急劇擴張的DeFi樂高安全堪憂，我們與從業者討論反思ERC777與去中心化金融_EFI:defiai幣被盜

編者按：本文來自鏈聞ChainNews，星球日報經授權發布。連續三個月遭受嚴峻考驗的DeFi使得人們對其高速發展愈發擔憂，甚至進一步引發了對監管、去中心化與CeFi的討論。北京時間4月15日晚8點，CryptoTonight第四期節目「說透去中心化金融：DeFi還好嗎？」順利開播，Yama邀請了6位DeFi領域從業者與投資者，分享了對于DeFi安全事件的看法以及對DeFi前景的思考。本期節目的核心看點有：UMA創始人：Lendf.me、ERC777標準開發者都應該對此次攻擊事件負有責任曹寅：去中心化只是手段，開放、自由、去信任才是去中心化的目的Tokenlon增長負責人：ERC777有很大潛力，不少其他DeFi協議也將支持dYdX戰略負責人：DeFi項目也可以考慮以營利為目的，公司的去中心化可以慢慢推進IOSG投資總監：應用端才應該是對安全負責的機構，審計公司無法完全承擔風險查看完整的節目視頻可點擊此處回看，以下是本期節目全程的文字記錄，內容有所編輯。

本期的6位嘉賓分別為：AllisonLu，去中心化金融合約協議UMA聯合創始人ZhuoxunYin，去中心化衍生品交易平臺dYdX戰略負責人LucasHuang，去中心化交易平臺Tokenlon增長業務負責人曹寅CaoYin，數字文藝復興基金董事總經理FionaHe，投資機構IOSGVC投資總監繆凱GienoMiao，區塊鏈支付平臺LightnetCTO

大家晚上好，早上好!我是Yama，非常開心今晚為大家主持。我們今晚討論的是DeFi話題。本周大家都在討論DeFi。幸運的是，Lendf.me被黑的加密貨幣被還了回來了。希望未來能變得更好。好的，我們接下來先歡迎六位優秀的嘉賓。大家先做個自我介紹。女士優先，第一位是UMA的聯合創始人Allison。個人介紹

AllisonLu：我是UMA的聯合創始人Allison。UMA是個金融合約平臺，全稱UniversalMarketAccess代表讓全球市場接入區塊鏈。UMA在以太坊中構建了開源基礎設施，包括1)去中心化的預言機服務；2)可以創建ERC20代幣的金融合約設計，可以追蹤一切的價格。在創建UMA之前，我在新興市場貸款機構Tala負責信貸業務，之前還在高盛利率產品部門做過交易員。我畢業于麻省理工，拿到經濟和金融學位。FionaHe：大家好，我是Fiona，IOSG投資總監。加入IOSG之前在對沖基金和傳統私募工作。IOSGVentures成立于2017年，是一家專注于區塊鏈及加密貨幣的美元基金。我這邊主要關注DeDi和DeFi，以及有較好現金流的項目。IOSG通過「構建技術及海外Dao社區+行業數據的研究驅動+產業鏈的貫穿布局」來構建早期的Dealflow，在產業人才開始創業之前就已經與他們建立聯系。IOSG是PolkadotBuildingProjects的生態基金之一，也是眾多知名項目Cosmos、Coda、ChainLink等項目的生態合作伙伴。在DeFi領域我們的布局有：MakerDAO、KyberNetwork、Kava和DDEx等。Yama：感謝Allison和Fiona兩位。我們的訪談第一次有了女嘉賓，你們不知道我有多開心！下一位是dYdX的Zhuoxun。ZhuoxunYin：我在dYdX負責戰略和運營，自2018年初就加盟了這家公司，是公司的二號員工。我多數時間在考慮如何進入市場：應該怎樣建設，怎樣發布產品，如何接觸目標客戶。在加盟dYdX之前，我主要做的是幫助初創企業的成長，之前還在咨詢公司貝恩工作過幾年。Yama：我是去年在瑰麗酒店DragonflyCapital組織舉辦的峰會第一次見Zhuoxun，好久不見，Zhuoxun現在看起來好像成熟了些。下一位，請Lucas介紹下自己。LucasHuang：大家好，我叫黃為，也可以叫我Lucas，現在在Tokenlon負責增長方面的工作。Tokenlon是由imToken孵化的一個DeFi平臺，目前主要產品是我們的去中心化交易所，也是以太坊上的主流DEX之一，除此之外我們還發行了imBTC，目的在于將BTC的流動性帶到以太坊生態。我大約是2017年中開始正式參與到該行業的，在加入Tokenlon之前在KyberNetwork，也是另一個主流的DEX。曹寅：我是數字文藝復興基金的董事總經理，數字文藝復興基金是愛沙尼亞電子公民計劃的一部分。我們在愛沙尼亞、芬蘭和上海都有工作人員，為加密企業提供名合規和戰略咨詢服務。我從2017年開始一直從事DeFi項目，是一些知名項目的天使投資人和顧問，包括Loopring、Acala、Chainx和Dipole等等。Yama：我注意到自4月19號以來，你可能參加了三到四次有關DeFi的線上訪談。希望你還繼續享受這個話題，能愉快合作。下一位繆凱。繆凱：大家好，我叫繆凱，區塊鏈及科技金融專家，現任區塊鏈支付平臺LightnetCTO；曾作為技術顧問參與推動使用區塊鏈技術建立銀行業金融監管沙箱及OpenBankingAPI制定；曾歷任微軟、湯森路透、阿里巴巴、盛大、亞馬遜、窩窩團等公司高級總監至CTO，對電子商務、大數據及人工智能等領域有豐富經驗。討論一：誰該為DeFi安全負責？保險機制有用嗎？

