5 月 10 日凌晨預言機服務商 Chorus One 披露，Lido 預言機的一枚熱駭客入侵一次。但根據安全審計顯示，此孤立事件影響有限，涉事錢包設計本就僅作輕量級營運用途。

預言機遭受攻擊聽起來確實很糟糕。然而，Lido 的架構設計、利害關係人的價值理念，以及以安全為導向的貢獻者文化，意味著此類事件的影響極為有限—即便預言機被完全攻破，也不會造成災難性後果。

那麼，Lido 究竟有何獨特之處？

深思熟慮的設計與層層防護機制

Lido 的預言機負責將共識層的訊息傳遞至執行層，並報告協議動態。它們並不掌控用戶資金。單一故障預言機只會造成小麻煩，即便仲裁程序（quorum）被攻破也不會造成災難性後果。

單一被攻破的預言機可能會嘗試哪些惡意行為？

A) 提交惡意報告（但會被誠實的預言機忽略）；

B) 耗盡該特定預言機地址的 ETH 餘額（該地址僅用於運營交易，且未存放質押者的資金）。

預言機究竟承擔什麼責任？

Lido 的預言機本質上是由 9 個獨立參與者組成的分散式機制（需 5/9 達成共識），主要負責協議狀態報告，當前核心職能包括：

• 代幣通膨獎勵發放（rebase> CSM（Community Security Module）參考

這些預言機會向協議提交其觀察到的狀態「報告」。這些報告用於計算每日累積的獎勵或懲罰、更新 stETH 餘額、處理並最終確認提款請求、計算驗證者退出申請以及衡量驗證者的表現。

從本質上來說，Lido 預言機與人們通常理解的「多簽」有所不同。預言機既無法存取質押者和協議的資金，也無法控制任何協議合約的升級，更無法對自身進行升級或管理成員資格。相反，Lido DAO 透過投票來維護預言機清單。

預言機的功能極為有限—只能執行以下操作：提交報告，這些報告嚴格遵循為不同協議目標設計的確定性、經過審計且開源的演算法；在特定情況下執行交易以落實報告結果（例如協議的每日 rebase 操作）。

如果 9 個預言機中有 5 個被攻破，最壞的情況會怎麼樣？在這種情況下，被攻破的預言機可能會合謀提交惡意報告，但任何報告都必須透過鏈上強制執行的協議合理性檢查。

若報告違反這些合理性檢查，其處理時間將會延長（甚至可能永遠無法）「結算」，因為報告中的數值必須符合特定時間段（數天或數週）內允許的數值變化範圍。

在最壞的情況下，這可能意味著類似 stETH 的 rebase（無論是正向還是負向）需要更長時間才能生效，這會對 stETH 持有者造成影響，但對大多數持有者的影響微乎其微，除非有人在 DeFi 中以槓桿方式使用 stETH。

也存在其他可能性：若惡意預言機及其同謀掌握某些信息，或是具備在共識層實施大額懲罰（如大規模罰沒）的能力，就可能利用執行層 stETH 更新延遲來謀取經濟利益。例如，若發生大規模罰沒，某些人可能會在負向 rebase 生效前，透過去中心化交易平台（DEX）拋售部分 stETH。不過，這不會影響使用者透過 Lido 直接發起的提款操作，因為協議的「緊急模式」（bunker mode）將會啟動，確保提款流程公平執行。

即時且徹底的透明性

從始至終，Lido 生態系統的所有參與者—無論是貢獻者、節點運營方，還是預言機運營方等，始終將透明度與善意置於首位，優先保障質押者權益與整個生態系統的健康透明度發展。無論是主動發布詳盡的事後分析報告、補償因基礎設施停機造成的質押損失，還是出於預防性考慮主動退出驗證節點，亦或是迅速發布全面的事故報告，這些參與者始終將透明度視為重中之重。

持續迭代升級

Lido 始終站在技術研發前沿，致力於運用零知識證明（ZK）技術提升預言機機制的安全性與去信任化程度。早在初期階段，團隊便投入逾 20 萬美元專款，支援透過零知識證明技術實現共識層資料的無信任驗證。

這些關於科技的探索最終促成了由 SuccinctLabs 團隊研發的 SP1 零知識預言機「雙重校驗」機制將於年內的正式上線。此機制透過可驗證的共識層數據，為潛在的負向 rebase 操作提供額外的安全驗證層。

目前這類零知識技術仍處於發展階段，相關的零知識虛擬機（zkVM）不僅需要經歷實戰檢驗，同時也存在運算速度較慢、計算成本較高的局限性，尚無法完全取代可信任預言機。但從長遠來看，這類解決方案有望成為現有預言機的信任最小化替代方案。

預言機技術十分複雜且在 DeFi 領域的應用場景各異。在 Lido 協議中，預言機作為核心組件經過精心設計，透過有效的去中心化架構、職責分離機制以及多層校驗體系，顯著降低了潛在風險的影響範圍。

原文連結