На примере Lido, давайте проанализируем, какие риски связаны с протоколом LSD?

?

Оригинальное название: О рисках ЛСД
Оригинальный автор: sacha
Перевод: Цяньвэнь, ChainCatcher

Предисловие

Данная статья является ответом на некоторые мнения Дэнни Райана (в дальнейшем будут представлены конкретные детали).

Обратная сторона факта — это заблуждение, но обратная сторона глубокой истины, вероятно, также является другой глубокой истиной.
------Нильс Бор

В целом, я считаю позицию Дэнни великой. Но я также считаю, что его подход несет в себе такие же значительные риски, которые не были должным образом обсуждены на публике.

Я не считаю, что мнение Дэнни само по себе ошибочно, но я действительно считаю, что его точка зрения не была достаточно четко передана с другой стороны. Именно это и является целью данной статьи.

Введение в двойное управление

Двойное управление — это важный шаг к снижению рисков управления протоколом Lido. Оно представляет собой переход от акционерного капитализма к капитализму заинтересованных сторон. Оно также предоставляет реальный способ, позволяющий держателям эфира участвовать в изменениях протокола Lido.

Его основная цель — предотвратить изменение социального контракта между держателями LDO и держателями stETH без согласия обеих сторон. В настоящее время держатели LDO обладают значительной властью над протоколом, что может привести к серьезным изменениям этого социального контракта. Эти полномочия включают:

• Обновление кода протокола ликвидности эфира
• Управление списком членов комитета оракулов уровня консенсуса эфира
• Изменение распределения долей между операторами узлов (например, добавление или удаление белого списка операторов узлов эфира) потенциально вредным или неожиданным образом
• Изменение структуры управления (например, создание или сжигание LDO, изменение параметров голосования) неожиданным или потенциально вредным образом
• Изменение общего процента сборов протокола ликвидности эфира за пределы согласованных рамок (и определение этих рамок).
• Решение о том, как использовать казну

За исключением расходов из казны, все эти полномочия напрямую влияют на держателей stETH. Двойное управление в корне позволяет держателям STETH отклонять любые из вышеупомянутых изменений протокола Lido, не вводя новых векторов атаки и не создавая чрезмерной политической нагрузки для держателей STETH.

Управление операторами узлов

Дэнни считает:

"Решение о том, кто является оператором узлов (node operator, далее NO), связано с двумя вопросами — кто включается в состав, кто исключается из состава. В долгосрочной перспективе это можно спроектировать одним из двух способов: либо через управление (голосование токенами или другие аналогичные механизмы), либо через автоматические механизмы, основанные на репутации и прибыльности.

В модели, полагающейся на управление для определения NO, токены управления (такие как LDO) становятся основным риском эфира. Если токены могут решать, кто может стать этой теоретической большинством — NO в LSD, то держатели токенов могут принудительно осуществлять цензуру, много-блоковые действия MEV и другие картельные действия, иначе NO будет исключен из состава.

Управление, определяющее NO, также имеет явный риск — риск регуляторной цензуры и контроля. Если под стейкингом в рамках одного LSD протокола находится более 50%, этот стейкинг получит возможность цензуры блоков (что еще хуже, поскольку из-за возможности окончательной проверки этих блоков это число может достигнуть 2/3). В случае атаки регуляторной цензуры у нас теперь есть уникальный субъект — держатели токенов управления, к которым регуляторы могут предъявить требования о цензуре. В зависимости от распределения токенов это может быть гораздо более простой регуляторный объект, чем вся сеть эфира. На самом деле, распределение токенов в DAO обычно довольно плохое, и лишь несколько субъектов определяют большинство голосов."

