DeFi虚假平台或存在风险，请谨慎参与

小编提示：请注意阅读。

来源：巴比特

原文标题：警惕！你可能玩了假的DeFi

写在前面： DeFi领域充斥着各种新协议，如最近炒作的YFI（yearn.finance），但实际上，它并不是真正的DeFi协议。据加密货币研究员Hasu分析，像YFI这样与治理相关的协议，或多或少都存在托管问题，这可能涉及到用户资金的安全问题。因此，他建议将YFI（yearn.finance）视为一个托管型投资基金。

长话短说： 在7月25日至8月6日期间，yearn.finance的开发者AndreCronje控制了4000万美元的客户资金。8月6日，在讨论这篇文章的早期草稿时，AndreCronje将治理代币的权力转交给了9名社区利益相关者，这些人使用了6-of-9多重签名机制进行控制。但事实上，大多数用户并不认识到，像yearn.finance、Compound或Aave这样的重治理协议，或多或少都存在托管资金的风险。因此，有必要将这些协议视为一个托管型投资基金，而控制者就是基金经理。

什么是yearn.finance？ Yearn.finance是一个聚合收益协议。官方描述成它一个任何人都可以参与的投资基金，然后一个投资经理（或一组经理）将这些资本引导到DeFi领域中最高收益的机会中。

自7月中旬以来，yearn.finance的人气急剧上升，虽然它的代币因公平推出而受到赞扬，但市场上普遍存在这样的误解：资金由YFI代币持有者或代表他们利益的多重签名钱包所控制。

但实际上，治理是这样运作的： YFI代币持有人可以对新提案进行投票，这些投票是非正式的。当一个提案获得批准时，yearn.finance的开发者AndreCronje就会实施它。相反，Compound是先实施提案，然后再通过正式投票激活。自7月21日起，9名YFI社区利益相关者通过6-of-9多重签名的方式控制了额外YFI代币的铸造。控制者之一负责所有投资决策，因此他实际上控制了客户资金。控制器连接了金库和策略：金库是盒子，存储投资者资金，策略是执行投资策略的智能合约。

存在资金被盗的风险： 控制器的这种功能可以进行非常简单但非常强大的攻击。它可以决定将金库与耗尽所有客户资金的策略连接。策略可能简单到将这些资金转移到对手控制的账户上，而对于用户来说，完全没有警告或反应时间。

与一般的管理密钥（adminkey）攻击向量一样，主要风险不一定是AndreCronje本人变成恶意者，而是该管理密钥被第三方盗窃。

在快照中，有1.65亿美元的资金锁定在yearn.finance中，其中大部分锁定在YFI相关的曲线池中，而4000万美元的资金锁定在金库中，这些钱容易受到控制者的威胁。

AndreCronje的反应： 8月6日，作者与AndreCronje讨论了这篇文章的早期草稿，并确认了分析的正确性。在讨论过程中，他决定调用控制器的`setGovernance`功能。

通过这个操作，他将金库资金的控制权交给了通过6-of-9多重签名进行控制的社区，并将自己排除在风险之外。

但事实上，作者并不是想让AndreCronje放弃资金控制权。协议在建立时就有这样的原因：等待9位社区持有者中的6位反应在不同时区会增加很多开销和延迟，并且使漏洞修复变得更加困难。在DeFi市场快速变化的环境中，这将极大地损害收益率。相反，作者想让投资者更清楚地了解，使用像yearn.finance这样的协议，需要承担怎样的信任假设。

所有重治理的协议或多或少都存在托管问题： 在宣传DeFi运动的同时，很容易会忽略这里所描述的问题：在理论上，可以通过治理来耗尽用户的资金，并且这种问题在很多其他DeFi协议中也存在。

例如，在Compound中，持有大部分治理代币的人可以投票任意新逻辑。虽然这个逻辑需要48小时才能启动，但8亿美元的资金不可能及时全部收回。依赖于主动管理的协议，很难在必要的治理权限和客户资金的安全性之间取得平衡。

像yearn.finance这样依赖于快速适应市场环境的协议，很可能会永远站在需要更多