Jembatan lintas-rantai telah terbukti menjadi salah satu permukaan serangan kripto yang paling berbahaya. Insiden besar termasuk Ronin ($624 juta), Wormhole ($326 juta), dan Nomad ($190 juta) masing-masing mengeksploitasi kelemahan yang berbeda, namun memiliki cacat struktural yang sama: satu lapisan verifikasi yang, sekali dikompromikan atau salah, tidak punya apa pun di belakangnya untuk menolaknya. @chainlink ($LINK) membangun Cross-Chain Interoperability Protocol dengan jawaban langsung terhadap masalah tersebut.

Cara Kerja Risk Management Network

CCIP tidak mengandalkan satu jaringan untuk memverifikasi pesan lintas-rantai. CCIP menggunakan dua jaringan, yang berjalan sepenuhnya secara paralel. Lapisan utama, Decentralized Oracle Network dari node Chainlink, mengamati aktivitas pada rantai sumber dan menghasilkan signed Merkle root dari pesan-pesan yang tertunda. Kemudian, sekelompok node kedua yang terpisah menjalankan apa yang disebut Chainlink sebagai Risk Management Network (RMN).

Tugas RMN bersifat sempit dan disengaja. RMN secara independen membangun komitmen kriptografisnya sendiri untuk setiap batch pesan lintas-rantai dan mengirimkannya ke Risk Management Contract di rantai tujuan. Hanya komit yang membawa berkat RMN yang valid yang dapat berlanjut ke eksekusi. Jika pandangan RMN terhadap suatu pesan berbeda dari apa yang dikomit oleh jaringan utama, RMN dapat mengusulkan transaksi "curse", sehingga menjeda CCIP pada blockchain tersebut sepenuhnya.

Pemisahan ini dirancang untuk menghilangkan single point of failure. Agar transfer yang bersifat penipuan dapat terjadi, kedua jaringan harus dikompromikan secara bersamaan. Namun ada catatan penting: beberapa rantai diintegrasikan secara bertahap, dengan jaringan oracle diterapkan terlebih dahulu. Sampai Risk Management Network aktif pada rantai tertentu, komit dari rantai tersebut diperlakukan sebagai terberkati (blessed), artinya pesan hanya dijalankan berdasarkan pemeriksaan pada jaringan utama saja.

Redundansi Pesawat Terbang, Diterapkan pada Blockchain

Kemandirian arsitektur ini lebih dalam daripada sekadar kumpulan node yang terpisah. RMN ditulis dalam bahasa pemrograman yang berbeda dari sistem CCIP utama, dikembangkan oleh tim internal yang berbeda, dan menggunakan kumpulan operator node yang berbeda serta tidak saling tumpang tindih dibandingkan dengan CCIP Decentralized Oracle Networks.

Pendekatan ini meminjam dari rekayasa redundansi kelas pesawat terbang. Prinsip yang dikenal sebagai N-version programming ini mengurangi risiko bug muncul di produksi, karena bug yang sama harus diimplementasikan secara independen oleh dua tim berbeda dalam dua bahasa berbeda pada dua waktu berbeda. Cacat perangkat lunak dalam satu basis kode tidak akan meluas ke basis kode lainnya.

Dikombinasikan dengan rate limiting, desain ini membentuk kerangka pertahanan berlapis yang dapat membatasi dampak serangan apa pun, bahkan sebelum jeda penuh dipicu.

Sumber:
Dokumentasi Chainlink: Risk Management Network
Blog Chainlink: CCIP Defense-In-Depth Security and the Risk Management Network
CertiK: Kerentanan Lintas-Rantai dan Eksploitasi Jembatan