Двойное управление в значительной степени решает вышеупомянутые проблемы. В частности, если держатели LDO попытаются несправедливо исключить NO из состава, произойдут следующие события:

• Держатели stETH с меньшим кворумом (например, составляющие 5% от общего числа) могут продлить время голосования, чтобы более многочисленные (например, составляющие 15%) могли отклонить это ошибочное решение.
• Если отклонение пройдет, все последующие предложения LidoDAO будут автоматически отклонены (в состоянии отклонения) — чтобы избежать дополнительной нагрузки на голосование для держателей stETH.
• Важно, что только в случае согласия как органов управления LDO, так и участвующих держателей stETH можно восстановить нормальное состояние управления.

В общем, предоставляя держателям stETH право отклонять изменения в настройках NO, держатели LDO не могут в одностороннем порядке принудительно осуществлять цензуру, много-блоковые действия MEV и другие картельные действия, поскольку сами держатели LDO не могут исключить несогласных NO.

Что касается второго беспокойства Дэнни (регуляторная цензура и контроль), распределение токенов stETH совершенно отличается от распределения LDO и более разнообразно. Таким образом, комбинация LDO и stETH лучше защищает от такой цензуры. Она действительно не так широко распределена, как ETH, и не обладает разнообразием распределения пользователей эфира, но это только улучшится со временем.

Выбор NO на основе экономических факторов

Дэнни считает:

"В схеме выбора NO на основе экономики и репутации мы в конечном итоге все равно окажемся в подобной картельной ситуации, хотя и автоматизированной.

Определение списка NO на основе прибыльности может быть единственным бездоверительным (неуправляемым) способом обеспечить, чтобы NO был полезен для пула.

Определение прибыльности является проблематичным… Поскольку экономическая активность системы сильно меняется со временем, дизайн системы не может полагаться только на какой-то абсолютный показатель, то есть необходимо зарабатывать X в виде торговых сборов.

Когда все операторы используют "честные" технологии, этот сравнительный показатель прибыльности может хорошо работать, но если определенное количество недобросовестных операторов начнет использовать разрушительные технологии, такие как много-блоковые действия MEV или изменение времени выпуска блоков для получения большего MEV, они искажут цели прибыльности, что приведет к автоматическому исключению честных NO, если они не используют разрушительные технологии.

Это означает, что независимо от того, какой метод используется — управление NO или экономический выбор/исключение — этот пул, превышающий порог консенсуса, станет картельным уровнем. Либо картель формируется напрямую через управление, либо через проектирование смарт-контрактов, создающих разрушительный прибыльный картель."

Этот анализ кажется слишком бинарным. Для Lido (или эфира) невозможно и нежелательно иметь оба крайности (управление LDO NO или чисто алгоритмический/экономический выбор/исключение).

Двойное управление имеет решающее значение для минимизации рисков злоупотребления картелем. И, как правильно указывает Дэнни, прибыльность является слишком простым показателем, чтобы полностью полагаться на него.

Существует множество важных факторов, которые трудно проверить в цепочке, таких как географическое распределение или разнообразие юрисдикций, что означает, что людям, возможно, всегда придется играть какую-то роль в определенном цикле — хотя, возможно, это в конечном итоге можно упростить до голосования о перераспределении долей между операторами узлов (новыми и старыми) раз в год.

Управленческая схема для стейкинга ETH

Дэнни считает:

"Некоторые считают, что держатели LSD ETH могут иметь голос в управлении своего базового LSD протокола, что может поддерживать несправедливое распределение токенов и олигархизацию.

Здесь стоит отметить, что держатели ETH, как следует из названия, не являются пользователями эфира, и в долгосрочной перспективе мы ожидаем, что количество пользователей эфира значительно превысит количество держателей ETH (которые держат ETH в количестве, превышающем необходимое для совершения транзакций). Это ключевой и важный факт, влияющий на управление эфиром — держатели ETH или вкладчики не имеют прав на управление в цепочке. Эфир — это протокол, который пользователи выбирают для работы.

В долгосрочной перспективе держатели ETH являются лишь подмножеством пользователей, поэтому держатели ETH могут быть лишь одним из подмножеств. В крайних случаях, когда все ETH становятся стейкнутым ETH под одним LSD, голосовой вес или приостановка управления стейкнутым ETH не могут защитить пользователей платформы эфира.