摩根大通：加密貨幣作為支付方式的需求急劇下降:金色財經報道，摩根大通投資銀行部門的全球支付主管Takis Georgakopoulos 在本周接受彭博采訪時談到了客戶對加密貨幣作為支付方式的需求。Georgakopoulos表示，直到六個月前，我們看到了對客戶的大量需求。我們現在看到的很少。

Georgakopoulos 指出，對加密貨幣作為支付工具的需求已急劇下降，但他強調，該銀行仍將支持希望為此目的使用加密貨幣的客戶。他補充說，加密貨幣在游戲領域也變得“越來越大”，無論是在傳統游戲還是在他看到很多機會的元宇宙中。[2022/9/25 7:20:06]

FionaHe：今年以來我們看到頻繁的DeFi攻擊事件，比如bZx，MakerDAO和Lendf.me。毫無疑問，我們能從這些教訓中學習并成長的更好。幸運的是，我們看到dforce已經成功追回被盜款項。可是如果下一次沒有這么幸運呢？誰應該最終為這些損失負責？是不是該用戶自己負責？保險機制有可能為類似事件起到兜底作用嗎？AllisonLu：你談到的幾次攻擊大不相同：Lendf.me是因為安全和治理的問題，問題的起源是協議里加入了ERC777資產，而它們原本的協議只是為保障ERC20標準代幣的安全而設計的。bZx是一個預言機被操縱的問題。MakerDAO是Dai流動性被擠兌，再加上ETH網絡阻塞的問題。實際上，這三次攻擊正是不同類型的攻擊都會發生的完美例證：a)Layer-1共識保證和Layer-2協議之間的互動;b)預言機被操縱或出錯;c)智能合約安全問題；d)治理問題。每個案例中都是多方的責任。Lendf.me攻擊中，根本原因涉及到Lendf.me的治理決策，在沒能杜絕「可重入」漏洞的情況下接納了imBTC作為抵押品；ERC777代幣發行方的責任在于采用了ERC777標準而沒有具體規定代幣分發給哪些協議。ERC777標準的開發者聲稱ERC777標準向后兼容ERC20，他們也有責任。另外重要的是，協議的具體使用者。在DeFi生態中，我認為協議開發者和用戶責任各半，但經濟負擔落到了用戶身上。對開發者而言，我認為透明度、第三方審計和對相應技術非常深刻的了解，對于保障用戶的安全至關重要。與此同時，DeFi用戶需要接受這些實驗性技術所帶來的額外風險，這也是DeFi領域收益較高的原因。如果開發團隊保證為技術失誤賠償用戶，用戶就完全依賴團隊的安全承諾，不去做盡職調查。如果用戶愿意盲目信任開發團隊的承諾，他們又何必選擇去中心化產品，為什么不去選擇完全中心化的服務呢？Yama：談到信任，無論DeFi還是CeFi，很多方面是共通的。正好提到ERC777，Fiona可以和Lucas聊聊FionaHe：有人稱ERC777是ERC20的2.0版本，在ERC20的基礎上增加了更多功能，看似更有優勢。但近期與ERC777相關的DeFi安全事件將它推至風口浪尖。ERC777究竟是否有安全隱患，而它究竟是否更有潛力？LucasHuang：ERC777標準是基于ERC-20標準進行的功能擴充，在兼容ERC-20標準的基礎上，增加了一些新功能從而提升用戶體驗。它是一種代幣協議標準，不存在漏洞。我們的確認為ERC777具有很大的潛力，它向后兼容，能夠為特定交易降費提速，支持發送數據等。imBTC的使命是通過友好的用戶體驗，將BTC的流動性引入到以太坊的DeFi生態中，而基于ERC777帶來的新功能可以在保護用戶資產安全的同時提升用戶體驗，基于這個考量，Tokenlon選擇了ERC777協議來發行imBTC。