IBC 的信任模型聽起來最安全，為什麼 Wormhole 跟 LayerZero 這類需要額外信任驗證者的協議，市場使用量還是很大？
主要原因是連接範圍的差異。IBC 的輕客戶端驗證模型要求兩條鏈的架構要能支援對方的輕客戶端實作，這在同質性較高的生態系（例如都是 Cosmos SDK 打造的鏈）裡相對容易做到，但要連接到架構完全不同的鏈（例如把 Solana 或某些 EVM 鏈納入），工程門檻明顯更高，需要更長的開發時間。
Wormhole 跟 LayerZero 這類驗證者網路模型，雖然多了一層外部信任假設，但換來的是能更快速地連接架構迥異的多條鏈，對需要快速觸及多元生態系流動性的應用來說，這個取捨在商業上經常是划算的——這也是為什麼實務上多數跨鏈應用會同時整合多種協議，依照不同路由的信任需求跟目標鏈選擇適合的方案，而不是只用單一協議。
LayerZero 把驗證者選擇權下放給應用開發者，這對一般使用者來說，實際上該怎麼查證一個應用的安全性？
這確實是 LayerZero 架構下比較麻煩的一環——因為安全性不是協議層級統一的，而是逐一應用各自配置的，一般使用者難以單靠協議名稱判斷。務實的做法是查證這個特定應用的官方文件或審計報告，看它具體採用了什麼樣的驗證者組合配置（例如要求幾個驗證者中的幾個同意）、這些驗證者是知名機構還是不透明的匿名實體、以及這個應用是否曾經歷過安全事故。
如果應用方沒有公開這些配置細節，或者公開的細節顯示驗證門檻設定得相當寬鬆（例如只需要極少數驗證者同意），這本身就是一個值得留意的風險訊號，即使底層協議名稱聽起來很知名。
2022 年 Wormhole 的駭客事件，是不是說明守護者驗證者網路模型本質上不安全？
這個事件更準確的解讀，是說明「驗證者網路模型」跟「這個模型的具體程式碼實作」是兩個不同層次的問題。事後分析顯示，攻擊者利用的是合約層面的簽章驗證邏輯漏洞，讓一筆偽造的訊息通過了本應該檢查簽章有效性的關卡，而不是真的收買或突破了 13 個守護者的多數同意門檻——換句話說，問題不是「守護者網路模型」這個信任假設本身被攻破，而是實作這個信任假設的程式碼有瑕疵。
這個區別對評估任何協議都很重要：一個信任模型在理論上健全，不代表具體實作沒有漏洞，反之亦然。评估安全性時，除了理解協議的信任模型設計，也需要留意這個協議的程式碼是否經過充分審計、過去是否有被抓到並修復過的漏洞紀錄。
如果我要選擇一個跨鏈應用，除了查證協議的信任模型，還有沒有其他實務上該優先確認的事？
除了信任模型本身，值得優先確認幾件事：這個協議或這個應用累計處理過的金額規模與運行時間（規模越大、運行時間越長，代表經過越多真實市場條件的實戰檢驗）、是否曾發生過安全事故以及事故後的處理方式（是否公開透明、是否做出架構調整）、以及協議或應用是否有持續的第三方審計紀錄。
更務實的建議是：與其糾結於「哪一個協議在理論上信任模型最好」，不如根據你要轉移的金額大小決定風險容忍度——小額、日常性的操作，使用效能較好、連接範圍較廣的協議通常合理；大額、不常進行的操作，則值得花額外時間確認信任模型是否採用最小化信任假設的路徑，即使這代表要多花一點時間或手續費。
IBC、Wormhole、LayerZero 這三個名字經常一起出現在跨鏈互操作的討論裡，容易讓人以為它們是同一類東西的不同品牌選項，就像挑選不同的手機品牌一樣。但如果拆開來看「這條訊息傳過去之後，目標鏈憑什麼相信它是真的」這個核心問題，會發現三者給出的答案，本質上分屬完全不同的信任模型，差異不是效能或介面，而是「誰在替你確認這件事發生過」。
IBC（跨鏈通訊協議）最初由 Cosmos 生態系發展，核心設計是讓兩條要互通的鏈，各自在對方鏈上維護一個輕客戶端，直接追蹤並驗證對方鏈的共識狀態。訊息透過稱為「中繼者」的鏈下程式傳遞，但中繼者本身不需要被信任——它只是負責把訊息連同密碼學證明送過去，真正驗證這筆訊息是否有效的，是目標鏈上已經維護好的輕客戶端，直接依據來源鏈自己的共識規則做判斷。
