Zašto su cross-chain mostovi postali najslabija karika Web3 ekosustava
Cross-chain mostovi nastali su kao nužno zlo: bez njih, većina današnjih decentraliziranih financija (DeFi) ostala bi zatvorena u odvojene, međusobno izolirane blockchain otoke. Mostovi omogućuju prijenos vrijednosti i poruka između različitih mreža – primjerice, zaključavanje ETH-a na jednoj mreži i izdavanje „wrapped“ tokena na drugoj.
No upravo ta uloga središnje točke povezivanja čini ih iznimno privlačnom metom. U 2026. godini zabilježen je novi val napada na cross-chain mostove, s barem osam većih incidenata i kumulativnom štetom većom od 300 milijuna dolara. Među pogođenima su bili i protokoli poput Kelp DAO-a i Verus–Ethereum mosta. Svaki takav incident ne pogađa samo pojedini protokol, već narušava povjerenje u samu ideju interoperabilnog Web3-a.
Kako funkcionira tipičan cross-chain most
Većina današnjih mostova funkcionira prema sličnom obrascu:
- Korisnik deponira sredstva na izvorišnom lancu (npr. Ethereum).
- Skup validatora, orakla ili specijaliziranih čvorova potvrđuje da je depozit stvarno izvršen.
- Na ciljnom lancu (npr. neki EVM sidechain) mintaju se novi, „wrapped“ tokeni koji predstavljaju deponiranu vrijednost.
- Prilikom povlačenja, wrapped tokeni se spaljuju, a originalna sredstva se otključavaju na izvorišnom lancu.
Ključni sigurnosni element je način na koji se potvrđuje da je neka radnja zaista izvršena na izvorišnom lancu. U praksi se to često svodi na povjerenje u ograničeni skup validatora ili u specifičnu logiku pametnog ugovora. Ako taj sloj zakaže, cijeli model povjerenja se urušava.
Ponavljajući tehnički uzroci napada
Analiza nedavnih incidenata pokazuje da se tehnički uzroci napada na mostove ponavljaju:
- Krivo dizajnirana validacija cross-chain poruka – primjerice, nedovoljno striktno provjeravanje potpisa ili izvorišnog lanca, što omogućuje kreiranje lažnih poruka o depozitima.
- Slabosti u sustavima potpisivanja – ranjivosti u multi-sig shemama, greške u agregaciji potpisa ili nepravilna implementacija kriptografskih primitiva.
- Logičke greške u kodu – bugovi u funkcijama za povlačenje sredstava, loše postavljeni limiti, nedovoljno testirani rubni slučajevi ili nepredviđene interakcije s drugim protokolima.
Zajednički nazivnik je da jednom kada napadač uspije probiti glavni sigurnosni mehanizam, posljedice su gotovo uvijek katastrofalne. U mnogim slučajevima, kompromitacija jedne komponente omogućila je pražnjenje gotovo cijelog poola likvidnosti.
Binarni sigurnosni model: sve ili ništa
Većina postojećih mostova implicitno je izgrađena oko binarnog modela sigurnosti: ili je most u potpunosti siguran, ili je u trenutku napada gotovo sve kompromitirano. Ovaj „sve ili ništa“ pristup nema ugrađene mehanizme za parcijalno ograničavanje štete.
Nedavna akademska istraživanja i formalne analize DeFi protokola sve češće ističu upravo tu binarnost kao glavni izvor sistemskog rizika. Kada most predstavlja jedinstvenu točku kroz koju prolazi značajan dio likvidnosti, kompromitacija tog jednog sustava može imati domino-efekt na čitav niz protokola koji na njemu ovise.
Primjerice, ako je određeni wrapped token široko prihvaćen kao kolateral na lending platformama, njegov gubitak ili depeg može izazvati lančane likvidacije, gubitak povjerenja i povlačenje likvidnosti s više nepovezanih protokola. Time se lokalni problem mosta pretvara u sistemski rizik za širi DeFi ekosustav.
Light client pristup: približavanje idealnom modelu
Jedna od glavnih linija razvoja ide prema mostovima koji se približavaju tzv. light client modelu. Umjesto oslanjanja na ograničen skup validatora ili orakla, ciljna mreža sama verificira konsenzus izvorišne mreže.
U praksi, light client na ciljnom lancu održava minimalno, ali kriptografski dovoljno snažno stanje o izvorišnom lancu (npr. zaglavlja blokova, dokaz o uključenju transakcije). Kada korisnik želi prebaciti sredstva, most na ciljnom lancu provjerava kriptografski dokaz da je transakcija zaista uključena u blok na izvorišnom lancu i da je taj blok dio valjanog lanca prema pravilima konsenzusa.
Prednosti ovog pristupa uključuju:
- Smanjeno povjerenje u treće strane – oslanjanje na sigurnost samog lanca, umjesto na ograničenu skupinu validatora.
- Otpornost na pojedinačne kompromise – napadač mora kompromitirati sam konsenzus izvorišnog lanca, što je u pravilu znatno teže.
Međutim, light client mostovi dolaze s vlastitim izazovima: zahtijevaju složenu implementaciju, često su skuplji za korištenje (veći troškovi provjere dokaza) i još uvijek nisu praktični za sve kombinacije lanaca, osobito kada se radi o različitim virtualnim strojevima i konsenzus algoritmima.
Failure containment: most kao specijalizirani AMM
Druga linija razvoja pokušava uvesti koncept failure containmenta – ograničavanja štete kada nešto pođe po zlu. Jedan pristup je tretiranje mostova kao specijaliziranih automated market makera (AMM-ova) s ugrađenim mehanizmima za kontrolu rizika.
