DeFi: compartilhando os riscos, recompensas e responsabilidades.

Finanças descentralizadas podem agregar valor à rede e à vida das pessoas … contanto que nossa empolgação não resulte em dançarmos de um penhasco.

(Taylor Monahan) (14 de julho de 2020)

Esta foi originalmente uma palestra que dei no evento DeFi Discussions do Dystopia Labs .

No momento desta palestra (início de maio de 2020), o dForce e Hegic exploits tinham ocorrido nos 14 dias anteriores. Também foi antes do advento de tokens de governança, IDOs e agricultura de rendimento. Mas isso é menos sobre eventos específicos e mais sobre a construção de um sistema que irá beneficiar pessoas, não as machuque.

Sam Sun injetando um pouco de humor negro após mais um incidente DeFi.

DeFi cresceu incrivelmente rápido e, como sempre, o crescimento traz hacks, ataques, exploits, incidentes, não incidentes e consequências geralmente não intencionais. Entre janeiro de 2020 e maio de 2020, parecia que todas as Coisas ruins ™ eram com produtos DeFi. Ou eu estava hiperfocado nos eventos no espaço DeFi? Vamos dar uma olhada …

Uma das coisas mais interessantes é que os hacks de troca divulgados / relatados publicamente estão em queda em comparação com o ano passado . A essa altura, em 2019, havia sete hacks de troca massiva: Cryptopia, Bitrue, Coinmama, Coinbin, DragonEx, Bithumb e, em seguida, Binance (4 de maio). O fato de haver menos hacks nas trocas é interessante, mas também é interessante que o tamanho desses hacks tenha sido relativamente pequeno. Esta é provavelmente a primeira vez em mais de 5 anos que o número de hacks de troca é tão baixo.

Desde então, BlockFi sofreu uma violação de dados depois que um funcionário foi trocado. Nenhum dinheiro ou senha do cliente foi retirado, mas as informações do cliente sim.

Depois de dar essa palestra, alguns comentaram que pode ser que menos trocas estejam divulgando os hacks, não que o número diminuiu. Isso é um pouco apoiado pelo relatório CryptoCore , embora até a atividade desse grupo tenha diminuído na primeira metade de 2020. Motivos potenciais para a queda de hacks reais ou hacks relatados pode ser devido a mais ativos sendo separados em armazenamento quente e frio, reservando dinheiro como um fundo de “seguro”, aumento da lucratividade / maturidade em geral, condições macro como COVID-19 ou condições de mercado de baixa atraindo menos atenção.

Outra lição interessante de olhar para a coleção de Coisas Ruins ™ é que a carteira explorações e roubos, e o tamanho desses roubos aumentou.

  1. Começamos o ano com A carteira Trinity da IOTA , que foi comprometida por meio da infraestrutura da Moonpay em um ataque direcionado. Há rumores de que US $ 2 milhões foram roubados e sua autópsia é uma excelente leitura.
  2. Pouco tempo depois, um investidor chinês foi trocado pelo SIM e $ 30 milhões de BTC e BCH foram roubados . Esta é provavelmente a maior perda registrada devido a uma troca de SIM. ((Proteja-se de trocas), por favor.)
  3. Houve um aumento em extensões cromo maliciosas visando Ledger, MEW, MetaMask, e muito mais.
  4. Mais recentemente, vimos este enorme golpe de saída de carteira EOS . Os perpetradores podem ter se safado com US $ 52 milhões em EOS. Eu não sigo o ecossistema EOS de perto, então esse número pode estar errado – espero que esteja errado – mas, independentemente, houve um grande golpe de saída por um criador de carteira. Isso dói.
  5. Também esqueci de incluir vários problemas do ZecWallet , que rivalizam com o DeFi quando se trata de vulnerabilidades e problemas de segurança.

