T29 · Protocol Security

一个现实问题

你的协议上线了。合约过了 T28 的全部检查：没有重入、权限边界清楚、取整方向都对、升级有时间锁。审计报告干干净净，一个高危都没有。

一个月后，某天下午，你的协议在十几分钟里损失了一大笔钱。

你把交易拉出来复盘，越看越困惑：

- 没有函数被非预期地调用
- 没有权限被越过
- 没有一行代码的行为和你写的不一样
- 每一笔交易，单独看，都完全合法

攻击者做的事，用大白话说是这样的：他借来一大笔钱，用这笔钱在一个交易所里把某个价格推到一个离谱的位置，然后拿着这个离谱的价格来和你的协议做了一笔完全按规则进行的交易，赚走差价，最后把借来的钱还回去。全程在一笔交易里完成。

他没有攻破任何东西。他只是把一笔账算清楚了，发现它划算，然后照着做了。

T28 那一整套防御——CEI、访问控制、不变量——在这里一条都没被触发，因为它们防的是「代码做了它不该做的事」。而这次，代码做的全都是它该做的事。

所以这一章的问题，和上一章是完全不同的一个：

当攻击者不需要任何漏洞，只需要这笔账算得过来，你怎么防？

思想实验

先离开代码，想一个赌场。

赌场里有一张桌子，规则写得清清楚楚，绝对公平，庄家一分钱都不作弊。桌上有个玩法：赔率是根据「最近一小时进场的筹码方向」实时算出来的。 押的人多，赔率就往一边偏。

规则本身没有任何问题。直到有一天，一个人推着一车筹码进来。

他先用一半的筹码，在一分钟内朝一个方向猛押。桌子忠实地执行规则，赔率被他一个人推到了极端。然后他用另一半筹码，按这个被他自己推出来的赔率，反向下一注。

结算。他赢的，远超他推动赔率花掉的。他收拾筹码走人。

赌场没有被骗。 每一条规则都被严格执行了，每一注都是合法的。出问题的是规则的一个隐含假设：

它假设「进场的筹码方向」反映的是很多人的独立判断，而不是一个人的钱。

这个假设在大多数日子里成立，因为平时没有一个人有那么多筹码。它失效，只需要一个条件：有人一次性拿得出足够多的钱。

现在把赌场换成你的协议，把「一车筹码」换成一笔可以凭空借来、用完立刻归还、几乎零成本的钱。你会发现两件事：

第一，你的协议里也藏着一个「平时没人有那么多钱」的隐含假设。它可能是「没人能一次性买空这个池子」，可能是「没人能瞬间拿到多数投票权」，可能是「价格不会在一个区块内被推到那个位置」。

第二，加密世界把「一次性拿得出足够多的钱」这个前提，从「几乎不可能」变成了「一笔交易的事」。

于是这一章的思想实验可以浓缩成一句话：

把你协议里每一个「平时没人做得到」的假设找出来，然后假设有人现在就有无限的钱，重新问一遍：他做得到吗？

你来决定

你的协议要用到一个价格。你从哪里取？这个决定，很大程度上决定了上面那笔账算不算得过来。

观察结果

四种取价方式的对照，但这次对照的核心是攻破它要花多少钱：

第二列和第三列放在一起，就是这一章的第一条结论：

协议的安全性，等于攻破它的成本高于攻破它的收益。而在加密世界里，「攻破成本」里的资金那一项，往往可以借。

这句话改变了整个安全的算法。T28 里，攻击者的能力受限于他掌握的私钥和他能触发的代码路径。这一章里，攻击者的能力受限于一件事：这笔账算不算得过来。 而算账的时候，本金那一栏可以填一个几乎无限大的数——因为闪电贷让「拥有一亿」和「拥有一百块」在一笔交易内没有区别。

第二条结论，是这一章要教给你的核心动作：

判断协议安不安全，不是去找漏洞，而是站在攻击者的位置，把这笔账算一遍。

算账的公式很朴素，难的是把每一项填对：

攻击收益  -  攻击成本  =  攻击者的净利润

其中：
  攻击成本 = 资金成本 + Gas 成本 + 时间成本 + 风险成本
  资金成本 = 如果能用闪电贷，约等于闪电贷手续费（极小）
           = 如果不能，约等于占用这笔资金的机会成本

