资产风险评估：锚定瑞士法郎的稳定币DCHF及其治理机构Moneta DAO

Protocol Owner 多签最初在 2022 年 9 月 23 日种子发放了 1 亿个 Token。文档列出了种子发放使用的合约，但其中许多已随着 Moneta DAO 的推出而被弃用。Moneta 文档应更新以反映有关财务管理和分配的新决策。以下图表显示了自最初分配以来已返还给所有者多签的资金。

我们还构建了一个 Moneta Dune 仪表板，显示协议所有者多签的链上交易，请参见「MON 收款和流通」。

下图显示了截至 2023 年 4 月 17 日的 MON 实际分配情况。大部分资金已转移到新的 Treasury 多签和 Grizzly.Fi 多签。后者提供给 Moneta DAO 价值 1 百万美元的种子资金，以 USDC、CRV 和 LIT 计价。所有者多签仍然是 Curve 测量奖励、稳定性池激励（CommunityIssuance）和空投的常规资金来源。

合约地址：

Uniswap MON pool (tx)——MON/WETH UniV3 池 

UniV3 rewards vest——MON/WETH 池 LP 的奖励

Team vest——原始团队分配 

lockedMON——新团队成员 @elnilz 的奖励 

Treasury multi-sig——与 Moneta DAO 一起创建的金库 

Grizzly.Fi multi-sig——在 Moneta DAO 创立时筹集了 1 百万美元的种子资金

Moneta DAO: Deployer——Moneta 团队主持的赠品活动 

Curve Gauge Rewards——DCHF 池奖励，每周分配 

CommunityIssuance——稳定性池激励，每月分配 

MON airdrop——GHNY、LQTY 和 Grizzly Freezer 空投；Token 获取通过空投合约进行，从所有者多签分发资金

Treasury 多签目前持有约 50％的所有 Token。在流通供应中，大部分在 MONStaking 合约（17m）和 Uniswap 池（3m）中。由于所有分配都是在 DAO 成立之前并且没有社区参与的情况下进行的，因此可能会对空投提出问题。Grizzly.Fi 社区获得了最多的 Token（11.17m），值得注意的是，核心团队的成员也是 Grizzly.Fi 的联合创始人。这种重叠可能会引起担忧，因为大部分 MON 流通供应来自空投，团队的整体 MON 分配量由于这种空投策略而被遮蔽。

市场和实用性

超过 90％的流通 DCHF 存在于 WBTC/ETH 稳定性池和 Curve DCHF/3CRV 池中。UniV3 DCHF/USDC 池也排名前几，尽管仅占供应的 ~2％。截至 2023 年 4 月，最高地址如下：

目前，DCHF 在两个主要的 DEX 上交易，包括 Uniswap 和 Curve，似乎没有在任何 CEX 上交易。绝大部分流动性存在于 Curve 池中。

历史上，Curve 在 DEX 交易量上领先，尽管近几个月 Uniswap 已经赶上来。以下两个图表分别显示了每日卖出和买入量：

TVL 和未解锁的 DCHF 在 2022 年 9 月的初始发布后下降，自 2022 年 11 月以来，其采用情况似乎相对平稳。

DCHF 在其历史上一直以高于其 CHF 锚定价的价格交易，并且目前的溢价相当大，约为 1.04:1。这并不完全令人惊讶，因为没有可轻松获得的 CHF 可用于套利，而 Liquity 机制允许相当大的偏离锚定价。由于 110％ MCR，上涨的 depeg>1.1 将为用户创造一个即时套利机会，以最大借款金额借入并出售以获利。Liquity 将这视为价格上限。从历史上看，LUSD 也因其保守的抵押选择而在价格上高于锚定价（即使在价格高于锚定价时，套利者可能选择不介入），并且系统的宽松的软锚定价区间。上涨的 depeg 对用户来说不那么令人担忧，但可能会引发关于稳定币实用性的问题。

