조심하세요. 가짜 DeFi를 플레이하고 있을 수 있습니다.

巴比特

特邀专栏作者

2020-08-08 14:59 (UTC+8)

이 기사는 약 2390자로, 전체를 읽는 데 약 4분이 소요됩니다

YFI와 같은 거버넌스가 많은 프로토콜에는 사용자 자금의 보안과 관련된 양육권 문제가 다소 있습니다.

AI 요약

펼치기

YFI와 같은 거버넌스가 많은 프로토콜에는 사용자 자금의 보안과 관련된 양육권 문제가 다소 있습니다.

편집자 주: 이 기사의 출처는배빗 정보 (ID: bitcoin8btc)편집자 주: 이 기사의 출처는

배빗 정보 (ID: bitcoin8btc)

, 저자: Hasu, 번역자: 무료 및 간편함, 허가를 받아 출시됨.

앞에 작성:

현재 DeFi 분야는 다양한 새로운 프로토콜이 넘쳐나고 있습니다. YFI와 같은 거버넌스 중심의 계약은 사용자 자금의 보안과 관련된 보관 문제가 다소 있기 때문에 참여자들이 YFI(yearn.finance)를 관리 투자 펀드로 간주할 것을 제안했습니다.

원작자: 하수
DeFi는 거버넌스와 예금 안전 간의 균형을 어떻게 유지합니까?
7월 25일부터 8월 6일까지 yearn.finance 개발자 Andre Cronje는 4천만 달러의 고객 자금을 관리했습니다.

8월 6일 저와 이 기사의 초기 초안을 논의하는 동안 Andre Cronje는 관련 거버넌스 권한을 9명의 커뮤니티 이해 관계자에게 양도하고 6/9 다중 서명 메커니즘을 통해 제어했습니다.

대부분의 사용자는 yearn.finance, Compound 또는 Aave와 같은 거버넌스가 많은 모든 프로토콜이 보관 자금에 어느 정도 문제가 있다는 사실을 깨닫지 못합니다.

보조 제목

yearn.finance란?

Yearn.finance는 공식적으로 수익 집계 프로토콜로 설명되지만 누구나 투자할 수 있는 펀드라고 생각하고 투자 관리자(또는 관리자 그룹)가 이 자본을 DeFi로 보냅니다. 필드.
7월 중순 거버넌스 토큰 YFI 출시 이후 yearn.finance의 인기가 급상승했고 토큰이 공정하게 출시되었다는 찬사를 받았지만 많은 사람들이 펀드가 YFI 토큰에 의해 보유되거나 적어도 그들의 이익을 나타내는 다중 서명 지갑에 의해 제어됩니다.
YFI 토큰 보유자는 새로운 제안에 투표할 수 있으며 이러한 투표는 비공식적이며 제안이 승인되면 yearn.finance 개발자 Andre Cronje가 이를 구현합니다. 그에 반해 컴파운드는 먼저 제안을 구현한 다음 공식 투표를 통해 활성화합니다.

7월 21일부터 9명의 YFI 커뮤니티 이해관계자가 6/9 다중 서명을 통해 추가 YFI 토큰 발행을 통제했습니다.

모든 투자 결정을 담당하는 한 명의 컨트롤러가 있으므로 고객 자금을 효과적으로 관리합니다.

보조 제목

제어 장치

자금이 보관되는 방법을 이해하려면 금고와 전략을 이해해야 합니다. 금고는 기본적으로 투자자의 자금을 보관하는 상자이고 전략은 연간 수익률이 가장 높은 자금 시장에 코인을 빌려주는 등 투자 전략을 실행하는 스마트 계약입니다. 누구나 배치할 수 있지만 사람들의 돈을 분배하려면 금고가 특정 전략과 연결되어야 합니다.

재무부와 전략 간의 연결은 컨트롤러라고 하는 중앙 스마트 계약에 의해 실현됩니다. 8월 6일 현재 이 컨트롤러의 거버넌스 주소는 Andre Cronje의 주소입니다.

볼트 전략을 변경하는 단계를 간략하게 설명하겠습니다.

먼저 setStrategy 함수를 호출합니다.

다음 단계에서는 저장소에서 컨트롤러의 적립 기능을 호출하는 적립을 호출합니다.

당신은 할 수 있습니다여기... 따라서 자금을 새로운 전략으로 이전합니다.

여기

컨트롤러를 직접 확인하십시오.

즉, 컨트롤러는 저장소별로 정책을 설정하거나 기존 저장소의 정책을 변경할 수 있습니다.

보조 제목

컨트롤러의 이 기능은 매우 간단하면서도 매우 강력한 공격을 허용합니다. 언제든지 모든 고객 자금을 소진시키는 전략으로 금고를 연결하기로 결정할 수 있습니다. 전술은 사용자에게 경고나 반응 시간 없이 이러한 자금을 상대방이 관리하는 계정으로 이체하는 것처럼 간단할 수 있습니다.

일반 관리자 키 공격 벡터와 마찬가지로 주요 위험은 반드시 Andre Cronje 자신이 악의적이 되는 것이 아니라 제3자가 관리자 키를 도난당하는 것입니다.

8월 6일 스냅샷에서 1억 6,500만 달러가 yearn.finance에 잠겨 있었고, 대부분 YFI 관련 커브 풀에 잠겨 있어 거버넌스 공격에 취약하지 않아 4,000만 달러의 자금이 금고에 잠겨 돈이 노출됩니다. 컨트롤러.

보조 제목

Andre Cronje 자신의 반응

8월 6일에 Andre Cronje와 이 기사의 초기 초안을 논의하여 내 분석이 올바른지 확인했습니다. 논의 중에 그는 컨트롤러의 setGovernance 함수를 호출하기로 결정했습니다.
이렇게 함으로써 그는 금고 자금에 대한 통제권을 커뮤니티가 통제하는 다중서명 지갑에 넘겼고 자신을 위험 요인으로 배제했습니다.
하지만 실제로 저는 Andre Cronje가 자금 통제권을 포기할 생각이 없습니다. 프로토콜이 이러한 방식으로 설정되는 데에는 타당한 이유가 있습니다. 서로 다른 시간대에 있는 9명의 커뮤니티 보유자 중 6명을 기다리는 것은 플랫폼 운영에 많은 오버헤드와 지연을 추가하므로 결과는 다음과 같습니다.

새로운 볼트와 전략의 프로토타이핑은 확실히 더 어려워질 것입니다.