预言机故障与代币化资产中的价格馈送风险

预言机是一种将外部链下信息传递到区块链的服务，它对代币化资产至关重要，因为区块链本身无法原生知晓黄金的价格、私募信贷基金的资产净值，或者债券发行人是否支付了最新一期票息。任何展示或依据价格、资产净值或其他链下事实进行操作的RWA产品，都在其流程的某个环节依赖预言机。预言机风险是指当数据传递出现故障时——由于数据过时、被操纵或单点故障——所产生的问题，这与基础资产本身是否稳健是独立的风险。本文解释了什么是预言机、为什么RWA产品需要它，以及具体可能出现什么问题。

什么是区块链预言机

区块链，按其设计，只知道其自身账本内发生的事情：余额、转账和合约状态。它没有内置的方式向外观察，以了解商品交易所的黄金价格、基金管理员发布的最新资产净值，或者公司是否以新估值完成了一轮融资。预言机的存在就是为了弥合这一差距。它是一种基础设施——有时是单一服务，有时是去中心化的独立节点网络——从外部世界获取数据，并以智能合约可以读取和操作的形式将其发布到区块链上。

这通常被称为区块链设计中的预言机问题：区块链可以加密验证一条消息是否由特定密钥签名，但它无法独立验证该消息的内容是否真实。如果预言机报告了错误的价格，区块链本身无法知晓——除非有其他机制捕获错误，否则它会将报告的数字视为事实。

为什么RWA产品依赖预言机获取资产净值和价格数据

代币化的真实世界资产，几乎从定义上讲，都指向存在于链下的东西：贷款组合、基金的持仓、实物商品、债券发行人的支付计划。这些都无法仅通过查看区块链来定价。链下必须有人计算一个价值——由基金管理员进行的资产净值计算、来自交易所的市场价格、来自评估师的估值——然后该价值必须通过某种渠道传递到链上。

该渠道通常采用以下几种形式之一：由发行人或管理员直接推送新值的手动或授权更新、从一种或多种外部来源中继价值的预言机网络，或定期认证报告。关于资产净值具体如何到达代币层，以及经理、管理员和审计师在生成该数字中的角色，在 代币如何知道资产的价值中有更深入的介绍。本文特别关注该流程中的预言机部分，以及当价值在传输过程中可能出现的问题。

可能出现的问题：过时数据、操纵和单点故障

三大故障类别涵盖了预言机提供的价格或资产净值可能误导代币持有者的大部分情况：

• 过时数据。 预言机的时效性取决于其最后一次更新。如果基础价值发生变化——基金持仓大幅下跌、市场价格变动、借款人违约——但预言机尚未刷新，链上的数字将显示过时的数据。这不一定是故障；某些资产按设计仅每月或每季度重新估值。但将过时的馈送视为实时价格，可能会误导任何依据它进行操作的人，尤其是在二级市场上。
• 操纵。 如果预言机从流动性差、易受影响的市场或单一可控来源获取数据，那么拥有足够资本或访问权限的人可以（至少暂时地）将报告价格推离其公允价值。这种风险在DeFi借贷协议中最为人所知，其中被操纵的价格馈送已被用于触发错误的清算或提取价值，但底层漏洞——一个可以被推离真实价值的馈送——适用于任何依赖预言机的系统，包括引用交易稀少的参考价格的RWA产品。
• 单点故障。 如果馈送依赖单一数据源、单一节点或单一签名密钥，那么该单点就成为目标。如果它离线、被攻破或接收到错误输入，整个下游系统都可能受到影响，且没有独立的检查来捕获错误。旨在聚合多个独立来源的去中心化预言机网络正是为了降低这种风险而设计的，但如果所有底层来源最终都追溯到同一个原始数据，它们也无法完全消除风险。

一个有用的框架来理解这三者：预言机是信使，而非估值者。即使是设计良好的多节点预言机网络，其去中心化也仅体现在 传递 方面——如果每个节点都读取相同的基础管理员文件或相同的流动性差的市场，那么无论有多少节点中继它，该馈送的可靠性完全等同于那个单一来源。

