DEF:观点 | DeFi 用户应该向开发者提出的质询

过去几个月来，DeFi生态经历了巨大的动荡，数次攻击之下，许多未被利用过的缺陷也被报道出来。

虽然代码中无可避免会有bug，但还是有很多方法能降低缺陷发生的频率，以及降低缺陷带来的负面影响。

作为一个审计员，我们想要帮助DeFi用户问一些比较尖锐的问题；问这些问题的目的，一方面是让开发人员认真去考虑系统安全性的优先级，另一方面，让用户能分辨出回答得好的协议，然后把钱投入这些协议。

以下问题能帮助用户了解DeFi开发团队对于安全性的立场，答案不一定有对错之分，而且也不是每个团队都有资源全盘顾及所有方面。但不论如何，用户有权利知道这些信息，来决定自己愿意承受的风险。

我们希望通过以下提问，促使后续开展更多正面的讨论。

1.管理员权限

大部分的主流DeFi协议都存在一些中心化的机制——允许特定的“管理员”地址以强硬的手段干预协议的运行。

观点：稳定币必须可编程:金色财经报道，在提供稳定价值方面，稳定币和中央银行数字货币(CBDC)似乎服务于同一枚硬币的两面。然而，加密稳定资产可以提供完全不同的用例，而CBDC根本无法与之竞争。关键是可编程性，智能合约可以自动化并为货币添加新功能。可编程性允许资产支持和去中心化，这在当前的CBDC设计中是不可能的。开发人员应该利用稳定资产提供的可编程机会，而不是试图与CBDC竞争。

稳定资产发行人明确表示，他们可以改善当前的货币体系，主要通过三种方式。首先，稳定资产有助于降低传统金融活动的成本，例如通过去中心化金融(DeFi)和汇款进行去中心化借贷。其次，在经历恶性通货膨胀的国家中，人们使用稳定资产作为保护收入和稳定支付的手段，例如通过委内瑞拉的储备协议。第三，稳定币可用于更注重隐私的支付，例如MobileCoin(MOB)。稳定资产的这三个目的属于当今金融体系的框架。因此，值得注意的是，理论上CBDC也可以解决稳定币解决的问题。[2023/4/25 14:24:34]

这样做虽然在安全上有好处，但这意味着你必须相信这些“管理员”不会滥用他们的特权；而且但凡这些管理员遭到黑客攻击，他们的私钥泄露所带来的后果会更加严重。

观点：BitMEX暴雷长期来看有利于行业发展 会加快比特币ETF获批:10月2日消息，美国商品期货交易委员会（CFTC)对BitMEX的制裁给加密货币行业带来巨大冲击，但许多分析师相信，从长期来看，这对该行业具有良好的影响。Bitwise Investments全球研究主管Matt Hougan表示，CFTC对BitMEX的打击是几个月来加密货币领域发生的最好的消息，因为它将有助于驯服加密货币的蛮荒时代。经济学者Alex Kruger也声称，政府机构打击BitMEX可能会增加比特币交易所交易基金（ETF）获得批准的可能性。Abra首席执行官Bill Barhydt则认为，此举将不会对比特币产生影响，但应该对DeFi来说是一个警钟。（U.Today ）[2020/10/2]

管理员账户可以是以下几种形式：单一地址、多重签名钱包，或是由DAO管理的投票过程。那么，

观点：围绕区块链等核心技术深化改革 尽快落实央行数字货币:6月16日消息，中国人民大学国发院金融科技研究中心、未来法治研究院研究员杨东刊文《以民法典为契机构建数字经济竞争规则》。文章中表示，以区块链、大数据、人工智能等为代表的科技正在深刻变革着传统经济业态，塑造着数字经济。对于新技术特别是区块链技术，要从经济治理层面充分理解其对生产关系的变革作用，其最大的意义在于调整各生产要素间的利益分配关系。

而基于区块链的共票能够改变过去由股东垄断利润的局面，让更多的消费者、普通的劳动者等提供数据、参与数据价值创造的有关主体能够获得合理的利益分配。因此，应当充分注意到区块链带来的制度革新前景。应围绕区块链等自主创新核心技术不断深化改革，真正释放区块链的巨大潜能，赢得数字时代的领先契机。

文章中还建议，要尽快落实央行数字货币DCEP，推动人民币跨境支付。以区块链技术为代表的金融科技的交易系统采取了更多的技术协议代替人工监督和执行，如以智能合约为代表的区块链“协议”能够便捷地实现清算、资金交割的程序而无须人工干预。此外，文章中还提到，应该认识到区块链和金融的融合创新发展是大势所趋，应尽快改变当前互联网平台的数据和发展红利被美国等国所垄断所独享的局面，进行全面突围。（经济参考报）[2020/6/16]

