ціна маркування：公正判官还是连环清算的导火索?

У березні 2025 року токен JELLY з невеликим обсягом торгівлі на одній з торгових платформ спричинив мільйонні ліквідаційні бурі. Приголомшливо, що зловмисники не скористалися традиційними уразливостями коду, а перетворили основний механізм безпеки платформи — ціну маркування — на зброю.

Це не хакерська атака, а "атака на відповідність" системним правилам. Зловмисники скористалися відкритою логікою обчислень та механізмами контролю ризиків платформи, створивши "безкодову атаку", яка виявилася надзвичайно руйнівною для ринку та трейдерів. Ціна маркування мала слугувати "нейтральним і безпечним" якорем для ринку, але в цій події вона перетворилася з щита на лезо.

Ця стаття глибоко аналізує системні ризики механізму ціни маркування на ринку永续合约 криптовалют, а також детально розглядає цю атакуючу подію. Ця подія не лише виявила структурну вразливість дизайну оракулів, двосічну природу інноваційних ліквідних пулів, але й розкрила внутрішню асиметрію в захисті коштів користувачів за умов екстремальних ринкових ситуацій у сучасній основній логіці ліквідації.

Ядро парадоксу безстрокових контрактів: викривлення механізму ліквідації, спричинене ілюзією безпеки

ціна маркування: одна помилка, вважати це безпечним консенсусним ігровим процесом

Основний принцип ціни маркування побудований навколо тривального механізму "індексної ціни". Індексна ціна розраховується шляхом зваженого середнього кількох основних спотових платформ, на яких визначається ціна активу, з метою надання справедливої референтної ціни, яка охоплює різні платформи та регіони.

Типовий спосіб обчислення ціни маркування такий:

Ціна маркування = Середнє (Price1, Price2, Остання торгова ціна)

Введення медіани має на меті виключення аномальних значень та підвищення стабільності цін. Але безпека цього дизайну повністю базується на припущенні, що кількість вихідних даних є достатньою, їх розподіл є раціональним, ліквідність є сильною, і їх важко координовано маніпулювати.

Однак насправді більшість ринків спот для альткоїнів є надзвичайно слабкими. Як тільки зловмисник зможе контролювати ціни на кількох платформах з низькою ліквідністю, він може "забруднити" індексну ціну, легітимно вводячи шкідливі дані через формулу в ціну маркування. Ця атака може за мінімальних витрат спричинити масштабні ліквідації з важелем, викликавши ланцюгову реакцію.

Іншими словами, механізм агрегації спочатку призначений для розподілу ризиків, але на ринку з низькою ліквідністю він навпаки створює "централізовану вразливість", яку можуть контролювати зловмисники. Чим більше платформи деривативів підкреслюють прозорість та передбачуваність своїх правил, тим більше зловмисники можуть "програмно використовувати правила", конструюючи легальний шлях до знищення.

Система розрахунків: щит платформи, а також лезо

Коли ринкова ціна швидко змінюється в несприятливому напрямку, маржа трейдера буде знищена плаваючими збитками. Як тільки залишкова маржа впаде нижче "рівня підтримки маржі", запуститься механізм ліквідації.

У цих процесах найголовнішим тригером є ціна маркування, а не остання ціна угоди самої платформи. Це означає, що навіть якщо поточна ринкова ціна угоди ще не досягла вашої лінії ліквідації, як тільки та "невидима" ціна маркування досягнута, ліквідація буде негайно активована.

Ще більшою проблемою є механізм "примусового закриття" позицій. Багато бірж для уникнення ризику ліквідації використовують обережні параметри ліквідації. Коли спрацьовує примусове закриття, навіть якщо ціна закриття вигідніша за фактичну ціну, при якій збитки повертаються до нуля, платформа зазвичай не повертає цю частину "прибутку від примусового закриття", а безпосередньо зараховує її до страхової фонду платформи. Це створює у трейдерів ілюзію "я все ще маю маржу, але мене закрили раніше", в результаті чого рахунок обнуляється.

Цей механізм особливо поширений у активів з низькою ліквідністю. Платформа, щоб захистити свої ризики, буде налаштовувати лінію ліквідації більш консервативно, що призводить до того, що позиції легше "завчасно ліквідуються" під час цінових коливань. Його логіка є розумною, але результат призводить до тонкого зміщення інтересів платформи та трейдерів під час екстремальних умов.

Система ліквідації повинна бути нейтральним інструментом управління ризиками, але в питаннях належності доходів, вибору параметрів та логіки спрацьовування вона має тенденцію до монетизації платформи.

ціна маркування的失效导致清算引擎的失真

На фоні схильності платформи до уникнення втрат, різкі коливання індексної ціни та ціни маркування ще більше посилили переміщення цієї лінії примусового закриття після (.

