Флэш-краш / Chapter 3

Оракулы, оракулы, оракулы: как ошибка в механизме цен превратила $60 миллионов убытков в катастрофу на $19 миллиардов

Вот перевод этого фрагмента на русский язык:

В ночь с 10 на 11 октября 2025 года рыночный слив всего на $60 миллионов уничтожил $19,3 миллиарда стоимости. Не из-за обвала рынка. Не из-за цепной реакции маржин-коллов по реально обесцененным позициям. А из-за сбоя оракула.

Это не было чем-то новым. Тот же шаблон атаки успешно использовался с февраля 2020 года, нанеся индустрии сотни миллионов долларов убытков в десятках инцидентов. Октябрь 2025-го стал лишь усиленной в 160 раз версией прежних атак на оракулы — не из-за особой технической изощрённости, а потому что система выросла в масштабах, сохранив те же базовые уязвимости.

Пять лет дорогих уроков — проигнорированы. Этот анализ разбирает, почему так произошло.

Дилемма оракулов: чувствительность против стабильности

Каждая платформа с кредитным плечом сталкивается с одной основной проблемой: как точно оценивать стоимость залога, не позволяя манипулировать ценами?

Слишком чувствительный оракул → уязвим для манипуляций;
Слишком инертный оракул → пропускает реальные обесценения.

В октябре 2025-го система выбрала чувствительность. Оракул добросовестно отслеживал спотовые цены, когда на рынок вылилось $60 миллионов, и в реальном времени понижал оценку залогов, запуская массовые ликвидации.

Система сработала точно так, как была задумана. Проблема в том, что задумана она была катастрофически неправильно.

Пятилетний шаблон, которого мы не захотели видеть

Прежде чем разбирать события октября 2025 года, нужно понять одно: мы уже проходили это раньше.

Оракул с одним источником данных. Манипуляция ценой WBTC на Uniswap с помощью флэш-кредита. Для искажения ценового фида, на который опирался bZx, было перемещено 14,6% общего предложения токена.

Октябрь 2020 — Harvest Finance ($24 млн украдено, $570 млн «набег на банк») Всего 7 минут, $50 млн флэш-кредит. Манипуляция ценами стейблкойнов на Curve. Запустила обвал инфраструктуры и массовый отток ликвидности, многократно превысивший сумму первоначальной кражи.

Ноябрь 2020 — Compound ($89 млн ликвидаций) DAI подскочил до $1,30 на Coinbase Pro — и только там. Оракул Compound использовал Coinbase как основной источник. Пользователи были ликвидированы по ценам, которые существовали на одной бирже в течение одного часа. Для манипуляции ордербуком с глубиной $300 тыс. требовалось всего $100 тыс.

Октябрь 2022 — Mango Markets ($117 млн) $5 млн стартового капитала. Рост токена MNGO на 2 394% на нескольких площадках. Хакер занял $117 млн под завышенное обеспечение, а затем использовал украденные токены управления, чтобы проголосовать за самому себе «баунти» $47 млн. Это стало первым случаем, когда CFTC возбудила дело о манипуляции оракулом.

Общая нить

Каждая атака следовала одной и той же логике:

Найти оракул, зависящий от манипулируемого источника;
Рассчитать: стоимость манипуляции < потенциальная выгода;
Выполнить;
Забрать прибыль.

С 2020 по 2022 год было украдено $403,2 млн через 41 атаку на оракулы. Реакция индустрии: разрозненная, медленная, неполная. Большинство платформ продолжили использовать спотовые оракулы с недостаточной избыточностью данных.

А потом настал октябрь 2025-го.

Анатомия сбоя оракула: версия 2025 года

10 октября 2025 года, 05:43 утра:

На спотовом рынке было сброшено $60 миллионов USDe.

В правильно спроектированном оракуле это вызвало бы минимальное влияние, которое легко поглотили бы несколько независимых источников данных. В этом же случае — произошла катастрофа.

$60 млн спотовый слив → оракул понижает стоимость залога (wBETH, BNSOL, USDe) → массовые ликвидации → перегрузка инфраструктуры → вакуум ликвидности → уничтожено $19,3 млрд.

Фактор усиления

Mango Markets (2022): $5 млн манипуляции → $117 млн извлечено (x23);
Октябрь 2025: $60 млн манипуляции → $19,3 млрд уничтожено (x322).

Не из-за большей технической сложности, а потому что та же уязвимость осталась, но уже в институциональных масштабах.

