За кулисами театра децентрализации

Децентрализованные финансы позволили появиться автономным протоколам, функциональность которых обеспечивается смарт-контрактами, которые иногда являются неизменяемыми. Это позволяет людям со всего мира пользоваться финансовыми услугами, которые являются защищенными, доступными и более эффективными и устойчивыми, чем те, которые доступны в традиционных финансах. Это прекрасная история, которую рассказывают новичкам, чтобы убаюкать их, но реальность куда более жестока.

Действительно, несколько протоколов соответствуют этой реальности, но большинство из них далеки от должного уровня. Когда быки выходят из игры, интерес к устойчивости протоколов, как правило, невелик: единственное, что имеет значение — это повышение цен. Медведи вернулись, и, к счастью, это означает возобновление интереса к этим темам.

Недавний крах экосистемы Terra и связанного с ней стейблкоина $UST, как мы надеемся, послужит для некоторых тревожным сигналом. К сожалению, это была катастрофа, которую вполне можно было избежать. Модель, используемая для этого стейбла, и ее недостатки уже были известны, и многие предыдущие примеры были описаны в блоге: $BAC, $MIC, $ESD, $DSD и т.д.. У всех них был один и тот же конец: бесконечная спираль, которая приближала их стоимость к нулю.

После этого события многие инвесторы осознали, что не все стейблкоины одинаковы, и начали изучать принцип их работы, а также надежность различных протоколов DeFi. Поэтому я пользуюсь этим исключительным моментом, чтобы обсудить эту важную тему для устойчивого развития DeFi; это было моей страстью в течение долгого времени.

Действительно, в прошлом году я уже предлагал вам исчерпывающий анализ рисков, связанных с услугами заимствования в DeFi, и способов их оценки. Эта статья по-прежнему актуальна и настоятельно рекомендуется к прочтению любому инвестору.

Хватит вступительных слов. Давайте перейдем к сути и определим термин “неостановимый” (unstoppable) и то, что он подразумевает в конкретных терминах на уровне протокола.

Что такое неостановимый DeFi-протокол?

Мы можем назвать DeFi-протокол неостановимым, когда его основные функции обеспечиваются смарт-контрактами, которые не поддаются изменению, и для его существования не требуется внешнего вмешательства.

К этому относительно прямолинейному определению я должен добавить много примечаний и разъяснений, чтобы охватить разнообразие DeFi-протоколов и вариантов их использования.

Зависимость от сторонних протоколов

В DeFi редко бывает так, что протокол делает все сам по себе. Чаще всего данный протокол зависит от различных сторонних протоколов. Конечно, наиболее распространенным и хорошо известным случаем являются оракулы — источник цен на активы — критически важный компонент, в частности, для рынка кредитования.

Зависимость от оракулов Chainlink

Самым популярным оракулом является ChainLink. Несмотря на техническую надежность, индустрия недавно получила напоминание, благодаря Крису Блеку и нескольким другим участникам, обеспокоенным устойчивостью сервиса: оракулы ChainLink подвержены манипуляциям и цензуре. Наиболее рискованным вектором атаки, по-видимому, является атака 3/20, которая позволяет немедленно изменять источник цены для данного актива.

Если три человека из 20 подписывающих транзакцию синхронизируются между собой, то они могут поменять оракул $ETH/$USD на собственный, приравняв стоимость $ETH к одному доллару. В таком случае все позиции на кредитных протоколах ликвидируются. Однако представляется довольно маловероятным, что люди из команды ChainLink или близкие к ней осуществили бы такую атаку.

Наиболее значительным риском, по-видимому, является атака со стороны внешнего субъекта, который хотел бы нанести вред всему DeFi. Действительно, с мультиподписью было бы достаточно идентифицировать трех или более членов этой мультиподписи, похитить их и пригрозить им изменить источник цены ChainLink. Это знаменитая “атака гаечным ключом”. Независимо от того, насколько безопасны смарт-контракты, если они управляются мультиподписью, они уязвимы для такого типа атак, которые проходят через людей, стоящих за протоколами, а не непосредственно через код.

Основная проблема здесь заключается не в существовании этой мультиподписи, которая необходима для обновления и улучшения услуг, предоставляемых ChainLink, а в ее настройке:

1. "3/20" более рискован с точки зрения атаки гаечным ключом, чем, например, "3/6" (у которого было бы меньше потенциальных целей для выполнения атаки). Более разумным числом, согласованным с тем, что обычно делается для 20 подписантов, было бы что-то между 8 и 12 подписавшими.
2. Нет временной блокировки: изменения происходят немедленно.