Теорія ціни маркування забезпечує справедливу, стійку до маніпуляцій цінову базу шляхом агрегування багатоджерельних даних та алгоритму медіани. Однак ця теорія може бути дійсною при застосуванні до ліквідних основних активів, але її ефективність зіткнеться з серйозними викликами, коли мова йде про малоліквідні, централізовані на торгових майданчиках альткойни.

Середнє значення: статистичні труднощі, пов'язані з концентрацією джерел даних

• Ефективність у великих наборах даних: Припустимо, що індекс цін містить 10 незалежних, високоліквідних джерел даних. Якщо одне з джерел даних з якоїсь причини надає екстремальну ціну, алгоритм медіани може легко виявити його як викидок і проігнорувати, взявши середнє значення як остаточну ціну, тим самим підтримуючи стабільність індексу.

• Вразливість у малих наборах даних: тепер ми розглядаємо типовий сценарій альткоїна.

• Сценарій з трьома джерелами даних: якщо індекс ціни маркування для криптовалюти містить лише спотові ціни з трьох бірж )A, B, C(. У цьому випадку медіана є тією ціною, яка займає середнє місце серед трьох цін. Якщо зловмисник одночасно маніпулює цінами на двох біржах ), наприклад, A і B(, тоді, незалежно від того, якою реальною є ціна C, медіана буде визначатися маніпульованими цінами A та B. У цьому випадку захисна функція алгоритму медіани майже дорівнює нулю.

• Сценарій з двома джерелами даних: якщо індекс містить лише два джерела даних, медіана математично дорівнює середньому значенню двох цін. У цьому випадку алгоритм повністю втрачає здатність виключати аномальні значення. Будь-які різкі коливання одного з джерел даних безпосередньо, без зменшення, передаються до ціни маркування.

Для більшості альткоїнів глибина торгівлі та кількість бірж, на яких вони торгуються, є дуже обмеженими, що робить їхні цінові індекси надзвичайно вразливими до вищезгаданої "маленької вибірки". Таким чином, відчуття безпеки, яке надає "багатоджерельний індекс", часто є лише ілюзією у світі альткоїнів. Дуже часто остання ціна угоди дорівнює ціні маркування.

Дилема оракула: коли ліквідність спот вичерпується і стає зброєю

Ціна маркування базується на індексній ціні, а джерелом індексної ціни є оракули. Незалежно від того, чи це CEX, чи DEX, оракули виконують роль моста між інформацією на ланцюгу та поза ним. Однак цей міст, хоч і є критично важливим, в умовах нестачі ліквідності є надзвичайно вразливим.

) Oracles: крихкі мости між ончейн і офчейн

Блокчейн-система за своєю суттю є закритою та детермінованою, смарт-контракти не можуть активно отримувати дані ззовні мережі, наприклад, ринкову ціну активів. Ціни маркування з'явилися як проміжна система, яка відповідає за безпечну та надійну передачу даних з поза ланцюга на ланцюг, надаючи смарт-контрактам "реальні" вхідні дані.

У безперервних торгових платформах або кредитних угодах, таких як основні інфраструктури DeFi, дані цін, які надаються оракулами, майже складають основу їхньої логіки управління ризиками. Однак, один часто ігнорований факт полягає в тому, що "чесний" оракул не означає, що він повідомляє "розумні" ціни. Обов'язком оракула є просто фіксувати стан зовнішнього світу, який він може спостерігати, він не оцінює, чи відхиляється ціна від основних показників. Ця характеристика виявляє два абсолютно різні шляхи атак:

• Атака на оракула: Зловмисник за допомогою технічних засобів змінює джерело даних або протокол оракула, що призводить до повідомлення неправильної ціни.

• Маніпуляція на ринку: зловмисники через фактичні операції на зовнішньому ринку навмисно підвищують або знижують ціни, тоді як нормально функціонуючий оракул правдиво фіксує та повідомляє цю "маніпульовану" ринкову ціну. Ончейн-протокол не був зламаний, але через "інформаційне отруєння" виникає неочікувана реакція.

Останнє, власне, є суттю подій Mango Markets та Jelly-My-Jelly: не те, що oracle був зламаний, а те, що його "вікно спостереження" було забруднене.

Точка атаки: коли дефіцит ліквідності стає зброєю

Суть цього виду атаки полягає у використанні слабкої ліквідності цільового активу на спотовому ринку. Для активів з низькою ліквідністю навіть невеликі замовлення можуть викликати різкі коливання цін, що надає можливість маніпуляторам.

