторно, вы доверяете и сообщениям, которые он отправляет. Это сводит к минимуму дополнительные допущения о доверии и поверхность атаки. Однако, если набор валидаторов исходной сети скомпрометирован (например, >1/3 в Tendermint или >1/2 в PoS-сети), легкому клиенту может быть передан поддельный заголовок. На практике каналы IBC обычно устанавливаются между экономически безопасными сетями, а легкие клиенты могут иметь параметры (такие как период доверия и требования к финализации блоков) для снижения рисков. В целом, минимизация доверия — главное преимущество модели легкого клиента: каждое сообщение имеет криптографическое доказательство валидности.

• Мультиподпись валидаторов (Hyperlane и аналогичные мосты): Безопасность зависит от честности группы оффчейн-подписантов. Определенный порог (например, 2/3 валидаторов) должен подтверждать каждое межцепочечное сообщение или контрольную точку состояния. Плюс в том, что систему можно сделать достаточно безопасной при наличии авторитетных или экономически заинтересованных валидаторов. Например, 19 хранителей Wormhole или стандартный комитет Hyperlane должны вступить в сговор, чтобы скомпрометировать систему. Минус в том, что это вводит новое допущение о доверии: пользователи должны доверять комитету моста в дополнение к самим блокчейнам. Это уже становилось причиной сбоев при некоторых взломах (например, кража приватных ключей или сговор инсайдеров). Инициативы, такие как использование рестейкинга ETH в Hyperlane, добавляют экономическую безопасность: валидаторы, подписавшие некорректные данные, могут быть автоматически слешнуты в Ethereum. Это приближает мосты с мультиподписью к уровню безопасности блокчейна (через финансовое наказание за мошенничество), но это все еще не так минимизирует доверие, как легкий клиент. Вкратце: мультиподписи имеют более слабые гарантии доверия, так как приходится полагаться на большинство в небольшой группе, хотя слешинг и аудиты укрепляют уверенность.

• Агрегация доказательств (LayerZero v2): Это своего рода «золотая середина». Если приложение настраивает свой стек безопасности (Security Stack), включая DVN легкого клиента или DVN на базе zk-доказательств, то гарантии для этих проверок могут приблизиться к уровню IBC (математика и консенсус сети). Если же используется DVN на основе комитета (например, стандартный вариант 2-из-3 в LayerZero или адаптер Axelar), то приложение наследует допущения о доверии соответствующей мультиподписи. Сильная сторона модели LayerZero в том, что можно комбинировать несколько верификаторов независимо. Например, требование «zk-доказательство валидно» плюс «оракул Chainlink подтверждает заголовок блока X» плюс «наш собственный валидатор подписал транзакцию» может радикально снизить риск атаки (злоумышленнику пришлось бы взломать всех одновременно). Также, позволяя приложению назначать собственный DVN, LayerZero гарантирует, что ни одно сообщение не будет выполнено без согласия приложения, если оно так настроено. Слабость в том, что если разработчики выберут небезопасную конфигурацию (ради экономии или скорости), они могут поставить систему под удар — например, использование одного DVN от неизвестной стороны аналогично доверию одному валидатору. Сам LayerZero не навязывает выбор и оставляет его за разработчиками, поэтому безопасность зависит от выбранных DVN. В итоге агрегация доказательств может обеспечить очень высокую безопасность (даже выше, чем у одного легкого клиента, за счет требования нескольких независимых доказательств), но также допускает уязвимые конфигурации при неверном подходе. Модель гибкая: приложение может максимально усилить защиту для крупных транзакций и упростить ее для менее значимых.

Живучесть и доступность

• Легкие клиенты (IBC): Живучесть зависит от релейеров и поддержания легкого клиента в актуальном состоянии. Положительная сторона заключается в том, что кто угодно может запустить релейер, поэтому система не зависит от конкретного набора узлов — если один релейер остановится, другой сможет продолжить работу. Параллельная ретрансляция в IBC 3.0 дополнительно повышает доступность, не позволяя всем пакетам выстраиваться в одну очередь через один путь. На практике соединения IBC очень надежны, но существуют сценарии, в которых живучесть может пострадать: например, если ни один релейер не отправляет обновление в течение длительного времени, срок действия легкого клиента может истечь (например, если период доверия проходит без обновления), и тогда канал закрывается в целях безопасности. Однако такие случаи редки и нивелируются активными сетями релейеров. Еще один аспект живучести: пакеты IBC зависят от финализации исходной цепочки — например, ожидание 1–2 блоков в Tendermint (несколько секунд) является стандартным. В целом, IBC обеспечивает высокую доступность, пока активен хотя бы один релейер, а задержка обычно низкая (секунды) для финализированных блоков. Здесь нет понятия выхода из сети кворума валидаторов, как в мультисигах; основным фактором задержки является собственная финализация консенсуса блокчейна.

• Валидаторы с мультиподписью (Hyperlane): Живучесть может быть слабым местом, если набор валидаторов невелик. Например, если мост использует мультиподпись 5 из 8, а 4 валидатора находятся в автономном режиме или недоступны, передача кросс-чейн сообщений прекращается, так как порог не может быть достигнут. В документации Hyperlane отмечается, что простой валидатора может остановить доставку сообщений в зависимости от настроенного порога. Это одна из причин, по которой для повышения времени безотказной работы может быть выбран более широкий комитет или более низкий порог (с компромиссом в плане безопасности). Дизайн Hyperlane позволяет развертывать новых валидаторов или переключать ISM при необходимости, но такие изменения могут потребовать координации или управления. Преимущество мостов с мультиподписью обычно заключается в быстром подтверждении после сбора порогового количества подписей — нет необходимости ждать финализации блока исходной цепочки в целевой цепочке, поскольку аттестация мультисига и есть финализация. На практике многие мосты с мультиподписью подписывают и ретранслируют сообщения в течение нескольких секунд. Таким образом, задержка может быть сопоставимой или даже ниже, чем у легких клиентов для некоторых сетей. Узким местом является медленная работа валидаторов, их географическая распределенность или наличие ручных операций. Вкратце, модели с мультиподписью могут быть высокоживучими и иметь низкую задержку большую часть времени, но они несут в себе риск живучести, сосредоточенный в наборе валидаторов — если слишком много валидаторов выйдут из строя или произойдет разделение сети между ними, мост фактически перестанет работать.