Проблема распределения веса источников

Оракул чрезмерно полагался на спотовые цены с основной торговой площадки. Когда одна биржа доминирует по объёму:

Высокий объём создаёт иллюзию, что именно там формируется «справедливая цена» (звучит логично);
Но концентрация ликвидности делает площадку уязвимой к манипуляциям (это фатально);
Использование внутренних цен без внешних источников создаёт самореферентную петлю, усиливающую ошибку.

Один аналитик точно сформулировал корень проблемы:

«Поскольку [биржа] имеет наибольший объём торгов usde/bnsol/wbeth, логично, что именно её спотовая цена должна быть основной для оракула».

Эта логика — «доверяй крупнейшему рынку» — уже уничтожила миллиарды долларов за пять лет атак на оракулы. Концентрация объёмов — это не признак точности цены, а признак возможности манипуляции.

Запланированное окно уязвимости

Обновление методологии оракула было объявлено за восемь дней до внедрения. У злоумышленников было:

известные зависимости оракула,
предсказуемое время перехода,
и восемь дней, чтобы занять позиции и подготовиться.

Если раньше атаки эксплуатировали уже существующие уязвимости, то в октябре 2025 года была использована уязвимость переходного периода — ошибка, возникшая только потому, что улучшения были объявлены заранее, а не внедрены сразу.

Тест на изоляцию площадки

Самое убедительное доказательство того, что произошёл сбой оракула, а не обесценение активов:

Основная биржа: USDe — $0.6567, wBETH — $430
Другие площадки: отклонения менее 30 базисных пунктов
Ончейн-пулы: минимальное влияние

Как отметил Guy из Ethena,

«Более $9 млрд обеспеченных стейблкоинов оставались доступными для немедленного погашения» в течение всего события.

Цены резко изменились только на бирже, используемой оракулом как источник данных, в то время как на всех остальных рынках они оставались стабильными. Однако оракул зафиксировал именно эту аномальную цену — и система ликвидировала позиции, основываясь на котировках, которых не существовало нигде больше.

Это — повторение сценария Compound 2020 года: локальная манипуляция ценой на одном источнике, честно переданная оракулом,и системно разрушительная в масштабах всей инфраструктуры.

Каскад инфраструктурного коллапса

Аналитик agintender точно определил механизм усиления эффекта:

«Каскад ликвидаций перегрузил серверы миллионами запросов. Маркет-мейкеры не смогли выставлять заявки вовремя, что привело к вакууму ликвидности.»

Это — паттерн Harvest Finance, но в масштабе индустрии. Атака запускает ликвидации быстрее, чем инфраструктура успевает их обработать. Маркет-мейкеры не могут реагировать. Ликвидность исчезает. Каскад становится самоподдерживающимся процессом.

После коллапса инфраструктуры Harvest в октябре 2020 года (их TVL упал с $1 млрд до $599 млн, когда пользователи массово выводили средства), урок был очевиден:оракулы должны учитывать пропускную способность инфраструктуры в стрессовых сценариях.

Октябрь 2025 года доказал, что этот урок снова был проигнорирован.

Вот перевод этого раздела на русский язык в том же аналитическом и точном стиле, что и оригинал:

Компромисс чувствительности: два подхода — одна катастрофа

Аналитик Guy из Ethena чётко сформулировал основную проблему проектирования: оракулы должны уметь различать временные рыночные искажения (шум) и долговременные нарушения стоимости (реальные потери).

Октябрь 2025 года продемонстрировал два подхода — и провал обоих.

Подход высокой чувствительности (пострадавшая биржа)

Использование спотовых цен в реальном времени
Мгновенная реакция на рынок
Результат: каскад ликвидаций на $19 млрд

Это подход bZx / Harvest: доверяй спотовым рынкам — и стань жертвой манипуляции.

Подход высокой стабильности (выжившие DeFi-платформы)

Жёстко заданное соотношение USDe = USDT
Игнорирование временных рыночных отклонений
Результат: отсутствие ликвидаций

Это — перекоррекция. Лучше, чем провал, но далеко не оптимально.

Индустрия имела пять лет, чтобы разработать гибкое, контекстно-чувствительное решение. Вместо этого мы получили оба крайних варианта — и институциональный масштаб выбрал катастрофический.