Атака на Mango Markets у жовтні 2022 року стала "зразковою". Зловмисник Авраам Ейзенберг використав екстремальне виснаження ліквідності свого токена управління MNGO ###, коли денний обсяг торгів не перевищував 100 тисяч доларів (, зосередивши близько 4 мільйонів доларів на кількох біржах для покупки, успішно піднявши ціну MNGO більш ніж на 2300% за дуже короткий час. Ця "аномальна ціна" була повністю зафіксована оракулом та передана на смарт-контракт, що призвело до різкого збільшення його кредитного ліміту, в результаті чого "законно" було виведено всі активи платформи ) приблизно на 116 мільйонів доларів (.

Детальний аналіз атакуючого шляху: п'ять кроків для прориву протокольного захисту

1. Вибір цілі: атакуючий спочатку відбирає цільовий токен, який зазвичай відповідає наступним умовам: на певній основній платформі деривативів запущено постійний контракт; ціна відомого оракула походить з кількох відомих, з низькою ліквідністю спотових бірж; денний обсяг торгівлі низький, книга замовлень розріджена, що робить його легким для маніпуляцій.

2. Залучення капіталу: більшість атакуючих отримують тимчасові великі кошти через "швидкі кредити". Цей механізм дозволяє позичати та повертати активи в одній транзакції без жодного забезпечення, що значно знижує витрати на маніпуляції.

3. Спот-ринок блискавки: атакуючий у дуже короткий проміжок часу синхронно розміщує велику кількість купівельних ордерів на всіх біржах, які контролюються оракулом. Ці ордери швидко очищають продажні ордери, підштовхуючи ціну до високого рівня — далеко від її справжньої вартості.

4. Забруднення оракула: Оракул вірно зчитує ціни з вище згаданих маніпульованих бірж, навіть якщо використовуються механізми, такі як медіана чи зважена середня, для боротьби з волатильністю, важко протистояти одночасній маніпуляції з кількох джерел. В результаті індексна ціна серйозно забруднена.

5. Ціна маркування інфекції: забруднені індексні ціни потрапляють на платформу деривативів, впливаючи на розрахунок ціни маркування. Ліквідаційний двигун помилково оцінює ризиковий діапазон, що призводить до масового "ліквідації", трейдери зазнають значних збитків, а зловмисники можуть реалізувати арбітраж через зворотні позиції або кредитні операції.

"Посібник для атаки": двосічний меч прозорості

Незалежно від того, чи це CEX, чи DEX, протоколи часто вважають "відкритість та прозорість" своїми чеснотами, публікуючи деталі свого механізму оракулів, ваги джерел даних, частоти оновлення цін тощо, з метою встановлення довіри користувачів. Однак для атакуючих ця інформація стає "інструкцією" для розробки плану атаки.

Наприклад, на певній торговій платформі архітектура її оракулів відкрито перераховує всі джерела даних бірж і їх ваги. Атакуючі можуть точно розрахувати, скільки коштів вкласти в кожну найбільш ліквідну біржу, щоб максимально спотворити остаточний зважений індекс. Така "алгоритмічна інженерія" робить атаки контрольованими, передбачуваними і мінімізує витрати.

Математика дуже проста, але людина дуже складна.

! [])https://img-cdn.gateio.im/webp-social/moments-d2d38f5e229eee96ccd07700caa11b05.webp(

Полювання на монстрів —— Аналіз структурних ризиків певної торгової платформи

Після того, як було зрозуміло, як працює атака, "атакуючий" має вибрати підходяще місце для реалізації – певну торгову платформу. Хоча маніпуляція з оракулами є звичайним методом атаки, причина, чому інцидент "Jelly-My-Jelly" міг статися на цій платформі та призвести до серйозних наслідків, полягає в унікальній структурі ліквідності та механізмі розрахунків цієї платформи. Ці розробки, спрямовані на покращення користувацького досвіду та капіталовкладень, хоча й наповнені інноваціями, однак несподівано надали атакуючому ідеальне "полювання".

) HLP Гаманець: демократичні маркет-мейкери та контрагенти для розрахунків

Однією з основних інновацій торгової платформи є її HLP-скарбниця — фонд, що управляється єдиним протоколом і виконує подвійні функції.

По-перше, HLP виступає активним маркет-мейкером платформи. Він дозволяє користувачам спільноти вносити USDC у скарбницю, брати участь у автоматизованих маркет-мейкерських стратегіях платформи та пропорційно ділитися прибутком ### або збитками (. Ця "демократизована" механіка маркет-мейкінгу дозволяє HLP постійно забезпечувати ліквідність для багатьох малоліквідних альткоїнів. Саме тому навіть такі токени, як JELLY з невеликою капіталізацією і вкрай низькою ліквідністю, можуть підтримувати позиції з важелем на рівні кількох мільйонів доларів на цій платформі — що важко реалізувати на традиційних біржах.

Однак, цей дизайн не