DeFi: Dela risker, belöningar och ansvar.

Decentraliserad ekonomi kan ge mervärde till nätverket och till människors liv … så länge vår spänning inte resulterar i att vi dansar precis utanför en klippa.

(Taylor Monahan) (14 jul 2020)

Detta var ursprungligen ett föredrag som jag höll vid Dystopia Labs DeFi Discussions event .

Vid tidpunkten för detta samtal (i början av maj 2020), dForce och Hegic exploatering hade båda hänt under de senaste 14 dagarna. Det var också före tillkomsten av styrelse-tokens, IDO och avkastningsjordbruk. Men detta handlar mindre om specifika händelser och mer om att bygga ett system som gynnas människor, inte skada dem.

Sam Sun injicerar lite svart humor efter ännu en DeFi-incident.

DeFi har vuxit anmärkningsvärt snabbt och som alltid ger tillväxt hack, attacker, exploateringar, incidenter, icke-incidenter och generellt oavsiktliga konsekvenser. Mellan januari 2020 och maj 2020 verkade det som om alla Bad Things ™ var med DeFi-produkter. Eller var jag bara hyperfokuserad på händelserna i DeFi-rymden? Låt oss ta en titt …

En av de mest intressanta sakerna är att offentliggjorda / rapporterade utbyteshackar är långt ner jämfört med förra året . Vid den här tiden 2019 fanns det sju massiva utbyteshackar: Cryptopia, Bitrue, Coinmama, Coinbin, DragonEx, Bithumb och sedan Binance (4 maj). Det faktum att det finns färre hack på utbyten är intressant, men det är också intressant att storleken på dessa hack har varit relativt små. Detta är förmodligen första gången på 5+ år som antalet utbyteshackar har varit så lågt.

Sedan dess har BlockFi upplevt ett dataintrång efter att en anställd byttes. Inga kundfonder eller lösenord togs, men kundinfo var.

Efter att ha hållit det här talet kommenterade en del att det kan vara så att mindre utbyten avslöjar hackarna, inte det faktiska antalet har minskat. Detta stöds något av CryptoCore-rapporten , även om gruppens aktivitet har minskat under första halvåret 2020. Möjliga orsaker till minskningen av faktiska hack eller rapporterade hack. kan bero på att fler tillgångar separeras i varm- och kylförvaring, avsätter pengar som en ”försäkringsfond”, ökad lönsamhet / löptid i allmänhet, makroförhållanden som COVID-19 eller baisseartade marknadsförhållanden som väcker mindre uppmärksamhet.

Ett annat intressant tillfälle från att titta på samlingen Bad Things ™ är att plånboken utnyttjar och rån, och storleken på dessa rån har varit långt uppe.

  1. Vi startade året med IOTA: s Trinity-plånbok , som komprometterades via Moonpays infrastruktur i en riktad attack. Rykten säger att $ 2 miljoner stulits, och deras obduktion är en utmärkt läsning.
  2. Strax därefter en kinesisk investerare byttes SIM och BTC och BCH för 30 miljoner dollar stulits . Detta är troligen den största registrerade förlusten på grund av ett SIM-byte. ((Skydda dig själv från swappar), tack.)
  3. Det har skett en uptick i skadliga kromtillägg inriktad på Ledger, MEW, MetaMask, och många fler.
  4. Senast såg vi den här enorma EOS-plånbokens utgångssvindel . Förövarna kan ha kommit undan med EOS i värde på 52 miljoner dollar. Jag följer inte EOS-ekosystemet noga, så det här numret kan vara fel – jag hoppas att det är fel – men oavsett var det uppenbarligen en stor exitbedrägeri av en plånbokskapare. Det gör ont.
  5. Jag glömde också att ta med olika ZecWallet -frågor, som konkurrerar med DeFi när det gäller sårbarheter och säkerhetsdrama.

Och slutligen, låt oss titta på vårt eget ekosystem. Det här är DeFi just nu. Det här är en ganska lång lista. Beviljas, jag har inkluderat nästan missar, men jag tycker att vi bör vara uppmärksamma på dem för vi kan inte anta att människor som Sam Sun och 1inch.exchange kommer att rädda dagen om och om igen.

😈 Faktiska exploateringar där pengar förlorades:

😬 ”nästan missar” där en avslöjande och en lösning inträffade:

  • 20 jan: (1inchexchange finner & avslöjar utnyttjande i Fulcrum / bZx.)
  • Feb 18: (Sam Sun ansvarsfullt avslöjar Authereum exploit).
  • 24 feb: (Sam Sun OCH Mudit Gupta avslöjar ansvarsfullt två Nexus-ömsesidiga exploater).
  • 24 mars: Sam Sun avslöjar ansvarsfullt Hegic Exploit .