其實不僅僅imBTC采用了ERC777標準，PoolTogether的代幣，Augurv2的代幣都是采用ERC777。Uniswapv2和Compoundv2也支持了ERC777代幣。Yama：Lucas提到也是關鍵一點就是，Uniswapv2和compoundv2都support了ERC777，但lendf.me用的是compoundv1的代碼。Allison也提到：ImToken的責任在于采用了ERC777標準而沒有具體規定代幣分發給哪些協議。ERC777標準的開發者聲稱ERC777標準向后兼容ERC20。FionaHe：我想問問Zhuoxun，最近，海外社區就是否1inch應該向公布黑客數據分成兩派陣營并進行激烈討論。你們是怎么看社區的討論的？對去中心化的項目依靠中心化權力機構來追索被盜資金是怎么看的？ZhuoxunYin：關于這個問題比較廣泛的觀點認為，去中心化金融依然處于非常稚嫩的萌芽期，人們對安全的重視程度要遠遠超過傳統服務。用戶和團隊都是如此。這種事情還會繼續發生，用戶逐漸會轉移到經歷過更多考驗的平臺。我理解1inch為什么那么做，但是我并沒有深入思考這么做是對還是錯。但總體而言，這個插曲對DeFi不是件好事。我們不應該把去中心化和中心化實體理解成兩個世界。他們需要和諧共存，才能打造一個成功的、開放式的金融體系——有些事情去中心化更好，有些事中心化更好一些。所以我覺得不應該搞錯關注重點，這個問題更多關系的是我們如何嘗試，未來讓此類事件盡可能少出現。Yama：謝謝FionaHe和回答問題的各位。接下來，我知道曹寅4月19號寫了一篇關于lendf.me攻擊事件的文章，引用了當年阿波羅13號那句著名的臺詞「休斯頓，我們有麻煩了」，來致敬DeFi的探險者。你能跟我們分享一下關于這些攻擊事件的看法？曹寅：我非常同意Zhuoxun的觀點。我們可以根據DeFi協議中的各個功能性「要素」的去中心化與否對DeFi進行去中心化程度的評級，這些「要素」包括：account、custodial、pricefeeds、DEX(orderbook,settlement)、lending(margincalls,margincallliquidity,monetarypolicy)、development與codemaintenance。交易所方面的OK和Binance、借貸平臺方面的BabelFinance、人人比特和BlockFi這些毫無疑問是絕對中心化的，但是在光譜的另一頭，并不存在所有「要素」都去中心化的DeFi應用，因為至少d開發和codemaintenance還是由開發者操作的。因此，DeFi是相對那些所有要素和功能都中心化的「絕對CeFi」而定義。在以上要素中，有一些要素是社區默認DeFi必須具備的prerequisites，包括無需許可的賬戶、非托管、在DEXDeFi中，清算應該是在鏈上的，因此可見，從用戶角度來看，所謂的DeFi其實是指那些自由進入、無需許可、資產非托管、鏈上清算的金融應用，去中心化只是手段，開放、自由、非信任其實才是去中心化的目的。其實在中國，一些中心化的金融平臺，比如也在考慮利用DeFi的組建，提供更好的產品，讓用戶更好上手使用產品。這是值得嘗試的組合。就連阿里巴巴最近也發布了「螞蟻金服開放區塊鏈」的產品，提供了中間件產品，也可以用于金融行業。你會看到，CeFi和DeFi兩個方向的團隊都在努力嘗試利用彼此的優勢，包括對方的優勢，提供更好的產品。我覺得這是好的跡象。討論二：如何看待CeFi和DeFi的界限？

