写在前面：
DeFi领域目前充斥着各式各样的新协议，例如最近爆火的YFI就是其中之一，但本质上，它并不是真正的DeFi协议，据加密货币研究员Hasu分析表明，类似YFI这样重治理的协议，或多或少都存在托管问题，而这就会涉及到用户资金的安全问题，因此他建议参与者将YFI视为一个托管型投资基金。
原文作者：Hasu
DeFi如何在治理与存款安全之间取得平衡？
长话短说：
在7月25日-8月6日这段时间，yearn.finance开发者AndreCronje控制了4000万美元的客户资金；
欧洲央行：需警惕稳定币与传统金融市场之间的联系:11月17日消息，欧洲央行在最新发布的金融稳定评估报告中表示，加密货币投资者越来越多地使用杠杆，这可能会导致巨大的、集中的损失。欧洲央行还警告称，稳定币与传统金融市场之间的联系日益紧密。欧洲央行承认，加密货币的受欢迎程度和相关性均有提高，但加密市场受到“投机性波动”的影响。（Coindesk）[2021/11/17 21:58:31]
8月6日，在与我讨论这篇文章的早期草稿时，AndreCronje将相关的治理权移交给了9名社区利益相关者，并通过6-of-9多重签名机制进行控制；
大多数用户并没有意识到，所有重治理的协议，比如yearn.finance、Compound或者Aave，或多或少都存在托管资金的问题；
什么是yearn.finance？
根据yearn.finance的官方描述，它是作为一个收益聚合协议，但我喜欢把它想象成一个任何人都可以参与投资的基金，然后一名投资经理将这些资本引导到DeFi领域中最高收益的机会中。
自7月中旬推出治理代币YFI以来，yearn.finance的人气激增，虽然其代币因公平推出而受到称赞，但市场普遍存在一种误解，即很多人会认为资金是由YFI代币持有者，或者至少是由代表他们利益的多重签名钱包所控制的。
火币辟谣：警惕假冒火币生态链网站:近日，有用户举报发现假冒的火币生态链Heco官方网站“HT SWAP”存在误导用户问题。经核实，该网站使用“Heco”、“HT”等相关标志，严重侵犯了火币品牌声誉与用户利益。
火币生态链团队声明：“HT SWAP”和火币生态链没有任何关系，请用户谨慎辨别。
生态链Heco官方团队同时对用户发出提醒：有关火币生态链Heco官方的一切合作、投资、扶持等信息，均会通过官网公告等渠道进行发布。请广大投资者保持警惕，勿听勿信有关虚假宣传。同时，火币将保留追究相关虚假宣传的权力。[2020/12/30 16:03:56]
但实际上，治理是这样运作的：
YFI代币持有人可以就新提案进行投票，这些投票是非正式的，当一项提案获得批准时，yearn.finance的开发者AndreCronje就会去实施它。与此相对的Compound，是先实施提案，然后通过正式投票激活。
自7月21日开始，9名YFI社区利益相关者，通过6-of-9多重签名的方式控制了额外YFI代币的铸造；
有一名控制者负责所有的投资决策，因此他实际上相当于控制了客户资金；
优盾钱包产品研发：警惕市面上出现的钱包EOS假充事件:据太壹科技优盾钱包产品研发透露，近期市面上出现不少起钱包EOS假充事件，该事件在之前也发生过，下面是相关负责人介绍该事件的经过：相关技术人员在进行日常日志检查时，发现近期出现EOS充值成功后某某钱包没有增加资产，在进行排查后发现这是一起假充事件。一些不良人士发行名为EOS的代币，然后通过合约进行EOS充值，如果钱包没有验证拦截，那么将会对用户造成极大的资产损失。
据悉，优盾钱包是一款企业级区块链钱包管理系统，以安全完善的技术重新定义数字资产钱包，解决交易所用户出入金，归集等问题。为比特币、以太坊等100多种币种提供API快速接入；子私钥动态计算不触网，硬件加持，纯冷操作，海量地址统一管理，余额一键自动归集。[2020/6/24]
控制器
为了了解资金的保管方式，我们就需要了解金库和策略。金库基本上是存放投资者资金的盒子，而策略则是执行投资策略的智能合约，例如将币借给年化收益最高的货币市场。任何人都可以部署它们，但要分配人们的钱，金库必须与特定的策略相连接。