😱 ”nästan missar” där om det inte hade fångats, skulle det ha lett till betydande förluster:

Sedan, mitt i allt detta hade vi ⚰ Black Thursday.

Detta var en katastrofal dag på de traditionella marknaderna som snabbt påverkade kryptovärlden. Sammantaget har vi återhämtat oss ganska bra från kaskadeffekter som hotade DAI-peget, ökade bensinkostnaderna, likviderade positioner och begränsade användningen av orakel.

Black Thursday är en bra påminnelse om att risker finns i alla former. En enda plattform kan dräneras eller globala ekonomiska förhållanden i kombination med ökad sammansättningsförmåga kan leda till katastrofala händelser. Förhoppningsvis kommer vi inte att se en annan svart torsdag igen när som helst snart, men de kaskadeffekterna är något att lära av   och   försök   till   skyddar   mot, särskilt när de sammankopplade DeFi-legos blir ännu tätare kopplade. Det kan inte ta något så stort för att orsaka problem.

Slutligen är det värt att notera att vi inte har haft för många exitbedrägerier (i DeFi eller Ethereum) där en produkt får allas förtroende och sedan kör bort med påsarna. Med detta sagt har det funnits många Ponzi-scheman och uppenbara bedrägerier som har lyckats få ut med miljontals eller pågår   * host *   Hex   * hosta *. Vi kommer att se att administratörsfunktionaliteten för kontrakt missbrukas någon gång. Vi kommer sannolikt se utgångsbedrägerier. Det borde skrämma oss. Och ja, snälla, alla knackar på trä.

Det här är hur mycket pengar som ”låses” i de specifika DeFi-protokollen från och med den 29 april 2020. Eftersom vi denominerar allt i USD kan det antalet gå upp väldigt snabbt när ETH-priset stiger. Strax före det här talet såg vi en pump där priset var 172 $ när jag gick till sängs och över 200 $ när jag vaknade.

Om den här marknaden svänger uppåt som 2017, ser vi dessa typer pumpar dag efter dag. Om du utvecklar ett DeFi-smartt kontrakt kan du gå från att ha $ 1 miljoner till $ 100 miljoner för snabbt för att du ska kunna bearbeta och anpassa   till     nya   omständigheter. Det här är en av de saker som skrämmer mig mest.2017 var spännande men också skrämmande när jag såg att användningen tog fart med min produkt. Hela 2017 och 2018 var jag två eller tre steg efter och släckte bränder. Och jag höll inte någons pengar, bokstavligen eller via ett smart kontrakt.

Även om inga nya användare börja använda din produkt eller sätt in pengar i ditt smarta kontrakt, värdet hoppar när marknaden   hoppar.

Sammantaget har vi varit väldigt lyckliga att många av de katastrofala exploateringarna har avslöjats på ett ansvarsfullt sätt. Antalet knep vi har dragit under den 13: e timmen har varit anmärkningsvärt.

Vi har gått runt och agerat som om vi bygger en bättre morgondag, räddar världen och tjänar båtar med pengar. I verkligheten låser vi krypto, bränner krypto, slänger krypto, spolar ner på toaletten och allt däremellan.

Endast en eller två miljoner dollar har förlorats under de senaste 4 månaderna från dessa DeFi-protokoll. Men anledningen till att jag använder ordet ”bara” är att du kan se att åtta av dessa avslöjades på ett ansvarsfullt sätt   eller   upptäckte   av   interna   medlemmar   av   ett   -lag. I en anmärkningsvärd händelse lyckades till exempel 1inch och andra återhämta de flesta av de medel som stulits i $ 25M DForce-hacket. det händer inte. Hackare ger inte tillbaka pengar. Återigen kan vi inte lita på att Sam Sun, 1 tum eller ett kavalleri med vita hattar returnerar 25 miljoner dollar varje gång. Vi måste vara bättre på att säkra våra produkter och begränsningar och system så att $ 25 miljoner inte tas i första hand.

Om vi ​​fortsätter på den väg vi är på kommer vi att få våra åsnor överlämnade till oss och det kommer att skada utsikterna för DeFi och detta ekosystem. Och jag gillar verkligen DeFi. Anledningen till att jag pratar så mycket om DeFi är att jag vill att det ska lyckas. Tyvärr, vårt sätt att närma oss det just nu – de saker vi gör, de saker vi inte gör, de attityder vi har – slutar inte med regnbågar   och   enhörningar. Vi vill ha en väg där vi   gynnar, vi tjänar pengar och vi förändrar de finansiella systemen som styr våra liv. Vi måste höja oss på ett antal fronter om vi vill komma dit.

