近来，DeFi商场经历了一场严峻的检测，多起进犯事情接连发生，形成了巨大的财物丢失。在大都安全事情中，闪电贷进犯的“冠名”好像成为了标配。但是，在其背面不容忽视的本相，其实是对预言机进行控制，形成内外价格差并从中套利。
所谓闪电贷（Flashloan），其实是一种立异金融工具，可完成无抵押借款，但要求在同一个区块内还款，否则买卖回滚。闪电贷的魅力在于，可以使借款者在无需付出任何尽力或代价的状况下秒变“富豪”。当然，庞大的资金量也预示着强大的商场控制潜力。
在此类安全事情中，进犯者一般归于“空手套白狼”，先运用闪电贷获取很多资金，拥有了进犯的发动“砝码”后，再经过一系列手段出入各类抵押、假贷、买卖等协议，在完成操作、歪曲财物价格数据后，施行套利，最终偿还“本金”。
数据显现，自2020年以来，黑客根据重入缝隙的进犯数量有所下降，而根据价格控制缝隙的进犯比例正在上升，并已形成累计超越数千万美元的丢失。
那么，这个预言机究竟是什么？
区块链对外交流的“桥梁”
预言机（Oracle）并不是什么玄幻事物，它其实是区块链网络与互联网以及其它区块链网络等坚持数据、信息交流的“桥梁”。特别是，在DeFi智能合约这类去中心化使用（Dapp）中，经过预言机，开发者可以调用包含行情价格在内的各种外部数据资源，让Dapp连通外部现实世界的数据环境。
毫无疑问，可以供给不行篡改、牢靠数据的预言机必将成为DeFi开展的重要柱石。在DeFi使用中，不管自身装备仍是依赖第三方供给，经过预言机可获取各个商场的价格、汇率等重要信息。而关于去中心化买卖所（Dex）来说，获取准确牢靠的价格数据意义更为重大。
与中心化买卖所不同，Dex行情数据的“孤岛化”倾向更为明显，如果不与外界行情坚持实时联动，Dex中的主动化做市商（AMM）财物池很可能会因为买卖量、流动性等的剧烈变化而发生价差丢失。
随着DeFi商场热度的提升，职业更多的思考倾向于项目数量、规模以及形式等方面。而对预言机安全问题的关注反倒是处于一种不温不火的状况。近段时刻，频频发生的预言机安全事情可能为此敲响了警钟，预言机安全于DeFi生态有序开展至关重要。
典型的预言机安全事情
【事情一】
关于首起预言机安全事情，时刻要回到2019年6月25日。DeFi衍生品渠道Synthetix预言机发生反常，致使渠道sKRW/sETH汇率报错，超越3700万枚sETH被贱价买卖，触及金额近10亿美元。
|
事情原因：喂价源信息失常，预言机发生毛病并将过错价格发布到链上，买卖机器人发现后敏捷套利。 |
最终，Synthetix与买卖机器人所属者达成资金返还协议，巨额丢失得以挽回。但值得警觉的是，上游价格源反常可能给智能合约带来毁灭性冲击，而缺少有效性验证的预言机在数据正确性、安稳性方面存在极大的安全隐患。
【事情二】
在此后的事情中，令人形象深刻的是“bZx接连进犯事情”。2020年2月，DeFi借款协议bZx在一周内先后两次遭到进犯，形成了约100万美元的丢失。
|
事情原因：黑客使用Uniswap算法价格缺陷，操作相关财物价格数据并游走多个DeFi协议，施行套利。 |
时隔七个月，bZx再次遭受进犯，此次事情又形成了约800万美元的丢失。bZx联合创始人KyleKistner在事情发生后曾说到，这好像是一次预言机操作进犯。最终，此次事情的原因被归为代码缝隙。
【事情三】
近期，触及预言机进犯的事情愈发频频，安全形势严峻。10月26日，DeFi项目HarvestFinance遭到黑客进犯，形成了约2400万美元的丢失。
|
事情原因：该协议fToken铸币时采用Curve y池为喂价源，进犯者经过巨额兑换，操作价格数据，控制铸币数量，然后屡次套利。 |
