Whitepaper V4.1
11. 跨链桥架构与供应守恒不变量
跨链桥绝不得创造 IONON 的第二经济供应。不变量为：
所有表示形式中流通的规范经济 IONON 总量 ≤ 100,000,000。
具体机制取决于已部署 ERC-20 的能力和 IONON Network 最终代币模块。只有当以太坊合约确实支持安全、可审计且不可被滥用的销毁路径时，销毁-铸造（burn-and-mint）设计才是可接受的。否则，跨链桥应采用锁定/托管-铸造（lock/escrow-and-mint）表示，以太坊上锁定的数量证明可存在的原生表示上限。
跨链桥控制器必须包括：
- 按链划分的规范代币注册表；
- 消息唯一性和防重放保护；
- 最终性门槛；
- 速率限制和全局铸造/表示上限；
- 验证者/中继者分离；
- 在跨链桥层的熔断器和暂停机制，无需基础代币可暂停；
- 独立监控；
- 紧急对账程序；
- 铸造/释放前的不变量检查；
- 交易和证明保留；
- 公开跨链桥状态仪表板。
Axelar GMP/Interchain 基础设施和 IBC 是可互操作传输的候选方案。产品仍可命名为“IONON Bridge”，底层使用经过验证的消息传递和传输。仅仅为了品牌而构建未经审计的专有托管跨链桥会增加而非降低系统性风险。
11.1 跨链桥状态机
每一次跨边界转移都应建模为状态机，而非一对松散耦合的交易：
Requested → Policy-checked → Source-finalized → Proof-observed → Destination-authorized → Mint/Release → Reconciled.
没有任何转换是隐式的。每个状态都携带唯一的转移标识符、源/目标链 ID、数量、代币身份、源区块/最终性检查点、证明或 attest 引用、签名者/验证者集合、策略版本和时间戳。
目标链上的失败操作不得导致源链的第二次释放。重组或重复消息不得造成第二次铸造。紧急干预可以停止新的跨链桥转换，但绝不得重写源链已完成的历史。
11.2 跨链桥风险预算
跨链桥应以刻意保守的限额启动：单笔转移上限、按小时/按天滚动上限、按路线上限以及全局表示供应上限。只有在观察到可靠性并获得治理批准后，才能提高限额。这与 IONON 其他部分使用的原则相同：自主性随证据增长，而非随乐观情绪增长。
11.3 货币对账
在每个检查点，对账服务必须证明：
以太坊自由流通 + 以太坊托管 + IONON Network 规范表示 + 任何已批准的在途会计调整 = 1 亿经济上限，受既定表示规则约束。
公开仪表板应区分代币供应量、跨链桥托管、各域流通量和在途转移，使封装/托管余额永远不会在流通供应声明中被重复计算。