這代表 IBC 的信任基礎完全來自「連接雙方各自的共識機制本身」，不需要引入任何額外的驗證者集合或多重簽章委員會。這種設計特別適合主權鏈之間（例如 Cosmos 生態系內部，或近年逐步擴展到的 Ethereum 生態）的高價值、需要盡量降低額外信任假設的跨鏈場景，目前已在超過兩百條鏈的生產環境中運作。
Wormhole 採用的是完全不同的架構：由一組稱為「守護者」（Guardian）的驗證者網路負責觀察來源鏈上發生的事件，並對這些事件簽署認證，目前這個守護者網路由 19 個驗證者組成，分別由 Jump Crypto、Chorus One、Figment 等知名機構營運，訊息要被視為有效，需要達到其中至少 13 個守護者的簽署門檛。
這代表 Wormhole 的信任模型，本質上是信任「這 19 個守護者裡至少有 13 個是誠實的」——這是一種可行、也已經在實務上運作多年的模型（Wormhole 累計處理金額超過 650 億美元），但跟 IBC 直接依賴連接鏈共識機制的邏輯完全不同：這裡多了一層額外的、獨立於兩條鏈之外的信任對象。2022 年 Wormhole 曾發生約 3.2 億美元的重大駭客事件，但根據後續分析，問題出在合約層面的簽章驗證漏洞，讓攻擊者偽造出看似有效的守護者簽章，而不是守護者集體被收買或作惡——這個區別很重要，說明問題出在「驗證流程的程式碼實作」，而不是「守護者網路的誠實假設」本身被攻破。
LayerZero 的較新架構（V2）採用了另一種思路：不是使用單一固定的驗證者集合，而是導入「去中心化驗證者網路」（DVN），讓每一個建立在 LayerZero 上的應用，可以自行選擇並配置自己信任的驗證者組合（例如要求 X 個特定驗證者中至少 Y 個同意，形成所謂的 X-of-Y-of-N 框架）。這個設計的優點是彈性極高，不同應用可以依照自己的風險偏好選擇不同的驗證強度；但也有評論指出，這種設計實質上把安全責任的一大部分，從協議本身轉移到了應用開發者身上——如果開發者選擇的驗證者組合設計不當（例如過度依賴少數幾個驗證者），實際安全水位可能遠低於使用者的預期，而 LayerZero 協議核心本身雖然沒有發生過重大駭客事件，但這種責任轉移的架構特性，也讓「這個應用到底有多安全」變成需要逐一查證每個應用具體配置的問題，無法用「用了 LayerZero」這個標籤一概而論。
把三者放在一起看，核心差異可以簡化成一句話：IBC 信任的是「連接鏈自己的共識機制」，Wormhole 信任的是「一組固定、已知身分的驗證者多數誠實」，LayerZero 信任的是「應用開發者選擇的驗證者組合設計得夠謹慎」。沒有一種模型絕對優於另外兩種——IBC 的信任最小化程度最高，但目前主要成熟生態圈仍集中在 Cosmos 相關網路，跨到架構完全不同的鏈（如 Ethereum）需要額外工程投入；Wormhole 跟 LayerZero 的驗證者網路模型，換來的是能更快速連接架構迥異的鏈（EVM、Solana、Move 系等），但代價是多了一層外部信任假設。
如果你在使用某個標榜「跨鏈互操作」的應用，光看它用了哪個協議名稱還不足以判斷實際安全水位，值得多問一句：這個協議的驗證邏輯是「依賴連接鏈自己的共識」還是「依賴一組額外的驗證者」？如果是後者，這組驗證者的具體組成、簽署門檻、過去是否發生過事故，都是比協議名稱本身更關鍵的風險判斷依據。特別是如果你使用的應用建立在 LayerZero 這類把驗證者選擇權下放給開發者的架構上，更需要進一步查證這個特定應用實際配置了什麼樣的驗證者組合，而不能只因為底層用了知名協議就假設安全性已經有保障。