区块链:警惕 ！你可能玩了假的DeFi_Aurora Finance

写在前面：

DeFi领域目前充斥着各式各样的新协议，例如最近爆火的YFI就是其中之一，但本质上，它并不是真正的DeFi协议，据加密货币研究员Hasu分析表明，类似YFI这样重治理的协议，或多或少都存在托管问题，而这就会涉及到用户资金的安全问题，因此他建议参与者将YFI视为一个托管型投资基金。

原文作者：Hasu

DeFi如何在治理与存款安全之间取得平衡？

长话短说：

在7月25日-8月6日这段时间，yearn.finance开发者AndreCronje控制了4000万美元的客户资金；

区块链防火墙提醒：警惕团伙恶意利用未经证实的虚假信息实行:近日，区块链防火墙安全团队发现有某不法团伙在社区传播“某平台将停止业务运营”、“某平台即将清退用户”等未经证实的虚假信息，通过恶意制造社区恐慌，将用户引导至子搭建的虚假交易平台实施，截至目前，已经有不少投资者上当受。

区块链防火墙提醒：注意提高自我防范意识，不信谣不传谣，谨防利用虚假消息实施的新型局，保护好个人资产安全，不要向任何未经身份核验的地址或平台客服进行转账。[2021/7/9 0:40:29]

8月6日，在与我讨论这篇文章的早期草稿时，AndreCronje将相关的治理权移交给了9名社区利益相关者，并通过6-of-9多重签名机制进行控制；

大多数用户并没有意识到，所有重治理的协议，比如yearn.finance、Compound或者Aave，或多或少都存在托管资金的问题；

什么是yearn.finance？

根据yearn.finance的官方描述，它是作为一个收益聚合协议，但我喜欢把它想象成一个任何人都可以参与投资的基金，然后一名投资经理将这些资本引导到DeFi领域中最高收益的机会中。

声音 | 光明日报：警惕以虚拟币为噱头的新式:12月20日，光明日报刊文“警惕以虚拟币为噱头的新式”。文章表示，最近几年来，类似的“币”层出不穷。一些案例中，甚至根本没有实体产品，完全靠虚拟币哄用户通过发展下线的方式来扩大整个虚拟币市场，刺激购买需求，炒作升值预期，最后收割用户。这种打着区块链新技术旗号的局，蕴含的金融风险不容小觑。面对这类新型方式，消费者要提高警惕，不可贪图不切实际的暴利。此外，监管部门也要顺应形势的变化，及时调整对和虚拟币非法交易的界定范围，提高打击的力度。尤其是对那些宣称有各种神奇功效的产品，一定得拨开其虚假宣传的障眼法，看看是否涉及币局，真正实现对犯罪行为露头就打。[2019/12/20]

自7月中旬推出治理代币YFI以来，yearn.finance的人气激增，虽然其代币因公平推出而受到称赞，但市场普遍存在一种误解，即很多人会认为资金是由YFI代币持有者，或者至少是由代表他们利益的多重签名钱包所控制的。

但实际上，治理是这样运作的：

YFI代币持有人可以就新提案进行投票，这些投票是非正式的，当一项提案获得批准时，yearn.finance的开发者AndreCronje就会去实施它。与此相对的Compound，是先实施提案，然后通过正式投票激活。

动态 | 经观社论?：新技术总是伴随泡沫 警惕地方拿区块链“割韭菜”:经济观察网今日发表社论文章《警惕地方拿区块链“割韭菜”》称：区块链向我们展示了截然不同的两样图景。一方面，很多公司积极尝试基于区块链技术的创新应用；另一方面，“虚拟货币”、“区块链商城”和“区块链游戏”等概念炒作，新瓶装旧酒，究其实就是各种“割韭菜”。对于那些穿着区块链技术马甲，以创新之名非法吸收公众资金，侵害公众权益的行为，监管应该担起责任。这方面，我们应强化监管协同，加快补足短板，避免监管空白和盲区。新技术落地总是伴随泡沫。这一点几乎无可避免。监管对此理当有清晰的认知和判断。在这场角逐中，更需要关注的是行政之手和财政资金的去向。我们担心那种地方官员拍脑袋的决策，缺乏足够的科学精神和对规律的尊重，更多出于急功近利和好大喜功。市场的狂热总归会经历一个去伪存真的过程，在试错中回归理性，并给予各类投资者最终的判定。这样的成本，市场愿意支付。但对于那些政绩驱动下的亲身入场和大笔财政资金，决策部门恐怕应该要有足够的警惕。[2019/11/22]

自7月21日开始，9名YFI社区利益相关者，通过6-of-9多重签名的方式控制了额外YFI代币的铸造；

动态 | 警惕市场上各种Libra虚假网站及ICO:据降维安全实验室报道，市面上不断涌现涉及Libra的虚假网站及ICO。者声称可以预售尚未发行的加密货币Libra，支持比特币、以太坊等形式购买，甚至一些山寨交易所也宣称即将上线Libra交易对。据悉，Facebook官方尚未公布Libra发行时间及发行量，降维安全实验室在此提示广大用户：Libra是一种稳定币，由Facebook等科技巨头公司开发和发行，不需要任何形式的ICO，投资者切勿轻易相信任何小道消息，所有与Libra相关的活动信息，请以Libra官网（libra.org）公告为准。[2019/8/6]