數據：加密鯨魚持有的比特幣供應量急劇上升:鏈上分析師Willy Woo在推特上分享了兩張Glassnode圖表，一張顯示加密鯨魚(持有1000到10000枚比特幣的錢包所有者)持有的比特幣供應量的急劇上升。另一張表明比特幣用戶的數量大幅增加。Woo補充稱：“目前BTC用戶數量已創下2021年的歷史新高。”[2021/7/4 0:25:20]

繆凱：DeFi領域內仍然有很多中心化的風險，比如運營DeFi項目的團隊的中心化信用風險，包括涉及某些核心崗位人員自身風險等。目前看起來DeFi的安全性并不比最早門中心化的頭溝丟幣更好，請問大家如何看待CeFi和DeFi的界限？AllisonLu：這是一個很有意思的問題，展示去中心化程度是呈現光譜圖的特征，而不是黑白分明的二元對立。我同時認為，這也顯示DeFi不僅僅是個單詞，如果DeFi用戶自己不認同它的意義，但這個詞就毫無意義。比如，有些用戶關注DeFi只是因為DeFi放貸收益高，或者借款方便，因為不需要完成「了解你的客戶」KYC驗證。這對于DeFi的認知是非常片面的。很多騙局也把自己叫做DeFi項目，但根本沒有向用戶提供DeFi最基本的服務！我想DeFi最特別的，是讓用戶去信任，而無需驗證。中心化團隊對用戶會做很多承諾。比如，中心化交易所承諾用戶會保障他們資金的安全和良好的流動性。用戶知道他們在承擔風險，但他們自己沒法驗證運營者是否可信。而在去中心化交易所DEX，去中心化開發團隊可能做出相同的承諾，用戶自己只要看看真實的代碼，管理好自己的私鑰，就可以認定其資金是安全的。那就是說，用戶必須信任Layer-1公式算法是安全的以及處理交易的中心化礦工。如果用戶無法自己驗證代碼，他們就必須信任中心化的第三方，例如審計機構對代碼擔保。如果用戶有錢包，它也可能是中心化團隊開發的產品。我認為所有這些領域的中心化是可以接受的，只要用戶可以選擇哪些部分可以信任，哪些部分需要驗證。對用戶來說，做盡職調查是關鍵，無論去中心化服務中有多高的中心化程度。FionaHe：正如Vitalik說的那樣，我們覺得現在DeFi做的越來越復雜，專注于做出簡單并穩定運行的項目比較少，Uniswap是其中一個很好的例子，去中心化程度非常高，它沒有自己的代幣，邏輯非常簡單，就是代幣的兌換，只有交易者和流動性提供者是平臺的參與者。而當項目變得復雜，由于風控的難度和整個底層設施的成熟度不夠，會導致部分項目犧牲去中心化來維持項目的運營。我們覺得從安全性上來看，值得引起我們思考的是是否需要重新看待協議層未來價值？目前海外社區主流的思想還是JoelMonegro當初提出的fatprotocol(胖協議)，但是我們看到協議層頻頻爆出黑客攻擊，且這些協議對安全性仍然不夠重視，大多數都會在網站上警示用戶風險自擔，不想承擔任何風險。不同的協議未來仍然會在不同方向進行聚合和升級，在底層完善數據備份和安全審計，在面向用戶的聚合應用層仍然是有較高潛力捕獲價值。單純降低用戶門檻肯定是遠遠不夠的，這樣的團隊肯定會出安全的問題。只是降低用戶使用門檻是不負責任的，最大的隱患還是數據安全。「胖應用」應該胖在安全和數據上，幫助用戶來驗證技術的安全性。協議層自己說自己是安全的有用嗎？就算是有合約審計，審計公司也無法完全承擔風險，應用端才應該是對安全負責的機構。ZhuoxunYin：它最終取決于我們企業的目標是什么。拿dYdX舉例，我們考慮的是作為一家以營利為目的的公司，怎樣是正常的。我們公司創建的目的是營利，這就是我們為什么從風投募資。因為這一點，我強烈認為重要的是嘗試和打造新的產品，獲取足夠的前進動力，然后再重點關注去中心化的問題。這不是說我不信任去中心化，我肯定信任。但黑與白之間存在復雜的光譜，要取得進步需要作出一些犧牲。