1.4 ETH小小被盜案背後：解析Lido如何通過去中心化設計實現風險隔離

作者：@IsdrsP（Lido 驗證節點主管）

編譯：Nicky，Foresight News

5 月 10 日凌晨預言機服務商 Chorus One 披露，Lido 預言機的一熱錢包遭黑客入侵導致 1.46 枚 ETH 被盜。但據安全審計顯示，這一孤立事件影響有限，涉事錢包設計本就僅作輕量級運營用途。

預言機遭受攻擊聽起來確實很糟糕。然而，Lido 的架構設計、利益相關方的價值理念，以及以安全爲導向的貢獻者文化，意味着此類事件的影響極爲有限 — 即便預言機被完全攻破，也不會造成災難性後果。

那麼，Lido 究竟有何獨特之處？

深思熟慮的設計與層層防護機制

Lido 的預言機負責將共識層的信息傳遞至執行層，並匯報協議動態。它們並不掌控用戶資金。單一故障預言機只會造成小麻煩，即便仲裁程序（quorum）被攻破也不會造成災難性後果。

單個被攻破的預言機可能會嘗試哪些惡意行爲？

A) 提交惡意報告（但會被誠實的預言機忽略）；

B) 耗盡該特定預言機地址的 ETH 餘額（該地址僅用於運營交易，且未存放質押者的資金）。

預言機究竟承擔什麼職責？

Lido 的預言機本質上是由 9 個獨立參與者組成的分布式機制（需 5/9 達成共識），主要負責協議狀態報告，當前核心職能包括：

• 代幣通脹獎勵發放（rebase）

• 提款流程處理

• 驗證節點退出及性能監控，以供 CSM（Community Security Module）參考

這些預言機會向協議提交其觀察到的狀態「報告」。這些報告用於計算每日累計的獎勵或懲罰、更新 stETH 餘額、處理並最終確認提款請求、計算驗證者退出申請以及衡量驗證者的表現。

從本質上來說，Lido 預言機與人們通常理解的「多籤」有所不同。預言機既無法訪問質押者和協議的資金，也不能控制任何協議合約的升級，更無法對自身進行升級或管理成員資格。相反，Lido DAO 通過投票來維護預言機列表。

預言機的功能極爲有限 — 僅能執行以下操作：提交報告，這些報告嚴格遵循爲不同協議目標設計的確定性、經過審計且開源的算法；在特定情況下執行交易以落實報告結果（例如協議的每日 rebase 操作）。

如果 9 個預言機中有 5 個被攻破，最壞的情況會怎樣？在這種情況下，被攻破的預言機可能會合謀提交惡意報告，但任何報告都必須通過鏈上強制執行的協議合理性檢查。

若報告違反這些合理性檢查，其處理時間將會延長（甚至可能永遠無法）「結算」，因爲報告中的數值必須符合特定時間段（數天或數周）內允許的數值變化範圍。

在最壞的情況下，這可能意味着類似 stETH 的 rebase（無論是正向還是負向）需要更長時間才能生效，這會對 stETH 持有者造成影響，但對大多數持有者的影響微乎其微，除非有人在 DeFi 中以槓杆方式使用 stETH。

也存在其他可能性：若惡意預言機及其同謀掌握某些信息，或是具備在共識層實施大額懲罰（如大規模罰沒）的能力，就可能利用執行層 stETH 更新延遲來謀取經濟利益。

例如，若發生大規模罰沒，某些人可能會在負向 rebase 生效前，通過去中心化交易所（DEX）拋售部分 stETH。不過，這不會影響用戶通過 Lido 直接發起的提款操作，因爲協議的「應急模式」（bunker mode）將會啓動，確保提款流程公平執行。

即時且徹底的透明性

從始至終，Lido 生態系統的所有參與者 — 無論是貢獻者、節點運營方，還是預言機運營方等，始終將透明度與善意置於首位，優先保障質押者權益與整個生態系統的健康發展。

無論是主動發布詳盡的事後分析報告、補償因基礎設施停機造成的質押損失，還是出於預防性考量主動退出驗證節點，亦或是迅速發布全面的事故報告，這些參與者始終將透明度視爲重中之重。

持續迭代升級

Lido 始終站在技術研發前沿，致力於運用零知識證明（ZK）技術提升預言機機制的安全性與去信任化水平。早在初期階段，團隊便投入逾 20 萬美元專項資金，支持通過零知識證明技術實現共識層數據的無需信任驗證。

這些關於技術的探索最終促成了由 SuccinctLabs 團隊研發的 SP1 零知識預言機「雙重校驗」機制將於年內的正式上線。該機制通過可驗證的共識層數據，爲潛在的負向 rebase 操作提供額外的安全驗證層。

目前這類零知識技術仍處於發展階段，相關的零知識虛擬機（zkVM）不僅需要經歷實戰檢驗，同時也存在運算速度較慢、計算成本較高的局限性，尚無法完全取代可信預言機。但從長遠來看，這類解決方案有望成爲現有預言機的信任最小化替代方案。

預言機技術十分復雜且在 DeFi 領域的應用場景各異。在 Lido 協議中，預言機作爲核心組件經過精心設計，通過有效的去中心化架構、職責分離機制以及多層校驗體系，顯著降低了潛在風險的影響範圍。

內容來源：