• Агрегация доказательств (LayerZero): Живучесть здесь зависит от доступности каждой DVN и релейера. Сообщение должно собрать подписи или доказательства от необходимых DVN, а затем быть передано в целевую цепочку. Приятным аспектом является то, что DVN работают независимо — если одна DVN (из набора) не работает и она не является обязательной (является лишь частью «M из N»), сообщение все равно может быть обработано, пока соблюдается порог. Модель LayerZero явно позволяет настраивать кворумы для обеспечения устойчивости к сбоям некоторых DVN. Например, набор DVN «2 из 5» может выдержать отключение 3 DVN без остановки протокола. Кроме того, поскольку любой может выполнять роль конечного Исполнителя / Релейера (Executor / Relayer), единой точки отказа для доставки сообщений не существует — если основной релейер выйдет из строя, пользователь или другая сторона может вызвать контракт с доказательствами (это аналогично концепции безразрешительного релейера в IBC). Таким образом, LayerZero v2 стремится к устойчивости к цензуре и живучести, не привязывая систему к одному посреднику. Однако если обязательные DVN являются частью стека безопасности (скажем, приложение требует, чтобы его собственная DVN всегда подписывала сообщения), то эта DVN становится зависимостью для живучести: если она отключится, сообщения будут приостановлены до ее возвращения или изменения политики безопасности. В целом, агрегацию доказательств можно настроить так, чтобы она была надежной (с резервными DVN и ретрансляцией любой стороной), что делает маловероятным одновременный выход из строя всех верификаторов. Компромисс заключается в том, что обращение к нескольким DVN может привести к некоторому увеличению задержки (например, ожидание нескольких подписей) по сравнению с одним быстрым мультисигом. Но эти DVN могут работать параллельно, и многие из них (например, сеть оракулов или легкий клиент) могут отвечать быстро. Следовательно, LayerZero может достичь высокой живучести и низкой задержки, но точные показатели зависят от того, как настроены DVN (некоторые могут ждать подтверждения нескольких блоков в исходной цепочке и т. д., что может добавить задержку для безопасности).

Стоимость и сложность

• Легкие клиенты (IBC): Этот подход, как правило, сложен в реализации, но дешев в использовании после настройки в совместимых цепочках. Сложность заключается в написании корректной реализации легкого клиента для каждого типа блокчейна — по сути, вы кодируете правила консенсуса цепочки A в смарт-контракт в цепочке B. Для цепочек на базе Cosmos SDK с похожим консенсусом это было просто, но расширение IBC за пределы Cosmos потребовало серьезных инженерных усилий (например, создание легкого клиента для финализации GRANDPA в Polkadot или планы по созданию легких клиентов Ethereum с ZK-доказательствами). Эти реализации нетривиальны и должны быть высокозащищенными. Также существуют накладные расходы на хранение данных в сети: легкому клиенту необходимо хранить информацию о недавнем наборе валидаторов или корне состояния другой цепочки. Это может увеличить размер состояния и стоимость проверки доказательств в сети. В результате прямой запуск IBC, скажем, в основной сети Ethereum (проверка заголовков Cosmos) был бы дорогим с точки зрения газа — это одна из причин, по которой такие проекты, как Polymer, создают роллап Ethereum для размещения этих легких клиентов вне основной сети. В экосистеме Cosmos транзакции IBC очень эффективны (часто стоят всего несколько центов газа), так как проверка легкого клиента (подписи ed25519, доказательства Меркла) хорошо оптимизирована на уровне протокола. Использование IBC обходится пользователям относительно дешево, а релейеры просто платят обычные комиссии за транзакции в целевых цепочках (их можно стимулировать комиссиями через промежуточное ПО ICS-29). Таким образом, стоимость IBC в основном сосредоточена в сложности разработки, но после запуска она обеспечивает нативный и эффективный транспорт. Множество подключенных цепочек Cosmos (более 100 зон) используют общую реализацию, что помогает управлять сложностью за счет стандартизации.

• Мосты с мультиподписью (Hyperlane / Wormhole и т. д.): Сложность реализации здесь зачастую ниже — основным контрактам моста в основном нужно проверять набор подписей по сохраненным публичным ключам. Эта логика проще, чем полноценный легкий клиент. Программное обеспечение валидатора вне сети действительно вносит операционную сложность (серверы, которые отслеживают события в цепочке, поддерживают дерево Меркла для сообщений, координируют сбор подписей и т. д.), но это управляется операторами моста и остается вне блокчейна. Стоимость в сети: проверка нескольких подписей (скажем, 2 или 5 подписей ECDSA) не слишком дорога, но это определенно требует больше газа, чем проверка одной пороговой подписи или проверка хеша. Некоторые мосты используют схемы агрегированных подписей (например, BLS), чтобы снизить стоимость в сети до проверки одной подписи. В целом, проверка мультиподписи в Ethereum или аналогичных сетях умеренно затратна (каждая проверка подписи ECDSA стоит около 3000 единиц газа). Если для работы моста требуется 10 подписей, это около 30 тысяч газа только на проверку, плюс хранение нового корня Меркла и т. д. Обычно это приемлемо, учитывая, что кросс-чейн переводы — это высокоценные операции, но расходы могут накапливаться. С точки зрения разработчика или пользователя взаимодействие с мостом на базе мультиподписи прямолинейно: вы вносите средства или вызываете функцию отправки, а остальное обрабатывается валидаторами / релейерами вне сети, после чего предоставляется доказательство. Для разработчиков приложений сложность минимальна, так как они просто интегрируют API или контракт моста. Одним из факторов сложности является добавление новых цепочек — каждый валидатор должен запустить узел или индексатор для каждой новой цепочки для отслеживания сообщений, что может стать головной болью в плане координации (это отмечалось как узкое место для расширения в некоторых конструкциях мультисигов). Ответом Hyperlane являются безразрешительные валидаторы (любой может присоединиться к цепочке, если ISM включает их), но приложению, развертывающему ISM, все равно необходимо сначала настроить эти ключи. В целом, модели с мультиподписью проще запустить в гетерогенных цепочках (нет необходимости в специализированном легком клиенте для каждой сети), что ускоряет их выход на рынок, но они влекут за собой операционную сложность вне сети и умеренные затраты на проверку в блокчейне.

• Агрегация доказательств (LayerZero): Сложность здесь заключается в координации множества возможных методов проверки. LayerZero предоставляет стандартизированный интерфейс (контракты Endpoint и MessageLib) и ожидает, что DVN будут придерживаться определенного API проверки. С точки зрения приложения использование LayerZero довольно просто (достаточно вызвать lzSend и реализовать обратные вызовы lzReceive), но «под капотом» происходит много процессов. Каждая DVN может иметь собственную инфраструктуру вне сети (некоторые DVN сами по себе являются мини-мостами, как сеть Axelar или служба оракулов Chainlink). Протокол сам по себе сложен, так как он должен безопасно агрегировать разрозненные типы доказательств — например, одна DVN может предоставить доказательство блока EVM, другая — SNARK, третья — подпись и т. д., а контракт должен по очереди проверить каждое из них. Преимущество заключается в том, что большая часть этой сложности абстрагирована фреймворком LayerZero. Стоимость зависит от того, сколько и какого типа доказательств требуется: проверка SNARK может быть дорогой (проверка ZK-доказательств в сети может стоить сотни тысяч газа), в то время как проверка пары подписей дешевле. LayerZero позволяет приложению самому решать, сколько оно готово платить за безопасность каждого сообщения. Также существует концепция оплаты работы DVN — полезная нагрузка сообщения включает в себя плату за услуги DVN. Например, приложение может прикрепить комиссионные, которые стимулируют DVN и Исполнителей оперативно обрабатывать сообщение. Это добавляет измерение стоимости: более безопасная конфигурация (с использованием множества DVN или дорогих доказательств) будет стоить дороже в плане комиссий, тогда как простая конфигурация DVN «1 из 1» (например, один релейер) может быть очень дешевой, но менее безопасной. Обновляемость и управление также являются частью сложности: поскольку приложения могут менять свой стек безопасности, должен существовать процесс управления или ключ администратора для этого, что само по себе является точкой доверия или сложности для управления. В итоге агрегация доказательств через LayerZero чрезвычайно гибкая, но сложная внутри. Стоимость одного сообщения может быть оптимизирована путем выбора эффективных DVN (например, использование оптимизированного ультралегкого клиента или использование эффекта масштаба существующей сети оракулов). Многим разработчикам покажется привлекательной природа «подключи и работай» (с предоставленными настройками по умолчанию) — например, простое использование набора DVN по умолчанию для удобства, — но это опять же может привести к субоптимальным предположениям о доверии, если в этом не разобраться.