Таким образом, даже если LSD протокол и держатели LSD согласованы в отношении мелких атак и захватов, пользователи не будут и не могут/будут реагировать."

Ответ Hasu в значительной степени решает эти проблемы.

Злая природа управления

Дэнни считает:

"Даже если управление LSD имеет временные задержки, позволяя капиталу состава выйти из системы до того, как произойдут изменения, протокол LSD все равно будет подвержен атакам управления в стиле "потрошения лягушки". Мелкие, медленные изменения маловероятно приведут к выходу вложенного капитала из системы, но система все равно будет претерпевать резкие изменения со временем. Тем не менее, любой механизм управления таков, независимо от того, является ли он неформальным (мягким) или формальным (жестким)."

С точки зрения аргумента Дэнни, небольшие, медленные изменения протокола, управляемые EF, маловероятно заставят DAO/пользователей покинуть эфир, но протокол (и дух) эфира все равно могут претерпеть значительные изменения со временем.

В частности, он может изменить способ протокола, тем самым разрушая социальный контракт ранних вкладчиков.

Хотя я далеко не максималист в вопросах неизменности, я действительно верю, что минимизация управления как философия существует на верхнем уровне мягкого и жесткого управления.

Недостатки жесткого управления уже много раз обсуждались, а мягкое управление также имеет свои проблемы (более тонкие и часто скрытые), касающиеся не признанной/безответственной власти, того, как осуществлять власть без жертвы доверенной нейтральности, и как справляться с вакуумом власти (в случае смерти или трагического инцидента). Это, безусловно, не является панацеей от всех хвостовых рисков.

Иными словами, под мягким управлением обычно существует множество незаметных властей. Непризнанная власть — это безответственная власть. А безответственная власть почти неизбежно приведет к возникновению нежелательных ситуаций в течение достаточно длительного времени.

Гварт однажды написал в твиттере: "Социальное наказание — это когда Джастин Дрейк приезжает к вам домой с большим ножом, отрезает ваш интернет-кабель и говорит вам: "Ты плохой парень.""

Хотя это и юмористическое выражение, оно действительно раскрывает более глубокий потенциальный конфликт между необходимостью поддерживать протокол и централизацией мягкой силы среди ключевых игроков.

Слегка серьезно говоря, Данкрат сказал: "Да, у нас могут быть мнения о том, что вы делаете на уровне стейкинга, и это может включать в себя разрушение вашего протокола и его уничтожение."

Представители пользователей

Дэнни считает:

"Как уже упоминалось, держатели LSD не равны пользователям эфира. Держатели LSD могут принять какое-то голосование по управлению, основанное на цензуре, но это все равно будет атакой на протокол эфира, и пользователи и разработчики будут смягчать эту атаку с помощью средств, которыми они располагают — социального вмешательства."

Мы также можем рассмотреть этот вопрос с противоположной точки зрения.

Почти повсюду мы можем видеть, что решения, ориентированные на пользователей, часто способствуют централизации рынка в различных важных аспектах.

99,9% пользователей, вероятно, не слишком заботятся о формах цензуры, которые не имеют к ним прямого отношения, в то время как большинство вкладчиков в ликвидные протоколы, связанные с эфиром, вероятно, будут заботиться об этом.

Например, большинство пользователей не заботятся и не должны заботиться о географическом распределении узлов эфира или разнообразии юрисдикций, но вкладчики в ликвидные протоколы, связанные с эфиром, определенно будут заботиться об этом и могут предпринять реальные меры для поддержания устойчивости эфира в этих аспектах.

Риски капитала и риски протокола

Дэнни считает:

"Вышеупомянутое обсуждение в основном сосредоточено на рисках, которые пулы LSD (такие как Lido) представляют для протокола эфира, а не на рисках, с которыми сталкиваются те, кто держит капитал в пулах. Таким образом, это может быть трагедией общин — каждый рационально решает использовать протокол LSD для стейкинга, что является хорошим решением для пользователей, но становится все более плохим решением для протокола. Но на самом деле, когда порог консенсуса превышен, риски, с которыми сталкивается протокол эфира, и риски, с которыми сталкивается капитал, выделенный для протокола LSD, связаны между собой.

