DeFi借贷协议2025：重塑信任之道

下载抹茶查看core币2023年最新价格

DeFi借贷是一种相对简单的借贷方式。放款人只需将数字货币存入借贷池，就能从中获得利息。而借款人可以通过提供抵押品来换取借贷资产。借贷平台通过价格预言机来确定抵押品的价值，以计算可以借入的数额。当抵押品的价值低于一定阈值时，清算人可以通过偿还债务来清算，并获得清算奖励。

2026虚拟币交易平台推荐：

• 欧易（OKX）交易平台（>>>进入官网<<<）（下载OKX的Android安装包）
• 币安（Binance）交易平台（>>>进入官网<<<）（下载币安Android安装包）

本文将回顾2022年发生的借贷协议黑客攻击事件，并分析如何保护这些借贷协议。

Mango Market漏洞

2022年10月11日，Solana上的Mango Market遭遇攻击，损失达1.16亿美元。攻击者利用了允许项目使用低流动性资产作为抵押品的漏洞，操纵了MNGO的价格，并借出了超出应有数额的资产。由于MNGO仅在少数几个中心化交易所上线，市场流动性很低。例如，价格预言机Switchboard使用Raydium作为价格来源。

攻击者在订单簿中提供了4.83亿单位的MNGO perps（做空），并向第一个账户注入了500万枚USDC。随后，攻击者向第二个账户注资，并以每单位0.0382美元的价格买入4.83亿单位的MNGO perps，从而提高了现货价格。通过操纵价格预言机上的MNGO价格，攻击者将其拉高到0.91美元，第二个账户因此在Mango Market上获利，并借到了其他资产。

攻击者的借款行为使第一个账户的坏账总额达到11,306,771.61美元，造成了115,182,674.43美元的资产损失。下图是Radium上的一个截图示例，可以看出MNGO/USDC对的流动性很低。尽管Mango使用了价格预言机和TWAP，但对于拥有足够资本的攻击者来说，操纵流动性低的资产并不难，特别是当资产只在少数交易所上线时。

关于Mango漏洞的详情解析，请查看往期文章《Mango Market遭受攻击，损失1.16亿美元》。

Deus Finance漏洞

2022年4月28日，Deus Finance遭遇恶意攻击，导致约1570万美元资产损失。攻击者操纵了DEI资产的价格，从DeiLenderSolidex合约中提取了大量的DEI，却只提供了少量的抵押品。这是Deus在2022年遭受的第二次攻击。

DeiLenderSolidex合约使用链上价格和来自Muon预言机的加权平均价格（VWAP）。攻击者需要同时操纵Muon预言机和链上价格的输入。Muon预言机监控Solidly USDC/DEI池内的交易，计算成交量加权平均价格（VWAP）。通过一系列闪电交易，攻击者输出了一个被操纵的价格，被Muon预言机读取。

该漏洞的根本原因是Muon预言机只使用了Solidly作为价格来源，而Swap使用的flashswap()没有被Muon正确过滤，导致短期内加权平均价格的不一致。

Inverse Finance

2022年4月2日，Inverse Finance被恶意利用，导致约1450万美元的资产损失。根本原因在于其使用的第三方价格预言机价格被操纵，攻击者以被操纵的价格借出资产。

Inverse使用Keep3r预言机，完全依赖DEX的价格数据。它依赖于一个TWAP预言机，来自一个交易量少的DEX交易对，具有30分钟的时间窗口，以减轻市场操纵风险。但攻击者在短时间内（小于15秒）提交了两笔交易，绕过了这一限制，用当前池中资产数量计算价格。

攻击者首先部署了一个恶意合约来操纵SushiSwap/Curve.fi SushiSwap:INV（INV-ETH对）中的INV/XINV的价格。然后他们将INV存入并铸造了1746个XINV。由于XINV的价格根据SushiSwap:INV(INV-ETH Pair)中的储备金计算，INV的价格急剧升高，每个XINV的价值达到20926美元。

随着XINV价格被操纵，攻击者能够用铸造的XINV借出资产作为利润。借出的资产包括1588 ETH、94 WBTC、3999669 DOLA和39 YFI，总价值约1450万美元的资产被盗并转移到Tornado Cash。我们在几个月前也对这一事件进行了深入分析，请查看往期文章《泪纷纷，被盗项目欲断魂……Inverse Finance被盗1450万美元事件分析》。

Cashio

2022年3月23日，基于Solana的Cashio稳定币CASH遭遇“无限铸币”类型漏洞的恶意利用，损失约5000万美元。根本原因是缺乏对common.crate_collateral_assets和depositor_source的必要验证。攻击者能够注入假账户以绕过验证并铸造CASH。

为了铸造新的CASH，用户需要存入抵押品。铸币过程在用户将“抵押品”转移到项目中进行验证。在crate_collateral_assets的验证过程中，合约检查资产类型是否与saber_swap.arrow账户的类型相匹配。然而，合约并没有对mint字段进行验证，攻击者可以创建一个假的saber_swap.arrow账户，进一步允许其创建一个假的crate_collateral_assets账户并存入假的抵押品。

