DEF:DeFi上资产越多越怕“翻车” 保险开始成为“香饽饽”？

作者：

时间：1900/1/1 0:00:00

8月24日，“万卉Dovey”在社交媒体上爆料称，新的流动性挖矿项目chick被审计团队发现留有合约后门，团队可以随时将合约中的资金转走。

这正是火爆DeFi盛夏的一个真实缩影，在层出不穷的极高收益流动性挖矿项目面前，“年化1000%”、“万倍涨幅”的吸引力往往掩盖了“未经合约审计”的致命风险。在爆炸式增长的体量尤其是令市场参与者心动的“万倍造富效应”之下，Fomo(Fear of Missing Out)情绪前所未有地蔓延。

自从uniswap等AMM类型DEX应用引爆市场以来，预言机、流动性挖矿、Yield Farming等诸多DeFi概念板块交替接棒，一步步将市场情绪推向高潮。

Aptos生态DeFi协议Thala将于下月分阶段推出Thala V2:7月14日消息，Aptos生态DeFi协议Thala将于下月分三个阶段推出Thala V2，涉及协议的多项变更和升级：

第一阶段包括推出MODPSM模块、CDP激励以及Flashloans。其中，MODPSM模块使用户能够在MOD和列入白名单的稳定币之间进行1:1兑换。CDP激励则通过提供具有异质抵押类型的金库，使Thala与其他CDP协议区别开来。Flashloans将被整合到RWA的一键杠杆设计中。

第二阶段涉及对Thala投票托管模型的更改以及代币经济的重塑。更新后的投票托管代币经济学现在支持单边THL和80THL-20MOD流动性池代币。此外，所有THL的排放都将获得托管THL（esTHL），这是累积的THL奖励的非流动版本。

第三阶段将推出Parliament，这是一个由Aptos支持并为之构建的DAO治理平台。此外，协议的Launchpad产品将在支持流动性引导池（LBP）的同时，支持批量拍卖。最后，Thala计划在7月底发布一个新的用于实物资产（RWA）的金库产品。[2023/7/14 10:54:49]

截至2020年8月30日，整个DeFi世界中的总锁仓量（TVL，即ETH及各类ERC-20代币的总价值）已经达到93.8亿美元，距离百亿美元仅咫尺之遥，这可能也是人类历史上首次实现近百亿美元的资产直接明牌托管于一堆可嵌套的协议代码之上。

Defrost Finance发布被盗资金退还给受损用户的具体流程:12月27日消息，据官方公告，Avalanche 生态原生稳定币项目 Defrost Finance 发布关于退款流程的细节，称所有 V1 被黑的资金都已经归还，Defrost 团队将很快开始将这些资产退还给攻击前的合法所有者。以下是预计在未来几天将采取的几项主要措施：

1. 地址中的所有 ETH 将以链上市场价格转换为稳定币 (最好是 DAI)。

2. 所有稳定币将从以太坊转移到 Avalanche。

3. 该团队将开始扫描链上的数据，找出在黑客入侵之前代币归属信息。详细情况将在扫描工作完成后公布。

4. 然后将部署一个退款智能合约。合法用户将能够将他们的资产以稳定币的形式要求回相同的地址。[2022/12/27 22:10:25]

Visor Finance遭DeFi黑客攻击损失超820万美元:金色财经报道，Uniswap V3流动性管理协议Visor Finance再次遭受黑客攻击，黑客利用可重入漏洞耗尽了880万枚VISR代币，总损失约为820万美元。尽管完整的报告尚未公布，但人们认为黑客利用该漏洞更改了奖励合约的所有者，以便他们可以铸造额外的vVISR奖励代币。Visor团队分享了这次黑客攻击的详细信息，并指出他们发现了一个影响其vVISR质押合约的漏洞。该团队补充说，没有头寸或管理程序面临风险。该事件主要影响VISR质押者和代币持有者，因为自攻击以来VISR已下跌超过95%。为了补偿用户，Visor团队宣布将根据黑客攻击前拍摄的快照安排迁移日期。[2021/12/22 7:54:56]

而不断膨胀的DeFi市场体量中，目前锁定资产排名前三甲的分别为：

Aave锁定资产总价值16亿美元；

Maker锁定资产总价值14亿美元；

分析师：2021年值得关注的十大加密货币包括Uniswap等DeFi项目:加密货币交易员、分析师、YouTube播主Nicholas Merten公布2021年值得关注的十大加密货币名单。DeFi项目占据榜单，包括Uniswap、DeFi Money Market、Hegix等；以太坊成为今年最值得押注的加密货币。Merten预测，到2022年以太坊价格将达到1万-1.25万美元。（Crypto News Flash）[2021/1/3 16:19:26]

