从安全角度学习uniswapV2
字数 5085
更新时间 2026-03-23 14:59:03

Uniswap V2 安全机制与核心逻辑深度解析教学文档

1. 概述

本文档基于对Uniswap V2源码的深度解读，从安全角度系统性地讲解其核心机制、合约逻辑与关键安全设计。主要学习目标包括：

  • 手写解释swap()函数的核心逻辑
  • 理解mint()函数的LP（流动性提供者）代币铸造逻辑
  • 看懂储备（reserve）变量的更新机制
  • 理解lock修饰符如何防止重入攻击
  • 推导并理解恒定乘积公式（x * y = k）的校验过程
    最终目标是使学习者能够理解后，自行实现一个简易的协议模型（MVP）。

2. 机制层剖析

2.1 Uniswap V2 要解决的问题

在Uniswap出现之前，中心化交易所（CEX）主要采用订单簿模式，该模式存在以下问题：

  1. 必须有人挂单：买卖双方需主动报价才能成交。
  2. 流动性依赖做市商：流动性深度由专业做市商提供，小币种难以获得做市。
  3. 小币种难以交易：若无做市商提供流动性，新上市或小众代币将无法交易。

Uniswap V2 通过引入自动做市商（AMM） 模型解决了上述问题，其核心定价公式为恒定乘积公式：x * y = k。其中x和y代表流动性池中两种资产的储备量，k为一个常数。任何交易必须保证交易后新的x' * y'乘积不小于k。

2.2 交易如何产生？

以一个具体例子说明AMM的交易过程：
假设一个ETH/USDT池，初始状态为：10 ETH 和 20000 USDT，则常数 k = 10 * 20000 = 200000。

  • 用户行为：用 2000 USDT 购买 ETH。
  • 交易过程：
    1. 用户将 2000 USDT 转入池中，池子USDT变为：20000 + 2000 = 22000。
    2. 为保持 k 值不变 (200000)，新的ETH数量必须为：ETH' = k / USDT' = 200000 / 22000 ≈ 9.09。
    3. 因此，用户可获得的ETH数量为：10 - 9.09 = 0.91 ETH。
    4. 交易后池子状态更新为：9.09 ETH 和 22000 USDT。

2.3 Uniswap V2 swap 核心逻辑

swap 函数的核心安全校验体现在以下不等式：
balance0 * balance1 >= reserve0 * reserve1

  • balance0, balance1: 交易完成后，合约中两种代币的实时余额。
  • reserve0, reserve1: 交易发生前，合约中记录的两种代币的储备余额。

函数执行逻辑：

  1. 先转出，后计算：智能合约先将用户想要换出的代币数量转给用户。
  2. 再入账：随后合约接收用户转入的另一种代币。
  3. 最终校验：比较交易前后池子的状态。关键在于，扣除了协议手续费（通常为0.3%）后，交易必须保证新的乘积(balance0 * balance1)不小于旧的乘积(reserve0 * reserve1)。这确保了池子的流动性k值不会下降，保护了流动性提供者的利益。

设计哲学：swap函数不关心代币的来源（例如，用户可以使用自有资金，也可以使用闪电贷借来的资金），它只作为一个最终的“验账员”，确保交易前后池子的状态符合AMM规则。

2.4 为什么使用 reserve 变量？

在源码中，使用reserve0和reserve1来记录余额，而非每次从balance（合约当前余额）读取，主要目的是防止价格操纵攻击（例如闪电贷攻击）。

  • 攻击场景：如果使用实时balance来计算价格，攻击者可以通过单笔交易内的大额借贷（闪电贷）瞬间改变池子的balance，操纵出错误的价格进行套利。
  • 防御机制：reserve记录的是上一笔交易完成时的稳定状态。在本次swap中，计算和校验都基于这个“历史快照”，使得攻击者无法在同一笔交易内通过临时改变余额来操纵本次交易的价格。

2.5 Periphery（周边）合约

Core合约负责核心的AMM逻辑，而Periphery合约为用户提供了更友好、功能更丰富的交互接口。

  • UniswapV2Router02.sol：核心路由合约。它封装了添加/移除流动性、交换等复杂操作，为用户处理最佳路径计算、代币授权、WETH封装等细节。Router01是其前身，已废弃。

3. 源码层详解

3.1 UniswapV2Pair.sol 核心函数

3.1.1 swap 函数

  • 功能：完成两种代币的互换，并在交换后校验池子余额是否满足恒定乘积公式。流程可简述为：从池子取走代币 → 接收用户输入代币 → 验证AMM规则。
  • 参数：
    • amount0Out, amount1Out：要从池子中取出的token0和token1的数量。通常一次只取一种，但设计上允许同时取出两种（用于复杂交易路径）。
    • to：接收输出代币的地址。不一定是用戶地址，可能是下一个交易对（Pair）合约或Router合约（用于多跳交易）。
    • data：用于支持闪电交换。如果data.length > 0，Pair合约会调用IUniswapV2Callee(to).uniswapV2Call(...)，回调to地址的合约。
  • lock 修饰符：
    • 这是防止重入攻击的关键安全机制。
    • 在执行swap函数开始时，设置unlocked = 0（锁定状态）；函数执行结束时，恢复unlocked = 1（解锁状态）。
    • 这确保了在一笔交易中，swap的核心逻辑（特别是转账和余额校验）不能被打断并重入，避免了类似The DAO事件的攻击。