E, finalmente, vejamos nosso próprio ecossistema. Este é o DeFi agora. Esta é uma lista bem longa. Concedido, incluí os quase-acidentes, mas acho que devemos prestar atenção neles porque não podemos presumir que pessoas como Sam Sun e 1inch.exchange salvarão o dia repetidas vezes.

😈 Explorações reais em que dinheiro foi perdido:

😬 Os “quase acidentes” em que ocorreu uma divulgação e resolução:

  • 20 de janeiro: (1inchexchange encontra & revela exploit em Fulcrum / bZx.)
  • 18 de fevereiro: (Sam Sun é responsável divulga exploit Authereum).
  • 24 de fevereiro: (Sam Sun E Mudit Gupta revelam responsavelmente dois exploits Nexus Mutual).
  • 24 de março: Sam Sun divulga Hegic Exploit de forma responsável .

😱 Os “quase acidentes” em que, se não tivesse sido detectado, teria levado a perdas significativas:

Então, no meio de tudo isso, tivemos a ⚰ Black Thursday.

Este foi um dia catastrófico nos mercados tradicionais que impactou rapidamente o mundo criptográfico. Considerando todas as coisas, nós nos recuperamos muito bem dos efeitos em cascata que ameaçavam o DAI peg, custos de gás disparados, posições liquidadas e uso limitado de oráculos.

Quinta-feira negra é um bom lembrete de que os riscos vêm em todas as formas. Uma única plataforma pode ser drenada ou as condições econômicas globais combinadas com uma maior capacidade de composição podem levar a eventos cataclísmicos. Embora esperemos não ver outra quinta-feira negra novamente tão cedo, os efeitos em cascata são algo para aprender com   e   tentativa   para   proteger   contra, especialmente porque os DeFi legos interconectados se tornam ainda mais fortemente acoplados. Pode não ser necessário algo tão grande para causar problemas.

Por último, é importante notar que não tivemos muitos golpes de saída (em DeFi ou Ethereum) em que um produto ganha a confiança de todos e depois é executado embora com as malas. Dito isso, tem havido muitos esquemas de Ponzi e golpes óbvios que conseguiram lucrar com milhões ou estão   * tosse *   Hex   * tosse *. Gostaríamos de ver a funcionalidade administrativa dos contratos ser abusada em algum ponto. Provavelmente veremos golpes de saída. Isso deve nos assustar. E, sim, por favor, todos batam na madeira.

Esta é a quantidade de dinheiro “bloqueada” nos protocolos DeFi específicos em 29 de abril de 2020. Como denominamos tudo em dólares americanos, esse número pode aumentar muito rapidamente quando o preço ETH aumenta. Pouco antes desta palestra, vimos uma bomba cujo preço era $ 172 quando fui dormir e mais de $ 200 quando acordei.

Se este mercado subir como aconteceu em 2017, veremos esses tipos de bombas dia após dia. Se você estiver desenvolvendo um contrato inteligente DeFi, poderá passar de US $ 1 milhão para US $ 100 milhões muito rapidamente para processar e adaptar   a   as   novas   circunstâncias. Essa é uma das coisas que mais me assusta.2017 foi emocionante, mas também assustador quando vi o uso decolar com meu produto. Durante todo o ano de 2017 e 2018, estive dois ou três passos atrás e constantemente apagando incêndios. E eu não estava segurando o dinheiro de ninguém, literalmente ou por meio de um contrato inteligente.

Mesmo se nenhum novo usuário comece a usar seu produto ou deposite dinheiro em seu contrato inteligente, o valor salta quando o mercado   salta.

Considerando tudo, tivemos muita sorte porque muitas das explorações catastróficas foram reveladas com responsabilidade. O número de truques que aplicamos na 13ª hora foi notável.

Temos andado agindo como se estivéssemos construindo um amanhã melhor, salvando o mundo e ganhando muito dinheiro. Na realidade, estamos travando criptografia, queimando criptografia, jogando a criptografia fora, dando descarga no vaso sanitário e tudo mais.