Зависимость от других протоколов, которые менее устойчивы, чем базовый протокол

Одним из интересных элементов DeFi является возможность компоновки: протоколы интегрируются и используют друг друга. Хотя это и позволяет создавать синергетические эффекты и инновационные варианты использования, но это также сопряжено с дополнительными рисками.

Не вдаваясь в подробности, поскольку мы вернемся к этому позже, мы возьмем в качестве примера PoolTogether, один из самых устойчивых протоколов DeFi и квази-неостановимый. Квази исходит из его внешних зависимостей, а точнее, из используемых источников доходности: Compound и Aave.

Действительно, смарт-контракты PoolTogether неостановимы, за исключением части, которая управляет распределением цен. Тем не менее, средства развертываются в протоколах, основанных на смарт-контрактах, которые могут быть изменены (например, добавление нового обеспечения — необходимой функции, но также и потенциального вектора атаки).

Общее правило заключается в том, что протокол настолько же устойчив, насколько и самое слабое звено в его цепочке компоновки. Это правило не является абсолютным, поскольку все еще возможно смягчить или ограничить воздействие, возникающее при интеграции, например, путем реализации избыточности, как мы увидим ниже в подробных оценках.

Доступ к протоколам: вопрос об интерфейсах сайтов

Здесь есть два ключевых вопроса:

1. Является ли сайт/интерфейс устойчивым, не подвергается ли он цензуре, например, от правительства?
2. Безопасен ли сайт? Может ли сайт быть атакован злоумышленником?

Риск цензуры интерфейса

Здесь я должен начать с напоминания вам о фундаментальном моменте: DeFi-сервис существует благодаря набору смарт-контрактов. Вполне возможно взаимодействовать с любым DeFi-сервисом, работая непосредственно через контракты. Конечно, не все пользователи DeFi обладают техническими навыками, необходимыми для непосредственного взаимодействия со смарт-контрактами, поэтому проблема интерфейса остается актуальной.

Таким образом, протоколы, которые максимизируют свою устойчивость, должны подумать о безопасности своих интерфейсов. Возможны два основных подхода, которые могут быть объединены.

Во-первых, протокол может иметь несколько точек доступа, которые обеспечивают доступ к его сервису: если бы одна из них была недоступна, другие оставались бы в сети, что причиняло бы лишь незначительные неудобства пользователям сервиса. Например, Aave можно использовать не только через основной app.aave.com домен, но и с помощью таких инструментов, как DeFiSaver, InstaDApp и многих других.

Тем не менее, большинство из этих сайтов по-прежнему размещаются централизованными службами, которые могут подвергаться цензуре одновременно: это требует больше работы, но технически возможно. Чтобы преодолеть это ограничение, доступен другой вариант: размещение одного или нескольких сайтов с помощью децентрализованного решения, такого как IPFS.

Наконец, с точки зрения устойчивости интерфейсов, наиболее оригинальным, элегантным и эффективным подходом, внедренным на сегодняшний день, вероятно, является протокол Liquity. Действительно, у Liquity нет официального веб-сайта для своего приложения, развернутого и управляемого непосредственно командой. Вместо этого команда предоставляет набор для развертывания интерфейса, которым могут пользоваться все. Благодаря такому подходу у проекта теперь есть множество различных сайтов для использования сервиса, некоторые из которых размещены на IPFS:

Риски безопасности интерфейса

Не стоит забывать, что интерфейс остается веб-сайтом. Даже если он не подвергается цензуре, он может быть подвержен атакам различной степени серьезности: веб-сайты децентрализованных бирж SpiritSwap и QuickSwap, например, недавно пострадали от такого сценария.

Вектор атаки связан с менеджером доменных имен (GoDaddy). Возможны и другие типы атак: например, инъекции кода через сторонний сервис, который интегрирует сайт, как мы недавно видели на EtherScan, поскольку используемый ими рекламный трекер был скомпрометирован (CoinZilla).

Ограничения неостановимых протоколов

Неостановимые протоколы не могут охватывать все варианты использования. Действительно, в зависимости от сложности протокола иногда невозможно избежать какой-либо зависимости от другого протокола, который сам по себе, по крайней мере, частично подлежит цензуре.

Наконец, следует иметь в виду основное свойство неостановимых смарт-контрактов: обновление их технически невозможно.

Таким образом, когда необходимо развивать неостановимый протокол, есть только один возможный путь: развернуть новую версию протокола (с его новым набором неизменяемых контрактов) и поощрять своих пользователей переход на него. Это, например, то, что Uniswap сделал дважды: с переходом на версию 2 в мае 2020 года, а затем снова год спустя с выпуском Uniswap v3 в мае 2021 года.

В зависимости от различий между версиями протокол может также предлагать инструмент для облегчения миграции, как это было в случае с UNIv1⇒UNIv2. Однако для UNIv2⇒UNIv3 это было невозможно в основном из-за введения концентрации ликвидности.

