预言机数据陈旧无需黑客攻击即可瓦解DeFi_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

预言机数据陈旧无需黑客攻击即可瓦解DeFi

2026-08-16 21:41:28

核心结论：即使预言机网络未被攻破，配置漂移与参数陈旧也可能导致DeFi崩溃

近期Aave和Moonwell事件中，微小的定价偏差通过自动化清算和坏账机制转化为实际损失。这并非罕见的边缘案例，而是与协议配置、更新及监控价格输入方式相关的系统性操作风险。

验证事实：Aave事件（2026年3月10日）

CAPO风险预言机配置错误，将链上wstETH汇率上限设定为低于市场约2.85%，触发约10,938枚wstETH的清算，清算量约2600-2700万美元。清算人获取约499-512 ETH价值。Aave事后分析指出，故障源于受限更新后CAPO参数不同步，而非预言机网络完整性受损，并计划通过BuilderNet和Aave DAO金库向受影响用户退款。

验证事实：Moonwell事件（2026年2月15日）

治理变更导致Chainlink OEV封装器配置错误，将cbETH/ETH比率误用作美元价格。该喂价将cbETH报为约1.12美元而非实际约2200美元，使机会主义清算人夺取1,096.317枚cbETH，协议产生约178万美元坏账。根本原因为治理参数错误，而非节点被攻破。

为何此时关注此问题

学术测量研究显示，更新策略和心跳机制会显著影响跨链价格准确性，Aave和Compound约98.68%的清算依赖Chainlink喂价。作者指出，心跳周期较长的链上错误率更高，凸显了集中性和陈旧风险。运营商回顾认为Aave和Moonwell事件属于预言机配置漂移与陈旧窗口问题，合计影响估计近2900万美元。

DeFi价格机制发生了什么变化

验证事实：预言机提供商的警告

预言机提供商自身警告，陈旧定价会制造危险的套利窗口。建议的缓解措施包括：偏差阈值、心跳机制、多预言机后备方案、L2排序器运行时间喂价（用于Rollup），以及低延迟数据流（用于减少拥堵时的链上陈旧性）。

合理推断：操作风险转移

当协议在基础价格喂价上叠加自定义风险预言机、封装器和治理控制参数时，攻击面从市场操纵转向操作配置错误。Moonwell的OEV封装器错误与Aave的CAPO不同步虽是不同实现，但均表明参数漂移或陈旧时系统可能失效。结合KIT研究指出的跨链心跳差异，单一广泛使用的更新模型可能将相同故障模式传播至多个协议。

证据表明陈旧性导致的损失

验证事实总结

两次事件中网络均未被黑客攻击。错误但看似合理的输入创造了经济激励，在治理干预前被清算机器人和交易者利用。

协议 | 日期 | 故障模式 | 观察偏差 | 实际影响

Aave (wstETH) | 2026-03-10 | CAPO参数不同步（陈旧上限） | 低于市场约2.85% | 约10,938枚wstETH清算；约2600-2700万美元清算量；清算人获取约499-512 ETH

Moonwell (cbETH) | 2026-02-15 | OEV封装器配置错误 | 1.12美元 vs 约2200美元 | 1,096.317枚cbETH被夺取；约178万美元协议坏账

背景与对比

经典的预言机操纵攻击（如2022年10月Mango Markets）通过操纵薄市场扭曲价格并提取抵押品，造成约1-1.15亿美元损失。相比之下，Aave和Moonwell的故障并非数据源操纵，而是配置和陈旧性故障，在未攻破预言机网络的情况下产生了错误价格。

对协议和用户的影响

验证事实：后续处理

Aave计划通过BuilderNet退款和Aave DAO金库向用户赔偿。Moonwell报告清算后协议坏账约178万美元。KeeperHub将两起事件合计影响归类为约2900万美元。

合理推断：信任损失

除直接损失外，用户体验成本是信任。当看似合理但陈旧的价格比治理或多签响应更快地触发连环清算时，即使是复杂的头寸也可能变得“不可对冲”。激励机制不对称：清算人立即行动获利，而补救依赖事后酌情退款。

观点：预言机配置应视为生产关键基础设施

协议应将预言机配置视为与密钥托管同等重要的生产级基础设施，包括变更控制、参数更新的分阶段和金丝雀测试，以及链上实时漂移监控（而非仅限仪表盘）。Aave和Moonwell案例表明，自动化系统如何迅速将微小参数错误转化为巨大后果。

行业设计与政策影响

验证事实：安全审计建议

安全审计反复指出缺少陈旧性检查和L2排序器运行时间验证，建议拒绝超过喂价心跳周期的价格，并使用排序器运行时间喂价以避免“看似新鲜”的陈旧数据。预言机提供商提倡偏差阈值、多预言机后备方案和低延迟数据流，以减少链上陈旧性，尤其在拥堵期间。

市场叙事：缓解措施有代价

更严格的心跳和基于拉取的更新可能增加成本。多预言机冗余增加复杂性和治理负担。但替代方案是接受陈旧窗口作为反复出现的损失来源，并将被无情套利。

观点：行业应标准化“陈旧性SLO”

协议应公开披露并监控类似正常运行时间SLA的“陈旧性服务水平目标”。若价格超过X秒或偏离参考场所Y，清算自动暂停，直到足够数量的新鲜更新到达。这将负担从事后退款转移到事前断路器。

观察到的预言机偏差与市场价格对比——Aave wstETH CAPO事件

（图表显示CAPO限价预言机价格与市场价格在2026年3月10日事件中的对比）

最强反驳：操作问题，而非预言机问题

反驳观点

辩护者指出，在Aave和Moonwell事件中，预言机网络完好且按配置运行。人为错误和治理失误导致了事件，而非预言机故障。提供商已发布针对陈旧性的防御措施，采用数据流、排序器运行时间检查和严格偏差阈值的协议可降低此类风险。

回应：这正是关键点

“未被黑客攻击”并不减少陈旧或错误配置输入造成的损害。从用户角度看，因配置漂移导致的清算与因价格操纵导致的清算在影响上无法区分。KIT研究显示，DeFi大部分领域集中在单一更新模型上，意味着操作失误可能跨协议关联。

确认或削弱此论点的信号

1. 主要借贷和永续合约协议中更严格的心跳设置和链上偏差阈值的公开披露——确认信号为公开治理提案和参数变更。

2. L2排序器运行时间喂价和审计代码中明确陈旧性检查的采用率——若审计报告降低此类问题严重性，则削弱“陈旧性缓解不足”的论点。

3. 多预言机后备方案以及预言机参数更新的金丝雀或暗启动环境的部署——证据为DAO发布的运行手册和事件处理手册。

4. 高波动窗口期间使用低延迟拉取式更新（如数据流），并测量清算异常减少——依据提供商文档。

5. 监控仪表盘显示价格年龄分布和自定义预言机（如CAPO）的快照不匹配警报，以及超过陈旧性阈值时暂停清算的链上开关。

6. 事件频率和影响——更多“非黑客”损失与陈旧或错误配置价格相关将确认风险论点；持续下降则表明缓解措施有效。

编者结论

验证事实表明，未发生预言机网络攻破的情况下已造成数百万美元损失。最可信的解释并非罕见对手，而是配置漂移和陈旧喂价遇上自动化清算。解决方案是操作性的：标准化陈旧性控制，公开披露，并将其嵌入协议风险引擎，在下一次时钟偏差成为市场事件之前。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文