Картелизация, злоупотребление MEV, цензурные режимы и т. д. представляют собой угрозы для протокола эфира, и пользователи и разработчики будут использовать те же методы, что и для традиционных централизованных атак, чтобы справиться с этими угрозами — через социальное вмешательство для утечек или сжигания. Таким образом, концентрация капитала в этом слое для картелизации угрожает не только протоколу эфира, но и капиталу, который был собран.

Это кажется трудным для серьезного восприятия или может никогда не произойти "хвостовым риском", но если мы что-то и узнали в области криптовалют, так это то, что если этот риск будет использован или будет иметь некоторые маловероятные "критические крайние случаи", то он будет использован или разрушен быстрее, чем вы можете себе представить. В этой открытой и динамичной среде хрупкие системы раз за разом терпят крах, а уязвимые системы снова и снова эксплуатируются."

Как сказал Николай Мушегян, в открытой системе весь мир может взаимодействовать с ней, и стимулы — это не просто рекомендации. Они больше похожи на физические законы, такие как закон притяжения или закон энтропии. Как только хотя бы одна часть системы несовместима со стимулом, ее эксплуатация — это лишь вопрос времени. Любая наивная идея не может снизить этот риск.

Полагание на обязательства для предотвращения плохих акторов откроет двери для хвостовых рисков, которые можно сказать, столь же серьезны, как риски, на которые указывает Дэнни, если не более серьезны.

Самоограничение

Дэнни считает:

"Протокол эфира и пользователи могут восстановиться от централизации и атак управления LSD, но это не будет приятно. Я предлагаю Lido и подобным продуктам LSD самоограничиться в своих интересах и предлагаю распределителям капитала признать присущие риски, связанные с дизайном протокола LSD. Из-за присущих крайних рисков капитал, выделяемый распределителями для протокола LSD, не должен превышать 25% от общего стейкинга эфира. Искусственное наложение ограничений действительно не гарантирует хороших результатов."

На самом деле, искусственные ограничения на ликвидные стейкинговые продукты, вероятно, не приведут к хорошим результатам.

Поскольку период, в течение которого обязательства могут поддерживаться, ограничен.

Конечный результат, вероятно, будет таковым, что стороны, не имеющие возможности оказать влияние на сообщество, победят: ликвидный стейкинг на биржах, институциональных (и лицензированных) стейкинговых продуктах или использование более неизменяемых (и менее устойчивых) протоколов.

Эти идеалистические идеи имеют хорошую отправную точку, но они оторваны от реальности, что является слепым пятном, которое часто возникает у EF. Именно такие ошибки привели к тому, что биржи заняли доминирующее положение до того, как Lido планировала запустить свой продукт.

Дополнение: Общественные продукты очень полезны

Так что же означает мир, в котором Lido побеждает, для будущего общественных продуктов эфира (особенно для роли Lido DAO в содействии этому будущему)?

Как сказал Келвин Фихтер, EF является независимой некоммерческой организацией с закрытой структурой управления, которая не может (и не должна) быть основным координатором общественных продуктов эфира.

Таким образом, я считаю, что хорошие валидаторы — это общественный продукт, который требует финансовой поддержки, EF не должна полагаться на него для предоставления средств (отчасти потому, что ее закрытая структура управления и чрезмерная мягкая сила не могут хорошо разработать надежные нейтральные правила), только успешный протокол ликвидного стейкинга (>50% рыночной доли) сможет позволить себе финансовую неэффективность, необходимую для этого: поддерживать хороший рынок валидаторов, спонсировать дорогих валидаторов, предоставлять поддержку экосистеме, оставаясь при этом прибыльным в долгосрочной перспективе (в течение следующих 100 лет).