攻击的另一个方面是缺乏对depositor_source的检查，这应该是为了确保被存入的资产类型与抵押品相匹配。用户可以通过拥有一家bank来设置抵押品的资产类型。使用crate_mint功能可以无限制地创建抵押资产类型，系统并没有确认与bank关联的资产与正被铸造的资产相同。因此，攻击者能够创建一个假bank并存入无价值的抵押品，铸造真正的CASH并从协议中抽走资金，导致了5200万美元的损失及相应稳定币价格的崩溃。

Fei Protocol

2022年4月30日，Fei Protocol宣布他们正在调查Rari Fuse池上的一个漏洞。目前报告的总损失约为8000万美元。攻击者对borrow函数进行了攻击。

exitMarket函数验证存款不再作为贷款的抵押品，然后允许它被提取。然而，borrow()函数没有遵循check-effect-interaction模式，而是在更新攻击者的借款记录之前，就将ETH转移到攻击者的合约中。doTransferOut()函数通过底层调用将ETH转移给接收方。当borrow函数向借款人发送贷款金额时，它还没有更新其内部状态以反映所存资产已经被用作抵押。由于攻击者的借款记录没有及时更新，攻击者对exitmarket()进行了一个重入攻击，并提取了他们的抵押品（1.5亿USDC）。

关于Fei Protocol攻击事件的详情解析，请查看往期文章《死神来了之重入攻击，Fei Protocol漏洞导致7935万美元被盗事件分析》。

Fantasm Finance

2022年3月09日，Fantasm Finance的抵押池被恶意攻击，导致约270万美元的损失。攻击者利用了协议的mint函数的错误检查代码_minFtmIn中的缺陷。错误检查代码的目的是确保用户在铸造XFTM时将FTM存入合约。根据其实现，如果只投入FSM，则需根据FSM的比例来计算XFTM的数量，超过FSM比例的部分需要由FTM来补足。然而，代码实际上是与msg.value（衡量与交易一起发送的ETH数量）相比较，来计算接受铸造的FTM的最小数量。

在第一个红框中，重要的_minFtmIn参数被忽略了，甚至没有声明这个变量，而是只需要FSM（第二个红框）。当只存入FSM时，不需要补充FTM抵押品。如果FSM占10%，那么10单位XFTM可以用1单位FSM铸造。因此，攻击者能够在只存入真实价值的一小部分时铸造XFTM。铸造的XFTM随后被卖回给该项目，使攻击者能够从项目中取出资产，并购买更多的FSM用于后续的攻击。

如何保护借贷协议

2022年是全球Web3.0行业安全的“黑暗”之年。根据我们的统计结果，2022年针对借贷协议的攻击共造成了超过3亿美元的损失，这意味着在接下来的几年中，我们将面对更迫切和更高的安全需求。接下来我们将讨论从这些攻击事件中吸取的教训，并总结关于如何预防和应对的最佳做法。

增加闪电贷保护：闪电贷允许任何人在没有抵押的情况下进行大额贷款，因此经常被黑客使用，成为多次大规模攻击的攻击媒介。为了避免闪电贷攻击，开发者应该尽可能地考虑限制闪电贷的使用，只允许非合约地址与合约交互。另一个防止滥用闪电贷的措施是防止关键交易在同一区块内发生。这可以有效地降低与闪电贷攻击有关的安全风险。

增加可重入性保护：可重入性是智能合约中一个比较常见的安全问题。例如耗尽借贷池和操纵借款记录，特别是当与其他漏洞相结合时，重入问题可能会导致十分庞大的损失。为了保护可重入性，项目可以使用OpenZeppelin提供的重入性防护，并遵循check-effect-interaction模式。

选择一个可靠的价格预言机：预言机应能够过滤掉模糊的交易并使用多个数据源。避免使用只依赖单一交易对价格的预言机，因为攻击者只需要操纵一个池子的价格就可以操纵这个预言机的价格。

慎重选择抵押资产：从经济角度来看，建议限制或不提供流动性差的资产的杠杆。使用价格高度波动的资产作为抵押品会增加整体风险，因为当资产价格大幅波动时，抵押品的价值也会发生很大变化。这增加了攻击项目经济模型的机会，就像Mango Market的情况一样。它也会影响到系统的整体状态。如果整体抵押物和借出的资产的价值的比例太低，系统可能无法正常运行。

加强对合约配置的安全意识：虽然审计智能合约可以检查出许多人为错误并确保设计实践一致性，但借贷协议中仍有一些敏感参数需要人工配置。这些参数的不正确设置会导致严重的后果，就像错误配置的预言机合约会反馈错误的数据。开发人员和项目操作人员在配置这些参数时应谨慎行事。

文章来源于抹茶交易所。

抹茶安卓下载：立即前往抹茶IOS下载：立即前往