标普报告揭示：DeFi安全漏洞凸显运营安全与风险管控缺失_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

标普报告揭示：DeFi安全漏洞凸显运营安全与风险管控缺失

2026-05-29 00:52:43

近期DeFi安全事件凸显操作安全与风控机制隐患

三月至四月间接连发生的三起备受关注的去中心化金融安全事件，暴露出操作层面的薄弱环节与风险管理不足如何放大整个生态系统的损失。在一份最新简报中，标普全球评级通过剖析这些攻击案例指出，当前最突出的安全漏洞并非智能合约代码缺陷，而是治理失效、操作设置不当以及抵押品控制机制校准失误。

这些事件涉及多个DeFi平台，造成的链上损失累计达数亿美元。它们揭示出代币铸造机制、跨链通信、抵押品准入规则以及人际信任假设等因素，如何在借贷协议间迅速引发连锁反应。

三类典型攻击模式分析

标普的研究归纳出导致损失发生的三种核心攻击模式：

1. 铸造密钥泄露与直接代币创造
在相关案例中，攻击者掌握了用于铸造代币的管理访问密钥，借此创造额外代币，并通过市场机制与特定借贷金库提取价值。该事件凸显了代币发行方管理权限过度集中的风险，以及在可能进行铸造操作时实行权限分离与冗余机制的必要性。

2. 跨链通信与单点故障设置
某平台遭遇的攻击利用了跨链消息配置的弱点，该配置用于聚合桥接原生代币的抵押支撑。攻击者无需侵入铸造合约本身，仅通过消息层的低安全设置即可创造无实际支撑的代币。尽管新铸造的代币流动性较低，仍被主要借贷市场接受为抵押品。这种可组合性使攻击者得以借出约三亿美元的封装以太坊，将代币创造转化为实际利润。

3. 长期社会工程导致管理权接管
据标普分析，另一起攻击源于长期的社会工程活动：攻击者伪装成合法合作伙伴获取信任，最终取得管理控制权。此次入侵导致流动性被抽空，表明即使合约本身健全，人为因素与治理流程仍是核心攻击途径。

风险管理失效如何放大损失

标普分析强调，借贷协议的风险设置与DeFi生态广泛的可组合性会放大操作失误的影响。其中关键机制包括：

抵押品准入与集中度限制
允许新型或复杂资产作为抵押品的借贷平台，必须将每种资产视为独立的信用与操作风险载体。在某案例中，平台仅以代币与以太坊的关联性作为主要风险指标，而未充分考虑其独特行为与攻击面，导致供应上限与风险敞口控制不足，最终对受损资产的借贷规模超过了预留的风险准备金。

硬编码定价与定制金库机制
在相关事件中，市值已暴跌的代币仍可在特定定制金库中以固定价格作为抵押品。这种定价错配创造了套利路径，使得链上参与者能够买入贬值代币并以此借贷，将价格扭曲转化为贷方的流动性流失。

跨链系统的单点故障
采用最低安全配置的跨链消息传递机制，形成了攻击者可利用的中心化信任假设。建立冗余机制、去中心化中继器组及强化验证流程将降低此类风险。

对机构与协议的启示建议

标普将这些事件视为对原生DeFi项目及探索代币化的机构参与者的警示案例，提出的关键控制措施包括：

管理权限的分离与去中心化
铸造与销毁权限应分配给多个主体，或通过多签与延迟治理机制管理，以降低单边铸造事件风险。

零信任原则与强化身份控制
协议团队在外部集成与人员管理上应采用零信任原则，对合作方实施严格身份验证流程，减少对非正式信任关系的依赖。

资产级风险处置与校准的集中度限制
接入抵押品时，借贷平台需评估各类资产的操作特性与市场表现，并据此设置供应上限、借款限额及清算参数。

跨链基础设施的冗余设计
跨链消息与预言机层应避免单一配置默认值，需实施冗余与故障防护机制，防止虚假信号触发代币铸造或抵押品报告失真。

更广泛的市场与监管思考

这些事件表明，可组合性在推动DeFi创新的同时，也可能在协议间快速传导冲击。对于考虑将传统资产代币化的机构而言，其启示十分明确：操作安全与治理模型的设计至少需匹配传统金融基础设施的标准，并力求超越。

监管机构与托管方可能日益关注操作控制、储备证明及治理稳健性，将其作为支持机构参与代币化市场框架的重要组成部分。对市场参与者而言，在创新与审慎之间取得平衡，将成为防止因操作漏洞（而非代码缺陷）引发连锁反应的关键。

核心结论

近期频发的DeFi安全事件证明，完善的风险管理与操作安全与代码安全同等重要。随着代币化进程与机构参与度的提升，协议及其合作方必须弥补治理、身份验证与抵押品校准等环节的缺陷，以在高度互联的生态系统中限制风险传导。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文