DEF:代碼漏洞、黑客、市場波動、套利者：DeFi風險管理的范式_AIRT價格

Author：

Time：1900/1/1 0:00:00

作者：NEST愛好者_九章天問DeFi是指用智能合約實現的去中心化金融協議，包括資產交易、借貸、保險、各種衍生品等等；除信用服務外，現實中的金融服務都可以通過DeFi協議實現。這些協議都是去中心化、自動運轉的，沒有第三方機構在管理和維護，所以合約的風險控制便成為行業難題。DeFi兼具了金融和科技雙重屬性，主要包含以下風險：1.代碼風險。包括以太坊底層代碼風險，智能合約代碼風險，錢包代碼風險等。比如當年著名的DAO事件，近期的Uniswap漏洞攻擊問題，各類錢包被盜事件，都是代碼風險造成的。2.業務風險。主要是業務設計過程中留有漏洞，被人合理攻擊或操縱。比如當年FOMO3D被堵塞攻擊，又比如dZx錯誤使用了不抗攻擊的Uniswap預言機，被合理打壓價格盜取資產，這類人稱之為套利者。套利者對一個DeFi項目既有不利的一面，也有有利的一面。3.市場波動風險。DeFi在設計時缺少一些應對變量，導致市場極端情況發生出現穿倉。比如MakerDao在312的表現，主要就是市場極端波動風險造成的。4.預言機風險。預言機提供全局變量，是大部分DeFi的基礎，如果預言機遭遇攻擊或者出現停擺，則下游DeFi會陷入崩潰。我們認為預言機將成為未來DeFi最重要的基礎設施，帶有任何中心化風險的預言機，最終都會走向消亡。5.“技術代理”風險。主要是指對智能合約和區塊鏈不熟悉的普通用戶，使用了中心化團隊開發的“便利”交互工具，這一工具本身可能存在風險。

Ava Labs CEO呼吁加密監管機構能夠閱讀和審計代碼:金色財經報道，Ava Labs 首席執行官 Emin Gün Sirer 在康奈爾區塊鏈會議表示，區塊鏈和加密貨幣領域在其監管機構能夠閱讀和審計代碼的那一天之前不能認為自己成熟。為了讓下一個十億用戶使用加密貨幣，需要改進幾個方面，例如可擴展性、易用性和適應性。然而，當被問及稱為零知識證明 (ZKP) 的秘密共享技術能否達到該規模時，他持懷疑態度。[2023/4/22 14:19:31]

尼日利亞：可使用USSD代碼進行E-Naira交易以提高數字貨幣的可接受性:8月22日消息，CBN總裁Godwin Emefiele在eNaira Hackathon上，從本周起，尼日利亞公民將開始使用USSD代碼進行E-Naira交易，以提高數字貨幣的可接受性，并表示，數字貨幣將很快成為我們生活的一部分，800萬用戶將成為新的目標。

此外，Emefiele還表示，再不久，擁有銀行賬戶的商家和消費者都可以使用NIBSS即時支付NIP將eNaira轉賬到他們的任何銀行賬戶，這將進一步加深eNaira與現有國家支付基礎設施的整合。

據悉，去年推出的eNaira已經記錄了840,000次下載量，交易價值達到40億奈拉。此外，270,000次活躍錢包下載數，其中包括超過252,000個消費者錢包和17,000個商家錢包。（Tribuneonlineng）[2022/8/22 12:40:06]

任何DeFi項目在設計時，都應將以上風險考慮進去。完整的流程不僅僅是文檔內做好提示，還需要一些風險管理手段。這些手段大部分以去中心化的方式進行，少量以社區治理的方式完成。這里我們提出一個DeFi風險管理框架，主要分為事前、事中和事后：事前：主要是對合約代碼進行形式化驗證，包含弄清楚合約使用的方法、資源甚至是指令的邊界，以及這些方法、指令、資源在組合過程中的相關性影響，沒有經過論證的方法或沒有找到邊界的組合堅決使用。這不是傳統軟件開發測試的思維，這是一個接近數學論證的理念。好的合約開發應該建立在已經論證過的方法組合上。事中：事中主要是停機設計和異常觸發設計，即合約對攻擊行為能進行識別與干預，包含自動停機設計和治理停機設計。而異常觸發是對合約運行過程中，超預期現象的一種控制管理；異常觸發一般是自動的，通過異常觸發修正一些風險管理變量。可以參見NEST預言機系統中的beta系數和防堵塞攻擊設置，這是行業內率先考慮停機及異常觸發的一個實踐。事后：事后風險管理包含幾個部分，首先是代碼出現漏洞，需要進行修正，一般通過鏈上治理，即DAO治理的方式。其次是治理資產本身遭遇攻擊，此時需要進行合約分叉！這是一個行業忽視的盲點。其次是通過保險機制，對合約可能的風險進行保險，從而降低損失。最后，社區可以通過鏈上數據的追蹤，與各類機構合作追蹤損失。關于鏈上治理和合約分叉，可以參見NEST的設計，這是一個創新。

研究表明：90％的遠程代碼執行攻擊來自加密貨幣惡意挖掘軟件:網絡安全公司Imperva的研究人員表示，他們在2017年12月發現了90％的遠程代碼執行攻擊的來源——加密貨幣惡意挖掘軟件。在2018年2月20日的博客中，Imperva評估了最近加密惡意軟件攻擊的高峰，專門研究了攻擊者騙走的金額，同時向試圖擺脫它們的組織提供風險管理建議。其發現包括：挖掘加密貨幣的惡意軟件會將計算機算力轉移，造成服務器不可用；惡意軟件具有持久性，難以刪除；目前沒有證據顯示有任何攻擊是通過惡意挖掘比特幣實現；像Monero這樣的其他加密貨幣實際上更危險，因為可以使用常規CPU進行挖掘；同時該機構在其檢測到的下載配置文件發現有活躍的Monero錢包屬于攻擊者，共發現價值約一萬美元的41枚monero，攻擊者平均每天得到1.5個monero，相當于每天賺取375美元。[2018/2/28]