风险向量

智能合约风险

DCHF 是 Vesta Finance 的分叉，而 Vesta Finance 又是 Liquity 去中心化稳定币协议的一个分叉。尽管 Liquity 是一个经过良好审计的协议，但来自 Vesta 的工程师已经警告过不要分叉这些项目，因为它们的代码凌乱且未经优化，可能没有更新到新功能。尽管有这个警告，DCHF 仍然是 Vesta 的一个分叉，似乎没有努力跟进原始代码库中的更改，可能是由于它们使用了不可升级的合约。

审计

DeFi franc 版本 1.0 经过了 CertiK 和 General IT 的两次审计，后者是由一家外国公司进行的。需要在浏览器中翻译才能解密审计内容。发现了两个关键问题，包括：

1. 可能发生重入攻击：发现了 StabilityPool 和 ETHTransferScript 合约的此漏洞。审计员建议使用「ReentrancyGuard」库，该团队似乎已经通过向私有存储库提交了更改来解决了此问题。

2. 错误的以太币价值：此漏洞出现在 PriceFeed 和 PriceFeedV2 合约中，涉及将「int256」转换为「uint256」，这可能会导致算术溢出。该团队已经考虑了这个问题，但尚不清楚是否已经完全解决了此问题。

还发现了其他四个问题，包括：

1. 违反 ERC-20 标准：此问题已经得到解决。

2. 没有足够的 Gas 来完成所有循环迭代（DoS）：此问题已被考虑在内。

3. 可能会在合约的余额中阻止Token：此问题已被考虑在内。

4. 错误的Token价格：此问题已被考虑在内。

CertiK 审计报告显示，该项目没有未解决的问题和关键问题。以下是一些可能与智能合约之外的额外风险向量相关问题的样例：

GLOBAL-01 | 集中化相关风险：在 AdminContract 中，_owner 角色在几个功能方面拥有广泛的权限，包括影响借款/赎回费用、向稳定性池添加或删除抵押资产、从稳定性池转移资金、更改锁定期或更糟糕的是更改 AdminContract 本身，包括但不限于：

此外，AdminContract 有权在没有社区共识的情况下升级多个合约，包括 SortedTroves、StabilityPool、StabilityPoolManager 和 TroveManager 等。这打开了攻击者更改合约实现并流出 Token 的可能性。

MOT-01 | 初始Token分配（已缓解）：在集中化/特权风险类别中的另一个主要问题涉及在部署合约时将 MON 发送到_treasurySig 地址。这意味着可以在没有社区共识的情况下分配 MON。为了缓解这个风险，该团队已经记录了他们的 Token 经济学和 MON 的分配方式。

GLOBAL-02 | 存储间隙不足（已解决）：多个合约都是可升级的，包括 AdminContract、StabilityPoolManager、TroveManager 等。这意味着需要有存储间隙，以允许添加新状态而不损害现有的部署。作为回应，CertiK 的报告指出该团队已经修改了设计，并选择了不可升级的合约。尽管不可升级的合约可以防止未来的更改可能会影响协议，但系统仍有更新的选项。协议所有者多签仍然可以通过 AdminContract 添加 NewCollateral，或者他们可以通过 DFrancParameters 合约更新参数。

DPK-01 | 输入验证不足（部分解决）：在 dfrancParameters 合约中，setMCR() 和 setCCR() 函数存在一个小型合约风险，可能会导致用户的 MCR 大于 CCR，这将实质上阻止恢复模式的激活。这在部署的代码中没有得到更改。

审计建议

该团队遵循 CertiK 的建议，将特权角色分配给了多签钱包，并过渡到了 DAO 治理/投票模块。金库多签和协议所有者多签（控制 AdminContract）地址可以在这里和这里找到。

CertiK 还建议实施一个时间锁合约，具有 48 小时的延迟，以进行特权操作。该团队已经考虑了这一点，但目前选择不将所有权交给时间锁合约，以保持灵活性。永久解决方案可以是放弃所有权或删除所有者角色对从稳定性池中的抵押资产、转移资金、更改锁定期或更改 AdminContract 的影响能力。这将使 DCHF 的信任假设与 Liquity 保持一致，但会牺牲灵活性，因为无法更改新的抵押类型和价格预言机。

