在以太坊主网持有一笔以太坊，想去另一条手续费更低的链上用，钱包里通常没有一键搬家的按钮。两条链各自记账，资产不会自己出现在对面。跨链桥（bridge）就是专门做这件事的基础设施。这篇笔记按 ethereum.org 的开发者文档（2026年10月16日页面更新，2026年11月5日读取），想弄清桥怎么运作，以及用户实际在承担什么风险。
桥在解决什么问题
文档写得很直白：不同区块链处在相互隔离的环境里，彼此不能天然交换资产或消息。桥在它们之间建一条运输通道，让代币、消息，甚至智能合约调用可以从一条链到另一条。对用户来说，常见需求就是把资产从以太坊主网挪到某条 Layer2，或在两条 Layer1 之间移动。
Layer2 是建在主网之上、用来提高吞吐、降低手续费的扩展方案。桥不是交易所充提的另一种说法，它通常涉及智能合约锁定、铸造或流动性置换，安全假设和中心化交易所的托管模型不一样，需要单独理解。
三种常见资产转移方式
ethereum.org 归纳了三种突出做法。锁定铸造（lock and mint）：在源链把资产锁进合约，在目标链铸造等额的包装资产。销毁铸造（burn and mint）：在源链销毁代币，在目标链再铸造。原子交换（atomic swaps）：和另一边的对手方直接互换，两边资产换手，未必经过铸造包装币。
锁定铸造最直观，也最容易留下系统性尾巴。源链上锁着的真资产是目标链包装币的抵押。如果有人在没有真实锁定的情况下骗过验证，在目标链凭空铸造包装币，再把这些币兑回源链资产，桥里的储备就会被抽空。理解这一点，比记住某个品牌名字更重要。
谁在验证这笔跨链消息
L2BEAT 在 2022 年提出的桥梁风险框架，把消息验证大致分成几类：在目标链用轻客户端或证明检查源链状态是否有效；检查源链共识签名；依赖外部验证者集合；以及带挑战期的乐观验证。不同类型对应不同的信任假设。外部验证者集合用起来往往更快、链更多，但用户要额外信任这批人不串谋、私钥不被盗。
文档还把桥粗分为可信（trusted）和少信任（trustless）。可信桥靠外部验证者或预言机传消息，连接面广、速度和成本往往更好，代价是多了一层对桥本身的信任。少信任桥尽量不新增超出两条链本身的信任假设，安全上通常更硬，但在速度、成本和可连接链数量上会有取舍。没有十全十美的桥，只有为某个目的做出的折中。
假设例子和公开报道里的教训
假设某桥采用锁定铸造。你在源链锁定 10 个币，目标链应铸造 10 个包装币。若攻击者伪造一笔验证消息，在未锁定的情况下铸造 10 个包装币并兑回源链，桥合约里属于诚实用户的 10 个真币就可能被提走。包装币持有人发现能兑回的储备不够时，包装币本身也会脱锚。
公开报道显示，这类风险不是纸面推演。2022年2月2日，Wormhole 桥被利用签名校验漏洞，攻击者铸造约 12 万枚无抵押包装以太坊，公开报道损失规模约 3.2 亿美元量级。2022年3月23日，Ronin 桥验证者私钥被攻破，公开报道称约 17.36 万枚以太坊和 2550 万枚美元稳定币被转走，披露时按市值约数亿美元。数字以当时公开报道为准，这里只用来说明桥是高价值攻击面。
用桥之前可以先核对这几项
- 官方入口：只从项目或链的官方文档进入，不点来路不明的弹窗和私信链接。
- 验证模型：是官方规范桥、外部多签，还是乐观挑战，自己能不能用一句话说清信任谁。
- 金额与测试：先小额测试，核对源链锁定和目标链到账，再考虑大额。
- 包装资产：目标链收到的是不是包装版本，脱锚或合约升级时怎么办。
- 操作安全：核对地址和网络，不要把助记词给任何人，也不要存进联网设备。
风险和这篇笔记的局限
ethereum.org 把桥的风险概括为智能合约漏洞、包装资产带来的系统性风险、对外部验证者的对手方风险，以及市场拥堵或链级回滚等尚未充分检验的情形。历史上多起大规模盗窃都发生在桥上，说明它仍是早期、高风险的基础设施。即便审计过，也不能等同于不会出事。
这篇笔记不比较具体产品优劣，也不给出该用哪座桥的结论。文档和框架会更新，参数以阅读当日的官方版本为准。跨链不是点一下就结束的转账，你真正交出去的，往往是对一套验证规则的信任。下次要挪资产之前，能不能先说出这座桥到底信任谁。
以上仅为个人学习记录，不构成投资建议。