Спектр устойчивости

Теперь, когда мы установили определение “неостановимого” протокола со всеми необходимыми уточнениями, я предлагаю перейти непосредственно к анализу. Прежде чем углубляться в соответствующие протоколы, позвольте мне предложить вам спектр, который определяет различные уровни устойчивости:

Описывать централизованные или ДНС (Децентрализованные На Словах) протоколы не очень интересно, поэтому я предлагаю Вам обратить внимание на протоколы, которые находятся справа от $DAI.

Анализ наиболее устойчивых DEX

Прежде чем мы разберем устойчивость Uniswap и Curve, нам нужно вспомнить несколько важных вещей о децентрализованных биржах. В частности, у них есть два типа пользователей, которые принимают на себя довольно разные уровни риска:

1. Пользователи, которые обмениваются токенами. Эти пользователи несут риски, связанные со смарт-контрактами, только на время обмена (а также риски, связанные с неограниченным “одобрением”, если контракт биржи скомпрометирован и не является неизменяемым)
2. Поставщики ликвидности подвержены риску до тех пор, пока они имеют позиции на бирже

На Uniswap, как и на Curve, контракты, относящиеся к этим двум ситуациям, являются неизменяемыми. Технически невозможно предусмотреть “защиту” поставщиков ликвидности, что характерно не для всех DEX: однажды такая атака была возможна на SushiSwap из-за их функции миграции.

Также необходимо учитывать, что AMM DEX, такие как Uniswap или Curve, не нуждаются в оракуле для работы, что значительно снижает их зависимость от потенциально подвергаемых цензуре сторонних сервисов.

Наконец, даже если контракты неизменяемы, риск не равен нулю для поставщиков ликвидности, которые берут на себя все риски, связанные с токенами, участвующими в паре. Общее правило здесь аналогично правилу цепочки компоновки: данная пара ликвидности так же рискованна, как и ее самый опасный токен.

Uniswap

Контракты полностью неизменяемы в Uniswap v1 и v2. В Uniswap v3 также есть все основные функции. Тем не менее, управление может проголосовать за введение административного сбора, как уже было на Curve.

Здесь дело обстоит прямолинейно. Если управление действительно существует, хорошая новость (плохая для холдеров $UNI) заключается в том, что их сфера влияния сильно ограничена. Никакой арест или перевод средств невозможен. Помимо комиссий, оно управляет такими вопросами, как развертывание Uniswap в новой цепочке, добавление новых комиссий (1 базисный пункт для стейблкоинов) или использование казны протокола, например, для финансирования кампаний по добыче ликвидности или для распространения $UNI дружественным людям, которые просят об этом, без любого лимита.

Curve Finance

Curve Finance - еще один пример устойчивого DEX с не менее захватывающим подходом. Опять же, основные функции обеспечиваются неизменяемыми контрактами. Тем не менее, у Curve также есть Экстренный DAO. Этот Экстренный DAO может “убить” пул (только если пул моложе 2 месяцев, а не Factory пулы): все функции, кроме вывода, будут отключены. Это предотвращает дальнейшую потерю средств, если возникнут проблемы с контрактами Curve. Экстренный DAO также может отключить датчик - то есть контракт, обрабатывающий вознаграждения $CRV (и, возможно, других токенов). Убитые датчики затем могут быть воскрешены главным DAO.

Как и Uniswap, управление Curve сосредоточено вокруг эмиссии и управлением токенами $CRV.

В отличие от Uniswap, участие в управлении Curve требует блокировки токенов $CRV ( ⇒$veCRV) на срок до четырех лет для тех, кто хочет максимизировать свое влияние. Таким образом, он защищает систему управления от различных типов атак.

Наконец, управление также занимается контролем белого списком смарт-контрактов, уполномоченных взаимодействовать с контрактом veCRV: такие решения имеют последствия для поставщиков ликвидности на Curve и холдеров $CRV в долгосрочной перспективе.

Углубленный анализ других известных протоколов

Помимо децентрализованных обменников, другие виды протоколов тоже приближаются к правой части спектра. Тем не менее, варианты использования протоколов, которые мы сейчас подробно рассмотрим, более сложны и, насколько мне известно, не могут работать без зависимости от других более или менее подверженных цензуре сервисов.

Liquity

Liquity — это проект, целью которого является создание наиболее устойчивой системы заимствования и стейблкоина при сохранении экономически эффективной системы для заемщиков. Я не буду здесь вдаваться в подробности этого протокола, я приглашаю вас прочитать специальную статью.