管理员能采取哪些措施？

观点：闪电网络重建可以增强比特币的隐私性:闪电被称为比特币的第二层，因为大多数交易都是在区块链平台之外进行的，所以闪电被设计用来实现更快、更便宜、更可扩展的比特币支付。如今，闪电网络已经具备了一定的功能，但事实证明，用新技术取代HTLCs来加强比特币隐私保护是有意义的。

Hashed Timelock contract (HTLCs)是闪电网络的一个组成部分，它可以在不信任任何人的情况下发送支付。现在，开发人员正在探索用Point Timelock契约(也称为“付款点”或PTLCs)取代它们。（Coindesk）[2020/6/3]

暂停整个系统？

修改账户余额？

设置代币/用户的白名单/黑名单？

升级某个子系统？

升级整个系统？

其他权限？

如果采取上述行为，是否有延迟执行机制？

如果有延迟时间，那是多长？

多少人有管理员权限？

采取上述行为前，需要经过多少管理员同意？

有哪些权限是由链上治理程序来掌控的吗？

我该去哪里了解提议更新协议的提案？

以上某些问题的回答已经可以通过?

DefiWatch?跟踪了解。

2.外部依赖

因为是公开的网络，以太坊上充斥着不怀好意的攻击者，因此开发者不能假设本系统外的合约一定会采取什么样的行为。但在许多DeFi应用中又不得不作出这样的假设，因为服务本身就是在已有的一些合约上建构出来的。

这些问题能帮助用户了解该项目在外部依赖上存在的风险。

你的系统依赖什么预言机？

你的系统依赖什么交易所？

你用什么第三方智能合约来建立系统？

你的系统支持哪些代币，你对这些代币的行为模式有怎样的预期？

3.可靠的的披露系统和奖励计划

对于才华横溢的黑客来说，攻击DeFi协议对他们有着强大的金钱诱惑。制定奖励计划能激励大家发现并揭露漏洞，而非钻漏洞。对于白帽黑客来说，通过激励系统揭露代码漏洞也是提高自身声誉的好方法——既有好处又不违法。

任何公司要运行DeFi协议，或是涉及在线托管金钱的业务，都应该设有奖励系统。你可以就他们的奖励计划及披露流程提出以下问题：

你们的合约代码能够被所有人看到吗？

从你们的网站和git代码库，能够很容易找到安全的联系方式吗？

你们的合约有没有设置奖励计划？

哪些合约在奖励计划内？

奖励计划具体金额是？

你们是否支付过奖励计划的奖金？

对于bug报告，你们是否曾拒绝支付过？

从你们的网站和git代码库，能够很容易地找到奖励计划的详细信息吗？

理想情况下，这些信息应该放在“website.com/security”页面下，而且能搭配Github的SECURITY.md功能使用。

4.应急预案

当面对某些安全突发状况的时候，新消息如潮水般涌来，用户持续在Twitter、Telegram、Discord上提出棘手的问题......，这时候开发者很难头脑清楚地应对突发状况。

所以如果有应急预案的话，就能证明项目正朝着安全方向发展。要求项目公开他们完整的计划可能不太现实，但我们还是能提出以下基础的问题去侧面了解：

你们是否有处理突发安全事件的计划提纲？

你们的应急预案适用于哪些紧急情况？

如果你们的系统是可升级的，这些升级步骤是否记录在案？

如果你们发现某个系统漏洞可能让资金面临风险，你们是否能通过应急预案先发制人，保护资金安全？

5.审计与安全发展

审计并非万灵丹，而且审计的内容总多多少少有点区别，但对于部署任何的DeFi合约之前，进行审计是至关重要的一步。

下面的问题不一定有“正确答案”，但学识渊博的社区群众们，应该能从项目的回答中看出开发团队对于安全性的立场。

你们最近一次审计是什么时候？

这次审计投入了多少精力？

哪个机构做的审计？

审计报告公开吗？

你们系统中有任何部分是没有被涵盖在审计的范围内吗？

最近一次审计之后，你们有对合约进行更新吗？如果有，更新了什么？

你们有和哪个安全团队进行长期合作吗？

在合并代码之前，开发者会彼此做codereview吗？

你们的合约代码中，做过单元测试的比重是多少？

审计过程中，你们用过其他的安全分析工具吗？

原文链接:?https://diligence.consensys.net/blog/2020/03/questions-defi-users-should-be-asking-defi-developers/作者:?JohnMardlin翻译&校对:?IANLIU&阿剑

标签：DEFEFIDEFI区块链defi币今日行情DEFI价格Defi.finance区块链专业怎么样

pepe最新价格热门资讯