Waliwali live访谈是Wali finance旗下的访谈栏目，畅谈区块链行业领袖的前沿理念和前沿趋势，并与数十家区块链媒体平台达成战略合作。瓦力社区为瓦力现场采访提供了100万社区用户的流量支持，可以为采访对象带来更好的媒体宣传。
受邀参加本期《瓦利瓦利》的特邀演讲者是；MERCurity金融凯文，核心开发者。
MERCurity金融它是一个开放的、AMM驱动的dif平台，为DeFi提供基础设施。汞掉期是一种自动化的数字资产交换和流动性协议，是汞金融的子协议。汞掉期中的LP代币引入汞金融生态系统的贷款/保险/合成资产协议中，将大大提高LP的资金利用效率。
本期现场访谈的主题是：如何防范DeFi项目中的闪贷攻击？
以下为访谈记录（略为删节，不改变初衷）
主持人：比特币再创新高，市场上也有长有短的争论。作为加密货币的投资者，你怎么看？
凯文：自从我进入这个行业，了解到比特币之后，我坚信比特币的市场价值会越来越高，因为它的独特价值。
今年10月中旬以来，比特币的价格从1万元涨到19500元，接近突破2万元再创新高。本轮牛市的特点非常明显，主要是因为国际主流金融机构开始大量买入比特币，如灰阶、支付宝等，由此引发了一轮机构牛市行情。美国已有超过11家上市公司购买了比特币。除了与加密货币行业相关的几家熟悉的基金平台和公司外，MicroStrategy和squre可能是今年比特币交易市场最大的惊喜。8月11日和9月15日，MicroStrategy分两批购买了38250件比特币，包括手续费在内的总支出为4.25亿美元。2020年可以称为加密货币机构的第一年。
此外，这一涨幅与12月17日的牛市有很大不同。这一轮出售的BTC大多已被冷藏，永远不会有“再见日”。同时，与三年前相比，更多的买家具备专业的投资素养、长远的眼光和持仓的决心。
因此，随着越来越多的机构进入加密货币领域，整个加密货币市场的市值将不可避免地再创新高。可以乐观地期待2021年的大牛市，届时比特币将升至5万美元甚至10万美元。
不过，短期来看，比特币继续大幅上涨，获得了不少利润空间，高位盘整略显乏力。在接下来的几周内可能有修正的风险。
关注短期风险，布局中长期货币，坚定持有，应是目前较好的策略。
主持人：大家都在说大蛋糕在吸血，但DEFI领域的锁定并没有明显减少。为什么？
凯文：
据最新数据显示，DEFI的总锁定量已达170亿美元，从年初的7亿美元增加到如今的170亿美元，而且还在不断上升。即使DEI的挖矿热已经下降，它仍然在稳步增长。
德福总TVL的井喷式增长是由于7月份yfi等项目的增长，然后在8月和9月DFI各挖矿项目中加速增长。
采热降低后，TVL稳定增长的原因有三个
1Defi真正解决了区块链领域的需求。目前，DeFi项目中锁定头寸最多的项目有三类，即贷款类、交易类和财务管理类。这三类产品满足了去中心化理财领域的三大现实需求，使得大量资金愿意留在相应的产品中，而不是一次到位。
2DeFi的应用创新层出不穷，潜力巨大。近三个月来，新的DeFi协议，如保险、债券、期权等，使得更多愿意尝鲜的基金进入这个领域，引入新的流量。下一步，会有更多传统的理财理念和玩法，这些都将“DeFi”打造出更多有趣的产品。
3DeFi-lock的长尾效应。在DeFi的早期，大量用户不知道如何使用去中心化的钱包和DEX，这阻碍了DEI锁定仓库数量的增长。随着更多用户的进步，DeFi的增量也越来越多，新鲜血液的加入进一步促进了锁定量。
主持人：下一个在DeFi领域的机会是什么？
凯文：DeFi有很多部门，包括贷款、交易、财务管理、保险、债券、合成资产、期权等。前三类相对成熟，也有龙头项目，如复合、AAVE、makerdao、Uniswap、synthetix、yfi等。
随着近期安全事件的增多，保险显然是市场上急需的产品。然而，在一些主流的保险项目中，存在着各种各样的问题。例如，nexus mutual需要在社区投票要求赔偿，而选票掌握在几个大家庭手中。因此，nexus实际上是一种半中心化的保险，许多保险单无法获得赔偿。
