Price Manipulation Exploits, Christoph Michel - DeFi Security Summit 2022

借貸協議的核心問題是：如何安全地從去中心化交易所（如Uniswap）獲取資產價格，以決定用戶能借多少錢？這個看似簡單的問題，在過去四年裡反覆擊敗了業界最聰慧的開發者。

最初的第一代協議採用現貨價格——即AMM當下的邊際交換比率。這在2020年初被一個致命的新機制破壞：閃電貸。攻擊者在同一筆交易內進行攻擊，存入一筆抵押品，立刻在AMM上進行巨額交易臨時改變價格（因為AMM的價格由池深度決定，交易量越大價格滑點越大），然後以這個虛假低價借出目標代幣，再反向交易恢復價格。整個過程只損失交易手續費，卻能借到本應更貴的代幣。這種「靴子掉下來」的攻擊徹底改變了整個領域，促使第二代協議改用時間加權平均價格（TWAP），這個價格基於過去一段時間的交易均值，攻擊者無法在單筆交易內改變它。

但修復現貨價格問題後，新需求出現了：用戶想用LP代幣（Uniswap流動性供應者代幣）作為抵押品。LP代幣代表對底層資金池的索取權，其價值應該等於「池中所有代幣的總價值÷LP代幣總供應量」。這個公式看起來簡單，但 What Finance在2020年因此被攻擊。問題根源於人們對Uniswap運作機制的誤解：雖然恆定乘積公式（x × y = K）意味著K值不變，但沿著這條曲線移動意味著池中代幣的實際數量在變化。攻擊者發現，他們可以操縱池中代幣的比例，進而改變LP代幣對應的底層資產組成，最終操縱LP代幣的價值。

第三代協議試圖透過數學推導解決這個問題。他們發現可以推導出一個只依賴於「各代幣的TWAP、初始價格和K值」的公式：LP代幣價格 = 2 × √(P0 × P1 × K) ÷ 總供應量。因為K值在交易中不變，TWAP和初始價格理論上也不受單筆交易影響，這個新公式應該無法被操縱。但Cream Finance在2021年10月證明了這個理論有致命漏洞。

攻擊者發現，雖然LP代幣價格公式無法被傳統的價格操縱擊敗，但他們可以操縱一個更根本的東西：被存入的LP代幣數量本身。借貸協議使用超額抵押（要求抵押品價值 > 借出金額），所以理論上用戶無法存入超過LP代幣總供應量的數量。但攻擊者用兩個賬戶巧妙地繞過這個限制：賬戶A進行大額閃電貸並存入作抵押品，再借出LP代幣轉給賬戶B；賬戶B將收到的LP代幣再存入作新的抵押品；賬戶A再次從賬戶B的新抵押品中借出同一批LP代幣。這個循環可以無限重複，直到存入的LP代幣數量超過原始總供應量。一旦達到這個狀態，攻擊者向Uniswap拋售大量代幣操縱價格翻倍，此時那些被「複製」出來的超額LP代幣在公式中就代表更大的池價值。攻擊者以這個膨脹的抵押品價值借出真實資產（如ETH），償還閃電貸後獲利。

從這些反覆的攻擊中，業界逐漸理解到三個根本教訓。首先，攻擊者總能在同一筆交易內操縱價格，所以協議應該設計成「可以在同一交易內被操縱的預言機會帶來攻擊者自身的風險」——比如要求攻擊者在整個區塊內持續操縱價格，這樣就存在套利者的對沖風險。其次，預言機的安全性取決於具體的資產特性，沒有通用的萬能公式。最重要的是，現代協議理解到應該限制哪些資產可以作為抵押品，特別是LP代幣這類容易被結構化操縱的資產應該被排除。現代協議如Aave嚴格控制抵押資產的範圍，優先選擇高流動性的基礎資產，而非衍生品或LP代幣。