Обновляемость и управление

• Легкие клиенты (IBC): Соединения и клиенты IBC можно обновлять через предложения по ончейн-управлению в цепочках-участниках (особенно если легкому клиенту требуется исправление или обновление для хардфорка в исходной цепочке). Обновление самого протокола IBC (например, с функций IBC 2.0 до 3.0) также требует управления цепочкой для принятия новых версий программного обеспечения. Это означает, что IBC имеет осознанный путь обновления — изменения происходят медленно и требуют консенсуса, но это соответствует подходу, ориентированному на безопасность. Не существует единой организации, которая могла бы «щелкнуть выключателем»; управление каждой цепочки должно одобрять изменения клиентов или параметров. Положительным моментом является то, что это предотвращает односторонние изменения, которые могут внести уязвимости. Отрицательным моментом является меньшая гибкость — например, если в легком клиенте обнаружена ошибка, для ее исправления может потребоваться скоординированное голосование по управлению во многих цепочках (хотя существуют механизмы экстренной координации). С точки зрения dApp, IBC на самом деле не имеет «управления на уровне приложения» — это инфраструктура, предоставляемая цепочкой. Приложения просто используют модули IBC (например, передачу токенов или межцепочечные аккаунты) и полагаются на безопасность цепочки. Таким образом, управление и обновления происходят на уровне блокчейна (управление Hub и Zone). Одной из интересных новых функций IBC являются пользовательские каналы и маршрутизация (например, хабы вроде Polymer или Nexus), которые позволяют переключать базовые методы верификации без прерывания работы приложений. Но в целом IBC стабилен и стандартизирован — обновляемость возможна, но происходит редко, что способствует его надежности.

• Мультисиг-мосты (Hyperlane/Wormhole): Эти системы часто имеют механизм администрирования или управления для обновления контрактов, изменения наборов валидаторов или модификации параметров. Например, добавление нового валидатора в набор или ротация ключей может потребовать мультисига владельца моста или голосования DAO. Поскольку Hyperlane является безразрешительным (permissionless), любой пользователь может развернуть свой собственный ISM с кастомным набором валидаторов, но при использовании настроек по умолчанию обновления, скорее всего, контролирует команда Hyperlane или сообщество. Обновляемость — это палка о двух концах: с одной стороны, легко обновлять / улучшать, с другой — это может быть риском централизации (если привилегированный ключ может обновлять контракты моста, этот ключ теоретически может совершить рагпул моста). Хорошо управляемый протокол будет ограничивать это (например, через временные блокировки (time-locks) обновлений или использование децентрализованного управления). Философия Hyperlane — модульность, поэтому приложение может даже обойти вышедший из строя компонент, переключив ISM и т. д. Это дает разработчикам возможность реагировать на угрозы (например, если есть подозрение, что один набор валидаторов скомпрометирован, приложение может быстро перейти на другую модель безопасности). Накладные расходы на управление заключаются в том, что приложениям необходимо выбирать модель безопасности и, возможно, управлять ключами для своих собственных валидаторов или следить за обновлениями основного протокола Hyperlane. Вкратце, системы на основе мультисига более обновляемы (контракты часто подлежат обновлению, а комитеты настраиваемы), что хорошо для быстрого улучшения и добавления новых цепочек, но это требует доверия к процессу управления. Многие эксплойты мостов в прошлом происходили из-за скомпрометированных ключей обновления или несовершенного управления, поэтому к этой области следует относиться осторожно. С положительной стороны, добавление поддержки новой цепочки может быть таким же простым, как развертывание контрактов и получение валидаторов для запуска узлов — фундаментальных изменений протокола не требуется.

• Агрегация доказательств (LayerZero): LayerZero продвигает неизменяемый транспортный уровень (контракты эндпоинтов не подлежат обновлению), но модули верификации (библиотеки сообщений и адаптеры DVN) являются дополняемыми (append-only) и конфигурируемыми. На практике это означает, что основной контракт LayerZero в каждой цепочке остается фиксированным (обеспечивая стабильный интерфейс), в то время как новые DVN или варианты верификации могут добавляться со временем без изменения ядра. Разработчики приложений имеют контроль над своим стеком безопасности: они могут добавлять или удалять DVN, изменять глубину подтверждения блоков и т. д. Это форма обновляемости на уровне приложения. Например, если конкретный DVN устареет или появится новый, более эффективный (например, более быстрый zk-клиент), команда приложения может интегрировать его в свою конфигурацию, обеспечивая актуальность dApp в будущем. Преимущество очевидно: приложения не застревают на технологиях безопасности вчерашнего дня; они могут адаптироваться (с должной осторожностью) к новым разработкам. Однако это поднимает вопросы управления: кто внутри приложения решает изменить набор DVN? В идеале, если приложение децентрализовано, изменения должны проходить через управление или быть жестко закодированы, если они хотят неизменяемости. Если один администратор может изменить стек безопасности, это точка доверия (он может снизить требования к безопасности при злонамеренном обновлении). Собственные рекомендации LayerZero поощряют создание надежного управления для таких изменений или даже придание определенным аспектам статуса неизменяемых при необходимости. Еще одним аспектом управления является управление комиссиями — оплата DVN и реляторов может быть настроена, а неверные стимулы могут повлиять на производительность (хотя по умолчанию рыночные силы должны корректировать комиссии). В целом, модель LayerZero обладает высокой степенью расширяемости и обновляемости в плане добавления новых методов верификации (что отлично подходит для долгосрочной совместимости), однако ответственность за ответственное управление этими обновлениями лежит на каждом приложении. Базовые контракты LayerZero неизменяемы, чтобы гарантировать, что транспортный уровень не может быть подвергнут рагпулу или цензуре, что внушает уверенность в том, что сам конвейер передачи сообщений останется нетронутым при обновлениях.