只要这个差是正的，攻击就一定会发生——不是可能，是一定，因为链上是公开的，全世界都在算同一笔账，而你只要算错一次。

建立模型

攻击成本清单：把每一项填对

这是这一章的核心工具。给任何一个攻击构想，逐项填这张表，最后看净利润的符号。

再填收益那一栏：

最关键的判断是资金那一项能不能借。 这一个判断，往往决定了攻击成本是「几十块手续费」还是「几千万本金的机会成本」——中间差了六七个数量级。

判断标准只有一条：

如果整个攻击能在一笔交易里完成、且结束时借来的钱能原样还回去，它就能用闪电贷。

一旦能用闪电贷，你就必须假设攻击者拥有的资金，等于全链所有借贷协议此刻能借出的总和。这不是一个夸张的假设，这是一个下限。

闪电贷：把「本金」这一项抹掉

闪电贷的机制在这里必须讲清楚，因为它是这一整章的放大器。

在一笔交易里：
  1. 借出一大笔钱（无需抵押）
  2. 用这笔钱做任何事
  3. 在同一笔交易结束前，把钱 + 手续费还回去

如果第 3 步没做到，整笔交易 revert，就像 1、2 从没发生过

它对贷方是完全安全的——还不上就当无事发生。它对协议安全的意义是灾难性的：

闪电贷不创造新的攻击，它只是把所有「需要很多钱才能做」的攻击的门槛，从「你得有很多钱」降到了「这笔账得算得过来」。

所以闪电贷本身不是漏洞，被闪电贷放大的那些经济假设才是。防御的正确方向不是「禁止闪电贷用户」（做不到，也没意义），而是让你的协议不依赖任何「攻击者钱不够多」的假设。

一个直接的推论，也是一条可以写进代码的规则：

任何「在同一笔交易里，价格/份额/权重先被改变、再被使用」的地方，都要假设那个改变是攻击者用借来的钱做的。

这句话你应该觉得眼熟——它就是 T28 那条「状态更新晚于使用」的经济版本。上一章那是重入，这一章这是操纵。两者是同一个形状在不同层面的投影。

四类经济攻击，逐一算账

第一类：预言机操纵。 第二步制造的失真是「价格」。

收益 = 用失真价格从协议套走的资产
成本 = 闪电贷手续费 + Gas ≈ 极小
安全条件 = 把价格推到目标位置的成本 > 能套走的收益

防御就是「你来决定」里那四种取价方式的组合。核心是让「推动价格的成本」这一项变得极高：深流动性、时间加权、多个真独立的源。

第二类：治理攻击。 第二步制造的失真是「投票权」。

收益 = 通过一个恶意提案能转走的资金
成本 = 借到多数投票权的成本 + 等过时间锁的成本
安全条件 = 借票 + 等待的总成本 > 提案能转走的资金

这里的关键变量是投票权能不能被借、以及有没有时间锁。如果治理代币可以闪电贷、投票是即时生效的，那么攻击者可以在一笔交易里借票、投票、执行、还票——这是最危险的组合。防御的两把锁：投票权的快照要早于提案（借来的票投不了），关键提案执行前必须过时间锁（给社区反应时间）。 这正是 第 24 章 那句「一次投票能不能把钱投走」的技术答案。

第三类：流动性攻击。 第二步制造的失真是「池子的构成」。

收益 = 从被扭曲的池子里套走的价值，或让别人的头寸被错误清算后低价接手
成本 = 短暂占用大额资金 + Gas
安全条件 = 恢复池子所需的反向成本 > 套走的价值

第一存款人问题（T28 讲过）是它的一个特例。更一般的形态是：在低流动性的池子里，用大额资金临时改变价格或权重，触发协议里某个依赖池子状态的逻辑。

第四类：激励攻击。 第二步制造的失真是「协议以为的贡献」。

收益 = 骗取的补贴、奖励、空投
成本 = 伪造贡献的成本（往往极低）
安全条件 = 伪造一份贡献的成本 > 一份贡献能领的奖励

这一类最不像「攻击」，却最普遍。刷交易量领手续费返还、自己和自己交易刷排名、造一万个地址领空投（女巫攻击）。它的账算起来最简单：只要「装成一个有效用户」的成本低于「一个有效用户能领到的钱」，就一定有人批量地装。 T27 里代付方被薅干，就是这一类。

