代碼漏洞、黑客、市場波動、套利者：DeFi風險管理的范式_EFI:DEF

Author：

Time：1900/1/1 0:00:00

作者：NEST愛好者_九章天問

DeFi是指用智能合約實現的去中心化金融協議，包括資產交易、借貸、保險、各種衍生品等等；除信用服務外，現實中的金融服務都可以通過DeFi協議實現。這些協議都是去中心化、自動運轉的，沒有第三方機構在管理和維護，所以合約的風險控制便成為行業難題。

DeFi兼具了金融和科技雙重屬性，主要包含以下風險：

Base：將在Optimism最新版代碼庫上啟動主網，目前相關標準路線已完成60%:金色財經報道，Coinbase L2 網絡 Base 在社交媒體發文對 Optimism 成功升級 Bedrock 版本表示祝賀，這一里程碑標志著 OP Stack 的首次正式發布，而 OP Stack 是為 Optimism 和 Base 提供支持的開源代碼庫。Base 還表示，本次 Optimism 成功升級 Bedrock 將推動 Base 主網上線更進一步，使 Base 能在 Optimism 最新版本的代碼庫上啟動主網，目前與主網啟動相關的標準路線已完成 60%。[2023/6/9 21:25:54]

1.代碼風險。包括以太坊底層代碼風險，智能合約代碼風險，錢包代碼風險等。比如當年著名的DAO事件，近期的Uniswap漏洞攻擊問題，各類錢包被盜事件，都是代碼風險造成的。

動態 | Facebook子公司Calibra可能擁有注冊域名源代碼包含即將公布加密貨幣的線索:Facebook子公司Calibra可能擁有注冊域名。calibra.com頁面包含了其Logo，表明該域名很可能屬于Facebook子公司。盡管該網站包含404錯誤信息，但源代碼揭示了即將公布的加密貨幣的線索。它包含全球許多法定貨幣的文本，包括美元、歐元、委內瑞拉玻利瓦爾、津巴布韋元和海地古德等。雖然還不清楚包含這些法幣對Facebook加密貨幣意味著什么，但該代碼也支持了關于該貨幣可用于消息應用程序（包括Facebook的WhatsApp）的報道。Instagram和“messengerdotcom”也出現在源代碼中。彭博去年報道稱，Facebook即將推出的穩定幣可能被用作其即時通訊服務中的一種支付方式。源代碼還包含對看似隨機的企業的引用。目前還不清楚為何肯德基泰國、挪威郵輪公司和墨西哥百思買等公司實體會被納入該代碼。他們不是創始節點持有人，也沒有報道稱他們參與了Facebook的區塊鏈項目。 Odaily星球日報注：據報道，知情人士透露，Facebook子公司Calibra是Libra協會創始成員之一。Calibra成立目的是監督Facebook的加密工作。[2019/6/15]

2.業務風險。主要是業務設計過程中留有漏洞，被人合理攻擊或操縱。比如當年FOMO3D被堵塞攻擊，又比如dZx錯誤使用了不抗攻擊的Uniswap預言機，被合理打壓價格盜取資產，這類人稱之為套利者。套利者對一個DeFi項目既有不利的一面，也有有利的一面。

動態 | BTC過去半年代碼提交排名32位:據cryptomiso數據顯示，過去半年內Github代碼提交次數排名前五為：INS（提交6950次，21個貢獻者）、ZRX（3829，45）、RHOC（2454，50）、ZIL（2192，34）、ZSE（2045，7）。另外BTC排名32位，過去半年提交了655次代碼；ETH排名42位，過去半年提交了483次代碼。[2019/1/13]

3.市場波動風險。DeFi在設計時缺少一些應對變量，導致市場極端情況發生出現穿倉。比如MakerDao在312的表現，主要就是市場極端波動風險造成的。

動態 | GitHub三個月代碼提交排名：INS升至首位:CryptoMiso數據顯示，在最新的過去三個月GitHub代碼更新排名中，截至12月22日，INS由第二位升至第一位，ZRX回落至第二位。前五排名具體如下：INS（提交代碼3098次）、INS（1137）、RHOC（1079）、XMX（1014）、ZSC（940）。另外BTC排名下滑至41位（233）；ETH排名43位（223）；EOS排名21位（354）。[2018/12/22]

4.預言機風險。預言機提供全局變量，是大部分DeFi的基礎，如果預言機遭遇攻擊或者出現停擺，則下游DeFi會陷入崩潰。我們認為預言機將成為未來DeFi最重要的基礎設施，帶有任何中心化風險的預言機，最終都會走向消亡。

5.“技術代理”風險。主要是指對智能合約和區塊鏈不熟悉的普通用戶，使用了中心化團隊開發的“便利”交互工具，這一工具本身可能存在風險。

任何DeFi項目在設計時，都應將以上風險考慮進去。完整的流程不僅僅是文檔內做好提示，還需要一些風險管理手段。這些手段大部分以去中心化的方式進行，少量以社區治理的方式完成。這里我們提出一個DeFi風險管理框架，主要分為事前、事中和事后：

事前：主要是對合約代碼進行形式化驗證，包含弄清楚合約使用的方法、資源甚至是指令的邊界，以及這些方法、指令、資源在組合過程中的相關性影響，沒有經過論證的方法或沒有找到邊界的組合堅決使用。這不是傳統軟件開發測試的思維，這是一個接近數學論證的理念。好的合約開發應該建立在已經論證過的方法組合上。

事中：事中主要是停機設計和異常觸發設計，即合約對攻擊行為能進行識別與干預，包含自動停機設計和治理停機設計。而異常觸發是對合約運行過程中，超預期現象的一種控制管理；異常觸發一般是自動的，通過異常觸發修正一些風險管理變量。可以參見NEST預言機系統中的beta系數和防堵塞攻擊設置，這是行業內率先考慮停機及異常觸發的一個實踐。

事后：事后風險管理包含幾個部分，首先是代碼出現漏洞，需要進行修正，一般通過鏈上治理，即DAO治理的方式。其次是治理資產本身遭遇攻擊，此時需要進行合約分叉！這是一個行業忽視的盲點。其次是通過保險機制，對合約可能的風險進行保險，從而降低損失。最后，社區可以通過鏈上數據的追蹤，與各類機構合作追蹤損失。關于鏈上治理和合約分叉，可以參見NEST的設計，這是一個創新。