Apenas um ou dois milhões de dólares foram perdidos nos últimos 4 meses com esses protocolos DeFi. Mas a razão de eu usar a palavra apenas é que você pode ver que oito delas foram divulgadas de forma responsável   ou   descobertas   por     membros   de   uma equipe  . Por exemplo, em uma notável reviravolta nos eventos, 1inch e outros conseguiram recuperar a maior parte dos fundos roubados no hack de US $ 25 milhões do DForce. isso não acontece. Hackers não devolvem dinheiro. Novamente, não podemos contar com Sam Sun, de 1 polegada, ou uma cavalaria de chapéus brancos retornando $ 25 milhões todas as vezes. Precisamos ser melhores em proteger nossos produtos, restrições e sistemas para que US $ 25 milhões não sejam levados em primeiro lugar.

Se continuarmos no caminho em que estamos, vamos ter o nosso traseiro entregue a nós e isso vai prejudicar as perspectivas de DeFi e este ecossistema. E eu realmente gosto do DeFi. A razão de eu falar tanto sobre o DeFi é que quero que ele tenha sucesso. Infelizmente, a maneira como estamos abordando isso agora – as coisas que estamos fazendo, as coisas que não estamos fazendo, as atitudes que temos – não termina em arco-íris   e   unicórnios. Queremos um caminho no qual estejamos   nos beneficiando, ganhando dinheiro e transformando os sistemas financeiros que controlam nossas vidas. Precisamos subir de nível em várias frentes se quisermos chegar lá.

Hegic e trilha de bits

Em maio, houve uma tonelada de discussão sobre como a exploração de Hegic poderia ter sido evitada e a auditoria que a trilha de bits fez.

Muitas pessoas chamaram a atenção para o fato de que a Trail of Bits “auditou” os contratos inteligentes de Hegic, mas a Trail of Bits esclareceu que foi uma revisão muito curta, em vez de uma auditoria abrangente. Eu poderia fazer uma palestra inteira apenas sobre Hegic, mas houve algumas sugestões interessantes … Uma é que os auditores deveriam apostar um monte de dinheiro e se um contrato for hackeado, então esse dinheiro será usado para pagar as pessoas. Obviamente, há o drama em torno da licença dos engenheiros de software. Alguns sugeriram que antes que os usuários possam colocar seu dinheiro em qualquer projeto DeFi, eles precisam passar por um teste de múltipla escolha para provar que entendem totalmente e aceitam os riscos que acompanham suas ações.

Eu não sou um fã de qualquer um desses. Se diminuirmos o zoom e observarmos tudo o que está acontecendo em relação ao mundo em que vivemos, perceberemos que há um problema maior do que chamar uma revisão de auditoria.

Vamos ver como as auditorias aconteceram ao longo da história. A maioria das empresas tradicionais (você sabe, escritórios enormes com servidores ou até mesmo conglomerados multinacionais com pessoas em seus depósitos correndo com capacetes e usando empilhadeiras), todas fazem auditorias de vários tipos. Essas auditorias têm uma finalidade muito diferente de uma auditoria TrueCrypt . TrueCrypt e projetos semelhantes são de código aberto e têm um grupo de colaboradores em constante mudança que às vezes são anônimos.

Por exemplo, em um ambiente corporativo tradicional, você pode ter auditorias internas frequentes e contínuas conduzidas por pessoas fora da empresa (especialmente se você tiver obstáculos regulamentares) para fortalecer a segurança. Porque se não for seguro, dinheiro é perdido, funcionários perdem empregos, o CEO é expulso, etc.

No mundo OG, cypherpunk e de código aberto, é muito diferente.Houve casos em que uma auditoria de segurança foi financiada por crowdfunding para um projeto a fim de garantir que os desenvolvedores estivessem escrevendo um código bom e seguro, mas também para determinar que eles não estavam realmente escondendo tudo para a NSA.