Теорема об атаке на оракул: теперь эмпирически подтверждена

Теорема: В любой системе с кредитным плечом, где:

Цены оракула в основном зависят от манипулируемых спотовых рынков;
Триггеры ликвидации детерминированы;
Инфраструктура имеет ограниченную пропускную способность;

тогда: стоимость манипуляции < извлекаемая стоимость через каскады.

Доказательство через повторяющиеся примеры:

bZx (февраль 2020): манипуляция Uniswap → $350K + $630K извлечено
Harvest (октябрь 2020): манипуляция Curve → $24M украдено + $570M бегство капитала
Compound (ноябрь 2020): манипуляция Coinbase → $89M ликвидировано
Mango (октябрь 2022): манипуляции на нескольких площадках → $117M извлечено
Октябрь 2025: манипуляция на основной площадке → $19,3B уничтожено

По мере того как масштаб системы растёт линейно, ущерб растёт экспоненциально. Стоимость манипуляции остаётся примерно постоянной (определяется ликвидностью площадки), а извлекаемая стоимость растёт вместе с общим кредитным плечом системы.

Октябрь 2025 года подтвердил теорему на беспрецедентном масштабе.

Принципы проектирования оракулов: уроки, которые мы должны были извлечь

1. Проверка через несколько источников

Никогда не полагайтесь на цены с одной площадки, особенно с своих собственных книг ордеров. Это урок bZx февраля 2020 года. Правильный дизайн оракула требует:

Цена оракула = взвешенное среднее от:

Цен нескольких площадок (40%)
Ончейн-пулов ликвидности (30%)
Коэффициентов конверсии обёрнутых активов (20%)
Взвешенных по времени исторических цен (10%)

Вес важен меньше, чем независимость источников.Если все источники можно манипулировать одновременно разумным капиталом, это не много источников — это один.

2. Адаптивная чувствительность

Оракулы должны регулировать чувствительность в зависимости от рыночных условий:

Нормальный рынок: высокая чувствительность к изменениям цен
Волатильный рынок: повышенная стабильность через взвешивание по времени
Экстремальные движения: аварийные ограничения (circuit breakers) и проверки здравого смысла

Оракулы с Time-Weighted Average Price (TWAP) получили широкое распространение после атак флэш-кредитов 2020 года именно для предотвращения манипуляций одной транзакцией. Тем не менее, в октябре 2025 года оракулы реагировали на спотовые цены в реальном времени, как будто предыдущие пять лет никогда не существовали.

3. Устойчивость инфраструктуры

Системы оракулов должны сохранять работоспособность во время каскадов ликвидаций:

Отдельная инфраструктура для ценовых фидов
Пропускная способность для миллионов одновременных запросов
Плавное снижение функциональности под нагрузкой

После коллапса инфраструктуры Harvest Finance в октябре 2020 года стало очевидно: каскады ликвидаций создают экспоненциально растущую нагрузку. Ваша инфраструктура должна выдерживать не только первую ликвидацию, но и тысячную одновременно, когда маркет-мейкеры не успевают, а пользователи паникуют.

4. Прозрачность без уязвимости

Восьмидневное окно между объявлением и внедрением обновлений создало известный вектор атаки.

Лучшие подходы:

Внедрять изменения немедленно после объявления
Использовать постепенные обновления без фиксированных дат
Поддерживать аудитные следы без предварительных периодов просмотра

Это новый урок, но он логически вытекает из теории игр: никогда не объявляйте изменения, которые можно эксплуатировать, заранее.

Атакующий в октябре 2025 года имел восемь дней, чтобы планировать, позиционироваться и подготовиться. Они точно знали, когда откроется окно уязвимости.

Академическая перспектива: Теорема об атаке на оракул

С теоретической точки зрения, пять лет эмпирических данных доказывают:

Теорема: В любой системе с кредитным плечом, где:

Цены оракула в основном зависят от манипулируемых спотовых рынков;
Триггеры ликвидации детерминированы;
Инфраструктура имеет ограниченную пропускную способность;

тогда: стоимость манипуляции < извлекаемая стоимость через каскады.

Доказательство через многократное эмпирическое подтверждение:

bZx (февраль 2020): $10M заимствовано, $350K извлечено. Манипуляция оракулом через Uniswap.
Harvest (октябрь 2020): $50M флэш-кредит, $24M украдено + вызвано бегство капитала на $570M.
Compound (ноябрь 2020): манипуляция ордербуком $100K, $89M ликвидировано.
Mango (октябрь 2022): $5M стартового капитала, $117M извлечено.
Октябрь 2025: $60M спотового слива, $19,3B уничтожено.

