DeFi借贷是相对简单的借贷方式。

放款人只需将数字货币存入借贷池，即可从其存入的资产中获得利息。

而借款人可以通过在平台上提供抵押品，以换取放款人提供的借贷资产。

借贷平台利用价格预言机来确定抵押品的价值，以计算可以借入多少数额。当抵押品的价值低于一定的阈值时，清算人(Liquidator)可通过偿还债务来清算，且获取清算奖励。

本文将回顾2022年发生的借贷协议黑客攻击事件，并分析应该如何保护借贷协议。

Mango Market漏洞

2022年10月11日，Solana上的Mango Market被攻击，造成1.16亿美元的损失。攻击者利用了允许项目使用低流动性token作为抵押品的漏洞，操纵MNGO的价格，并恶意借贷超出应有数额的资产。

MNGO只在几个中心化交易所（CEX）上线，这意味着其市场流动性很低。

例如其中一个价格预言机Switchboard使用的是Raydium作为价格来源。

攻击者在订单簿中提供了4.83亿单位的MNGO perps（做空），并向第一个账户提供了500万枚USDC。之后攻击者向第二个账户注资，然后以每单位0.0382美元的价格买入4.83亿单位的MNGO perps，从而提高现货价格。

攻击者通过操纵价格预言机上MNGO的价格（在Mango Market里面的市场价格），将其拉高到0.91美元，从而在第二个账户上获利。由于MNGO/美元的价格为每单位0.91美元（在Mango Market里面的市场价格），第二个账户能够在Mango Market上借到其他token。

攻击者还用第二个账户中的资金（原始存款+将借贷的MNGO资金出售所得）在Mango Market上借入其他token。

上述借款行为使第一个账户的坏账总额为11,306,771.61美元，造成了115,182,674.43美元的资产损失。

下图就是在Radium上的一个截图示例，可以看得出MNGO/USDC对的流动性很低。

虽然Mango使用了价格预言机和TWAP，但「专业性」很强且拥有足够资本的攻击者，足以在流动性上做一些手脚，特别是当资产只上线了少数交易所导致流动性非常低的时候。

关于Mango漏洞的详情解析，请查看往期文章《Mango Market遭受攻击，损失1.16亿美元》。

Deus Finance漏洞

2022年4月28日，Deus Finance被恶意攻击，导致约1570万美元资产受到损失。攻击者操纵了DEI token的价格，从DeiLenderSolidex合约中提取了大量的DEI，却只提供了少量的抵押品。这也是在Deus在2022年遭受的第二次攻击。

上图是DeiLenderSolidex的合约，链上价格是一个配对池的价格，输入价格是来自Muon预言机的加权平均价格（VWAP）。黑客需要同时操纵链Muon预言机以及链上价格的输入。Muon预言机监控了Solidly USDC/DEI池内的交易，以计算成交量加权平均价格（VWAP）。