我們認為當前最重要的是透明度和自我監護。團隊自身的去中心化相對沒有那么重要。多數人會贊同是團隊在進行這些建設，團隊有理由賺到收入。所以我們非常重視在協議之外建設前端產品。這就是我們近期與社區分享的我們的商業模式。如果我們能打造出有價值的產品，人們愿意用，發現很有用，公司的去中心化可以慢慢推進。去中心化不是唯一目標。LucasHuang：CeFi和DeFi的界限在于用戶需要信任的是什么，CeFi用戶需要信任團隊，而DeFi則依賴對代碼的信任。問題里提到DeFi團隊中心化信用風險，其實用戶需要信任團隊的話，那么從定義上也許不應該算做DeFi。完全的去中心化是很難一步達成的，我更喜歡把去中心化當作是一個方向，目前很多的DeFi項目其實也還是在往這個方向邁進的過程中。去中心化可以有很多的層面，例如產品技術，治理，資金等等。在項目的不同階段也會有不同的去中心化需求。比如在產品技術上，早期往往是核心團隊進行開發，尋找product/marketfit；增長期核心團隊則會開始邀請社區開發者參與開發，后期核心團隊則會逐步退出主導地位，完全交由社區進行迭代。治理上也是一樣，比如最近Compound和Kyber都開始引入社區參與治理，但是他們在早期則是完全由核心團隊進行決策。曹寅：我是lendf.me的用戶，我覺得這次大家都很幸運，黑客還回了被盜資金。這是個教訓，通過這次事件，大家可以看到，DeFi的協議多么復雜，并且，顯然DeFi的發展進入了深水區。從用戶的角度來看，我覺得用戶在使用DeFi產品的時候，需要更加小心，要做風險評估。這種風險評估不僅僅關于代碼或者技術層面被攻擊的漏洞，還包括合規方面的風險。比如說，有人有可能會利用DeFi協議向一些被制裁的組織或個體提供資金支持，這樣會產生合規方面的問題。昨天我們的朋友SujiYan就做了一個嘗試，通過Dharma新推出利用推特實現的美元支付功能，向伊朗副總統的推特賬戶轉了1USDC。這筆錢數額不大，但實際上會產生關于是否合規的問題，有可能會導致美國政府對這樣的DeFi協議采取行動。繆凱：從我的角度看，我們一直在利用技術來實現一些目的。其實講到DeFi，「去中心化」并不是目的。只為了去中心化而去中心化意義不大，關鍵還是看去中心化的金融服務，是否能創造價值。比如說，DeFi可以帶來更大的透明度，但是目前在各種去中心化產品中，都缺少去中心化身份的服務，或許大家可以在這個領域做更多事情。Yama：謝謝大家，我從這里學到了很多，因為實際上我一直在CeFi領域，對DeFi了解有限。確實，CeFi的團隊和DeFi的團隊需要相互學習。在本期節目的最后，我想告訴我那些交易員朋友，去試試dYdX的比特幣永續合約產品，另外，我也要去Uniswap試一下UMA的代幣。Allison，UMA代幣是下周三推出，對吧？我想給Allison和Zhuoxun一點廣告時間！AllisonLu：謝謝這個機會。我不太清楚觀眾們對預言機是否了解。實際上，我們UMA團隊最近剛剛推出了新的DeFi合約設計，通過引入清算者和爭議者的博弈機制，實現了最小化預言機的使用，可在不需要任何鏈上喂價的情況下適當地抵押倉位。這是一種很巧妙的機制，包括清算和爭執過程，允許交易對手通過識別不良抵押品而得到獎勵。清算人可根據自己對鏈下價格判斷，來考慮是否對頭寸進行清算，而爭議者一旦發現無效清算，則可獲得獎勵。因此只有清算有爭議時才需要預言機，如果預言機返回的價格表明爭議者是正確的，則爭議者可獲得來自清算人支付的罰款。相反，如果爭議者被證明是不正確的，則爭議者將喪失對清算人的保證金。為了更好的進行治理和解決預言機爭議的功能，我們將在Uniswap上線原生治理代幣UMA，這種治理代幣可以充當系統治理和解決預言機爭議的功能，還可以為無喂價合約解決爭議，當發生合約爭議時，UMA代幣持有者通過數據驗證機制DVM投票達成共識發揮作用。