Lấy Lido làm ví dụ, phân tích các rủi ro của giao thức LSD là gì?

Tiêu đề gốc: Về những rủi ro của LSD
Tác giả gốc: sacha
Biên dịch: Thiên Vân, ChainCatcher

Lời mở đầu

Bài viết này là phản hồi đối với một số quan điểm của Danny Ryan (sẽ được trình bày cụ thể hơn ở phần sau).

Phản diện của sự thật là sai lầm, nhưng phản diện của một chân lý sâu sắc rất có thể là một chân lý sâu sắc khác.
------ Niels Bohr

Nhìn chung, tôi cho rằng lập trường của Danny là tuyệt vời. Nhưng tôi cũng cho rằng, cách tiếp cận của anh ấy có những rủi ro nghiêm trọng tương tự, và những rủi ro này chưa được thảo luận một cách thích hợp trước công chúng.

Tôi không nghĩ rằng quan điểm của Danny là sai, nhưng tôi thực sự nghĩ rằng quan điểm của anh ấy còn một khía cạnh khác chưa được truyền đạt rõ ràng. Đó chính là mục đích của bài viết này.

Giới thiệu về quản trị kép

Quản trị kép là một bước quan trọng để giảm thiểu rủi ro trong quản trị giao thức Lido. Nó đại diện cho sự chuyển đổi từ chủ nghĩa tư bản cổ đông sang chủ nghĩa tư bản của các bên liên quan. Nó cũng cung cấp một cách thực tiễn để cho phép những người nắm giữ Ethereum có tiếng nói trong các thay đổi của giao thức Lido.

Mục tiêu chính của nó là ngăn chặn việc những người nắm giữ LDO thay đổi giao thức và hợp đồng xã hội giữa những người nắm giữ stETH mà không có sự đồng ý của họ. Hiện tại, những người nắm giữ LDO có quyền lực quan trọng đối với giao thức, có thể dẫn đến những thay đổi lớn trong hợp đồng xã hội này. Những quyền lực này bao gồm:

• Nâng cấp mã giao thức định giá thanh khoản Ethereum
• Quản lý danh sách thành viên của ủy ban oracle của lớp đồng thuận Ethereum
• Thay đổi cách phân bổ cổ phần giữa các nhà điều hành nút theo cách có thể gây hại hoặc không mong muốn (ví dụ, thêm hoặc xóa nhà điều hành nút Ethereum trong danh sách trắng)
• Thay đổi cấu trúc quản trị theo cách không mong muốn hoặc có thể gây hại (như đúc hoặc đốt LDO, thay đổi các tham số của hệ thống bỏ phiếu)
• Thay đổi tỷ lệ tổng chi phí của giao thức đầu tư thanh khoản Ethereum ra ngoài phạm vi đã thỏa thuận (và định nghĩa những phạm vi này).
• Quyết định cách sử dụng ngân khố

Ngoại trừ chi tiêu ngân khố, tất cả những quyền lực này sẽ ảnh hưởng trực tiếp đến những người nắm giữ stETH. Quản trị kép về cơ bản cho phép những người nắm giữ STETH phủ quyết bất kỳ sửa đổi nào đối với giao thức Lido mà không làm phát sinh các điểm tấn công mới, cũng như không tạo ra gánh nặng chính trị quá lớn cho những người nắm giữ STETH.

Quản trị nhà điều hành nút

Danny cho rằng:

"Việc quyết định ai là nhà điều hành nút (node operator, viết tắt là NO) liên quan đến hai vấn đề - ai được thêm vào tập hợp, ai bị loại ra khỏi tập hợp. Về lâu dài, điều này có thể được thiết kế theo một trong hai cách, một là thông qua quản trị (bỏ phiếu bằng token hoặc cơ chế tương tự khác), hai là thông qua cơ chế tự động dựa trên danh tiếng và khả năng sinh lời.

Trong mô hình dựa vào quản trị để xác định NO, token quản trị (như LDO) trở thành rủi ro chính của Ethereum. Nếu token có thể quyết định ai có thể trở thành đa số lý thuyết - NO trong LSD, thì những người nắm giữ token có thể ép buộc thực hiện kiểm duyệt, các hoạt động cartel như MEV đa khối, nếu không NO sẽ bị loại khỏi tập hợp.

