Bagaimana ralat oracle selama dua minit mencetuskan likuidasi US$3 juta di Vesu

Ralat data harga selama kira-kira dua minit sudah cukup untuk mencetuskan likuidasi tidak normal berjumlah sekitar US$3 juta pada protokol pinjaman Starknet, Vesu. Pada 4 September 2026, suapan harga huluan daripada Pragma membekalkan nilai yang tidak tepat antara 04:08 hingga 04:10 UTC, lalu menyebabkan 47 kedudukan peminjam dalam beberapa kumpulan Vesu kelihatan memenuhi syarat untuk dilikuidasi. 32

Pembezaan paling penting: Vesu menyifatkan kejadian ini sebagai kegagalan input oracle, bukannya kelemahan dalam kontrak pintarnya. Enjin likuidasi melaksanakan peraturan yang diterimanya, tetapi asas harga yang digunakan untuk membuat keputusan itu adalah salah. 32

Apa yang berlaku dalam tetingkap dua minit itu

Dalam pasaran pinjaman DeFi, protokol sentiasa membandingkan nilai cagaran peminjam dengan nilai hutangnya. Jika nisbah itu jatuh di bawah ambang yang ditetapkan, pihak ketiga yang dikenali sebagai liquidator boleh menjalankan proses likuidasi dan mengambil cagaran mengikut peraturan pasaran.

Dalam kes Vesu, harga Pragma yang salah menjadikan 47 kedudukan kelihatan tidak cukup bercagar. Likuidator automatik kemudian menjalankan laluan likuidasi biasa dan kira-kira US$3 juta cagaran telah diambil sebelum suapan harga kembali normal. 2032

Jadi, kenyataan bahawa “kontrak berfungsi seperti direka bentuk” tidak semestinya bermaksud hasil ekonominya betul. Kontrak pintar boleh mengesahkan serta melaksanakan arahan berdasarkan data yang tersedia, tetapi ia tidak dapat menentukan sendiri sama ada harga oracle benar-benar mencerminkan keadaan pasaran.

Mengapa harga oracle yang salah boleh melikuidasi peminjam yang sebenarnya sihat

Logik likuidasi sengaja direka untuk menjadi mekanikal dan pantas. Jika cagaran benar-benar merosot, tindakan cepat diperlukan agar pemberi pinjaman tidak terdedah kepada hutang lapuk. Namun, automasi yang sama juga akan bertindak apabila harga yang salah menolak sesuatu kedudukan melepasi ambang likuidasi.

Urutannya mudah:

1. Oracle menerbitkan harga yang digunakan oleh pasaran pinjaman.
2. Protokol mengira semula kesihatan cagaran dan hutang berdasarkan harga itu.
3. Kedudukan kelihatan melanggar nisbah cagaran minimum.
4. Liquidator melaksanakan fungsi likuidasi biasa protokol.

Bagi Vesu, masalah berlaku pada langkah pertama—input harga adalah salah—bukan kerana laluan likuidasi dipintas atau kontrak dieksploitasi. Vesu berkata tiada pembaikan kontrak di pihak protokol diperlukan. 32

Tindakan pemulihan, jeda kumpulan dan panduan pengguna Vesu

Vesu menyatakan bahawa Pragma bersama pihak berkaitan telah melaksanakan pembaikan bagi punca masalah. Suapan harga itu membetulkan dirinya dalam tempoh insiden dua minit tersebut, dan Vesu menjangkakan kurator kumpulan akan membuka semula kumpulan yang terjejas selepas langkah mitigasi dilaksanakan. 32

Protokol itu juga berkata ia bekerjasama dengan Pragma, StarkWare, Starknet Foundation dan kurator kumpulan untuk mendapatkan semula dana bagi pengguna terjejas. Ini ialah usaha pemulihan, bukan pengesahan bahawa setiap pengguna terjejas sudah menerima bayaran balik. 2432

Bagi pengguna yang terjejas, panduan yang dilaporkan daripada Vesu ialah:

• kekalkan kedudukan Earn terbuka kerana pengeluaran boleh menjejaskan kelayakan dalam proses pemulihan; dan
• hantar tiket sokongan melalui Discord Vesu jika kedudukan anda dilikuidasi semasa insiden itu. 2734

Status setiap kumpulan boleh berubah apabila kurator menarik balik atau mengekalkan langkah berjaga-jaga. Pengguna wajar merujuk kemas kini insiden dan saluran sokongan rasmi Vesu yang terkini, bukannya menganggap semua pasaran terkesan atau semua kumpulan mempunyai status yang sama.