ZhuoxunYin：我們非常興奮看到這樣新的預言機產品。在dYdX，我們最近也推出了新的產品。dYdX是基于以太坊的去中心化衍生品交易平臺，我們本周剛剛推出了比特幣永續合約，這個交易產品可以讓用戶用USDC計價，利用最高可達10倍的杠桿，進行比特幣合約交易。這個比特幣合約沒有到期時間，以USDC作為保證金和結算，所有清算過程將在鏈上進行。我們希望通過該產品，讓更多用戶通過DeFi獲得流動性。在直播節目之外，嘉賓們還相互討論了關于DeFi領域「合規」的問題。以下是直播節目之外，大家討論的精彩觀點：Yama：監管是一個金融領域永遠繞不開的話題，如何看待DeFi領域的監管？如果沒有監管，誰會來保障投資者的權益？ZhuoxunYin：我認為監管是有幫助的，監管的存在是保護普通人。比如，在金融領域存在大量監管，是保障普通人在金融活動中不會被剝削。寬泛的說，我同意監管是應該存在的，但不應該力度那么大，以至于遏制創新。比如，所有平臺的創建是不對等的，它們也不能被對等信任——有些保護還是有幫助的。很清楚的一點是，監管機構對加密領域采取的動作很緩慢，但他們肯定會介入的。考慮到DeFi近期發展的速度和規模，我認為DeFi慢慢也會進入監管清單。另外，DeFi對采用其產品的個人也得擔負一定的責任。必須向用戶澄清這種技術僅僅處于試驗階段。任何人不能把畢生積蓄投入到這些產品中。如果發生損失，這是好事，因為整個DeFi領域可以吸取教訓，可以更茁壯的成長，但對DeFi領域也是壞事，因為進一步加深了加密領域不安全的口碑。我希望總體上我們能在DeFi的監管問題上更清晰。我們團隊對自己進行的事情非常透明，在過去也和監管機構溝通過這些事。所以我們希望某種程度上有助于進行對話。曹寅：監管也分成很多種類，經營前的業務準入監管，經營中的日常匯報性監管，以及出現糾紛之后的保護性和責任性監管，監管的目的也有所不同，不排除有的監管是為了保護金融壟斷利益集團，但也有很多監管是為了保護用戶。在目前，DeFi仍然處于不成熟的早期，接受合理的監管，有利于保護用戶，而且，DeFi的去中心化和非信任化的目的就是為了避免中介機構的作惡，而很多金融監管的目的也是為了阻止中介機構作惡，從這點來看，監管和DeFi并不矛盾。DeFi社區內很多人反對接受任何監管和遵守任何法律，這是將DeFi意識形態化的表現，但是，DeFi是一種Service，用戶的利益才最重要，而不是某些開發者的理想。Codeislaw,lawislawalso.

Glassnode：比特幣MVRV Z-Score急劇上升至5以上 現在處于2017年主要牛市的水平:1月6日消息，Glassnode發推稱，比特幣MVRV Z-Score（標準分數）急劇上升至5以上，它現在處于2017年主要牛市的水平。[2021/1/6 16:33:33]

觀點：交易所BTC數量正急劇減少 BTC流動性危機將到來:12月2日，CoinCorner首席執行官Danny Scott發推表示，加密交易所中存儲的比特幣數量正在以前所未有的速度減少。用戶正在積極構建比特幣長期頭寸。比特幣流動性危機即將到來。[2020/12/3 23:00:56]

日本利用電腦進行虛擬貨幣采礦的副作用在急劇增加:根據日本經濟新聞2日報道，著名安全公司趨勢科技(Trend Micro)近日表示：在日本內出現為進行虛擬貨幣采礦而未經授權使用他人電腦和傳播電腦病的可能性大大增加。[2018/3/2]

Tags：EFIDEFIDEF777PEET DeFiAllWin DeFidefiai幣被盜777幣子機加難塊在哪里呀

火幣交易所