Давайте сосредоточимся на моментах, имеющих отношение к нашей теме:

1. Код полностью неизменяем
2. Нет управления
3. Liquity зависит от оракула ChainLink, но также имеет резервного оракула Tellor, если вдруг ChainLink начнет сбоить
4. Liquity имеет децентрализованный интерфейс

Благодаря такому подходу Liquity является наиболее устойчивым протоколом заимствования, доступным в Ethereum, что позволяет $LUST получить звание самой надежной и децентрализованной стабильной монеты.

PoolTogether

PoolTogether — интересный протокол, привносящий в мир DeFi концепцию лотерей без потерь.

Чтобы узнать больше об этом протоколе, я приглашаю вас еще раз прочитать специальную статью.

Итак, давайте проанализируем устойчивость протокола. Здесь основной проблемой является первоначальный источник дохода, который является внешним: он поступает от таких сервисов, как Aave или Compound, которые не являются неостановимыми. Таким образом, игрок PoolTogether принимает на себя этот риск по всему своему депозиту: основной сумме и полученному доходу (до того, как он будет собран).

Несмотря на эту зависимость от сторонних разработчиков, протокол PoolTogether отличается поразительной устойчивостью. Действительно, на стороне PoolTogether контракты настолько неизменяемы, насколько это возможно. Единственной изменяемой частью является часть распределения призов, которая влияет только на генерируемую доходность. Действительно, модель распределения призов может измениться после голосования руководства (mainnet) или транзакцией с мультиподписью (Avalanche/Polygon), что необходимо, поскольку межцепочечное управление пока недоступно.

Этот момент увлекателен и уникален в DeFi: PoolTogether - это сберегательный счет без потерь, связанный с призами. Этот (финансовый) принцип проектирования также проявляется в смарт-контрактах. Игрок не может потерять свой депозит, за исключением проблемы с контрактами Aave/Compound или критической ошибки в контрактах PoolTogether. Даже если вся команда PoolTogether подвергнется атаке гаечным ключом или управление PoolTogether станет враждебным. Таким образом, обещание отсутствия потерь поддерживается на уровне смарт-контрактов.

Существуют также нюансы и различия между V3 и V4 протокола в том, что касается рисков. Лучше всего внимательно ознакомиться с документацией.

TrustlessFi

Trustless — это протокол, которым я был очарован в последнее время. Он еще не запустился, но я думаю, что у него есть много достоинств. TrustlessFi — это как если бы у Liquity и Reflexer был ребенок на zkSync.

Цель проекта — создать протокол, который в конечном итоге будет настолько неостановимым, насколько это возможно, и связанный с ним стейбл $HUE унаследует это свойство. Другие механизмы аналогичны Liquity, такие как $ETH в качестве единственного обеспечения, немедленная ликвидация и децентрализация интерфейса.

Что касается управления, то здесь у нас есть подход, аналогичный управлению Reflexer, но более привлекательный: предусмотрено 4 этапа, и на каждом этапе контроль Фонда и сообщества уменьшается, что делает протокол все более и более неизменным. Эти этапы будут реализованы в коде самих контрактов: при необходимости можно отложить переход на новую фазу на 45 дней до трех раз, но полностью отменить этот переход невозможно.

Механизм позволяет участвовать в системе без необходимости создания долга. Владельцы $HUE смогут воспользоваться им, чтобы получить доход от процентов, выплачиваемых заемщиками.

В целом, проект развивается в правильном направлении. Тем не менее, в этом протоколе есть много новых концепций, поэтому нелегко предвидеть надежность, как только он будет доступен в мейннете.

Заключение

Я надеюсь, что эта статья послужит справочником для всех тех, у кого есть вопросы об устойчивости протоколов DeFi. Как обычно, вместо того, чтобы давать оценки как есть, я постарался как можно подробнее описать методологию и рассуждения, чтобы вы могли сами изучить устойчивость любого протокола, не упомянутого в этой статье.

Чтобы углубиться, я сердечно приглашаю вас прочитать статью, которую я опубликовал в прошлом году, которая прекрасно дополняет эту статью, посвященную денежным рынкам. В нем предлагается метод анализа для оценки различных потенциальных рисков, которые они подразумевают:

Я полагаю, что такой точный анализ такого важного предмета мог вызвать более или менее положительные эмоции. Пожалуйста, знайте, что, как всегда, мое намерение состоит только в том, чтобы проинформировать как можно больше криптанов о вопросах, которые я считаю важными для DeFi.

Мои образовательные и педагогические действия в DeFi не имеют никакой другой цели, кроме максимизации устойчивости и актуальности децентрализованного финансирования в долгосрочной перспективе. Я надеюсь, что разработчики или сторонники протоколов слева от предложенного мной спектра устойчивости также поймут и признают это.