Для обобщения сравнения в таблице ниже выделены ключевые различия:

Аспект	IBC (Легкие клиенты)	Hyperlane (Мультисиг)	LayerZero v2 (Агрегация)
Модель доверия	Доверие консенсусу исходной цепочки (никакого дополнительного доверия).	Доверие комитету валидаторов моста (например, порог мультисига). Слэшинг может смягчить риск.	Доверие зависит от выбранных DVN. Может имитировать легкий клиент или мультисиг, или их комбинацию (доверие хотя бы одному из выбранных верификаторов).
Безопасность	Высочайшая — криптографическое доказательство валидности через легкий клиент. Атаки требуют компрометации исходной цепочки или легкого клиента.	Высокая, если комитет состоит из честного большинства, но слабее, чем у легкого клиента. Сговор комитета или компрометация ключей — основная угроза.	Потенциально очень высокая — может требовать нескольких независимых доказательств (например, zk + мультисиг + оракул). Но настраиваемая безопасность означает, что она сильна лишь настолько, насколько сильны самые слабые выбранные DVN.
Живучесть	Очень хорошая, пока активен хотя бы один релятор. Параллельные реляторы и цепочки с быстрым завершением транзакций обеспечивают доставку почти в реальном времени.	Хорошая при нормальных условиях (быстрые подписи). Но зависит от аптайма валидаторов. Простой кворума = остановка. Расширение на новые цепочки требует поддержки комитета.	Очень хорошая; несколько DVN обеспечивают избыточность, и любой пользователь может ретранслировать транзакции. Обязательные DVN могут стать точками отказа при неправильной настройке. Задержку можно регулировать (например, ожидание подтверждений против скорости).
Стоимость	Высокая сложность реализации клиентов на начальном этапе. Ончейн-верификация консенсуса (подписи, доказательства Меркла), оптимизированная в Cosmos. Низкая стоимость сообщения в нативных средах IBC; потенциально дорого в ненативных цепочках без специальных решений.	Более низкая сложность разработки основных контрактов. Ончейн-стоимость масштабируется в зависимости от количества подписей на сообщение. Офчейн-затраты на валидаторов (узлы в каждой цепочке). Возможно, более высокий газ, чем у легкого клиента при большом количестве подписей, но часто приемлемо.	Сложность от умеренной до высокой. Стоимость одного сообщения варьируется: каждое доказательство DVN (подпись или SNARK) добавляет газ на верификацию. Приложения платят DVN за обслуживание. Можно оптимизировать затраты, выбирая меньше доказательств или более дешевые варианты для малоценных сообщений.
Обновляемость	Протокол развивается через управление цепочкой (медленно, консервативно). Обновления легких клиентов требуют координации, но стандартизация сохраняет стабильность. Добавление новых цепочек требует создания / утверждения новых типов клиентов.	Гибкость — наборы валидаторов и ISM могут быть изменены через управление или администратора. Проще быстро интегрировать новые цепочки. Риск при компрометации ключей обновления или управления. Обычно обновляемые контракты (требуется доверие к администраторам).	Высокая модульность — новые DVN / методы верификации могут добавляться без изменения ядра. Приложения могут менять конфигурацию безопасности по мере необходимости. Основные эндпоинты неизменяемы (нет централизованных обновлений), но требуется управление на уровне приложений для изменений безопасности во избежание злоупотреблений.

Влияние на компонуемость и общую ликвидность в DeFi

Кросс-чейн обмен сообщениями открывает новые мощные паттерны для компонуемости — возможности взаимодействия DeFi-контрактов в разных сетях — и обеспечивает общую ликвидность, объединяя активы из разных блокчейнов в единый рынок. Модели безопасности, рассмотренные выше, влияют на то, насколько уверенно и беспрепятственно протоколы могут использовать кросс-чейн функции. Ниже мы рассмотрим, как каждый подход поддерживает мультичейн DeFi на реальных примерах:

• Омничейн DeFi через LayerZero (Stargate, Radiant, Tapioca): Общий протокол обмена сообщениями LayerZero и стандарт Omnichain Fungible Token (OFT) созданы для того, чтобы разрушить изоляцию ликвидности. Например, Stargate Finance использует LayerZero для реализации единого пула ликвидности для мостов нативных активов — вместо фрагментированных пулов в каждой сети контракты Stargate во всех сетях подключаются к общему пулу, а сообщения LayerZero управляют логикой блокировки / разблокировки в разных блокчейнах. Это привело к ежемесячному объему торгов в мостах Stargate более 800 миллионов долларов, что демонстрирует значительную общую ликвидность. Полагаясь на безопасность LayerZero (при этом Stargate, предположительно, использует надежный набор DVN), пользователи могут переводить активы с высокой степенью уверенности в подлинности сообщений. Radiant Capital — еще один пример, кросс-чейн протокол кредитования, где пользователи могут вносить депозит в одной сети и брать взаймы в другой. Он использует сообщения LayerZero для координации состояния аккаунтов между сетями, фактически создавая единый рынок кредитования в нескольких сетях. Аналогично, Tapioca (омничейн денежный рынок) использует LayerZero v2 и даже запускает собственный DVN в качестве обязательного верификатора для защиты своих сообщений. Эти примеры показывают, что благодаря гибкой системе безопасности LayerZero может поддерживать сложные кросс-чейн операции, такие как кредитные проверки, перемещение залога и ликвидации в разных сетях. Компонуемость обеспечивается стандартом LayerZero «OApp» (Omnichain Application), который позволяет разработчикам развертывать один и тот же контракт во многих сетях и координировать их работу через сообщения. Пользователь взаимодействует с инстансом в любой сети и воспринимает приложение как единую систему. Модель безопасности позволяет выполнять тонкую настройку: например, для крупных переводов или ликвидаций может потребоваться больше подписей DVN (для безопасности), в то время как небольшие действия проходят по более быстрым и дешевым путям. Такая гибкость гарантирует, что ни безопасность, ни пользовательский опыт (UX) не должны быть универсальными для всех случаев. На практике модель LayerZero значительно расширила возможности общей ликвидности, о чем свидетельствуют десятки проектов, принявших OFT для токенов (чтобы токен мог существовать как «омничейн», а не как отдельные обернутые активы). Например, стейблкоины и токены управления могут использовать OFT для поддержания единого общего предложения во всех сетях, избегая фрагментации ликвидности и проблем с арбитражем, которые преследовали ранние обернутые токены. В целом, предоставляя надежный слой обмена сообщениями и позволяя приложениям контролировать модель доверия, LayerZero стимулировал создание новых конструкций мультичейн DeFi, которые рассматривают несколько сетей как единую экосистему. Компромисс заключается в том, что пользователи и проекты должны понимать предположения о доверии каждого омничейн-приложения (поскольку они могут различаться). Но такие стандарты, как OFT, и широко используемые DVN по умолчанию помогают сделать это более единообразным.