另一个可能的机会是将传统金融概念引入区块链领域，如优劣势债券，可以有效划分高风险和低风险用户，带来更丰富的应用场景，解决更复杂的问题。
主持人：您能和我们分享一下如何找到财富密码吗？
凯文：你永远赚不到你知道的钱。认知决定你的财富。在加密货币领域，同样适用。而且这个领域有两大特点，技术和理念非常新颖，更新速度非常快。因此，如果你想在这个领域获得足够的财富，你必须不断学习和跟踪。例如，在这一轮DFI挖矿中，由于缺乏这方面的学习，许多人未能第一时间参与。
其实，我也在不断的学习。在从相关社区和文章中了解到yfi后，我开始认真学习DeFi的相关知识，并开始投资相关矿业。当时，联合国全球信息平台上有许多高质量的潜在货币，需要更多的研究来区分和参与。包括以往流行的poca系统、存储系统，也需要储备相关知识，才能实现合理的投资。
因此，关注优质社区，跟随行业发展，不断学习，你就会掌握找到财富密码的方法。
主持人：profi领域经常出现安全问题。作为一名专业的开发人员，您如何看待安全问题？
凯文：安全性可能是DeFi项目需要面对的最大挑战。今年4月，借给我这个平台（去中心化金融力量项目的一部分）遭到黑客攻击，损失了2500万美元。Dforce使用从复合体复制的代码，缺乏必要的审查，几乎没有安全检查或审计，并且不是为响应智能合约中的潜在漏洞而设计的。
黑客攻击暴露了德力团队缺乏完整的智能化合同质量管理和研发体系以及风险预警机制。
如何控制安全风险？在我看来，我们应该内部严格控制代码质量，对外严格审查代码，并奖励代码漏洞。
首先，项目内部的原始编码和模拟测试是确保安全性的基础。编写测试和迁移脚本是保证智能合约安全性和质量的一种快速有效的方法。为了提高代码覆盖率，我们使用mainnetfork-Ganache进行仿真测试、代码简化和连续集成测试。通过以上措施，提高团队代码质量。
其次，选择一家精通DeFi技术的安全审计公司来帮助进行安全审计，将有助于发现在编码阶段可能被忽视的潜在问题。
最后，群众的力量是巨大的，在社区的帮助下，代码漏洞奖励计划发布了。邀请白帽黑客社区的成员奖励他们发现的安全漏洞。这将有助于发现和解决大量潜在的安全漏洞，从而降低黑客攻击的风险。
主持人：你是MERCurity金融核心开发者，你能给粉丝们介绍水星吗？
凯文：水星是一个开放的、可互操作的dif平台。汞协议由若干子协议矩阵组成。每个子协议都是独立的、可插拔的、可组合的、相互协作的。
目前，它包括以下五个子协议：
汞交换协议
汞排放协议
汞保险协议
汞债券协议
汞合成资产协议
一方面，mERCury通过链上的智能路由连接DeFi的流动性，共享流动性和金融服务。另一方面，汞促进了DeFi的每个流动池成为一个可规划的基金，使每个流动池社区化，使每个流动池实现社区自治，成为汞生态的动态组成部分。
MERCury促进社区力量实现创新应用和新市场，充分赋予社区权力并调动工业力量，这将为用户创造独特的价值。
水星社区的使命：让金融服务更便捷。
如果您对mERCury DeFi matrix感兴趣，请关注我们的媒体：https://medium.com/mERCurityfinance。
主持人：水星是如何通过NFT+Dao来打造行业护城河的？
凯文：目前的DeFi项目的同质性非常严重。很多用户的资金完全是逐利的。我们不讨厌这种行为，但我们仍在考虑如何持续地授权用户资产。在这里，我们使用NFT+Dao模式来持续授权用户。我们认为非金融交易的作用是引入新的资产。与原有区块链资产相比，mERCury可以通过引入美国国债、黄金等各类非金融交易资产，增加mERCury Defi平台的资产类别，一站式解决用户的实际资产需求。
然而，道是水星的另一个杀手。笛福的分权财政更加公平公开，法典就是法律。因此，我们的项目治理是反映项目方水平的问题。我们积极鼓励MEE代币持有人参与社区治理，共同发展MEE社区生态。在我们的实际工作中，我们也发现很多用户的建议都非常专业和真诚。对于类似的合作战略和费率战略，mERCury愿意与用户合作，改善整个汞生态系统。