Curve锁定资产总价值13亿美元；

市场的分化也在DeFi爆炸式增长中加速，除了Maker之外，Aave、Curve、Yearn几乎都是后来居上的新秀，各种新设计与玩法规则的项目让人眼花缭乱，甚至冰火两重天。

DEX类也开始逐步碾压二线甚至挑战一线交易平台，就在8月30日，Uniswap 也再次达到一个新的里程碑——24小时交易量有史以来首次高于Coinbase，Uniswap 24小时交易量超过4.26亿美元，同期Coinbase Pro 24小时交易量则为3.48亿美元。

YFI创始人：中心化交易所除了法币通道，对于DeFi没有其他额外价值:yearn.finance创始人Andre Cronje发表推特表示拒绝了中心化交易所的上币邀请，他在推特写道：“（我们）告诉那些想要上线（我们DeFi代币的）中心化交易所，我们对此没有兴趣。除了作为法币弯道，中心化交易所还有什么额外价值是DeFi没有覆盖到的？”[2020/8/10]

但繁荣之下亦隐忧渐显，急匆匆滚滚向前的车轮之下，亦埋藏了不少漏洞地雷，尤其是对多层嵌套的DeFi协议而言——各种 DeFi 金融工具结合成为常态，以自动化算法为驱动，价值虽然在整个区块链网络中能以更加迅速的方式流动，但也同时意味着任何一个单点风险都有可能引发“蝴蝶效应”。

尤其是在体量已经达到百亿级别的同时，庞大的体量下任何一处细微的漏洞，都会造成不可估量的后果，甚至成为技术人才（黑客）的万能提款机。

远的就有今年上半年在15秒内通过“DeFi乐高”获取数十万美元的“bZx事件”。“攻击者”利用bZx的“合约漏洞”，在一个以太坊区块时间内（不足15秒）充分利用“DeFi乐高”——5个DeFi产品之间（dydx、Compound、bZx、Uniswap、kyber）互相的合约调用，在未曾动用自有资金的前提下，一环紧套一环，最终通过在漏洞间操纵价格，成功“套利”数十万美元。

近的则有8月13日的“YAM漏洞事件”，短短24小时内价格和社区气氛经历了一场罕见的“过山车”，最终造成治理合约中75万枚 yCRV 被永久锁定。

与此同时，在所有的合约风险类型中，疏忽的合约漏洞如果算是无法避免的“概率性天灾”，那恶意设计的局则是彻底无法避免的“人祸”，尤其是在没有自带合约审计的前提下，一旦用户不加考察地将资产转入，就无异于给“黑客“送钱。

有人揭露了最近的一个典型流动性挖矿圈套，该项目在用户第一次授权时是给了staking contract，但它还进一步在第二次授权时要求用户授权给他们转账权（transferFrom 函数授权）。

“要是没看合约的，估计大部分韭菜就无脑授权了。这种情况下你把钱从合约里面拿走都没用，需要手动取消授权，真的是杀猪盘中的杀猪盘，估计很多韭菜还死的不明不白”，包括文章开头提到的流动性挖矿项目chick，后续就被发现团队向合约中打的第一笔资金是通过Tornado cash匿名币进行转账，也极大可能是从一开始做的一个局。

而在目前的火热“挖矿”氛围下，这种类似的局只多不少，因而看似狂飙猛进的DeFi，更像是将百亿美元金山放在露天不设防环境下的“火中取栗”游戏。

作为托管着近百亿美元资产的一堆互相嵌套的协议代码，DeFi已经有足够底气去逐步承担起变革的可能，在绝大多数的“区块链”眼中，它也在一步步成为拥有无限可能的“希望之地”。

但它需要走的更加稳健，“希望之地”变成“万恶之源”的，仅一线之隔。

在DeFi世界中，智能合约本身就意味着一切，而合约代码中的任何一项漏洞都有可能直接造成致命的后果。不同于传统世界中较为清晰的理赔逻辑与权责划定，智能合约本身的保险尝试则才刚刚起步。

以去中心化保险Nexus Mutual（NXM）为例，作为建立在以太坊网络上的互助保险项目，NXM是目前区块链生态中最先也是几乎唯一一个相对较为成熟“智能合约保险”产品，目前总锁仓价值在所有DeFi项目中排名14（7800万美元），也是唯一上榜的去中心化保险项目。

作为以智能合约为保险标的的保险产品，NXM保险责任明确为“代码的非预期使用（unintended uses of code）”。在具体的使用流程中，用户通过需要先通过KYC成为会员后方可以支付对应的DAI、Ether 或NXM购买该保险产品（如果用 DAI、Ether 支付，系统后台会自动将它们兑换成 NXM 代币支付）。