Quản trị quyết định NO còn có một rủi ro rõ ràng khác, đó là kiểm duyệt và kiểm soát từ bên ngoài. Nếu một tập hợp dưới một giao thức LSD có hơn 50% vốn được thế chấp, tập hợp đó sẽ có khả năng kiểm duyệt các khối (tệ hơn nữa, do có khả năng xác định các khối này, con số này có thể đạt 2/3). Trong cuộc tấn công kiểm duyệt, chúng ta hiện có một thực thể độc nhất - những người nắm giữ token quản trị, mà các cơ quan quản lý có thể yêu cầu kiểm duyệt. Tùy thuộc vào sự phân bố của token, đây có thể là một mục tiêu quản lý đơn giản hơn nhiều so với toàn bộ mạng lưới Ethereum. Thực tế, sự phân bố token của DAO thường rất tồi tệ, chỉ có một vài thực thể quyết định phần lớn số phiếu."

Quản trị kép phần lớn giải quyết các vấn đề nêu trên. Cụ thể, nếu những người nắm giữ LDO cố gắng loại bỏ NO khỏi tập hợp một cách không công bằng, sẽ xảy ra các tình huống sau:

• Những người nắm giữ stETH với số lượng ít hơn (ví dụ, chiếm 5% tổng số) có thể kéo dài thời gian bỏ phiếu quản trị để những người nắm giữ nhiều hơn (ví dụ, chiếm 15%) có thể phủ quyết quyết định sai lầm này.
• Nếu việc phủ quyết thành công, tất cả các đề xuất LidoDAO tiếp theo sẽ tự động bị phủ quyết (trạng thái phủ quyết) - để tránh tạo thêm gánh nặng bỏ phiếu cho những người nắm giữ stETH.
• Quan trọng là, chỉ khi cả cơ quan quản trị LDO và những người nắm giữ stETH tham gia đồng ý giải quyết xung đột, cơ quan quản trị mới có thể trở lại trạng thái bình thường.

Tóm lại, bằng cách trao quyền phủ quyết cho những người nắm giữ stETH đối với các thay đổi trong việc thiết lập NO, những người nắm giữ LDO sẽ không thể đơn phương thực hiện kiểm duyệt, các hoạt động cartel như MEV đa khối, vì chính những người nắm giữ LDO không thể loại bỏ NO có quan điểm khác.

Về mối lo ngại thứ hai của Danny (kiểm duyệt và kiểm soát), sự phân bố token của stETH hoàn toàn khác với sự phân bố của LDO, và đa dạng hơn. Do đó, sự kết hợp giữa LDO và stETH có khả năng chống lại sự kiểm duyệt này tốt hơn. Nó thực sự không phân bố rộng rãi như ETH, cũng không có sự đa dạng trong phân bố người dùng Ethereum, nhưng điều này chỉ sẽ cải thiện theo thời gian.

Lựa chọn NO dựa trên yếu tố kinh tế

Danny cho rằng:

"Trong phương án lựa chọn NO dựa trên kinh tế và danh tiếng, cuối cùng chúng ta vẫn sẽ rơi vào tình trạng cartel hóa tương tự, mặc dù là cartel hóa tự động.

Việc xác định danh sách NO dựa trên khả năng sinh lời có thể là phương pháp duy nhất không cần tin cậy (không phải quản trị) để đảm bảo NO có lợi cho pool.

Định nghĩa về khả năng sinh lời là một vấn đề… do hoạt động kinh tế của hệ thống thay đổi rất nhiều theo thời gian, do đó thiết kế của hệ thống không thể chỉ dựa vào một chỉ số tuyệt đối nào đó, mà phải kiếm được X phí giao dịch.

Khi tất cả các nhà điều hành đều sử dụng công nghệ "chân thật", chỉ số khả năng sinh lời này có thể hoạt động tốt, nhưng nếu có một số lượng nhất định các nhà điều hành xấu chuyển sang sử dụng công nghệ phá hoại, như MEV đa khối hoặc điều chỉnh thời gian phát hành khối để kiếm thêm MEV, thì họ sẽ làm sai lệch mục tiêu khả năng sinh lời, khiến NO chân thật nếu không sử dụng công nghệ phá hoại cũng sẽ bị loại bỏ tự động.