Прогресс очевиден: по мере линейного увеличения масштаба системы, ущерб растёт экспоненциально. Стоимость манипуляции остаётся относительно постоянной (определяется ликвидностью на манипулируемых площадках), а извлекаемая стоимость растёт вместе с общим кредитным плечом системы.

Октябрь 2025 года предоставляет эмпирическое подтверждение на беспрецедентном масштабе. Теорема подтверждается.

Системные последствия: уроки, которые всё ещё не усвоены

Это была не просто ошибка одной платформы — она выявила уязвимости всей отрасли, которые сохраняются, несмотря на пять лет дорогостоящих уроков.

1. Чрезмерная зависимость от спотовых цен

Большинство платформ по-прежнему используют оракулы с упором на спотовые цены, несмотря на то, что каждая крупная атака с 2020 года эксплуатировала именно эту уязвимость.

Индустрия знает, что спотовые цены подвержены манипуляциям.
Индустрия знает, что TWAP и мульти-источниковые оракулы обеспечивают лучшую защиту.
Тем не менее, реализация остаётся неполной.

Почему? Скорость и чувствительность — это преимущества, пока они не превращаются в баги. Обновления цен в реальном времени кажутся точными — пока кто-то не манипулирует ими.

2. Риск концентрации

Доминирующие площадки создают единую точку отказа.

bZx опирался на Uniswap
Compound опирался на Coinbase
Платформа октября 2025 года опиралась на собственную книгу ордеров

Площадка меняется — уязвимость остаётся. Когда одна биржа держит наибольший объём торгов, использовать её как основной источник оракула кажется рациональным. Но риск концентрации в ценовых фидах — это как риск концентрации в любой системе: нормально, пока кто-то не воспользуется этим.

3. Инфраструктурные допущения

Системы, спроектированные для нормальных рынков, катастрофически проваливаются под стрессом.

Harvest Finance доказала это в 2020 году.
Октябрь 2025 года показал, что мы всё ещё проектируем под нормальные условия, надеясь, что стресс не наступит.

Надежда — это не стратегия.

4. Парадокс прозрачности

Объявление о улучшениях создаёт окна для атак. Восьмидневный промежуток между объявлением и внедрением изменений оракула дал искусным актёрам дорожную карту и таймлайн. Они знали точно, когда атаковать и что использовать.

Это новый режим отказа для старой проблемы.

Предыдущие атаки оракулов эксплуатировали существующие уязвимости.
Октябрь 2025 года эксплуатировал переход между методологиями оракула - уязвимость, которая возникла только потому, что улучшения были объявлены заранее, а не внедрены сразу.

Путь вперёд: на этот раз действительно учимся

Немедленные улучшения

1. Гибридный дизайн оракула Объедините несколько источников цен с проверками здравого смысла, которые реально работают:

Цены CEX (с учётом объёмов на разных площадках)
Цены DEX (только из пулов с высокой ликвидностью)
Ончейн доказательство резервов
Ограничения по отклонению цен между площадками

Каждый источник должен быть независимым. Если манипуляция с одним источником влияет на другие — это не избыточность, а иллюзия.

2. Динамическое взвешивание Регулируйте чувствительность оракула в зависимости от рыночной волатильности:

Нормальная волатильность: стандартные веса
Высокая волатильность: увеличить окно TWAP, уменьшить влияние спотовых цен
Экстремальные движения: приостановить ликвидации, исследовать ситуацию перед продолжением

Атака на Compound показала: иногда «правильная» цена на одной бирже не отражает рынок в целом. Оракул должен быть достаточно умным, чтобы это понимать.

3. Аварийные ограничения (Circuit Breakers) Приостанавливайте ликвидации при экстремальных движениях цен — не для того, чтобы блокировать легитимное снижение плеча, а чтобы различать манипуляции и реальное движение рынка:

Если цены сходятся на разных площадках за несколько минут — вероятно, реальное движение
Если цены остаются локализованными на одной площадке — вероятно, манипуляция
Если инфраструктура перегружена — пауза до восстановления ёмкости

Цель — не предотвратить все ликвидации, а не допустить каскадных ликвидаций из-за манипулируемых цен.