一次完整的算账演示

把开头那个场景，用这套工具从头算一遍。假设你的协议用某个池子的即时价来给一种抵押品定价。

攻击构想：
  1. 闪电贷借入大量基础资产
  2. 在那个池子里把抵押品价格推高
  3. 用被推高的抵押品，在你的协议里借出远超其真实价值的资产
  4. 把池子价格推回（部分资金自然回收）
  5. 还闪电贷，带走多借出来的部分

逐项算成本：
  资金   = 能在一笔交易里完成吗？能。→ 闪电贷手续费，极小
  Gas    = 一笔复杂交易，中等，但远小于收益
  时间   = 单笔原子交易，无过夜成本
  风险   = 原子交易，要么成功要么整体回滚，风险≈0

算收益：
  = （被推高的抵押价 - 真实抵押价）× 能借出的资产量
  = 一个正数，且通常远大于上面的成本

结论：净利润为正 → 这个攻击一定会发生

现在改一个防御变量，重新算：把即时价换成一个足够长的时间加权价。

第 2 步变成：要把时间加权价推高，攻击者必须把价格维持在高位足够久，
            跨越多个区块。
  资金   = 不能再用闪电贷了（要过夜）→ 变成占用大额本金的机会成本
  时间   = 多个区块，期间价格偏离会被套利者反向吃掉
  风险   = 从≈0 跳升为「维持期间被套利、被抢跑」的真实风险

结论：成本从「手续费」跳成「大额本金 + 时间 + 风险」，
      往往超过收益 → 攻击不再划算

看清楚发生了什么：你没有修任何漏洞，你只是把攻击成本里的一项从「可借」变成了「不可借」。 这就是协议安全的核心手法——不是堵路，是把路修贵。

系统视角：你的协议依赖谁，就继承了谁的风险

最后一层。你的协议很少独立存在，它站在别的协议肩膀上：用某个池子取价、接受某座桥的资产、把资金存进另一个协议生息。

你继承了它们每一个的经济假设。 而经济攻击最喜欢的就是这些接缝：

• 你接受的抵押品，是某座桥的包装资产吗？那么这个抵押品的真实价值，取决于那座桥没出事（T26）。
• 你的收益来自把用户资金存进另一个协议吗？那么另一个协议的经济假设，现在也是你的。
• 你的清算依赖清算人有利可图吗？行情剧烈时清算人可能集体不划算（T22 讲过清算速度是借贷协议的安全边界）。

所以协议安全的最后一个动作是画一张依赖图，对图上每一个外部依赖问同一句话：

如果它的经济假设被攻破，我这边会连带发生什么？我能不能被隔离？

这张图，就是下一章审计里「威胁模型」的骨架。

它叫什么

动手

- 没人能一次性买空/买爆这个池子
- 价格不会在一个区块内被推到某个位置
- 没人能瞬间拿到多数投票权
- 首次存款不会是 1 wei
- 清算永远对清算人有利可图
- 没人会为了领奖励而批量造号

Gas  ：估算攻击交易的复杂度，乘以一个偏高的 Gas 价格
时间 ：需要几个区块、几笔交易
风险 ：单笔原子攻击≈0；多步攻击要估中途失败、被抢跑、被反向套利的概率

净利润 = 收益 - 成本

AI Lab

第一步：
这是我的协议（给出合约、它依赖的价格源、治理方式、激励规则、
以及它依赖的外部协议）。
扮演一个只用资金、不用任何代码漏洞的攻击者。
列出至少 6 条攻击构想，每一条说明：
- 你借什么、做什么、按什么顺序
- 你利用的是我哪一个经济假设

第二步：
对每一条攻击，填这张成本表：
资金（能否闪电贷）、Gas、时间、风险；再填收益（按上限算）。
资金那一项必须明确判断：整个攻击能不能在一笔交易里完成并还款。

第三步：
对每一条，给出防御。
但区分清楚：你的防御是「堵住这一条具体路径」，
还是「消灭它利用的那个经济假设」。
如果是前者，说明攻击者换个什么变量就能绕过。

真实案例

改一个变量

带走的问题

本章自测