另一种解决方案是引入完全基于链上的治理，由 Token 持有人的 DAO 控制。过渡到 DAO 仍处于早期阶段发展，除了团队外，社区活动非常有限。可能会对 MON 分配的公平性提出问题，考虑到核心金库多签签名者和 Grizzly.Fi 空投接收者之间的重叠。该团队已经设置了一个多签代理地址，并将 AdminContract 的所有权转移到了该地址，向用户提供有关 Token 分配的透明度（转移的证明）。这提供了一个参考，帮助用户检查是否按照广告分配了 MON。

中心化和托管风险

AdminContract 的 4/6 多重签名所有权（以及所有相关的系统合约的所有权）赋予其对关键协议功能的广泛控制权，引发了托管风险的担忧。该团队选择了不可升级的合约，这意味着所有者多签必须通过 AdminContract 添加新抵押品或通过 DFrancParameters 合约更新现有抵押品参数。该多重签名可以：

· 添加新的抵押品类型，包括相关的稳定性池和预言机

尽管审计中发现的中心化风险在一定程度上得到了缓解，但核心团队仍然有大量的特权可以行使。

该团队已将多重签名门槛从 3/6 扩大到 4/6，并添加了 Curve 团队成员（Mimaklas）。他们还过渡到了 DAO，该 DAO 仍处于早期开发阶段。目前，核心团队对 DAO 的有效运作仍然必要。

为了降低托管风险，推荐的下一步是将所有不受时间限制的功能的所有权转移到时间锁合约。没有时间锁的多重签名应该被保留用于紧急操作（暂停 MON 质押/暂停 DCHF 铸造）。长期目标应该是完全采用链上治理或选择通过放弃相关合约的所有权来最小化治理。在此 Google 表格上编制了系统合约的访问控制列表。

治理风险

以下是重要的 MON 持有者概述：

Grizzly.Fi 孵化了 DeFi franc 和 Moneta DAO。团队和顾问被分配了 10％的 Token（1000 万 MON），而 Grizzly.Fi 则获得了 1M 美元的资产（9174312 MON）的资金筹备（来源）。

Moneta DAO 治理中有两个实体：Token House 和 Delegate House。正如上面所讨论的，Moneta DAO Token 持有人将对战略性协议决策（包括 DAO 金库基金的分配、关键风险参数和协议升级）进行表决。然而，在开发的早期阶段，显然缺乏一个明确的过程，让突出的社区成员担任 DAO 内的代表和被许可的角色。

此外，MON 的分配是在形成 DAO 之前进行的，没有社区参与。鉴于没有清晰的代表过程，我们可以认为当前的金库多签签名者和协议所有者代理人是实际的代表。尽管代表执行 Token 持有者的意愿，但这种关系是非约束性的和基于信任的。

尽管 Token 持有者将在战略协议决策中发表意见，但治理的范围仍然不确定。明确的治理流程和代表计划的清晰沟通将是有帮助的。

预言机风险

DCHF 使用 Chainlink 作为其价格提供者。Chainlink 是一个备受推崇的预言机提供商，虽然 DCHF 没有备用预言机。fetchPrice 函数包括一个健全性检查，允许更新之间的最大偏差为 50％，否则将接受上一个良好的价格。由于预言机故障，CHF 可能会定价不准确。这可能会对清算和赎回机制产生负面影响，最终导致潜在的资金损失（来源）。

相比之下，Liquity 将 Chainlink 作为主要预言机，Tellor 作为备份。如果主要预言机更新失败或产生超出指定防护栏范围之外的值，则它将在算法上拒绝主要预言机。该策略旨在确保价格提供可以自主地对黑天鹅事件做出反应，而无需手动干预。另一方面，DCHF 策略可能需要更积极的监控和手动更新，以防预言机发生故障。

脱钩风险

DeFi franc 协议当前发行了 6,694,401 个 DCHF，价值为 1.15 美元，总价值约为 7.6 百万美元，并持有约 17 百万美元的抵押品（ETH 和 wBTC 的组合）。赎回由充足的抵押品支持。