3.1.2 mint 函数

  • 功能：当用户向流动性池添加流动性后，根据其提供的资产占池子的比例，铸造相应的LP Token，作为其在池中份额的凭证。
  • 核心逻辑：
    1. 首次添加流动性（创建池子）：
      • 用户存入 amount0 的 token0 和 amount1 的 token1。
      • 铸造的LP Token数量为：liquidity = sqrt(amount0 * amount1) - MINIMUM_LIQUIDITY。
      • 其中 MINIMUM_LIQUIDITY = 1000 会被永久锁定到address(0)（销毁）。
    2. 非首次添加流动性：
      • 用户按当前池子的资产比例存入代币。铸造的LP Token数量由以下公式决定（取两个计算值中的较小者，以保证公平）：
        liquidity = min( (amount0 * totalSupply) / reserve0, (amount1 * totalSupply) / reserve1 )
      • 其中 totalSupply 是当前已发行的LP Token总量，reserve0/1是当前储备。

3.2 关键安全机制：永久锁定 MINIMUM_LIQUIDITY

Uniswap V2 在创建首个流动性池时，会永久销毁（发送到零地址）MINIMUM_LIQUIDITY = 1000个LP Token。这是一个至关重要的安全与经济设计。

攻击场景（若无此机制）：

  1. 攻击者初始化：攻击者作为第一个流动性提供者，存入极少量（如 1 wei）的Token A和Token B。根据公式，获得 sqrt(1 * 1) = 1 wei 的LP Token。此时LP总供应量为1 wei。
  2. 攻击者操纵：攻击者不通过mint函数，而是直接向Pair合约转账存入大额代币（如各10,000个）。此时，池子资产激增，但LP Token总量仍为1 wei。这1 wei LP Token理论上代表了整个池子的100%所有权，价值极高。
  3. 受害者入场：受害者看到池子有深度，存入19,000个A和B，期望获得对应份额的LP。根据非首次添加公式计算：liquidity = (19000 * 1) / 10000 = 1.9 wei。Solidity向下取整，受害者仅获得1 wei LP。
  4. 攻击者退出：攻击者销毁自己持有的1 wei LP，可取出池中50%的资产。此时池中共有 (10000+19000)=29000个代币，攻击者获得14,500个，净赚4,500个，而受害者蒙受巨大损失。

防御机制：

  • 设置底座：首次铸造时强制减去1000。如果攻击者仍试图存入1 wei，计算1 - 1000会导致下溢，交易失败。这迫使初始LP供应量必须大于1000。
  • 提高攻击成本：假设攻击者存入足够代币获得1001个LP，系统会将其中1000个永久销毁。攻击者实际只持有1个LP，而总供应量为1001。此时，攻击者若想将1个LP的价值抬高到同样水平，需要向池子捐赠 10000 * 1000 = 10,000,000 个代币，且这部分对应销毁LP的代币价值将永远损失。这极大地提高了攻击的财务成本。

核心总结：永久锁定最小流动性，实质上是为LP Token的供应量设置了一个巨大的“分母”，使得通过微小初始供应量操纵LP价值的攻击成本变得极高，从而保护了后续流动性提供者。

3.3 Uniswap V2 Core 架构理解

Core部分由三个核心合约组成：

  1. UniswapV2Factory（工厂合约）：
    • 职责：创建并管理所有交易对（Pair）。
    • 功能：保证任意两种代币之间只有一个唯一的Pair合约地址。它不管理资金，只负责注册和创建。
  2. UniswapV2Pair（交易对合约）：
    • 职责：AMM逻辑的核心载体。
    • 功能：维护两种代币的储备量，实现swap、mint、burn等核心功能，管理池内所有资金。
  3. ERC20（LP Token标准）：
    • 职责：提供流动性的权益证明。
    • 功能：Pair合约继承自一个ERC20实现，用于铸造和销毁代表流动性的LP Token。

3.4 UniswapV2Router02.sol 关键函数

3.4.1 addLiquidity 函数

  • 核心逻辑：添加流动性必须按当前池子的价格比例存入两种代币，否则会改变价格，立即被套利者利用，导致添加者损失价值。
  • quote函数本质：计算最优的另一种代币数量。公式为：amountBOptimal = amountADesired * reserveB / reserveA。
  • Router策略：用户指定一种代币的期望数量amountADesired和另一种代币的数量上限amountBMax。Router会计算最优比例，并可能退回用户多出的代币。其原则是“调整用户输入以适应池子价格，而非改变池子价格”。

3.4.2 removeLiquidityETHSupportingFeeOnTransferTokens 类函数

此类函数是功能组合体，其名称可拆解分析：

  • removeLiquidity：基础功能，从池中移除流动性，取回对应比例的双币。
  • ETH：处理其中一个资产为ETH（实际是WETH）的情况，并自动完成WETH到ETH的转换。
  • SupportingFeeOnTransferTokens：关键安全适配。某些代币（如分红币、通缩币）在转账时会扣税或燃烧一部分。普通的移除函数会因实际到账数量小于预期计算值而失败。此函数通过比较调用前后合约的余额差，而非依赖transfer的返回值，来适配此类代币。
  • WithPermit：支持使用离线签名（EIP-2612 permit）进行授权，允许用户在一笔交易内完成“授权LP Token”和“移除流动性”两个操作，提升用户体验并节省Gas。

相关风险提示：

  1. Fee-on-Transfer Token攻击：由于余额变化不等于转账数量，传统的基于固定数量的滑点检查可能失效，需谨慎处理。
  2. Permit签名攻击：需防范签名重放攻击（依赖nonce）、钓鱼签名等。

说明：本文档内容完全基于您提供的链接内容整理生成，旨在系统化、深度化地呈现原文中的技术要点与安全逻辑。关于Uniswap V2的更广泛生态、与其他版本（如V3）的对比，或某些具体实现细节的延伸讨论，文档未予涵盖。

相似文章
相似文章
 全屏