官方泄漏，黑客经过curve y池进行进犯，使Curve中安稳币的价格反常超出387.9%，并在7分钟内屡次套利。受此影响，Harvest代币FARM的价格在短时刻内暴跌65%。
【事情四】
11月14日，Value DeFi协议遭到黑客进犯，同样是历经了一系列协议间操作，最终导致超越700万美元的丢失。
|
事情原因：进犯者使用价格预言机缝隙，操作Curve财物池价格，盗取过量3CRV兑换DAI后套利。 |
令人唏嘘的是，黑客最终偿还了200万枚DAI并留下了一条嘲讽信息：“你真懂闪电贷吗？”以此回应该团队此前的推文，声称可防闪电贷进犯。
近段时刻，仅由预言机进犯形成的财物丢失已累计超越3000万美元。此类事情中，黑客正是经过操作预言机，形成可施行套利的兑换率，最终使用价格差盗取了协议财物。因此，DeFi生态中最具系统性危险的因素是易受价格控制的预言机，而非闪电贷这种金融工具。
解决方案的探究
预言机有着广泛的使用场景，需与链下数据进行交互的Dapp皆可凭借预言机来完成功能和价值。其中，典型使用场景包含，Dex、衍生品、安稳币、假贷渠道、游戏、稳妥、猜测商场等。面临这个“数据要塞”，经过迭代晋级、安全测验等，预言机有望供给更为优质的服务。
因为区块链本身不具备验证数据是否公平、合理的功能，因此，那些过错的外部数据在去中心化机制下，将被预言机无差别地执行返回，而这种“一差二错”极容易形成各类丢失。
预言机的迭代晋级，应完成链上与链下可信数据的对接，保证数据环境正常、安稳、有序。在报价方面，预言机应尽量从多节点聚合数据，对价格误差预留处理机制，并按照时刻同步更新，保证供给给智能合约的数据牢靠、可信、抗干扰。
在Dex中，预言机应在供给报价更新的同时保护、调整AMM的权重，保证内部汇率与外部商场价格坚持匹配，并经过验证机制，反常报警机制等有效阻拦进犯者对价格、汇率的操作，避免套利空间的发生。
另一方面，DeFi开发者应加强预言机的针对性测验，特别是在项目上线前，尽可能模仿价格控制进犯的各类场景，及时发现问题并找出解决方案，实在进步项目抗预言机进犯的能力。
项目上线后，开发者应根据状况选择接入第三方预言机服务、安全测验服务等；举行相关缝隙赏金活动，做到及时查缺补漏，优化全体结构，在最大程度上降低同类型事情再度发生的可能性。
结 语
事物的两面性总能在各方面得到表现。关于闪电贷而言，本是一种立异金融工具，可高效供给大额资金，促进价值循环。然而，它却被进犯者使用，沦为了盗取财物的重磅武器。
不管是DeFi开展仍是区块链新领域的拓展，链上、链下的数据交换势在必行，预言机的效果不行小觑。其实，进犯者的控制手段也并非高深，只是在现阶段预言机还不够智能，很难及时应对和抵御。
同样，事物开展的道路也总是曲折。在遭受许多沉痛代价后，预言机这个“短板”暴露无遗。为区块链生态安全计，在彻底抗控制进犯的预言机诞生之前，加强多方技能的验证和检测，防备进犯于未然成为了当务之急。
作者介绍：
成都链安，全球最早专门从事区块链安全的公司，同时也是全球最早将形式化验证技能使用到区块链安全领域的团队，研发了全球抢先的智能合约主动形式化验证渠道VaaS，并根据此，建立了“一站式”区块链安全渠道，为区块链企业供给安全审计、财物追溯、隐私保护、安全咨询、要挟情报、安全防护等全方位的安全服务与支持。请求软件发明专利和著作权15项。
视野开拓
举两个非随机的例子，财政部长汉克保尔森曾在2007年4月的一次演讲中表示，次贷问题已经基本得到控制。一个月以后，美联储前主席本伯南克在美联储会议上表示，我们预期次贷市场将不会给其他经济领域或金融系统带来明显的溢出效应。-《当音乐停止之后》