改变风险的预言机设计选择

并非所有预言机设置都带有相同的风险特征。几个设计选择比单纯的“预言机馈送”标签更重要：

• 数据源的数量和独立性。 聚合多个独立来源并剔除异常值的馈送，比读取单一来源的馈送更难被操纵。
• 更新频率和节奏披露。 可预测更新并明确说明其节奏的馈送，能让读者判断在任何给定时刻显示的数字可能有多过时。
• 断路器与偏差限制。 一些预言机系统会拒绝或标记与先前值相比变动过大、过快的更新，这可以在明显错误或被操纵的输入生效前捕获它们。
• 预言机提供商的声誉和记录。 在众多应用中拥有长期、公开记录的预言机网络，与为单一产品构建的定制、未经审计的馈送相比，具有不同的风险特征。

这些选择都不能使预言机无风险。它们改变的是故障的概率和可能的波及范围，而非故障是否可能发生。

在产品预言机披露中应检查什么

产品的文档应让读者足以回答这些问题，其精神与 阅读RWA发行文件中涵盖的文件检查相同：

1. 报告的价格或资产净值实际来自何处——指定的管理员、特定市场还是预言机网络？
2. 馈送多久更新一次，这与基础资产实际可重新估值的频率是否匹配？
3. 馈送是来自单一来源，还是跨独立来源聚合？
4. 如果馈送过时或预言机故障，会发生什么——是否有备用方案、暂停机制，或者根本没有保护措施？
5. 如果报告的价值被证明是错误的，谁负责——预言机提供商、管理员还是发行人？

能够清晰回答这些问题的产品，已经深思熟虑过其数据依赖性。而仅仅说价格是“链上”或“已验证”，却不指明来源或节奏的产品，几乎无法让读者进行评估。代币化改变了数据的传递方式；它本身并不能使数据正确。同样的原则适用于基础资产是基金资产净值、商品价格还是债券支付状态，并且它与 RWA代币中的智能合约风险中涵盖的合约层面风险并行适用，因为消耗错误预言机数据的合约会忠实地依据该错误数据行事。您可以在 Bifu的RWA页面上查看Bifu上的RWA产品如何呈现其基础数据和文档。

常见问题

如果预言机为RWA代币报告了过时的价格，会发生什么？

过时的价格意味着显示的价值未能跟上基础资产的变化，这可能会误导任何将其视为当前价格进行操作的人，尤其是在二级市场上。这是一个与资产实际重新估值频率相关的设计限制，不一定是技术故障，但这仍然意味着屏幕上的数字可能无法反映该时刻的现实。

预言机是否可能被操纵以显示错误的价格？

是的，特别是如果预言机从流动性差、易受影响的市场或单一可控来源获取数据。聚合多个独立来源的去中心化预言机网络可以降低这种风险，但无法消除，因为当需要同时操纵多个独立输入时，操纵会更加困难。

更新更频繁的价格馈送是否总是更安全？

并非自动如此。更新非常频繁的馈送，其可靠性完全取决于其背后的来源，而对无法如此频繁重新估值的资产声称近乎实时的更新，本身可能是一个危险信号，而非令人安心。

预言机风险与智能合约风险有何不同？

智能合约风险涉及发行、转移或赎回代币的代码是否正确编写和控制，而预言机风险涉及该代码所依赖的外部数据——价格或资产净值——是否准确和最新。一个合约可以编码完美，但如果为其提供数据的预言机过时或被操纵，它仍然可能基于错误信息行事。

此内容仅供教育目的，不构成财务、投资、法律、税务或交易建议。RWA产品涉及风险，包括可能损失本金。在参与前，请务必审查产品文件和风险披露。

相关阅读

• 深入了解完整流程，请参阅 代币如何知道资产的价值。
• 查看 RWA代币中的智能合约风险 ，了解此数据所输入到的代码层。
• 了解 按市值计价与按模型估值 ，了解基础价值最初是如何计算的。