本文Hash (SHA1):076a1b56e11511337f19b67077798752a070da2f
编号: 链源科技 PandaLY Security Knowledge No.048
特朗普成功当选之后，以太坊也迎来了上涨，而在以太坊链上嫁接且刚刚完成主网上线的Layer 2 Morph则备受关注，一方面是其2000万美元的种子轮融资足够强大且拥有多顶级交易所、项目方的支持，另一方面也是率先定位消费级L2的概念，凭借"女性CEO IP"+“潮流的Web3周边”在如此内卷的Layer 2赛道中突出重围。
那么，星光熠熠的Morph项目究竟有哪些亮点？从安全方面来看该项目值得持续关注（加仓）吗？今天就跟随PandaLY一起了解这个项目。
Morph成立于2022年，定位消费级 Layer 2，旨在成为开发者构建和扩展大众市场应用所需资源的分发中心，其中 Morph 采用了 ZK 与 Optimistic Rollup 的混合技术方案，并配备去中心化排序网络，为主流用户提供无限的应用可能性。
今年10月30日正式上线主网，其测试网的数据超过 600 万个钱包地址的注册、逾 1 亿笔交易的顺利执行、200 多个项目的部署，以及 100 多万社区成员的参与。种子轮的融资机构由Dragonfly Capital 领投，Pantera Capital、Foresight Ventures、The Spartan Group、MEXC Ventures等机构共同投资的1900万美元，以及Polygon、Manta、Galxe、Sei、Nansen等创始人共同投资的100万美元，这些机构和知名的个人为Morph提供了强大的背书。
Morph在X的知名关注者包括The Block CEO Larry Cermak、Nansen CEO Alex Svanevik、LayerZero CEO Luca Netz、Gitcoin创始人Scott Moore等，为社交媒体获得了一定的背书支持，而且拥有4000万用户的Bitget交易所在钱包与用户资源方面都给予了Morph支持，让Morph在初期便获得了巨大的流量反哺。
Morph主网上线后，Morph共有54个生态接入，其中不乏一些我们熟知的项目，包括推出了“Morph Zoo”、“Morph生态基金”、“建设者支持计划”和“大使计划”等多个帮助自身持续发展的孵化活动。且在今年大热的Token2049活动中请到了Vitalik，并持续举办了多场线下活动，快速积累到了用户。
Morph具备 EVM 兼容优势，能够吸引以太坊开发者无缝入驻，而且在 Morph 运行机制中，去中心化的序列器网络允许多个节点（排序器）参与交易的打包和排序，而不是单个节点控制，这就让Morph在Layer 2红海中，找到了自己的创新点，逐步巩固了自身的市场地位，成为Layer 2领域中一颗耀眼的新星。
Morph创新出了RVP（响应式有效性证明）机制，类似于你在大厂做一名文案，原本需要5级审核才能确定内容的最终版本，但现在只需要一个专门审稿的主编审核就可以了，大大提升效率，相较于工人按件计费的PoW机制和董事会集权的PoS机制，RVP机制真正做到了降本增效，为打工人谋福利，对于主打消费级Layer 2的Morph来说和其他Layer 2快速做到了差异化，但它究竟只是一个“概念噱头”还是普惠大众的“创新理念”？需要时间验证，毕竟它才刚刚上线主网。
主网上线后，Morph 将会再次迈出重要一步，实现 L2 关键组件的完全去中心化，并将考虑生态丰富程度，在合适时机推出 Layer 3，以实现更高级别的扩展解决方案，朝着 「消费级L2」愿景再次阔步前行。
当前的Layer 2格局更像是处于三国时期，三分天下之前没有人知道谁能挺到最后，代码和用户便是千军万马，如果有一天征兵速度减慢了，那就要注重安全问题了。
安全Tips：
从安全角度来看，Morph目前在亚洲地区宣传更多，所背靠的资源较强，但欧美地区的宣传声量较小，且没有经过安全审计，仍有一定的风险，从官方的Github代码库来看，目前Morph已经从0.2.0更新到了0.4.0版本，并在9.2日发布审计大赛，奖励攻击180,000USDC，经过该审计大赛，发布了v0.4.0版本的Morph修复了漏洞。
其中一个漏洞为修复误导性日志:
这个漏洞指的是识别并纠正系统或应用程序中不准确、模糊或缺乏上下文的日志信息，以确保日志能够真实、清晰地反映系统状态和事件。具体措施包括定期审查现有日志、改进日志记录机制、统一日志格式和级别管理、使用日志模板和自动化工具，以及培训团队成员遵循日志编写规范。通过修复误导性日志，可以提高问题诊断效率，增强系统监控和安全性，优化开发与运维流程，减少沟通误解，从而提升系统的可靠性、可维护性和整体运营效益。
还有一个审计内容为Challenge state with batch header，这一审计内容有：
状态挑战（State Challenge）
-
在以太坊Layer 2的 Rollup 系统中，所有交易都先在第二层链上执行，最后将其状态提交到主链（以太坊主链）。状态挑战 是指验证这些状态是否正确，并且是否有有效的机制来解决状态不一致或欺诈行为。
-
比如在 Optimistic Rollup 中，提交状态时，系统允许一个挑战期，在此期间，如果有其他用户认为状态更新不正确，他们可以提出挑战。这一部分的审计工作会检查是否存在机制来正确处理这些挑战，确保无效的状态更新不会被最终确认。
批头（Batch Header）
-
Batch Header 在二层链中通常指的是包含多个交易或状态更新的批次的元数据，类似于批处理的元数据。即便没有批处理，二层链的状态仍然会以 批次 的形式提交到主链。这些批次的元数据（包括时间戳、交易数量、根哈希等）必须被有效记录和验证。
-
审计会检查批头信息的完整性和准确性，确保它们能够正确地指向实际的状态更新，并防止数据篡改。
状态同步和一致性
-
在二层链的 Rollup 模型中，挑战状态的过程也涉及如何同步二层链和主链的状态，确保两个链的状态保持一致。审计时需要检查是否存在漏洞，导致不一致的状态被接受或提交。
-
比如在 ZK-Rollup 中，状态更新的验证是通过零知识证明（ZKP）进行的，这也需要通过审计检查其正确性。
防止恶意行为和欺诈
-
审计还需要检查二层链系统是否提供了充分的防护机制，避免恶意用户通过不正确的状态提交或篡改批头数据来进行欺诈。特别是在 Optimistic Rollup 中，恶意挑战和虚假状态提交的情况需要特别关注。
经过该审计大赛后，对GAS进行了优化并对漏洞进行了查补。对该项目安全有兴趣的朋友可以继续查看Morph的官方GitHub。
安全为Web3项目的立身之本，在Web2与Web3交融的加密货币消费时代背景下，能否持续迭代是一个项目成功的关键，而在参与Morph的生态过程中，链源科技安全团队建议一定要注意自身的钱包安全，授权过多的钱包权限或者项目跑路都有可能导致资产大量流失，需要定期检查授权以及项目进展。