Hegic and Trail of Bits

I maj diskuterades massor om hur Hegic-exploateringen kunde ha förhindrats och den granskning som Trail of Bits gjorde.

Många uppmärksammade det faktum att Trail of Bits ”granskade” Hegics smarta kontrakt, men Trail of Bits har klargjort att det var en mycket kort granskning snarare än en omfattande revision. Jag kunde göra ett helt samtal om bara Hegic, men det har varit några intressanta förslag … Det ena är att revisorer ska sätta en hel båtmassa med pengar och om ett kontrakt blir hackat används de pengarna för att betala tillbaka människor. Uppenbarligen finns det dramatiskt kring mjukvaruutvecklare som licensieras. Vissa har föreslagit att innan användare kan lägga in sina pengar i några DeFi-projekt måste de klara ett flervalstest för att bevisa att de förstår och accepterar de risker som följer med deras handlingar.

Jag är inte ett fan av någon av dessa. Om vi ​​zoomar ut och tittar på allt som händer i förhållande till den värld vi lever i, inser vi att det finns en större fråga än att kalla en granskning till en granskning.

Låt oss titta på hur revisioner har hänt genom historien. De flesta traditionella företag (du vet, stora kontor med servrar eller till och med multinationella konglomerat med människor i sina lager som kör runt med hårda hattar och använder gaffeltruckar) gör alla revisioner av olika slag. Dessa granskningar tjänar ett helt annat syfte än en TrueCrypt -granskning. TrueCrypt och projekt som det är öppen källkod och har en ständigt föränderlig grupp av bidragsgivare som ibland är anonyma.

Till exempel, i en traditionell företagsmiljö kan du ha frekventa, pågående interna revisioner som utförs av människor utanför företaget (speciellt om du har regleringshinder) för att stärka säkerheten. För om det inte är säkert går pengar förlorade, anställda förlorar jobb, verkställande direktören slängs osv.

Över i OG, cypherpunk, öppen källkod, är det väldigt annorlunda.Det har förekommit fall där en säkerhetsrevision massfonderades för ett projekt för att säkerställa att utvecklarna skrev bra, säker kod men också för att avgöra att de inte faktiskt bakdörrar allt för NSA.

Det här är två helt olika ändar av spektrumet, och de av oss i vår lilla DeFi-bubbla finns i mitten någonstans.

När du bor i detta utrymme är det lätt att glömma hur flyktig infrastrukturen är, men det är galet. Du har tokens som distribueras idag men som kan säljas i morgon för 2X (eller .5X) utan intjänande scheman. Du har inte människor som investerar i ditt företag så mycket som de investerar i dina tokens – det här är barn på internet som förmodligen har lite ADHD och hoppar från token till token och alltid vill ha det nyaste.

Vi vill decentralisera allt och ibland kan vi gå lite överbord. Till exempel kommer vissa projekt att hålla dödsbrytare, men om något dåligt händer med det smarta kontraktet, flyttar vi bara skulden lite.

Jag tror att vi kommer att ha en räkning med hela den anonyma cypherpunk-kultur. Vi har Satoshi, och Satoshi gjorde bra, så vissa antar att ett halvcentraliserat projekt som tar alla dina pengar som har en anonym grundare är också bra. Vi måste komma ihåg att det att vara anonym är faktiskt en opålitlig signal, inte en pålitlig signal. Satoshi var en anomali. Vi måste vara mer skeptiska.

DeFi-byggare är olika. Jag kallar dem byggare för att fånga hela utbudet av människor som skapar DeFi-produkter, inte bara VD: er.

DeFi-byggare har nya organisationsstrukturer; de är baserade i alla länder eller inga specifika länder, eller de är en DAO eller ett antal saker. De är väldigt experimentella och stör traditionen. Deras ”eget kapital” är vanligtvis en symbol och det KAN kanske ha en låsning men kanske inte, och det kan säljas i morgon. De bygger dessa system med kryptovaluta och använder en ny organisationsstruktur som inte erkänns av någon regering.

De människor som bygger produkter har en mycket hög riskaptit. Om du tittar på spektrumet av byggare i det här utrymmet ser du de som du anser vara mer eller mindre riskabla, men om du zoomar ut … vi är alla här på superhög- risk sida. När du zoomar in mycket noga är det lätt att få fel uppfattning att någon är säker. Alla engagerar sig i riktigt riskabelt beteende och det påverkar de val vi gör, hur vi ser och bygger saker och hur vi pratar om dem.