有一名控制者负责所有的投资决策，因此他实际上相当于控制了客户资金；

控制器

为了了解资金的保管方式，我们就需要了解金库和策略。金库基本上是存放投资者资金的盒子，而策略则是执行投资策略的智能合约，例如将币借给年化收益最高的货币市场。任何人都可以部署它们，但要分配人们的钱，金库必须与特定的策略相连接。

而金库与策略之间的这种连接，是由一个称为控制器的中央智能合约来实现的。截至8月6日，这个控制器的治理地址就是AndreCronje的地址：

ECHO技术负责人张楠：相比黑客 区块链更应该警惕量子计算机:5月19日，ECHO公链技术负责人张楠受邀作为首届全球区块链黑客马拉松导师参与区块链项目辅导。会上，张楠呼吁现场区块链从业者：相比于黑客，区块链更应该警惕量子计算机！他指出，谷歌已经研发出72量子比特（qubits）超导量子计算机,虽然这短期还不足以威胁区块链，但ECHO公链团队前瞻性采用了抗量子特性技术方案——后量子密码，运用LWE算法（伴随误差学习）抵抗来自量子计算机的攻击。ECHO团队还将会考虑开发与OpenSSL一同工作的Ring-LWE密钥交换协议，实现后量子时代区块链的安全问题。[2018/5/19]

我们将简要介绍更改一个金库策略的步骤。

首先，调用setStrategy函数：

只有在msg.sender设置为控制器管理者，这个函数才会执行。

更改策略首先从现有策略中提取所有资金，然后将其送回到金库：

在下一步中，你会在金库中调用earn，这会调用控制器的earn函数：

…从而将资金转入新策略。

你可以在这里亲自检查控制器。

简而言之，控制器可以设置每个金库的策略，也可以更改现有金库的策略。

存在资金被盗的风险

控制器的这种功能，允许进行非常简单，但十分强大的攻击。在任何时候，它都可以决定将金库与耗尽所有客户资金的策略连接起来。策略可以简单到将这些资金转移到对手控制的账户上，而对于用户来说，不会有警告或反应的时间。

与常规的管理密钥攻击向量一样，主要的风险不一定是AndreCronje本人变成恶意者，而是这个管理密钥被第三方所窃取。

在8月6日的快照中，有1.65亿美元的资金锁定在yearn.finance中，其中大部分都锁在YFI相关的曲线池中，因此它们不易受到治理攻击，而剩余有4000万美元的资金锁定在金库中，这些钱就暴露在控制者面前。

AndreCronje本人的反应

8月6日，我与AndreCronje讨论了本文的早期草稿，以确认我的分析是正确的。在讨论过程中，他决定调用控制器的setGovernance函数。

通过这个操作，他将金库资金的控制权交给了社区控制的多重签名钱包，并将他自己作为一个风险因素排除在外。

但实际上，我并不是打算让AndreCronje放弃对资金的控制权。协议以这种方式建立，是有充分理由的，在不同的时区等待9位社区持有者中的6位，会给平台的运行增加大量的开销和延迟，因此，这会导致：

对漏洞做出反应会变得更困难，而漏洞在复杂的初期协议中是很常见的；

对于新金库和策略的原型制作，显然会变得更加困难；

在DeFi快速变化的市场环境中，这将极大地损害收益率；

相反，我只是想让投资者更清楚地了解，使用诸如yearn.finance这样的协议，会面临着怎样的信任假设。

所有重治理的协议，或多或少都存在托管问题

在现在大肆宣传的DeFi运动中，大家很容易会忽视我在这里描述的问题：理论上可通过治理来耗尽用户的资金，而这样的问题也存在于很多其它DeFi协议中。

例如，在Compound中，持有绝大部分治理代币的人，就可以投票任意的新逻辑，虽然这个逻辑需要48小时才能启动，但8亿美元的资金，不太可能及时全部收回。依赖于主动管理的协议，很难在必要的治理权限和客户资金的安全性之间取得平衡。

像yearn.finance这样依赖于快速适应市场环境做法的协议，很可能永远会站在需要更多控制权的一边，而这会牺牲存款安全为代价。因此，用户应停止将其视为非托管系统，而应该将其视为主动管理的基金，其中控制者就是基金经理。在此之前，这个基金的管理者是AndreCronje，而在今天，这个基金的管理者是9名社区参与者，他们使用了6-of-9多重签名机制。

而系统中存在的治理越多，那系统就越可能会被捕获。未来安全的DeFi系统，应该在设计时使用最小的治理杠杆，以便最大限度地提高安全性，并减少寻租。

标签：区块链EARNNANANC区块链dapp游戏EARNX价格Aurora FinancePopsicle Finance

狗狗币热门资讯