• Межсетевые аккаунты и сервисы в IBC (Cosmos DeFi): В мире Cosmos протокол IBC обеспечил богатый спектр кросс-чейн функциональности, выходящий за рамки простых переводов токенов. Флагманской функцией являются Interchain Accounts (ICA), которые позволяют блокчейну (или пользователю в сети A) управлять аккаунтом в сети B так, как если бы он был локальным. Это реализуется через пакеты IBC, содержащие транзакции. Например, Cosmos Hub может использовать межсетевой аккаунт в Osmosis для стейкинга или обмена токенов от имени пользователя — и все это инициируется из Hub. Конкретный DeFi-кейс — протокол ликвидного стейкинга Stride: Stride (отдельная сеть) получает токены, такие как ATOM, от пользователей и, используя ICA, удаленно размещает эти ATOM в стейкинге в Cosmos Hub, а затем выпускает stATOM (ликвидный стейкинг ATOM) обратно пользователям. Весь процесс является бездоверительным и автоматизирован через IBC — модуль Stride управляет аккаунтом в Hub, который выполняет транзакции делегирования и отмены делегирования, а подтверждения и тайм-ауты обеспечивают безопасность. Это демонстрирует кросс-чейн компонуемость: два суверенных блокчейна беспрепятственно выполняют совместный рабочий процесс (стейкинг здесь, минт токена там). Другой пример — Osmosis (DEX-сеть), которая использует IBC для привлечения активов из более чем 95 подключенных сетей. Пользователи из любой зоны могут торговать на Osmosis, отправляя свои токены через IBC. Благодаря высокой безопасности IBC, Osmosis и другие протоколы уверенно рассматривают IBC-токены как подлинные (не нуждаясь в доверенных кастодианах). Это позволило Osmosis стать одной из крупнейших межсетевых DEX, где ежедневный объем переводов IBC, по сообщениям, превышает объем многих мостовых систем. Более того, с появлением Interchain Queries (ICQ) в IBC 3.0 смарт-контракт в одной сети может получать данные (такие как цены, процентные ставки или позиции) из другой сети с минимизацией доверия. Это может позволить, например, создать межсетевой агрегатор доходности, который запрашивает ставки доходности в нескольких зонах и соответствующим образом перераспределяет активы, и все это через сообщения IBC. Ключевым влиянием модели легкого клиента IBC на компонуемость является уверенность и нейтральность: сети остаются суверенными, но могут взаимодействовать, не опасаясь риска стороннего моста. Такие проекты, как Composable Finance и Polymer, даже расширяют IBC на экосистемы, не входящие в Cosmos (Polkadot, Ethereum), чтобы задействовать эти возможности. Результатом может стать будущее, в котором любая сеть, принявшая стандарт клиента IBC, сможет подключиться к «универсальному интернету блокчейнов». Общая ликвидность в Cosmos уже значительна — например, нативная DEX Cosmos Hub (Gravity DEX) и другие полагаются на IBC для объединения ликвидности из различных зон. Однако ограничением до сих пор является то, что DeFi в Cosmos в основном асинхронны: вы инициируете действие в одной сети, результат появляется в другой с небольшой задержкой (в секундах). Это нормально для таких вещей, как торговля и стейкинг, но более сложная синхронная компонуемость (например, флэш-займы между сетями) остается недоступной из-за фундаментальной задержки. Тем не менее, спектр кросс-чейн DeFi, поддерживаемый IBC, широк: мультичейн доходное фермерство (перемещение средств туда, где доходность выше), кросс-чейн управление (одна сеть голосует за выполнение действий в другой через пакеты управления) и даже Interchain Security, где потребительская сеть использует набор валидаторов сети-провайдера (через пакеты валидации IBC). Подводя итог, защищенные каналы IBC способствовали развитию межсетевой экономики в Cosmos — экономики, в которой проекты могут специализироваться на отдельных блокчейнах, но при этом плавно работать вместе через сообщения с минимизацией доверия. Общая ликвидность очевидна в таких вещах, как поток активов в Osmosis и появление нативных стейблкоинов Cosmos, которые свободно перемещаются между зонами.

• Гибридные и другие мультичейн-подходы (Hyperlane и не только): Видение Hyperlane о безразрешительном соединении привело к появлению таких концепций, как Warp Routes для мостов активов и межсетевые dApps, охватывающие различные экосистемы. Например, Warp Route может позволить токену ERC-20 в Ethereum быть «телепортированным» в программу Solana, используя под капотом слой сообщений Hyperlane. Одной из конкретных реализаций для пользователей является мост Hyperlane Nexus, который предоставляет интерфейс для перевода активов между многими сетями через инфраструктуру Hyperlane. Используя модульную модель безопасности, Hyperlane может адаптировать безопасность для каждого маршрута: небольшой перевод может проходить по простому быстрому пути (только подписи валидаторов Hyperlane), в то время как крупный перевод может потребовать агрегированного ISM (Hyperlane + Wormhole + Axelar подтверждают транзакцию). Это гарантирует, что перемещение высоколиквидных активов защищено несколькими мостами — что повышает уверенность, например, при перемещении 10 миллионов долларов актива между сетями (для кражи пришлось бы взломать несколько сетей) ценой более высокой сложности / комиссии. С точки зрения компонуемости Hyperlane обеспечивает то, что они называют «взаимодействием контрактов» — смарт-контракт в сети A может вызвать функцию в сети B так, как если бы она была локальной, после доставки сообщений. Разработчики интегрируют Hyperlane SDK для легкой отправки этих кросс-чейн вызовов. Примером может служить кросс-чейн агрегатор DEX, который частично находится в Ethereum, а частично в BNB Chain, используя сообщения Hyperlane для арбитража между ними. Поскольку Hyperlane поддерживает EVM и не-EVM сети (даже ведется работа по интеграции CosmWasm и MoveVM), он стремится соединить «любую сеть, любую VM». Этот широкий охват может увеличить общую ликвидность за счет объединения экосистем, которые иначе не были бы легко связаны. Однако фактическое внедрение Hyperlane в крупномасштабные DeFi-проекты все еще растет. Он пока не обладает такими объемами, как Wormhole или LayerZero в сфере мостов, но его безразрешительный характер привлек экспериментаторов. Например, некоторые проекты использовали Hyperlane для быстрого подключения специфических для приложений роллапов к Ethereum, потому что они могли настроить собственный набор валидаторов и не ждать сложных решений с легкими клиентами. По мере роста рестейкинга (EigenLayer), Hyperlane может получить большее распространение, предлагая безопасность уровня Ethereum любому роллапу с относительно низкой задержкой. Это может ускорить создание новых мультичейн-композиций — например, роллап Optimism и zk-роллап Polygon обмениваются сообщениями через Hyperlane AVS, при этом каждое сообщение подкреплено ETH, который может быть подвергнут слэшингу в случае мошенничества. Влияние на компонуемость заключается в том, что даже экосистемы без общего стандарта (например, Ethereum и произвольный L2) могут получить контракт моста, которому доверяют обе стороны (поскольку он экономически защищен). Со временем это может привести к созданию сети взаимосвязанных DeFi-приложений, где компонуемость «настраивается» разработчиком (выбор того, какие модули безопасности использовать для конкретных вызовов).

Во всех этих случаях очевидна взаимосвязь между моделью безопасности и компонуемостью. Проекты доверят крупные пулы ликвидности кросс-чейн системам только в том случае, если безопасность будет непоколебимой — отсюда и стремление к конструкциям с минимизацией доверия или экономической защитой. В то же время простота интеграции (опыт разработчиков) и гибкость влияют на то, насколько креативно команды могут использовать преимущества нескольких сетей. LayerZero и Hyperlane ориентированы на простоту для разработчиков (достаточно импортировать SDK и использовать знакомые вызовы отправки / получения), тогда как IBC, будучи более низкоуровневым протоколом, требует более глубокого понимания модулей и может обрабатываться скорее разработчиками блокчейнов, чем разработчиками приложений. Тем не менее, все три подхода ведут к будущему, в котором пользователи взаимодействуют с мультичейн-dApps, даже не зная, в какой сети они находятся — приложение беспрепятственно использует ликвидность и функциональность отовсюду. Например, пользователь кредитного приложения может внести депозит в сети A и даже не осознавать, что заем был взят из пула в сети B — все это обеспечивается кросс-чейн сообщениями и надлежащей проверкой.