为控制 DCHF 的供应，该协议使用借款和赎回费用。110％的抵押率提供价格下限和上限，套利者有动力维持价格稳定。该协议不依赖于外部 AMM 进行供应扩张或收缩，燃烧/提款金额通过 onchain peg 机制执行。

作为 Liquity 的一个分叉-一个经受住考验的稳定币，破产风险目前较低。然而，Liquity 确实有过长时间脱离锚定>$1 的历史。通过最大化去中心化，它牺牲了可扩展性，并且往往具有与中心化稳定币相比显着不同的软锚定。

Moneta 选择的抵押品（ETH/WBTC）也是相当保守的。我们认为未来 depeg 的最大风险是治理管理不当的可能性。如果低质量的抵押品类型被添加到协议中（例如，协议的本地治理 Token MON 或复杂的衍生资产），这可能会增加失败或操纵基础抵押品的机会，导致系统破产，从而导致脱钩。

用户（借款人）应牢记外部因素，例如传统金融市场中的货币汇率风险。考虑到瑞士法郎对美元贬值，DeFi 反映这种价格变化存在滞后。在 DCHF 对 CHF 的脱离锚定的情况下，假设借款人在借款后将资金换成美元，那么假设重新锚定的前提就被破坏了，借款人有机会以更便宜的利率偿还贷款。在另一种情况下，即 DCHF 脱离锚定超过 1 瑞士法郎（但低于 1.10 瑞士法郎）时，情况就不同了。由于在这种情况下没有直接套利 DCHF 和 CHF 来平衡锚定，唯一可能导致 DCHF 重新锚定回 1 的动态是对向 DeFi 供应 DCHF 的需求。

LlamaRisk 评估标准

中心化因素

1. 是否有可能出现单个实体欺诈其用户？

通过将所有权特权转移给多签名，风险降低了。目前，该多签名设有 4 个签名人设置，其中包括 Curve 团队的成员。但该多签仍可能采取影响用户资金的行动。

2. 如果团队消失了，项目能否继续？

该协议可以在团队缺席的情况下正常运行，但将无法更新系统或应对紧急情况。尽管 DAO 最近已经推出，但仍没有直接的方式让 Token 持有人直接控制协议。

经济因素

1. 该项目的可行性是否依赖于额外的激励？

该协议依赖于其自身的激励来推动流动性到其稳定性池和 Curve 等 DEX。它不依赖于除作为引导工具以外的其他激励。

2. 如果需求明天降至 0，所有用户是否可以得到赔偿？

是的，约有 1700 万美元的 ETH 和 wBTC 抵押品支持了 760 万美元的 DCHF 价值。用户可以明天赎回他们的存款。

安全因素

1. 审计是否揭示任何令人担忧的迹象？

审计没有发现任何关键问题，但标记了一些部分或全部得到解决的重大问题。主要问题是 AdminContract 的过度权限，已将其转移到多签名签署者手中。尽管 DCHF 协议使用不可升级的合约，但它确实具有通过 AdminContract 更新系统或通过 DFrancParameters 合约进行参数更新的途径。

风险小组建议

我们有三项建议，这些建议将有益于 DCHF 生态系统和社区：

1. 更新文档，明确 MON 持有人在治理 DCHF 协议中的战略作用

2. 明确金库/协议多签名在所有相关系统合约中继续具有的津贴/权限，并提供清晰的去中心化路线图。

3. 创建一个可接受的抵押品形式的政策，并为 Moneta DAO 愿意支持的添加抵押品类型的过程。

总的来说，我们认为 Moneta DAO 面临的去中心化挑战对于 DeFi 协议部署的早期阶段来说是典型的。虽然肯定存在风险和不确定性，但我们认为他们的团队已经尽力减轻了相关的担忧。我们希望他们继续行使良好的判断力，当添加任何新的抵押品类型时保持谨慎。我们支持该团队提出为 DCHF/3CRV 池添加 Curve gauge 的提议。

原文链接