币圈界报道：

比特币跨链桥应设强制提现冷却期以应对大规模盗取事件

针对近期发生的约4000枚BTC被未经授权从Liquid网络联合钱包中提取的事件，Rootstock联合创始人Sergio Lerner提出，所有比特币跨链桥系统亟需部署强制性提现延迟机制。该设计旨在为桥接运营商创造数小时的干预时间窗口，以便在异常操作发生时及时识别并阻止资金流出。

即时结算模式下漏洞易引发不可逆损失

Sergio Lerner，Rootstock Labs首席科学家兼联合创始人，在受访时表示，若缺乏时间延迟控制，单一验证错误将直接转化为全额资金损失。他强调，一旦系统发出确认指令，资金即刻转移，导致无法挽回的后果。

其观点源于一起重大安全事故：攻击者伪造无对应抵押品的L-BTC代币，并利用SideSwap的提现服务成功提取近4000枚比特币。尽管液态网络（Liquid）称相关行为属“白帽黑客”范畴，而SideSwap则表示其服务仅依据代币有效性进行处理，但此次事件仍暴露出即时结算架构的致命缺陷。目前仍有约598枚BTC未被追回，且液态网络在未恢复质押或交易功能的情况下持续生成区块。

时间锁机制如何构建防御缓冲带

Lerner主张，在创建无抵押代币与实际释放比特币之间设置强制等待期，可显著降低损害范围。在此机制下，系统不会立即执行提现，而是启动一段预设的锁定周期。自动化监控系统可在结算前比对请求金额与实际抵押资产，识别出任何不匹配情况。

“若液态网络具备时间锁——即无论软件或运营方如何指令，资金必须在指定时间段内冻结——那么该漏洞只会演变为可控事故，而非瞬间全面崩塌。”

据其介绍，这种延迟能为全天候运行的监控系统提供多小时响应时间。即使初步验证通过，系统仍可检测到缺乏真实抵押支持的提现请求。随后，运营人员可在硬件签署交易或向联合钱包释放资金前暂停质押流程。

值得注意的是，本次事件中液态网络并未报告“质押退出授权密钥”泄露。SideSwap方面透露，一名用户提交了4000枚L-BTC提现请求，由于系统无法区分其是否真实抵押，按常规流程完成处理。约23分钟后，联合钱包向指定地址支付了3996枚比特币。

Rootstock现有延迟模型已实现高安全性保障

当前，Rootstock在其双向质押通道中已实施类似延迟机制，尽管这并非比特币共识规则所要求。该系统依赖于称为PowHSMs（工作量证明硬件安全模块）的专业设备。这些模块在签署提现交易前，会独立验证是否已过去4000个Rootstock区块，相当于累计约36小时的工作量证明。

Lerner指出，私钥始终保留在硬件内部，运营方无法绕过这一期限。该机制结合合并挖矿设计，使比特币矿工为侧链贡献算力以维持安全性。

“即便多数质押节点存在共谋意图，也无法窃取资金，因为私钥从未离开PowHSMs，且设备会在签名前自主验证时间门槛。”

该模型假设多数比特币哈希率和联邦运营方不会合谋中断网络。虽然受控运营者可暂停质押活动引发活性问题，但无法强制提前释放资金。当监测系统发现可疑行为时，运营方可关闭其HSM，阻止待处理提现获得签名。这一机制被视为一种保护底层比特币资产的关键手段。

“共谋多数最多只能停止质押，却无法强制执行未经授权的提前提现。”

撤销权限应分散化以防范集中审查风险

然而，暂停提现操作也可能带来滥用风险，例如恶意延迟合法转账。为此，Lerner强调撤销权不应由单一实体掌控。相反，应采用多方分布式结构共享控制权限，并由硬件规则加以约束。

在他提出的框架中，运营人员可临时冻结交易，但无权更改资金流向或没收资产。这种设计确保权力受限于不可篡改的硬件逻辑，而非集中式管理密钥。

“为了防止单点故障或审查滥用，撤销控制必须分布于多个独立运营方之间，通过硬件强制执行，而非依赖中心化指令。”

他进一步说明，只有在足够多参与者协同行动时，才能中断提现流程。关键区别在于：运营方可暂缓签名以进行审查，但不能生成将抵押品转移至自身的有效交易。

延迟策略应依交易规模动态调整

不同交易的价值决定了所需延迟时长。36小时的等待可能不适合日常小额支付，但对于大额桥接则具有必要性。Lerner认为，高价值结算系统应将时间延迟视为一种基础安全控制，如同银行金库中的审批流程。

他建议，延迟时间应根据交易金额或抵押品风险等级灵活设定。小额度转账可采用较短等待期，而大额请求则需更长时间供自动警报与人工团队介入核查。尽管不推荐统一标准，但他以Rootstock的4000区块要求为例，认为其对保护巨额余额基础设施具备实际效用。

原生比特币金库有望将安全机制嵌入共识层

当前，Rootstock的安全措施依赖于外部硬件与组织协作，而非比特币协议本身。Lerner提出，未来可通过原生比特币金库和撤销密钥，将此类控制提升至共识层级。

一个潜在技术路径是BIP-443草案，其中提议引入名为OP_CHECKCONTRACTVERIFY（OP_CCV）的操作码。该变更需软分叉支持，允许比特币输出携带附加条件数据，从而在未来交易中限制资金使用方式。

OP_CCV可用于状态型输出、侧链交互以及响应式两步提现结构。尽管仍处于早期阶段，其激活机制尚未明确，但已被视为实现原生安全保障的重要候选。

Lerner指出，若该机制被纳入共识，即可在资金转移前就施加合规条件。一旦检测到凭证被盗、软件篡改等异常，用户或指定方将有充足时间发起取消指令，而非在事后被动应对。

“将这类控制移入比特币协议，将减少对特定桥接硬件策略的依赖。矿工、运营者或管理员必须遵守附加于输出上的支出规则，而非在资金已到账后行使自由裁量权。”

对于大型桥接场景，他重申延迟必须足够长，以便自动化系统与人工团队能在比特币可花费前完成问题排查与决策。