主持人：最近发生的一次奶酪安全事故与汞类似。你如何预防这些问题？
凯文：为了讨论这个问题，我们首先要了解“科学家”是如何利用闪电贷款袭击奶酪银行的。首先，攻击者首先通过dydx闪电贷款借给21000以太坊，然后用Uniswavv2将50块湿币兑换成107000块奶酪银行代币。此时，奶酪单价为0.00047以太/块，攻击者还剩20950以太。接下来，攻击者以Uniswapv2抵押107 ETH，使用2000张支票和78 ETH提供交易流动性，并获得uniswavv2 LP凭证。UNI_2;V2 LP凭单是流动性提供者（LP）在Uniswapv2上提供流动性并提取相应资产的唯一质押凭证。此时，攻击者还有20871 ETH，攻击者进一步将获得的抵押品Uni_2;V2 LP凭证转换为ssusd_2;V2凭证，这一步骤有利于攻击者以Uni_v2LP凭证作为抵押品，在cheese bank上借贷稳定币；随后，攻击者用20000以太坊换了288张uniswavv2000张支票，这一步会影响uniswavv2上奶酪池的平衡，进而抬高奶酪的价格。此时奶酪单价为0.069以太/块（比之前0.00047以太/块的价格高出145倍），攻击者拥有871以太（含交易费用）。cheese单价的增加可以有效地提高cheese bank中的抵押uni值V2 LP的值，帮助攻击者增加在cheese bank中的加密资产借用量。值得注意的是，cheese bank使用uni作为移动矿池，v2 cheese ETH中的wETH数被用来衡量对应uni_v2lp证书的价格，攻击者通过提高uni的v2 LP凭证的价格可以有效地借给更多的USDC、USDT和Dai。最后，攻击者在Uniswap v2中将288000个奶酪转换成19980以太坊（包括手续费）。为了弥补出借的21000以太坊，攻击者将5.8万美元兑换成132以太坊，剩下的871以太坊（包括交易费）退还给dydx闪贷。一切似乎从未发生过。
一般来说，攻击者通过重置V2 LP代金券的价格预测机价格来操纵uni。
对于汞，为了避免类似问题，我们将采取各种措施。
1只推出主流货币贷款产品，不支持小货币。
2预言机采用DEX和CEX的加权平均价格，消除了异常价格，使攻击者难以控制货币价格。
3对大额交易进行预警，及时发现并填补漏洞。
主持人：闪电贷最近也很火爆。你觉得怎么样？
凯文：近年来，闪电贷款引发的袭击事件屡见不鲜。例如，原始协议稳定币ousd被闪电贷款暴露和攻击。像harvest finance、Akropolis、value DeFi和cheese bank等项目也受到闪电贷款的攻击。其中300万美元损失了300万美元。
闪电贷款是DeFi生态学的一个应用。我们知道DeFi有很多优点，但同时也存在结构缺陷。Defi需要过度抵押，这意味着资金利用率非常低。“闪贷”允许借款人无抵押借款，大大提高了资金利用率。
闪贷是在一个连锁交易中，即一个区块完成贷款和还款，无需抵押物。闪贷的功能是保证用户不需要抵押来实现还贷，即如果资金不归还，交易将恢复，即取消之前执行的所有操作，从而保证协议和资金的安全。
因为链上的一笔交易可以包含多个操作，开发者可以在贷款和还款之间加入其他的链条操作，这使得这样的贷款更有想象力，同时也埋下了巨大的安全风险。
很多用户利用闪电贷借、换、存、借大量代币，人为操纵代币价格。这是一种常见的雷击。
自BZX攻击以来，闪电贷款攻击频繁发生，但闪电贷款攻击并不是DeFi生态系统真正的系统根源风险。闪电贷款攻击的根本原因是预言机攻击，这通常只是对预言机的攻击。预言机是连接链上和链外数据的中间件。由于预言机网络去中心化，多家交易所之间的交易量和流动性存在差异，增加了预言机攻击的风险。
事实上，很多闪电贷款攻击都不涉及区块链和智能合约的任何安全问题，这使得闪电贷款攻击很难避免，当攻击发生时，项目也没有多少时间做出反应。许多闪电贷款套利事件的前提是，不同指数之间存在价差。