Esses são dois extremos totalmente diferentes do espectro, e aqueles de nós em nossa pequena bolha DeFi estão em algum lugar no meio.

Quando você vive neste espaço é fácil esquecer como as infraestruturas são fugazes, mas é uma loucura. Você tem tokens que são distribuídos hoje, mas podem ser vendidos amanhã por 2X (ou 0,5X) sem cronogramas de aquisição. Você não tem pessoas investindo na sua empresa tanto quanto investem nos seus tokens – são crianças na internet que provavelmente têm um pouco de TDAH e pulam de token em token, sempre querendo o mais novo.

Queremos descentralizar tudo e às vezes podemos exagerar. Por exemplo, alguns projetos manterão interruptores de interrupção, mas se algo de ruim acontecer com o contrato inteligente, nós apenas transferiremos a culpa um pouco.

Acho que vamos ter um acerto de contas com todo o anônimo cultura cypherpunk. Temos Satoshi, e Satoshi foi bem, então algumas pessoas presumem que um projeto semicentralizado que vai tirar todo o seu dinheiro e que tem um fundador anônimo é também bom. Temos que lembrar que ser anônimo é, na verdade, um sinal não confiável, não confiável. Satoshi era uma anomalia. Precisamos ser mais céticos.

Os construtores DeFi são diferentes. Eu os chamo de construtores para capturar toda a gama de pessoas que criam produtos DeFi, não apenas os CEOs.

Os construtores de DeFi têm novas estruturas organizacionais; eles estão baseados em todos os países ou nenhum país específico, ou eles são um DAO, ou qualquer outra coisa. Eles são muito experimentais e perturbam a tradição. Seu “patrimônio” é geralmente um token e TALVEZ tenha um bloqueio, mas talvez não, e pode ser vendido amanhã. Eles estão construindo esses sistemas com criptomoeda, usando uma nova estrutura organizacional que não é reconhecida por nenhum governo.

As pessoas que estão construindo produtos têm um grande apetite por risco. Se você olhar para o espectro de construtores neste espaço, você verá aqueles que você considera mais ou menos arriscados, mas se você diminuir o zoom … estamos todos aqui no super alto lado do risco. Quando você aumenta o zoom muito perto, é fácil ter a ideia errada de que alguém está seguro. Todos estão se envolvendo em um comportamento realmente arriscado e isso afeta as escolhas que fazemos, como vemos e construímos as coisas e como falamos sobre elas.

E, claro, temos todo esse aspecto de titular de shiller / token – o equivalente mais próximo de ser um acionista. Eles podem influenciar você e o preço de suas ações (ou, neste caso, seu token). Infelizmente, tokens não são a mesma coisa que investir patrimônio, pois as pessoas estão jogando esses tokens constantemente. Eles querem que esse token / projeto / qualquer coisa seja lançada e querem ganhar com isso.

Temos essa tendência de tratar os projetos DeFi um pouco como empresas tradicionais de certas maneiras – VOCÊ faz a auditoria, VOCÊ prova você está seguro, VOCÊ paga as contas – mas também os trata como bestas mágicas descentralizadas de outras maneiras. Isso cria muitos conflitos.

Criamos essa comunidade maluca e influente de indivíduos que investem nesses tokens e assumem enormes riscos por esses ganhos de curtíssimo prazo. Eles vão bombear. Eles construirão bots para isso. Eles irão arbitrar. Eles irão exibir, exibir, exibir. E se algo der errado, esses mesmos indivíduos lutarão com unhas e dentes para defender esse projeto, pressionando para que os protocolos sejam reativados, mesmo que tenham sido hackeados dois dias antes. A razão pela qual esses “investidores” fazem isso é que eles já perderam uma quantidade X e se esse protocolo não for ativado o mais rápido possível, eles perderão mais. Então, esses detentores de tokens, as pessoas que têm dinheiro nesses protocolos, são incentivados a empurrar os criadores desses protocolos para reativá-los agora.