U takvom modelu, most ne pokušava garantirati apsolutnu sigurnost, već radi s pretpostavkom da se incidenti mogu dogoditi. Ključ je u tome da se potencijalna šteta unaprijed kvantificira i ograniči:
- Limiti izloženosti – maksimalni iznos koji se može prebaciti u određenom vremenskom okviru ili po korisniku.
- Vremenska zaključavanja (time-locks) – odgoda izdanja sredstava na ciljnom lancu, što omogućuje otkrivanje i reakciju na sumnjive aktivnosti prije nego što šteta postane nepovratna.
- Dinamička prilagodba likvidnosti – smanjenje dostupne likvidnosti i povećanje naknada u slučaju neuobičajenih obrazaca korištenja, slično „circuit breakerima“ na tradicionalnim tržištima.
Cilj ovakvih arhitektura nije eliminirati rizik, već ga učiniti upravljivim. Kompromitirana komponenta može proizvesti ograničenu, kontroliranu štetu, umjesto potpunog pražnjenja poolova.
Zašto tehnička rješenja nisu dovoljna bez dobrog governancea
Iskustvo posljednjih godina pokazuje da protokoli često ne propadaju zato što im je kod objektivno lošiji od konkurencije, već zato što nemaju operativni model koji omogućuje brzu i koordiniranu reakciju.
U praksi, mnogi mostovi nemaju jasno definirane procedure za:
- hitno pauziranje mosta u slučaju sumnje na napad,
- brzu nadogradnju kritičnih komponenti bez dugotrajnih governance ciklusa,
- transparentnu komunikaciju s korisnicima i drugim protokolima koji ovise o mostu.
Uspostava sigurnosnih vijeća (security councils) s jasno razdvojenim ulogama, unaprijed definiranim ovlastima i strogo dokumentiranim procedurama postaje jednako važna kao i kriptografska shema samog mosta. Bez takvog governance sloja, čak i tehnički dobro dizajniran most može doživjeti potpuni kolaps, jednostavno zato što reakcija na incident kasni satima ili danima.
Kako bi mogla izgledati sljedeća faza interoperabilnosti
Za Web3 ekosustav to znači da bi sljedeća faza interoperabilnosti mogla izgledati bitno drukčije od današnjih „all-in-one“ mostova. Umjesto monolitnih rješenja koja pokušavaju povezati sve sa svima, vjerojatno ćemo vidjeti višeslojni i specijalizirani pristup:
- Sigurnosno ograničeni mostovi – mostovi s jasno definiranim limitima rizika, strogo kontroliranom likvidnošću i ugrađenim failure containment mehanizmima.
- Asinkroni depozitni protokoli – rješenja koja svjesno mijenjaju brzinu za sigurnost, prihvaćajući dulje vrijeme potvrde u zamjenu za veću otpornost na napade.
- Rollup-orijentirani ekosustavi – arhitekture u kojima se što više prometa odvija unutar zajedničkog sigurnosnog domena (npr. unutar obitelji rollupova koji dijele isti L1), čime se smanjuje potreba za rizičnim mostovima između nepovezanih lanaca.
- Standardizacija sigurnosnih praksi – zajednički standardi za audite, bug bounty programe, incident response i izvještavanje, kako bi se smanjila fragmentacija i ponavljanje istih grešaka.
Umjesto jednog univerzalnog modela interoperabilnosti, vjerojatnije je da će se razviti skup komplementarnih rješenja, prilagođenih različitim razinama rizika i potrebama korisnika: od brzih, ali ograničenih mostova za male iznose, do sporijih, ali sigurnijih kanala za institucionalne i visokovrijedne transfere.
Može li Web3 preživjeti bez mostova kakve danas poznajemo?
Ključno pitanje za 2026. i dalje ostaje isto: može li DeFi pronaći model interoperabilnosti koji ne žrtvuje osnovno načelo – da kompromitacija jedne komponente ne znači sistemski kolaps cijelog ekosustava?
Odgovor vjerojatno nije u potpunom napuštanju cross-chain mostova, već u njihovoj transformaciji. Mostovi kakve danas poznajemo – monolitni, binarni po pitanju sigurnosti i često bez jasnog governancea – vjerojatno neće biti održivi dugoročno. Umjesto toga, interoperabilnost će se sve više oslanjati na:
- mostove koji su bliži light client idealu,
- arhitekture s ugrađenim ograničenjem štete,
- rollup-centrične dizajne koji minimiziraju potrebu za prelaskom između nepovezanih sigurnosnih domena,
- i zrelije governance modele koji kombiniraju decentralizaciju s operativnom učinkovitošću.
U tom scenariju, Web3 može preživjeti – i čak ojačati – ali uz cijenu napuštanja komfora brze, neograničene interoperabilnosti kakvu su obećavali rani cross-chain mostovi. Umjesto „poveži sve sa svima po svaku cijenu“, nova paradigma mogla bi biti „poveži samo onoliko koliko možeš sigurno upravljati rizikom“.
Za korisnike i graditelje protokola to znači nužnost promjene perspektive: interoperabilnost nije besplatna, već je riječ o svjesnom izboru između različitih razina brzine, cijene i sigurnosti. Tek kada se ti kompromisi transparentno artikuliraju i tehnički ugrade u dizajn mostova, Web3 može izaći iz trenutne krize povjerenja.
