警惕，你可能玩了假的DeFi
編者按：本文來自巴比特資訊（ID：bitcoin8btc）編者按：本文來自
巴比特資訊（ID：bitcoin8btc）
巴比特資訊（ID：bitcoin8btc）
編者按：本文來自
巴比特資訊（ID：bitcoin8btc）
編者按：本文來自
原文作者：Hasu
巴比特資訊（ID：bitcoin8btc）
，作者：Hasu，譯者：灑脫喜，經授權發布。
寫在前面：
原文作者：Hasu
二級標題
DeFi如何在治理與存款安全之間取得平衡？
在7月25日-8月6日這段時間，yearn.finance開發者Andre Cronje控制了4000萬美元的客戶資金；
二級標題
大多數用戶並沒有意識到，所有重治理的協議，比如yearn.finance、Compound或者Aave，或多或少都存在託管資金的問題；
二級標題
自7月中旬推出治理代幣YFI以來，yearn.finance的人氣激增，雖然其代幣因公平推出而受到稱讚，但市場普遍存在一種誤解，即很多人會認為資金是由YFI代幣持有者，或者至少是由代表他們利益的多重簽名錢包所控制的。
二級標題
控制器
YFI代幣持有人可以就新提案進行投票，這些投票是非正式的，當一項提案獲得批准時，yearn.finance的開發者Andre Cronje就會去實施它。與此相對的Compound，是先實施提案，然後通過正式投票激活。
二級標題
自7月21日開始，9名YFI社區利益相關者，通過6-of-9多重簽名的方式控制了額外YFI代幣的鑄造；
有一名控制者負責所有的投資決策，因此他實際上相當於控制了客戶資金；
為了了解資金的保管方式，我們就需要了解金庫和策略。金庫基本上是存放投資者資金的盒子，而策略則是執行投資策略的智能合約，例如將幣借給年化收益最高的貨幣市場。任何人都可以部署它們，但要分配人們的錢，金庫必須與特定的策略相連接。
你可以在這裡首先，調用setStrategy函數：
這裡
在下一步中，你會在金庫中調用earn，這會調用控制器的earn函數：
這裡
二級標題
這裡
二級標題
簡而言之，控制器可以設置每個金庫的策略，也可以更改現有金庫的策略。
二級標題
二級標題
控制器的這種功能，允許進行非常簡單，但十分強大的攻擊。在任何時候，它都可以決定將金庫與耗盡所有客戶資金的策略連接起來。策略可以簡單到將這些資金轉移到對手控制的賬戶上，而對於用戶來說，不會有警告或反應的時間。
二級標題
與常規的管理密鑰（admin key ）攻擊向量一樣，主要的風險不一定是Andre Cronje本人變成惡意者，而是這個管理密鑰被第三方所竊取。
二級標題
Andre Cronje本人的反應
通過這個操作，他將金庫資金的控制權交給了社區控制的多重簽名錢包，並將他自己作為一個風險因素排除在外。
二級標題
但實際上，我並不是打算讓Andre Cronje放棄對資金的控制權。協議以這種方式建立，是有充分理由的，在不同的時區等待9位社區持有者中的6位，會給平台的運行增加大量的開銷和延遲，因此，這會導致：
對於新金庫和策略的原型製作，顯然會變得更加困難；