4. Масштабирование инфраструктуры Проектируйте систему с 100-кратной пропускной способностью от обычной, потому что именно столько генерируют каскады:

Отдельная инфраструктура для ценовых фидов
Независимые движки ликвидаций
Ограничение скорости для отдельных адресов
Протоколы плавного дегрейда

Если система не выдерживает нагрузку во время каскада, она усиливает каскад. Это требование проектирования, а не оптимизация.

Долгосрочные решения:

1. Децентрализованные сети оракулов Переходите на зрелые решения типа Chainlink, Pyth или UMA, которые агрегируют данные из нескольких источников и имеют встроенную защиту от манипуляций. Они не идеальны, но лучше спотовых оракулов, которые эксплуатируют каждые 18 месяцев.

bZx интегрировал Chainlink после атак 2020 года.
С тех пор они больше не подвергались манипуляциям оракулов.
Это не случайность.

2. Интеграция Proof of Reserves Для обёрнутых активов и стейблкоинов проверяйте стоимость залога на блокчейне. USDe должен оцениваться на основе верифицируемых резервов, а не динамики ордербука. Технология существует; реализация отстаёт.

3. Пошаговые ликвидации Предотвращайте усиление каскада через поэтапные ликвидации:

Первый порог: предупреждение и время для добавления залога
Второй порог: частичная ликвидация (25%)
Третий порог: бóльшая ликвидация (50%)
Финальный порог: полная ликвидация

Это даёт время пользователям для реакции и снижает шок системы от массовых одновременных ликвидаций.

4. Аудит в реальном времени Следите за попытками манипуляции оракулом:

Отклонения цен между площадками
Необычные объёмы на низколиквидных парах
Быстрое увеличение позиций перед обновлениями оракула
Сопоставление с известными схемами атак

Атака октября 2025 года, вероятно, подавала предупредительные сигналы. Кто-то слил $60M USDe в 05:43 утра — это должно было вызвать тревогу. Если ваша система мониторинга этого не заметила — она недостаточно эффективна.

Выводы: напоминание о $19 миллиардах

Каскад ликвидаций 10–11 октября не был вызван чрезмерным кредитным плечом или паникой на рынке — это была катастрофа дизайна оракула в масштабе индустрии. Операция на $60 миллионов была усилена до $19 миллиардов разрушений, потому что системы ценовых фидов не могли различить манипуляцию и легитимное ценообразование.

Но это не новый режим отказа. Это тот же самый тип ошибки, который разрушил:

bZx в феврале 2020 года
Harvest в октябре 2020 года
Compound в ноябре 2020 года
Mango в октябре 2022 года

Индустрия была обучена этому уроку пять раз, с растущими потерями:

2020: отдельные протоколы усвоили урок и внедрили исправления
2022: регуляторы усвоили урок и начали принудительное регулирование
2025: весь рынок усвоил урок, заплатив $19,3 миллиарда «обучающего сбора»

Единственный вопрос теперь: запомним ли мы этот урок окончательно?

Каждая платформа, работающая с кредитным плечом, должна задать себе следующие вопросы:

Насколько наш оракул устойчив к известным атакам 2020–2022 годов?
Может ли наша инфраструктура выдерживать каскадные сценарии, которые мы уже наблюдали?
Правильно ли мы сбалансировали чувствительность и стабильность?
Не повторяем ли мы те же ошибки, которые стоили индустрии сотни миллионов?

Потому что, как показывает история последних пяти лет, манипуляция оракулом — это не гипотетический риск и не редкий кейс, а задокументированная, повторяющаяся и прибыльная стратегия, масштабируемая с ростом рынка.

Октябрь 2025 года продемонстрировал, что происходит, когда уроки остаются неусвоенными на институциональном уровне. Атака не была сложной или новаторской — это был тот же сценарий, применённый к большей системе в известное окно уязвимости.

Оракул — это фундамент. Когда он трескается, всё, что сверху, рушится. Мы знали это с февраля 2020 года. Мы платили миллиарды, чтобы усвоить урок снова и снова. Единственный вопрос: достаточно ли было октября 2025 года, чтобы мы наконец действовали на основе того, что уже знали?

В современных взаимосвязанных рынках дизайн оракула — это не просто потоки данных, это системная стабильность.Ошибись один раз — $60 миллионов могут уничтожить $19 миллиардов. Ошибись снова и снова — ты не учишься на истории. Ты просто дорого платишь за её повторение.

Источник: https://x.com/yq_acc/status/1977433963728867630

Перевод - True Market Vision