Реализации, модели угроз и внедрение на практике

Важно оценить, как эти протоколы показывают себя в реальных условиях — их текущие реализации, известные векторы угроз и уровни внедрения:

• LayerZero v2 в эксплуатации: LayerZero v1 (с моделью из двух сущностей Oracle + Relayer) получил значительное распространение, обеспечив объем переводов на сумму более 50 млрд $ и более 134 млн кроссчейн-сообщений по состоянию на середину 2024 года. Он интегрирован с 60 + блокчейнами, в основном с EVM-цепями, а также с не-EVM, такими как Aptos, и на горизонте уже маячит экспериментальная поддержка Solana. LayerZero v2 был запущен в начале 2024 года, представив DVN (децентрализованные сети верификаторов) и модульную безопасность. Крупные платформы, такие как Radiant Capital, SushiXSwap, Stargate, PancakeSwap и другие, уже начали миграцию или разработку на v2, чтобы использовать его гибкость. Одной из примечательных интеграций является Flare Network (Layer 1, ориентированный на данные), который внедрил LayerZero v2 для одновременного подключения к 75 цепям. Flare привлекла возможность настройки безопасности: например, использование одного быстрого DVN для сообщений с низкой стоимостью и требование нескольких DVN для транзакций с высокой стоимостью. Это показывает, что в реальной эксплуатации приложения действительно используют подход «смешивай и сочетай» (mix and match) в обеспечении безопасности как конкурентное преимущество. Безопасность и аудиты: Контракты LayerZero неизменяемы и прошли аудит (v1 имел несколько аудитов, v2 также). Основной угрозой в v1 был сговор Oracle + Relayer — если две внесетевые стороны сговорятся, они могут подделать сообщение. В v2 эта угроза обобщена до сговора DVN. Если все DVN, на которые полагается приложение, будут скомпрометированы одной сущностью, поддельное сообщение может быть принято. Ответ LayerZero заключается в поощрении использования специфичных для приложений DVN (чтобы злоумышленнику пришлось скомпрометировать и команду приложения) и разнообразия верификаторов (что усложняет сговор). Другой потенциальной проблемой является неправильная настройка или злоупотребление обновлением — если владелец приложения злонамеренно переключится на тривиальный стек безопасности (например, DVN состава 1-из-1, контролируемый им самим), он сможет обойти защиту, чтобы эксплойтить своих собственных пользователей. Это скорее риск управления, чем баг протокола, и сообществам необходимо сохранять бдительность в отношении того, как настроена безопасность омничейн-приложения (желательно требовать мультисиг или одобрение сообщества для внесения изменений). С точки зрения внедрения, LayerZero на данный момент имеет, пожалуй, самое широкое использование среди протоколов обмена сообщениями в DeFi: он обеспечивает работу мостов для Stargate, интеграции Circle CCTP (для переводов USDC), кроссчейн-свопов Sushi, многих NFT-мостов и бесчисленных токенов OFT (проекты выбирают LayerZero, чтобы сделать свой токен доступным в нескольких сетях). Сетевые эффекты сильны — по мере того как все больше цепей интегрируют эндпоинты LayerZero, новым сетям становится проще присоединиться к «омничейн» сети. LayerZero Labs сама управляет одной DVN, а сообщество (включая таких провайдеров, как Google Cloud, Polyhedra для zk-доказательств и т. д.) к 2024 году запустило более 15 DVN. На сегодняшний день не произошло ни одного крупного эксплойта основного протокола LayerZero, что является положительным знаком (хотя случались некоторые хаки на уровне приложений или ошибки пользователей, как и с любой технологией). Дизайн протокола, заключающийся в простоте транспортного уровня (по сути, просто хранение сообщений и требование доказательств), минимизирует уязвимости ончейн, перенося большую часть сложности оффчейн на DVN.

• Hyperlane в эксплуатации: Hyperlane (ранее Abacus) работает в многочисленных сетях, включая Ethereum, несколько L2 (Optimism, Arbitrum, zkSync и т. д.), сети Cosmos, такие как Osmosis, через модуль Cosmos-SDK, и даже сети MoveVM (поддержка довольно широкая). Однако его внедрение отстает от таких лидеров, как LayerZero и Wormhole, с точки зрения объема. Hyperlane часто упоминается в контексте решения для «суверенных мостов» (sovereign bridge) — т. е. проект может развернуть Hyperlane, чтобы иметь собственный мост с настраиваемой безопасностью. Например, некоторые команды аппчейнов (appchains) использовали Hyperlane для подключения своей сети к Ethereum, не полагаясь на общий мост. Примечательным событием является запуск Hyperlane Active Validation Service (AVS) в середине 2024 года, что стало одним из первых применений рестейкинга Ethereum. Валидаторы (многие из которых являются топовыми операторами EigenLayer) рестейкают ETH для обеспечения безопасности сообщений Hyperlane, ориентируясь изначально на быстрый обмен сообщениями между роллапами. На данный момент это обеспечивает интероперабельность между L2-роллапами Ethereum с хорошими результатами — по сути, обеспечивая почти мгновенную передачу сообщений (быстрее, чем ожидание 7-дневного окна вывода из оптимистичных роллапов) с экономической безопасностью, привязанной к Ethereum. Что касается модели угроз, первоначальный подход Hyperlane с мультисигом мог быть атакован, если скомпрометировано достаточное количество ключей валидаторов (как и в любом мосту с мультисигом). У Hyperlane был инцидент с безопасностью в прошлом: в августе 2022 года во время раннего тестнета или запуска произошел эксплойт, когда злоумышленник смог перехватить ключ развертывания (deployer key) токен-моста Hyperlane в одной сети и выпустить токены (убыток около 700 тыс. $). Это не было провалом самого мультисига, а скорее упущением в операционной безопасности при развертывании — это подчеркнуло риски возможности обновления и управления ключами. Команда возместила убытки и улучшила процессы. Это подтверждает, что ключи управления являются частью модели угроз — защита административного контроля так же важна, как и защита валидаторов. С появлением AVS модель угроз смещается в контекст EigenLayer: если кто-то сможет вызвать ложный слэшинг или избежать слэшинга, несмотря на неправомерное поведение, это станет проблемой; но протокол EigenLayer обрабатывает логику слэшинга на Ethereum, которая надежна при условии правильной подачи доказательств мошенничества. Внедрение Hyperlane в настоящее время растет в сегменте роллапов и среди некоторых специализированных цепей. Возможно, он еще не обрабатывает многомиллиардные потоки, как некоторые конкуренты, но он занимает нишу, где разработчики хотят полного контроля и легкой расширяемости. Модульный дизайн ISM означает, что мы можем увидеть креативные настройки безопасности: например, DAO может потребовать не только подписи Hyperlane, но и временную блокировку (time-lock) или подпись второго моста для любого административного сообщения и т. д. Безразрешительный этос Hyperlane (любой может запустить валидатора или развернуться в новой сети) может оказаться мощным в долгосрочной перспективе, но это также означает, что экосистема должна созреть (например, больше сторонних валидаторов должны присоединиться для децентрализации набора по умолчанию; по состоянию на 2025 год неясно, насколько децентрализован набор активных валидаторов на практике). В целом, траектория Hyperlane направлена на повышение безопасности (с помощью рестейкинга) и простоты использования, но ему нужно будет продемонстрировать устойчивость и привлечь значительную ликвидность, чтобы достичь того же уровня доверия сообщества, что и IBC или даже LayerZero.