因此，如果你想防止闪电贷款，你需要采取相应的补救措施。有几种方法可以尝试：
一是从控制价差的角度出发，在不同交易所之间建立价格同步机制或采用相同的价格预测器，可以降低套利事件发生的概率；二是从实施套利事件的智能合约角度来看，对涉及大量交易的交易采取额外的核查步骤或增加此类交易的交易成本，将减少套利事件的发生。三是只支持主流货币和较深货币，这将增加操作价格的难度。
主持人：您对未来五年DeFi和flash loan的发展有什么看法？
凯文：DeFi堪称区块链应用史上的第三次重大突破。
第一个突破是比特币，它利用密码学、共识机制、对等网络、激励机制等巧妙的应用，在没有第三方参与的情况下完成价值转移。目前，已经基本实现了价值存储和转移的初级阶段，这是最耀眼、最成功的第一次突破。
第二个突破是以太坊，在虚拟机中加入EVM，增加了智能合约的功能，使得加密货币不仅具有价值存储和传输功能，而且具有可编程的应用功能。创造了更丰富的应用场景和可能性。
而DeFi可以看作是第三次突破。虽然它有各种各样的问题，但已经初具规模，并有增长的潜力。
未来五年，DeFi将成为传统金融的一个大试验场。通过将各种金融理念转化为DeFi，将创造出一个更加丰富和全面的金融体系，并始终发挥低成本、反审查和可组合性的特点。
在行业内，将有更多的爆炸性产品和更多的领先项目，并将逐步应用到每个人的日常生活中。走出圈子，从DeFi转向传统的金融应用场景可能是未来五年的任务。
因此，展望未来，传统金融和德福两大市场力量将相互学习、相互融合，发展壮大德福将是一项重大的历史使命。
至于闪贷，我在前面的问题中已经说过，这是一个让人又爱又恨的家伙，在提高资金利用率的同时，也带来了巨大的安全风险。
相信贷款机制会更加稳定，对用户更安全。它可以大大降低闪电贷款的安全风险，同时也能起到提高资金利用率的作用。
主持人：感谢mERCury和Kevin在采访中的参与和支持！
最后，我要感谢所有战略合作媒体对瓦力财经（不分级别）现场采访的大力支持：黄金金融、硬币世界、火星金融、区块科技、panews、陀螺金融、coinvoice、chain node、world chain finance、ostrich blockchain、blocklike、lieyun finance、chaincircle，tokenclub，星际地平线，coin Xiaobai，dappx and sermon Economy，芥末圈，米林金融，零点金融，sosob，莲香金融，博链金融，蚂蚁链金融，宏链金融，加密谷，链号分支，北博，热链全球资讯，快链头条，数字货币，中本金融，联珠阁金融、41金融、长庆金融、第一站金融、多米金融、麦耀邦、海兴街区、米友金融、经国、中越财经、三点金融、星传媒、联运金融、麦田金融、btc123、联湖金融、硬币马文、运河金融、硬币永宝、联安金融、曲率地带运动、安付通，货币牛、坐标信息、十里郎金融、ear金融、TOP、coinon、Difference、货币价值金融、磁链金融、拉宝君、链宝、币糖国际、加密金融、比特币金融京旺、区块链总线、goodbp、瓜皮理论、连锁思乡、成瘾FN.com网站、大夏区块链，陆上学习社会、教父财经、贝塔俱乐部、链游玩家、新金融、魔术师头条、牛市商学院、区块龙门阵、连锁投资金融、浪潮之声，联都网、北书区块链、飞云理论、支点访谈、一登社区、蓝皮书金融、，万厦信息联岛、黑洞区块链、莫引擎、币圈华格、联牛金融、hubox、丰林财经的大力支持！
同时，我也要感谢群星电视台和硬币泡泡蜂为这次现场采访提供的技术支持。
文章标题：对话Mercurity金融核心开发者凯文：如何防止项目中的闪贷攻击
文章链接：https://www.btchangqing.cn/148694.html
更新时间：2020年11月26日
本站大部分内容均收集于网络，若内容若侵犯到您的权益，请联系我们，我们将第一时间处理。
