# 6.1 全域风险框架与攻击面建模

#### 6.1.1 风险框架总览：从单点风险到系统性风险

MetaPower 的风险治理以“全域风险框架”为基础，将风险按**资产层—数据层—协议层—治理层—外部依赖层**进行分解，形成可枚举、可度量、可处置的风险对象集合。风险框架的目标是把不确定性显式化，并将其转化为可执行的控制策略：监测、降权、隔离、熔断、仲裁与处置。

风险对象分层如下：

* **资产与运营风险**：硬件、机房、电力、运维与对手方
* **数据与证明风险**：遥测、回执、账单、事件证据、预言机输入
* **协议与合约风险**：结算、资金池、桥接、升级、权限与密钥
* **治理与激励风险**：参数攻击、投票操纵、激励套利、治理僵局
* **市场与合规风险**：价格波动、流动性冲击、监管变化与地域限制

***

#### 6.1.2 攻击面地图：组件—入口—影响路径

攻击面建模不以“列漏洞”为终点，而以“影响结算可信度与资金安全的路径”为核心。MetaPower 的攻击面按照组件划分如下：

| 组件       | 攻击入口             | 主要攻击方式                 | 直接影响           |
| -------- | ---------------- | ---------------------- | -------------- |
| 资产包与站点   | 设备、机房、网络、电力、运维流程 | 离线伪装、温控/功耗伪造、工单造假、迁移隐瞒 | 在线率与产出失真、成本失真  |
| 数据采集与证明  | 遥测、回执、账单、事件记录    | 数据投毒、重放、延迟注入、时间窗篡改     | 证明评分偏移、结算权重被操纵 |
| 预言机网络    | 数据源、签名者、聚合器      | 多源串谋、低质量源主导、签名作恶、DoS   | 结算输入被污染或不可用    |
| 结算引擎与资金池 | 结算合约、路由逻辑、余额管理   | 算法缺陷、重入/授权滥用、路由参数攻击    | 资金错误分配或被转移     |
| 治理与升级    | 提案、投票、时间锁、多签     | 低成本提案洪泛、投票操纵、紧急权滥用     | 参数被恶意调整、升级被劫持  |
| 跨链与外部依赖  | 桥、DEX、托管方、对手方    | 桥接被攻破、流动性被抽走、对手方违约     | 资产流动与价值回流路径中断  |

***

#### 6.1.3 风险分类法：威胁类型与控制目标

为了让风险处置具备一致性，MetaPower 将威胁分为六类，每类绑定明确的控制目标。

| 威胁类别    | 定义              | 控制目标                |
| ------- | --------------- | ------------------- |
| 可用性破坏   | 使系统或资产无法持续提供服务  | 保持关键结算链路可用、具备降级运行能力 |
| 完整性破坏   | 篡改数据或执行结果       | 保证结算输入与执行结果不可被单点操控  |
| 真实性破坏   | 伪造收益、在线、成本或事件   | 把作恶收益压到低于作恶成本       |
| 时序攻击    | 利用延迟、重放、时间窗错配获利 | 时间窗一致、重放保护、延迟惩罚     |
| 权限与密钥攻击 | 滥用授权、盗取密钥、绕过时间锁 | 最小权限、多签、时间锁、可回滚     |
| 经济与治理攻击 | 用资金或规则博弈操纵参数与分配 | 防操纵门槛、惩罚、限速与审计约束    |

***

#### 6.1.4 关键攻击路径建模：从“输入污染”到“资金错误路由”

MetaPower 的核心安全目标可以用一条主路径描述：

> 任何攻击若想获利，必须让“结算输入”偏离真实状态，或让“结算执行”偏离规则。

因此攻击路径可抽象为两类主链路：

**链路 A：输入污染链路（Data-to-Settlement Poisoning）**

1. 污染遥测/回执/账单任一数据源
2. 使预言机聚合结果偏移且通过签名门槛
3. 使证明评分上升或关键异常标记消失
4. 使结算权重上升或降权规则失效
5. 获得超额分配或逃避惩罚

**链路 B：执行劫持链路（Settlement Execution Hijack）**

1. 利用合约缺陷或权限漏洞控制资金池/路由参数
2. 绕过时间锁或多签约束
3. 将资金路由到攻击者地址或造成不可逆损失

这两条链路决定了控制策略的优先级：

* 输入端必须具备多源校验、隔离队列、抽检与降权
* 执行端必须具备最小权限、多签、时间锁与可回滚升级策略

***

#### 6.1.5 风险矩阵：影响—概率—可检测性三维评估

MetaPower 采用三维评估方法，为不同风险配置不同处置强度。

* 影响（Impact）：对资金安全、结算可信度、资产可用性、生态信任的破坏程度
* 概率（Likelihood）：攻击成功的可行性与成本
* 可检测性（Detectability）：能否在结算前或结算后快速发现

三维矩阵示例：

| 风险事件           | 影响  | 概率  | 可检测性 | 默认处置              |
| -------------- | --- | --- | ---- | ----------------- |
| 预言机多源串谋导致输入偏移  | 高   | 中   | 中    | 隔离结算 + 事件审计 + 降权  |
| 资产运营方隐瞒离线与迁移   | 中-高 | 中   | 高    | 降权 + 扣罚 + 观察期     |
| 电费账单与功耗曲线长期不一致 | 中   | 中   | 中    | 延迟结算 + 强抽检 + 提高储备 |
| 结算合约逻辑缺陷       | 极高  | 低-中 | 中    | 紧急暂停 + 升级回滚 + 审计  |
| 治理参数被低成本操纵     | 高   | 中   | 高    | 提案门槛上调 + 时间锁延长    |
| 跨链桥被攻破         | 极高  | 低-中 | 高    | 暂停跨链出口 + 隔离资金池    |

***

#### 6.1.6 攻击面边界条件：时间窗、责任主体与证据闭环

为避免“攻击定义不清导致处置失效”，系统对三类边界条件进行标准化。

**时间窗边界**

* 所有结算输入必须归属于同一统计窗口
* 窗口不可重叠、不可跳跃、不可回填
* 窗口内数据必须带可验证时间戳与序列号

**责任主体边界**

* 数据源、签名者、资产运营方、运维方、执行者的责任可分离
* 每一类主体对应可扣罚保证金或对应权限降级路径
* 责任归属只基于证据索引与签名链路

**证据闭环边界**

* 文件类证据与事件类证据必须可回溯到资产包对象
* 审计结论必须引用证据索引
* 仲裁与处置必须生成事件报告并进入审计轨迹


---

# Agent Instructions: Querying This Documentation

If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter:

```
GET https://metapower-1.gitbook.io/metapower-docs/di-6-zhang-an-quan-zhi-li-yu-he-gui-bian-jie/6.1-quan-yu-feng-xian-kuang-jia-yu-gong-ji-mian-jian-mo.md?ask=<question>
```

The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.