• IBC 3.0 и интероперабельность Cosmos в эксплуатации: IBC работает с 2021 года и чрезвычайно проверен в боях внутри экосистемы Cosmos. К 2025 году он соединяет 115 + зон (включая Cosmos Hub, Osmosis, Juno, Cronos, Axelar, Kujira и др.) с миллионами транзакций в месяц и многомиллиардными потоками токенов. Примечательно, что на уровне протокола не было зафиксировано крупных сбоев в системе безопасности. Был один заметный инцидент, связанный с IBC: в октябре 2022 года в коде IBC была обнаружена критическая уязвимость (затрагивающая все реализации v2.0), которая могла позволить злоумышленнику вывести средства из многих цепей, подключенных к IBC. Однако она была устранена скрытно через скоординированные обновления до того, как о ней было объявлено публично, и эксплойта не произошло. Это стало тревожным звонком о том, что даже формально верифицированные протоколы могут иметь ошибки. С тех пор IBC прошел дополнительный аудит и укрепление. Модель угроз для IBC в основном касается безопасности цепей: если одна из подключенных цепей враждебна или подвергается атаке 51 %, она может попытаться передать неверные данные легкому клиенту контрагента. Меры по смягчению последствий включают использование управления (governance) для остановки или закрытия соединений с небезопасными цепями (например, управление Cosmos Hub может проголосовать за отключение обновлений клиента для конкретной цепи, если обнаружено, что она взломана). Кроме того, клиенты IBC часто имеют согласование периода разблокировки (unbonding period) или периода доверия — например, легкий клиент Tendermint не примет обновление набора валидаторов старше периода разблокировки (для предотвращения атак «дальнего действия»). Другой возможной проблемой является цензура ретрансляторов — если ни один ретранслятор не доставляет пакеты, средства могут застрять из-за тайм-аутов; но поскольку ретрансляция не требует разрешений и часто стимулируется, это обычно носит временный характер. С внедрением межчейн-запросов (Interchain Queries) и новых функций IBC 3.0 мы видим использование в таких решениях, как агрегаторы кроссчейн-DEX (например, Skip Protocol, использующий ICQ для сбора данных о ценах в разных цепях) и кроссчейн-управление (например, Cosmos Hub, использующий межчейн-аккаунты для управления Neutron, потребительской цепью). История внедрения за пределами Cosmos также развивается: такие проекты, как Polymer и Astria (центр интероперабельности для роллапов), эффективно переносят IBC в роллапы Ethereum через модель «концентратор и спица» (hub / spoke), а парачейны Polkadot успешно использовали IBC для подключения к цепям Cosmos (например, мост Centauri между Cosmos и Polkadot, созданный Composable Finance, использует IBC «под капотом» с легким клиентом GRANDPA на стороне Cosmos). Существует даже реализация IBC-Solidity, разрабатываемая Polymer и DataChain, которая позволит смарт-контрактам Ethereum верифицировать пакеты IBC (используя легкий клиент или доказательства валидности). Если эти усилия увенчаются успехом, это может значительно расширить использование IBC за пределами Cosmos, выведя его модель с минимизацией доверия в прямую конкуренцию с более централизованными мостами в этих сетях. С точки зрения общей ликвидности, самым большим ограничением Cosmos было отсутствие нативного стейблкоина или DEX с глубокой ликвидностью на уровне Ethereum — это меняется с появлением нативных стейблкоинов Cosmos (таких как IST, CMST) и подключением таких активов, как USDC (Axelar и Gravity bridge принесли USDC, а теперь Circle запускает нативный USDC в Cosmos через Noble). По мере углубления ликвидности сочетание высокой безопасности и бесшовных переводов IBC может сделать Cosmos центром кроссчейн-торговли в DeFi — действительно, в отчете Blockchain Capital отмечалось, что IBC уже обрабатывал больший объем, чем LayerZero или Wormhole к началу 2024 года, хотя в основном это происходит за счет трафика внутри Cosmos (что свидетельствует об очень активной межчейн-экономике). В будущем главной задачей и возможностью для IBC станет расширение на гетерогенные цепи без ущерба для его этоса безопасности.

В итоге каждый протокол развивается: LayerZero быстро интегрируется со многими цепями и приложениями, отдавая приоритет гибкости и внедрению разработчиками, и снижает риски, позволяя приложениям участвовать в собственной безопасности. Hyperlane внедряет инновации с помощью рестейкинга и модульности, стремясь стать самым простым способом подключения новых цепей с настраиваемой безопасностью, хотя он все еще находится в процессе формирования доверия и накопления опыта использования. IBC является золотым стандартом бездоверительности (trustlessness) в своей области, эволюционируя в сторону увеличения скорости (IBC 3.0) и надеясь выйти за пределы Cosmos, опираясь на солидный послужной список. Пользователям и проектам разумно учитывать зрелость и инциденты безопасности каждого из них: IBC имеет годы стабильной работы (и огромный объем), но ограничен определенными экосистемами; LayerZero быстро набрал популярность, но требует понимания пользовательских настроек безопасности; Hyperlane новее в исполнении, но перспективен в своем видении, делая осторожные шаги в сторону экономической безопасности.

Заключение и перспективы: архитектура интероперабельности для мультичейн-будущего

Долгосрочная жизнеспособность и интероперабельность мультичейн-ландшафта DeFi, вероятно, будут определяться сосуществованием и даже взаимодополнением всех трех моделей безопасности. Каждому подходу присущи свои сильные стороны, и вместо универсального решения мы можем увидеть стек, в котором модель легкого клиента (IBC) обеспечивает базу с высочайшими гарантиями для ключевых маршрутов (особенно между крупными сетями), в то время как системы с агрегацией доказательств (LayerZero) обеспечивают универсальную связность с настраиваемым уровнем доверия, а модели мультисиг (Hyperlane и другие) удовлетворяют нишевые потребности или позволяют быстро запускать новые экосистемы.

Компромисс между безопасностью и связностью: Легкие клиенты, такие как IBC, предлагают нечто наиболее близкое к «интернету блокчейнов» — нейтральный стандартизированный транспортный уровень, аналогичный TCP/IP. Они гарантируют, что интероперабельность не привнесет новых уязвимостей, что критически важно для долгосрочной устойчивости. Однако они требуют широкого согласия по стандартам и значительных инженерных затрат на каждую сеть, что замедляет скорость формирования новых соединений. С другой стороны, LayerZero и Hyperlane отдают приоритет немедленной связности и гибкости, признавая, что не каждая сеть будет внедрять один и тот же протокол. Они стремятся соединить «любых с любыми», даже если на промежуточном этапе это означает принятие чуть большего доверия. Со временем можно ожидать сокращения этого разрыва: LayerZero может интегрировать больше минимизирующих доверие DVN (даже сам IBC может быть обернут в DVN), а Hyperlane может использовать экономические механизмы для приближения к безопасности нативной верификации. Действительно, проект Polymer предполагает, что IBC и LayerZero не обязательно должны быть конкурентами, а могут наслаиваться друг на друга — например, LayerZero может использовать легкий клиент IBC в качестве одного из своих DVN, когда он доступен. Подобное взаимопроникновение технологий вероятно по мере созревания пространства.

