Finality Assumption Mismatch

What is finality assumption mismatch, and how does it differ from the bridge risk discussed earlier in this series?

When this series broke down bridge risk earlier, the focus was mainly on whether the verification mechanism itself is trustworthy enough (validator node count, multisig threshold). Finality assumption mismatch addresses a more foundational, often-overlooked technical premise: different blockchains offer varying strength of guarantee on whether a confirmed transaction could still, in extreme cases, be reversed. Some chains are designed so that once a transaction is confirmed, it's nearly impossible to reverse; others carry some probability that even a transaction shown as confirmed could still be undone if a later block reorganization (reorg) occurs.

This gap constitutes a risk because a cross-chain bridge, when designing its verification process, needs to decide how confirmed a source-chain transaction needs to be before it's considered safe enough to trigger issuing a corresponding asset on the destination chain. If this confirmation threshold is set too loosely (triggering destination-chain minting after waiting for just one confirmation on the source chain, say), then if the source chain later experiences a reorg that reverses the original transaction, the destination chain may have already minted the corresponding wrapped asset — an asset that has, in fact, lost the backing of the original asset.

Why does finality assumption mismatch exist — is this a problem every cross-chain bridge faces?

Different blockchains' finality design philosophies genuinely differ — some chains use a consensus mechanism where a transaction, once it hits a certain confirmation threshold, is mathematically or economically nearly impossible to reverse (sometimes called absolute finality); others have probabilistic finality, where the probability of a transaction being reversed keeps dropping as more confirmations accumulate, but theoretically never reaches exactly zero — it's just considered safe enough in practice once the probability is low enough. A bridge connecting two chains with different finality strength needs to design a more conservative confirmation-waiting logic for whichever end has weaker finality.

This isn't a problem every cross-chain bridge faces — it depends on the specific chain combination being bridged, and whether the bridge design fully accounted for this gap. If the two bridged chains have similar finality strength, and the bridge itself sets a sufficiently conservative confirmation count for the weaker side, this risk can be effectively controlled; but if the bridge design didn't give this gap sufficient attention, applying a single fixed confirmation logic across every chain, that could leave a potential gap on the chain with weaker finality.

ファイナリティ前提の乖離は実際どのように悪用またはトリガーされ、具体的な攻撃やインシデントのパターンはありますか？

理論上の攻撃パターンは次の通りである：攻撃者はファイナリティが弱いソースチェーン上でまず取引を送信し、クロスチェーンブリッジにそれを検知させてデスティネーションチェーン上の資産発行プロセスをトリガーさせる。その後、何らかの方法で（ネットワークのフォークを悪用する、あるいはコンセンサスメカニズムが弱いチェーンに対して計算力を集中させる攻撃を行うなど）ソースチェーン上のその元の取引をロールバックさせ取り消す。ブリッジの確認待ちロジックが十分に保守的でなければ、このロールバックはデスティネーションチェーンが既に発行を完了した後に発生する可能性があり、デスティネーションチェーン上で流通しているラップド資産が、ソースチェーン上の元の資産による真の裏付けを失うことになる。

能動的な攻撃がなくても、単純な偶発的なブロック再編成（コンセンサスメカニズムの設計が比較的未成熟な、あるいはバリデーター数が少ないチェーンでは比較的起きやすい）も類似の状況をトリガーする可能性がある——これは必ずしも悪意ある行為の結果ではなく、単にチェーン自体のファイナリティ保証が十分に強くないことによる自然なリスクである可能性がある。これが、クロスチェーンブリッジを評価する際、バリデーター数とマルチシグの閾値を確認することに加えて、ブリッジが接続する各ソースチェーンそれぞれのファイナリティの特性、そしてブリッジの設計がこの特性に応じて確認待ちロジックを調整しているかを追加で確認する価値がある理由である。

ファイナリティ前提の乖離は一般ユーザーにどのような実際の影響を与えますか？クロスチェーン関連のDeFAI製品評価にどう応用すればいいですか？

もしあなたのDeFAIエージェントがクロスチェーン操作を伴い、ソースチェーンのファイナリティ保証が比較的弱い場合、このクロスチェーン取引は技術的に「確定したように見えるが、理論上依然として覆される可能性がある」というエクスポージャー期間を持つことを意味する。ほとんどの場合、この確率は実務上極めて低く、過度に恐れる必要はないが、このリスクの次元が存在することを理解する価値がある。特にクロスチェーンブリッジやインテント実行アーキテクチャを評価する際、これは本シリーズで前述した信頼評価フレームワークにおいて、見落とされやすいが補う価値のある環節である。

実際に評価する際は、このクロスチェーンブリッジやソルバーネットワークが、異なるソースチェーンに対してそれぞれ調整された確認待ちロジックを持っているか（全てのチェーンに同じ固定ロジックを適用するのではなく）、そしてブリッジの設計文書がファイナリティの違いという論点について明確に議論しているかを尋ねる価値がある。あるブリッジ方式がこの概念について全く言及していなくても、必ずしも安全でないことを意味しないが、それはあなたが現時点で直接評価できない技術的詳細であることを意味する。留意する価値はあるが、それだけでクロスチェーン操作を完全に避ける必要はない——ほとんどの正式で監査済みのブリッジ方式は、通常設計段階で既にこの問題を考慮している。