Morpho固定利率借貸產品Midnight公布審計 未現致命漏洞

去中心化借貸協議Morpho旗下的固定利率、固定到期日借貸產品「Morpho Midnight」，近日公開了外部審計報告與形式化驗證資料。審計結果並未發現致命漏洞，但通過審計並不代表完全排除攻擊風險，也不保證資金運作的穩定性。

與Morpho Midnight相關的報告已上傳至專案的GitHub儲存庫審計資料夾，並列入官方審計清單。Spearbit、Blackthorn、Trust Security與StErMi等機構進行的外部審計，加上Cantina平台的公開審計競賽，於2026年4月至7月間陸續完成。

整體來看，審計發現多集中在低至中等風險等級的問題。不過各份報告檢視的程式碼版本與威脅模型並不相同，因此審計結果不能被解讀為整個協議的風險已全數排除。

Morpho在7月9日公開的資安框架文件中指出，Midnight的核心程式碼維持在約1,100行左右，並將「簡潔性」「不可變性」「非託管性」列為資安設計的核心原則。所謂不可變性，是指合約部署後難以任意升級或修改的結構；非託管性則代表協議本身不直接保管使用者資產。

GitHub儲存庫中同時收錄了使用Certora的CVL語言完成的形式化驗證資料。形式化驗證是以數學方式確認智能合約是否滿足既定條件的檢驗方法，Morpho表示，在進行外部審計之前，團隊已同步進行測試與形式化驗證。

Midnight的架構與一般以浮動利率為主的DeFi借貸市場不同。借貸雙方在交易當下即鎖定利率與到期日，並透過交易「信用單位」與「債務單位」來完成借貸。

每個市場依資產與到期日各自獨立，條件一旦設定便不會更動。根據Morpho官方文件，Midnight目前部署於Base鏈上。

固定利率、固定到期日的結構讓借貸成本與還款時間點更容易預估。但若到期前市場流動性不足，使用者可能難以在自己想要的時間點平倉。

傳遞抵押品價格的預言機（oracle）若發生錯誤、遭遇經濟攻擊，或是清算過程出現問題，這些風險都難以單靠資安審計完全評估。原因在於，找出特定程式碼缺陷的審計，與實際市場中資金流動所伴隨的風險，兩者檢視的對象本來就不同。

固定到期日借貸指的是本金與利息必須依交易時約定的到期日結清。由於利率與到期日事先固定，條件的可預測性較高，但也意味著使用者必須在到期前自行找到交易對手以確保流動性。

Morpho資安負責人梅林·埃加利特（Merlin Egalite）在LinkedIn貼文中強調，「簡潔性」「不可變性」「非託管性」是Midnight的核心資安原則。Certora方面也表示，已針對市場隔離、抵押品、使用者健康度與餘額相關屬性完成形式化驗證。

不過，這兩項說明都是專案方與審計機構自行提出的官方立場，還不能解讀為經過獨立使用者驗證，或在大規模市場實際運作後確認風險無虞。

此前業界已有分析指出，Base鏈上的借貸活動高度集中於Morpho，智能合約漏洞、抵押品價值下跌、清算失敗與提款延遲等，都被列為潛在風險因素。即便Midnight通過審計，協議整體的流動性與抵押品管理狀況仍需持續關注。

此外，Morpho先前也曾在固定利率借貸市場中，推出將待用資金連結至浮動收益結構的功能，顯示固定利率商品同樣需要留意成交前資金運用與到期前的流動性管理。實際報酬率與風險，仍會依市場條件、資產類型與參數設定而有所不同。

此次公開審計報告，讓外界得以檢視DeFi專案的資安審查結果，具有一定意義。不過「未發現致命漏洞」僅代表特定程式碼與審計範圍內的結論，若未來資金規模擴大，流動性變化與潛在經濟攻擊風險，仍有待進一步驗證。