OpenZeppelin 于 2026 年 6 月 1 日至 12 日对 arcus-xyz/rootchain-contracts 代码库（提交 e950dbc）进行了审计。该系统由连接根链与运行混合永续交易所的侧链的 EVM 端桥合约组成。关键组件包括 BridgeVault（托管桥接 ERC-20 资金）、CheckpointManager（桥和逃生舱口的编排器）、ValidatorConsensus（链上投票门）、ValidatorBeacon（信号注册表）和 EmergencySettlement（无状态证明验证器）。审计共发现 13 个问题（12 个已解决），其中 5 个低严重性发现（4 个已解决）和 8 个备注（全部解决）。未发现关键、高或中等严重性问题。主要发现包括：投票撤回不会使未完成的元交易投票签名失效；缺少零值参数验证；无权限的原始收件箱请求可模拟类型化的存款请求；紧急结算支付可能导致资金滞留；以及向零地址所有者存款可能导致资金丢失。安全模型将交易所状态正确性委托给受信任的验证者集，根链合约确保传输级不变量和托管偿付能力。

关键事实

• 共发现 13 个问题（12 个已解决），无严重/高/中等问题。
• 低危：投票撤回不使未完成的元交易签名失效。
• 低危：缺少零值验证；无权限原始请求可模拟存款。
• 低危：紧急结算支付可能因仅收款人导致资金滞留；零地址存款有丢失风险。
• 安全模型信任验证者法定人数确保交易所状态正确；根链处理传输与托管。