而金库与策略之间的这种连接，是由一个称为控制器的中央智能合约来实现的。截至8月6日，这个控制器的治理地址就是AndreCronje的地址：
动态 | 新华社：一些人借区块链之名炒作行值得警惕:新华社文章指出，区块链技术的火热，也让一些假借区块链之名、行之实的恶行死灰复燃。当前，不少上市公司有意搭上区块链这班快车。据统计，3000多家A股上市公司中，超过500家自称同区块链有关联，但真正披露具体区块链业务内容且属实的只有不到40家。“蹭热点”现象十分突出。[2019/11/18]
我们将简要介绍更改一个金库策略的步骤。
首先，调用setStrategy函数：
FBI：警惕分子冒充加密货币交易所支持人员:美国联邦调查局(FBI)周三表示，消费者应警惕冒充加密货币交易所支持人员的潜在子。该机构的网络犯罪投诉中心(IC3)在3月28日的通知发出了警告，表示现在有人以技术支持的名义进行，并已经构成了“一个具有广泛危害的行为”。该中心在声明中说，消费者已经提交了大约1.1万份投诉，而在2017年由技术支持导致的损失达到1100万美元以上。[2018/3/30]
只有在msg.sender设置为控制器管理者，这个函数才会执行。
更改策略首先从现有策略中提取所有资金，然后将其送回到金库：
在下一步中，你会在金库中调用earn，这会调用控制器的earn函数：
…从而将资金转入新策略。
你可以在这里亲自检查控制器。
简而言之，控制器可以设置每个金库的策略，也可以更改现有金库的策略。
存在资金被盗的风险
控制器的这种功能，允许进行非常简单，但十分强大的攻击。在任何时候，它都可以决定将金库与耗尽所有客户资金的策略连接起来。策略可以简单到将这些资金转移到对手控制的账户上，而对于用户来说，不会有警告或反应的时间。
与常规的管理密钥攻击向量一样，主要的风险不一定是AndreCronje本人变成恶意者，而是这个管理密钥被第三方所窃取。
在8月6日的快照中，有1.65亿美元的资金锁定在yearn.finance中，其中大部分都锁在YFI相关的曲线池中，因此它们不易受到治理攻击，而剩余有4000万美元的资金锁定在金库中，这些钱就暴露在控制者面前。
AndreCronje本人的反应
8月6日，我与AndreCronje讨论了本文的早期草稿，以确认我的分析是正确的。在讨论过程中，他决定调用控制器的setGovernance函数。
通过这个操作，他将金库资金的控制权交给了社区控制的多重签名钱包，并将他自己作为一个风险因素排除在外。
但实际上，我并不是打算让AndreCronje放弃对资金的控制权。协议以这种方式建立，是有充分理由的，在不同的时区等待9位社区持有者中的6位，会给平台的运行增加大量的开销和延迟，因此，这会导致：
对漏洞做出反应会变得更困难，而漏洞在复杂的初期协议中是很常见的；
对于新金库和策略的原型制作，显然会变得更加困难；
在DeFi快速变化的市场环境中，这将极大地损害收益率；
相反，我只是想让投资者更清楚地了解，使用诸如yearn.finance这样的协议，会面临着怎样的信任假设。
所有重治理的协议，或多或少都存在托管问题
在现在大肆宣传的DeFi运动中，大家很容易会忽视我在这里描述的问题：理论上可通过治理来耗尽用户的资金，而这样的问题也存在于很多其它DeFi协议中。
例如，在Compound中，持有绝大部分治理代币的人，就可以投票任意的新逻辑，虽然这个逻辑需要48小时才能启动，但8亿美元的资金，不太可能及时全部收回。依赖于主动管理的协议，很难在必要的治理权限和客户资金的安全性之间取得平衡。
像yearn.finance这样依赖于快速适应市场环境做法的协议，很可能永远会站在需要更多控制权的一边，而这会牺牲存款安全为代价。因此，用户应停止将其视为非托管系统，而应该将其视为主动管理的基金，其中控制者就是基金经理。在此之前，这个基金的管理者是AndreCronje，而在今天，这个基金的管理者是9名社区参与者，他们使用了6-of-9多重签名机制。
而系统中存在的治理越多，那系统就越可能会被捕获。未来安全的DeFi系统，应该在设计时使用最小的治理杠杆，以便最大限度地提高安全性，并减少寻租。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。