Isso é ruim.

Então, para onde vamos a partir daqui?

Precisamos fornecer uma proteção contra os piores criminosos, os piores tokens e os piores shillers – aqueles que não se preocupam com a segurança e não têm consciência de que algo ruim pode acontecer. Mas também precisamos recompensar o bom comportamento, e isso está faltando agora.Se o MakerDAO levar dois anos para chegar ao testnet, ninguém vai dizer ei pessoal, muito obrigado por fazer sua diligência e dedicar o tempo necessário para construir este sistema complexo que vai armazenar bilhões de dólares. ”

Em vez disso, as pessoas ficam tipo, “Duuude, você demorou DOIS ANOS ?! e você está apenas na TESTNET? Por que você ainda não está na mainnet? ”

Isso é preciso ir. Precisamos ser melhores em recompensar o bom comportamento. Mesmo quando alguém comete um deslize, se ele mostra que está levando isso a sério e aprendendo com os erros, e age sobre seus erros, ele deve ser recompensado.

Se continuarmos empurrando o que é ruim e puxando para dentro o bom, tudo será mais forte.

Uma auditoria de segurança significa apenas que um projeto tem dinheiro suficiente para pagar por uma auditoria. Isso não significa que um projeto é seguro. Eu poderia falar o dia todo sobre auditorias, o que são e o que são não. Eu apenas quero enfatizar que uma auditoria de segurança é como um conjunto de olhos de terceiros que chega e dá uma olhada em seu código. É um pequeno aspecto de uma boa cultura de segurança e de uma boa empresa de segurança.

Se esse único esforço é tudo que você faz para a segurança de seu produto, você não está seguro. E (não precisa ser dito, mas aqui estamos) se sua auditoria retornar com um monte de erros, você precisa resolvê-los para ficar realmente mais seguro .

Os auditores têm recebido críticas ultimamente porque seus relatórios de auditoria não saem dizendo coisas francamente. A polidez profissional deles exige que você leia nas entrelinhas, mas conforme este espaço amadurece, espero que tenhamos mais jornalistas e pesquisadores que possam traduzir esses documentos técnicos complexos para a linguagem humana. Mas, por enquanto, temos que lembrar que uma auditoria é uma coisa boa que as pessoas devem fazer, mas é apenas uma etapa. Isso não garante segurança e você não deve tratá-lo como um carimbo de aprovação.

Ok, então quero que todos tentem ser mais céticos. Quero dizer, quando você olha para um novo projeto ou entra no DefiPulse e há o nome de um protocolo que você nunca ouviu antes … em vez de ficar animado e imediatamente jogar dinheiro nele, pare e pense:

“Essas pessoas querem meu dinheiro. Esta página foi criada para me manipular para dar-lhes meu dinheiro. Essa é uma boa decisão? O que preciso saber para tomar essa decisão? ”

Precisamos ser céticos e isso vai levar algum tempo. É uma mudança de atitude que precisamos incutir uns nos outros e em nós mesmos, bem como nos recém-chegados que estão entrando no espaço, porque são eles que correm mais risco para esse tipo de coisa.

Faça perguntas. É uma das coisas mais poderosas que qualquer pessoa nesta comunidade pode fazer, seja você um designer, artista, melhor engenheiro de segurança ou jogador de basquete! Não importa se você é técnico.

Não se sinta estúpido. Não é estúpido. Mesmo que seja estúpido, outra pessoa fez a mesma pergunta, então vocês podem ser estúpidos juntos. 😉 Mas falando sério, há tanta falta de informação neste espaço que posso dizer sinceramente que não há perguntas estúpidas. Realmente não existem.