Och naturligtvis har vi hela aspekten av shiller / tokeninnehavare – närmast motsvarande att vara aktieägare. De kan påverka dig och priset på ditt lager (eller i detta fall din symbol). Tyvärr är inte polletter samma som att investera kapital, eftersom människor ständigt vänder dessa poletter. De vill ha det token / projektet / vad som helst att starta och de vill vinna på det.

Vi har denna tendens att behandla DeFi-projekt lite som traditionella företag på vissa sätt – DU får granskningen, DU bevisar du är säker, du betalar räkningarna – men behandlar dem också som superdecentraliserade magiska djur på andra sätt. Detta skapar mycket konflikt.

Vi har skapat denna galna inflytelserika grupp av individer som investerar i dessa tokens och tar stora risker för dessa mycket kortvariga vinster. De kommer att pumpa det. De kommer att bygga bots för det. De kommer att arbitrage det. De kommer att shill, shill, shill det. Och om något går fel kommer samma individer att kämpa med tänder och naglar för att försvara det projektet och trycka på för att få protokoll aktiverade även om de hackades två dagar tidigare. Anledningen till att dessa ”investerare” gör detta är att de redan förlorat X-beloppet och om protokollet inte slås på ASAP kommer de att förlora mer. Så dessa tokeninnehavare, de människor som har pengar i dessa protokoll, de uppmuntras att driva byggarna av dessa protokoll för att sätta på det igen nu.

Det är dåligt.

Så vart går vi härifrån?

Vi måste skydda oss mot de värsta gärningsmännen, de värsta symbolerna och de värsta shillerna – de utan hänsyn till säkerhet och ingen medvetenhet om något dåligt som kan hända. Men vi måste också belöna det goda beteendet, och det saknas just nu.Om det tar två år för MakerDAO att ens komma till testnet är ingen som hej killar, tack så mycket för att du gjorde din flit och tog dig den tid som behövs för att bygga detta komplexa system som kommer att rymma miljarder dollar.

Istället är människor som, ”Duuude det tog dig två år ?! och du är bara på TESTNET? Varför är du inte på mainnet än? ”

Det måste gå. Vi måste bli bättre på att belöna bra beteende. Även om någon glider upp, om de visar att de tar det på allvar och lär sig av felen och vidtar åtgärder på sina misstag, bör de belönas.

Om vi ​​fortsätter att driva ut det onda och dra in oss det goda, allt kommer att bli starkare.

En säkerhetsrevision innebär bara att ett projekt har tillräckligt med pengar för att betala för en revision. Det betyder inte att ett projekt är säkert. Jag kunde prata hela dagen om granskningar och vad de är och vad de är inte. Jag vill bara betona att en säkerhetsrevision är som en tredje parts ögon som kommer in och tittar på din kod. Det är en liten aspekt av en bra säker kultur och ett bra säkert företag.

Om den här ansträngningen är allt du gör för din produkts säkerhet är du inte säker. Och (det borde inte behöva sägas men här är vi) om din granskning kommer tillbaka med en hel massa fel, du måste ta itu med dem för att faktiskt bli säkrare .

Revisorer har fått lite värme på senare tid eftersom deras revisionsrapporter inte kommer ut och säger saker uppriktigt. Deras professionella artighet kräver att du läser mellan raderna men när detta utrymme mognar hoppas jag att vi får fler journalister och forskare som kan översätta dessa komplexa, tekniska dokument till mänskligt språk. Men för tillfället måste vi komma ihåg att en revision är en bra sak som människor måste göra, men det är bara ett steg. Det garanterar inte säkerhet och du bör inte behandla det som ett godkännandestämpel.

Okej, och då vill jag att alla ska försöka vara mer skeptiska. Jag menar när du tittar på ett nytt projekt eller går på DefiPulse och det finns ett namn på ett protokoll som du aldrig har hört förut … istället för att vara upphetsad och omedelbart kasta pengar i det, stanna och tänk:

”Dessa människor vill ha mina pengar. Den här sidan är utformad för att manipulera mig till att ge dem mina pengar. Är det ett bra beslut? Vilka saker behöver jag veta för att kunna fatta det beslutet? ”

Vi måste vara skeptiska och det kommer att ta lite tid. Det är en attitydförskjutning som vi behöver införa i varandra och oss själva, liksom de nykomlingar som kommer in i rymden, eftersom det är de som är mest utsatta för denna typ av saker.