Компонуемость и единая ликвидность: С точки зрения пользователя DeFi, конечная цель состоит в том, чтобы ликвидность стала независимой от конкретной сети (chain-agnostic). Мы уже видим первые шаги: с омничейн-токенами (OFT) вам не нужно беспокоиться о том, в какой сети находится ваша версия токена, а на кросс-чейн рынках капитала вы можете брать займы в любой сети под залог в другой. Архитектурные решения напрямую влияют на доверие пользователей к этим системам. Если происходит взлом моста (как это исторически случалось с некоторыми мультисиг-мостами), это подрывает доверие и, следовательно, ликвидность — пользователи уходят на более безопасные площадки или требуют премию за риск. Таким образом, протоколы, которые последовательно демонстрируют безопасность, станут основой для крупнейших пулов ликвидности. Межсетевая безопасность (interchain security) Cosmos и IBC показали один путь: множество книг ордеров и AMM в разных зонах по сути объединяются в один большой рынок, поскольку переводы бездоверительны и быстры. Stargate от LayerZero показал другой путь: единый пул ликвидность может обслуживать переводы во многих сетях, но это требовало от пользователей доверия к предположениям о безопасности LayerZero (Oracle + Relayer или DVN). Поскольку LayerZero v2 позволяет каждому пулу устанавливать еще более высокую безопасность (например, использовать несколько сетей валидаторов с громкими именами для проверки каждого перевода), разрыв в доверии сокращается. Долгосрочная жизнеспособность мультичейн DeFi, вероятно, зависит от того, будут ли протоколы интероперабельности невидимыми, но надежными — подобно тому, как пользователи интернета не задумываются о TCP/IP, криптопользователи не должны беспокоиться о том, какой мост или систему обмена сообщениями использует dApp. Это произойдет, когда модели безопасности станут достаточно надежными, чтобы сбои были крайне редкими, и когда возникнет конвергенция или компонуемость между этими сетями интероперабельности.

Интероперабельность интероперабельности: Вполне вероятно, что через несколько лет мы не будем говорить о LayerZero, Hyperlane и IBC как об отдельных мирах, а скорее как о многослойной системе. Например, Ethereum-роллап может иметь IBC-соединение с хабом Cosmos через Polymer, а этот хаб Cosmos может также иметь эндпоинт LayerZero, позволяя сообщениям переходить из роллапа в сеть LayerZero через безопасный канал IBC. Hyperlane может даже функционировать как резервный вариант или агрегатор: приложение может требовать как доказательства IBC, так и подписи Hyperlane AVS для обеспечения максимальной уверенности. Подобная агрегация безопасности в разных протоколах может решить проблемы даже самых продвинутых моделей угроз (гораздо труднее одновременно скомпрометировать легкий клиент IBC и независимый рестейкнутый мультисиг и т. д.). Такие комбинации, конечно, добавят сложности и стоимости, поэтому они будут зарезервированы для сценариев с высокой ценностью.

Управление и децентрализация: Каждая модель передает разные полномочия разным субъектам: IBC — в руки управления сетями (governance), LayerZero — в руки разработчиков приложений (и, косвенно, операторов DVN, которых они выбирают), а Hyperlane — в руки валидаторов моста и, возможно, рестейкеров. Долгосрочный ландшафт интероперабельности должен гарантировать, что ни одна сторона или картель не сможет доминировать в кросс-чейн транзакциях. Существует риск, например, если один протокол станет повсеместным, но будет контролироваться небольшой группой лиц; он может стать узким местом (аналогично централизованным интернет-провайдерам). Способ смягчить это — децентрализация самих сетей обмена сообщениями (больше релейеров, больше DVN, больше валидаторов — все с открытым доступом) и наличие альтернативных путей. В этом плане IBC имеет преимущество, будучи открытым стандартом со множеством независимых команд, а LayerZero и Hyperlane движутся к расширению участия третьих сторон (например, любой может запустить LayerZero DVN или валидатор Hyperlane). Вероятно, конкуренция и открытое участие заставят эти сервисы работать честно, так же как майнеры / валидаторы в L1-сетях поддерживают децентрализацию базового уровня. Рынок также проголосует ногами: если какое-то решение окажется небезопасным или слишком централизованным, разработчики смогут перейти на другое (особенно по мере того, как стандарты мостов становятся более интероперабельными).

В заключение, архитектуры безопасности LayerZero v2, Hyperlane и IBC 3.0 вносят свой вклад в воплощение концепции мультичейн DeFi, но основываются на разных философиях. Легкие клиенты отдают приоритет бездоверительности и нейтральности, мультисиги — прагматизму и простоте интеграции, а агрегированные подходы — настройке и адаптивности. Мультичейн-ландшафт DeFi будущего, скорее всего, будет использовать комбинацию этих подходов: критическая инфраструктура и дорогостоящие переводы будут защищены методами с минимизацией доверия или экономическим обеспечением, а гибкое промежуточное ПО (middleware) обеспечит связь с длинным хвостом новых сетей и приложений. Благодаря этому пользователи получат единую ликвидность и кросс-чейн компонуемость с такой же уверенностью и простотой, как при использовании одной сети. Путь вперед лежит через конвергенцию — не обязательно самих протоколов, а результатов: мира, где интероперабельность безопасна, бесшовна и стандартизирована. Достижение этого потребует продолжения тщательной инженерной работы (во избежание эксплойтов), совместного управления (для установления стандартов, таких как IBC или универсальные интерфейсы смарт-контрактов) и, что наиболее важно, итеративного подхода к безопасности, сочетающего в себе лучшее из всех миров: математику, экономические стимулы и продуманный дизайн. Конечный результат может действительно соответствовать часто цитируемой аналогии: блокчейны, взаимосвязанные подобно сетям в интернете, с протоколами LayerZero, Hyperlane и IBC, формирующими омничейн-магистраль, по которой DeFi будет двигаться в обозримом будущем.

Источники:

• Архитектура LayerZero v2 и безопасность DVN — LayerZero V2 Deep Dive; Flare x LayerZero V2 announcement
• Мультисиг Hyperlane и модульный ISM — Hyperlane Docs: Validators; Tiger Research on Hyperlane; Hyperlane restaking (AVS) announcement
• Легкие клиенты и функции IBC 3.0 — IBC Protocol Overview; 3Commas Cosmos 2025 (IBC 3.0)
• Сравнение предположений о доверии — Nosleepjohn (Hyperlane) on bridge tradeoffs; IBC vs bridges (Polymer blog)
• Примеры DeFi (Stargate, ICA и т. д.) — Flare blog on LayerZero (Stargate volume); IBC use cases (Stride liquid staking); LayerZero Medium (OFT and OApp standards); Hyperlane use cases
• Принятие и статистика — Flare x LayerZero (cross-chain messages, volume); Range.org on IBC volume; Blockchain Capital on IBC vs bridges; LayerZero blog (15+ DVNs); IBC testimonials (Osmosis, etc.).