Apa yang sudah diketahui—dan yang masih belum disahkan

Pendedahan awam setakat ini mengesahkan beberapa perkara: puncanya ialah suapan harga huluan Pragma, kegagalan itu berlarutan sekitar dua minit, suapan membetulkan dirinya, dan pembaikan punca masalah telah dilaksanakan dengan kerjasama pihak berkaitan. 2332

Namun, pendedahan itu belum menerangkan mekanisme teknikal penuh yang menghasilkan harga salah tersebut atau rangka kerja pampasan muktamad. Vesu berkata laporan teknikal lengkap akan menyusul. Sehingga laporan itu diterbitkan, dakwaan tentang kecacatan perisian tepat, pihak yang bertanggungjawab melangkaui isu suapan huluan yang didedahkan, atau keputusan pemulihan akhir perlu dianggap belum disahkan. 27

Pengajaran DeFi: kod yang betul tetap memerlukan data yang betul

Insiden Vesu memperlihatkan apa yang sering disebut sebagai masalah oracle. Aplikasi terdesentralisasi boleh telus dan beroperasi secara deterministik di rantaian, tetapi keputusan kewangan mereka—terutama untuk pinjaman dan likuidasi—masih bergantung pada fakta dari luar kontrak, khususnya harga aset.

Dua kejadian lain pada 2026 memperlihatkan bentuk risiko yang berkait, tetapi berbeza.

Aave: ketidakselarasan oracle wstETH pada Mac 2026

Pada 10 Mac, insiden oracle risiko CAPO di pasaran Ethereum Core dan Prime Aave menurunkan kadar pertukaran efektif wstETH/stETH sekitar 2.85%. Penilaian yang salah itu mencetuskan kira-kira US$26.6 juta jumlah likuidasi. Bedah siasat Aave mengaitkan masalah tersebut dengan ketidakselarasan antara nisbah petikan (snapshot ratio) dan cap masa petikan (snapshot timestamp), bukannya kejatuhan pasaran yang meluas. 1011

Seperti Vesu, peraturan likuidasi Aave tidak berhenti berfungsi. Sistem cuma mengaplikasikan peraturan itu pada penilaian yang tidak tepat.

Switchboard: kemungkinan kompromi dalam persekitaran Move

Dalam kategori risiko yang lebih serius, Switchboard menghentikan operasi oraclenya di Aptos, Sui, IOTA dan Movement selepas laporan mengenai kemungkinan kompromi keselamatan yang menjejaskan pelaksanaan berasaskan Move. Penghentian itu dibuat sebagai langkah berjaga-jaga dan tidak menghentikan rangkaian berkenaan daripada terus menghasilkan blok. 34

Laporan mengaitkan kejadian itu dengan manipulasi data harga IOTA, pencetakan VUSD yang luar biasa dan likuidasi. Namun, ia masih wajar digambarkan sebagai disyaki kompromi selagi siasatan muktamad belum mengesahkan punca serta skop kejadian. 25

Bentuk perlindungan oracle yang lebih kukuh

Tiada satu langkah perlindungan yang boleh menjamin pasaran pinjaman akan menolak setiap input yang salah. Matlamat praktikalnya ialah mengurangkan kemungkinan lonjakan harga yang singkat tetapi luar biasa terus menghasilkan kerugian yang sukar dipulihkan.

Antara pendekatan lazim ialah:

• menggunakan sumber harga bebas yang berbilang, bukan satu laluan input sahaja;
• menetapkan had sisihan untuk menolak atau menjeda perubahan harga yang terlalu luar biasa;
• membuat semakan data lapuk supaya harga lama tidak dianggap harga semasa;
• menggunakan pemutus litar dan jeda kecemasan pada peringkat kumpulan;
• melengahkan atau menyemak perubahan konfigurasi oracle yang berimpak tinggi; dan
• menetapkan parameter cagaran yang lebih konservatif untuk aset yang tidak menentu atau kompleks.

Pertukarannya tidak dapat dielakkan: perlindungan yang lebih ketat boleh melambatkan respons terhadap pergerakan pasaran sebenar, manakala perlindungan yang lebih longgar meningkatkan risiko likuidasi automatik berdasarkan data salah. Insiden Vesu selama dua minit itu menunjukkan mengapa keseimbangan ini menjadi teras reka bentuk risiko DeFi.

Bagi peminjam, kesimpulan praktikalnya jelas: risiko likuidasi bukan hanya datang daripada turun naik pasaran atau eksploit kontrak pintar. Ia juga bergantung pada ketepatan, konfigurasi dan ketahanan operasi sistem oracle yang menentukan tahap kesihatan kedudukan di rantaian.