Ställ frågor. Det är en av de mest kraftfulla sakerna som alla i detta samhälle kan göra, oavsett om du är designer, artist, bästa säkerhetsingenjör eller basketbollsspelare! Det spelar ingen roll om du är teknisk.

Känner inte att det är dumt. Det är inte dumt. Även om det är dumt hade någon annan samma fråga, så att du kan vara dum tillsammans. 😉 Men allvarligt, det finns så brist på information i detta utrymme att jag uppriktigt kan säga att det inte finns några dumma frågor. Det finns det verkligen inte.

Här är några exempel:

  • Har de en revision?
  • När utfördes revisionen?
  • Vem gjorde revisionen? Hur länge var revisorerna på den?
  • När kom den live på testnet? Hur mycket volym hanterade den? Har koden ändrats?
  • Var finns dokumentationen? Är det bra?
  • Hur kommunicerar de med människor på sociala medier? Är de transparenta? Slår de ut om du ifrågasätter deras säkerhetskultur?
  • Var är deras test? Hur ofta uppdateras de?
  • Är deras kod till och med öppen källkod?
  • Är deras kod verifierad på Etherscan?
  • Har de en säkerhetsmail?
  • Har de ett bug bounty-program?
  • Vad pratar de mest om på sociala medier eller i samtal? Säkerhet eller nästa stora sak?
  • Har de en säkerhetsingenjör i personalen? Har de fem? Har de 500?
  • Har de några ingenjörer? Är dessa ingenjörer riktiga människor? Så många ICO hade bara falska lagsidor fulla av falska människor – till och med kändisar!

Consensys Diligence bara skrev ett helt inlägg om frågor du borde ställa !

  • Vilka speciella åtgärder kan administratörer vidta?
  • Vilka orakler är ditt system beroende av?
  • Vilka utbyten är ditt system beroende av?
  • Är källkoden för dina kontrakt offentligt tillgänglig?
  • Vad är utbudet av bounty-betalningar?
  • Har du en skriftlig plan som beskriver hur du hanterar en säkerhetsincident?
  • Vilka scenarier beaktar din plan?
  • Var någon del av ditt system utesluten från granskningens omfattning?

… och så många fler. Definitivt läs det .

Socialt tryck är en stark motivator och förmodligen den enda motivatorn som kan motverka de ekonomiska incitamenten som vi pratade om tidigare.

Internt måste vi vara skeptiska. Men externt måste vi visa den skepsisen. Du måste visa dessa projekt på jakt efter pengar vad som betyder något för dig – att du bryr dig om säkerhet och säkerhet och flit. Låt dem ägna resurser för att vara medvetna om de dåliga saker som kan hända.

Jag älskar alltid det när folk frågar om vår integritetspolicy eller granskningar. Granskningar är viktiga krav för mig och mitt team, och vi gör dem för oss själva lika mycket som vi gör för våra användare.

Det är lättare att inte få en granskning eller inte skapa en hotmodell. Det är lättare att kasta Google Analytics på din webbplats. Och det är ännu lättare om ingen bryr sig om dessa saker och det inte finns någon belöning för att göra dem. Den enda belöningen är immateriell. Det är standardläget att ”inte hackas”. Men samhället har makten att belöna människor för de bra val de gör.

Blockchain är faktiskt riktigt fantastisk med incitament. Det är ungefär hela syftet med blockchain. Den byggdes för att skapa denna anmärkningsvärda stimulansstruktur så att alla från var som helst i världen kan vara i samma team. Vilket innebär att vi alla är i samma team. Det betyder att alla som läser detta, oavsett om du bygger något, eller en VD. eller bara titta på drama utspelas på Twitter, du är en del av detta ekosystem. Därför är det ditt ansvar att se till att det finns mer bra än dåligt och mer framgång än misslyckande.

Belöna det goda, sparka ut det dåliga, så har vi alla det bättre. >

Jag heter Taylor Monahan. Jag är grundare och VD för MyCrypto. Vi är alltid på Twitter. Kolla in beta.mycrypto.com och berätta gärna vad du tycker om det eller vad som kan förbättras eftersom vi har jobbat så hårt med det här åt dig. Tack så mycket.

Fler resurser och saker

Säkerhet / smarta kontraktsgranskningar för produkter som nämns ovan

Säkerhet / smarta kontraktsgranskningar av topprevisorer

Lämna ett svar

Din e-postadress kommer inte publiceras. Obligatoriska fält är märkta *