Aqui estão alguns exemplos:

  • Eles têm uma auditoria?
  • Quando a auditoria foi realizada?
  • Quem fez a auditoria? Por quanto tempo os auditores trabalharam nele?
  • Quando ele foi ao ar na testnet? Com quanto volume ele conseguiu? O código mudou?
  • Onde está a documentação? É bom?
  • Como eles se comunicam com as pessoas nas redes sociais? Eles são transparentes? Eles atacam se você questionar sua cultura de segurança?
  • Onde estão seus testes? Com que frequência eles são atualizados?
  • O código deles é de código-fonte aberto?
  • O código deles é verificado no Etherscan?
  • Eles têm um e-mail de segurança?
  • Eles têm um programa de recompensa por bug?
  • Sobre o que eles falam mais nas redes sociais ou em palestras? Segurança ou a próxima grande novidade?
  • Eles têm um engenheiro de segurança na equipe? Eles têm cinco? Eles têm 500?
  • Eles têm algum engenheiro? Esses engenheiros são pessoas reais? Muitos ICOs tinham páginas de equipe falsas cheias de pessoas falsas – até mesmo celebridades!

Consensys Diligence apenas escreveu uma postagem inteira sobre perguntas que você deveria fazer !

  • Quais ações especiais os administradores podem realizar?
  • De quais oráculos seu sistema depende?
  • De quais trocas seu sistema depende?
  • O código-fonte de seus contratos está disponível publicamente?
  • Qual é a variedade de pagamentos de recompensa?
  • Você tem um plano escrito que descreve como lidar com um incidente de segurança?
  • Quais cenários seu plano leva em consideração?
  • Alguma parte do seu sistema foi excluída do escopo da auditoria?

… E MUITO MAIS. Com certeza, leia .

A pressão social é um motivador poderoso e provavelmente o único motivador que pode neutralizar os incentivos financeiros de que falamos anteriormente.

Internamente, temos que ser céticos. Mas externamente, temos que mostrar esse ceticismo. Você tem que mostrar a esses projetos que buscam dinheiro o que é importante para você – que você se preocupa com a segurança e a proteção e diligência. Faça com que eles dediquem recursos para estarem cientes das coisas ruins que podem potencialmente acontecer.

Sempre adoro quando as pessoas perguntam sobre nossa política de privacidade ou auditorias. As auditorias são requisitos importantes para mim e minha equipe, e nós as fazemos para nós mesmos tanto quanto para nossos usuários.

É mais fácil não obtenha uma auditoria ou não crie um modelo de ameaça. É mais fácil colocar o Google Analytics em seu site. E é ainda mais fácil se ninguém se preocupa com essas coisas e não há recompensa por fazê-las. A única recompensa é intangível. É o estado padrão de “não ser hackeado”. Mas a comunidade tem o poder de recompensar as pessoas pelas boas escolhas que fazem.

O blockchain é realmente incrível em termos de incentivos. É meio que todo o propósito do blockchain. Ele foi construído para criar essa estrutura de incentivos notável para que qualquer pessoa de qualquer lugar do mundo possa estar na mesma equipe. O que significa que estamos todos no mesmo time. Isso significa que todos estão lendo isso, esteja você construindo algo ou um CEO. ou apenas vendo o drama se desenrolar no Twitter, você faz parte desse ecossistema. Portanto, é sua responsabilidade ajudar a garantir que haja mais bem do que mal e mais sucesso do que fracasso.

Recompense o que é bom, expulse o que é ruim e todos ficaremos melhor.

Sou Taylor Monahan. Eu sou o fundador e CEO da MyCrypto. Estamos sempre no Twitter. Confira beta.mycrypto.com e diga-nos o que você gosta nele ou o que pode ser melhorado, porque temos trabalhado muito nisso para você. Muito obrigado.

Mais recursos e coisas

Auditorias de segurança / contratos inteligentes para os produtos mencionados acima

Auditorias de segurança / contratos inteligentes pelos principais auditores

Deixe uma resposta

O seu endereço de email não será publicado. Campos obrigatórios marcados com *