Điều này có nghĩa là, bất kể phương pháp nào được áp dụng - quản trị NO hoặc lựa chọn/loại bỏ kinh tế - pool vượt quá ngưỡng đồng thuận này sẽ trở thành một lớp cartel. Hoặc là thông qua quản trị hình thành cartel trực tiếp, hoặc là thông qua thiết kế hợp đồng thông minh hình thành cartel sinh lời phá hoại."

Phân tích này cảm thấy quá nhị nguyên. Đối với Lido (hoặc Ethereum), cả hai cực đoan (quản trị LDO NO hoặc lựa chọn/loại bỏ thuần túy dựa trên thuật toán/kinh tế) đều không khả thi và không mong muốn.

Quản trị kép là rất quan trọng để giảm thiểu rủi ro lạm dụng cartel. Hơn nữa, như Danny đã chỉ ra đúng, khả năng sinh lời là một chỉ số quá đơn giản, không thể hoàn toàn dựa vào nó.

Có nhiều yếu tố quan trọng khó có thể xác minh trên chuỗi, chẳng hạn như sự phân bố địa lý hoặc sự đa dạng về quyền tài phán, điều này có nghĩa là con người có thể luôn cần phải đóng vai trò trong một vòng lặp nào đó - tuy nhiên, có thể cuối cùng điều này có thể được đơn giản hóa thành việc bỏ phiếu để cân bằng lại cổ phần giữa các nhà điều hành nút (mới và cũ) hàng năm.

Kế hoạch quản trị ETH được thế chấp

Danny cho rằng:

"Một số người cho rằng, những người nắm giữ ETH LSD có thể có tiếng nói trong quản trị của giao thức LSD cơ bản của họ, từ đó có thể hỗ trợ sự phân bổ không công bằng và sự hình thành tài phiệt.

Cần lưu ý rằng, những người nắm giữ ETH không nhất thiết là người dùng Ethereum, và về lâu dài, chúng tôi dự đoán số lượng người dùng Ethereum sẽ vượt xa số lượng người nắm giữ ETH (những người nắm giữ ETH nhiều hơn số lượng cần thiết để thúc đẩy giao dịch). Đây là một thực tế quan trọng và then chốt ảnh hưởng đến quản trị Ethereum - những người nắm giữ ETH hoặc người gửi tiền không có quyền quản trị trên chuỗi. Ethereum là một giao thức mà người dùng chọn để vận hành.

Về lâu dài, những người nắm giữ ETH chỉ là một tập con của người dùng, do đó, những người nắm giữ ETH thậm chí chỉ là một tập con trong số đó. Trong trường hợp cực đoan khi tất cả ETH trở thành ETH được thế chấp dưới một LSD, quyền bỏ phiếu trong quản trị ETH được thế chấp hoặc bị đình chỉ sẽ không bảo vệ người dùng của nền tảng Ethereum.

Do đó, ngay cả khi giao thức LSD và những người nắm giữ LSD đồng thuận về các cuộc tấn công và bắt giữ nhỏ, người dùng cũng sẽ không và không thể/ sẽ không phản ứng."

Phản hồi của Hasu đã giải quyết phần lớn những vấn đề này.

Bản chất xấu xa của quản trị

Danny cho rằng:

"Ngay cả khi quản trị LSD có độ trễ thời gian, dẫn đến vốn tập hợp có thể rút khỏi hệ thống trước khi có sự thay đổi, giao thức LSD vẫn sẽ chịu các cuộc tấn công quản trị kiểu "nấu ếch". Những thay đổi nhỏ, chậm chạp khó có thể dẫn đến việc vốn đầu tư rút khỏi hệ thống, nhưng hệ thống vẫn sẽ trải qua những thay đổi mạnh mẽ theo thời gian. Dù sao đi nữa, bất kỳ cơ chế quản trị nào cũng đều như vậy, cho dù chủ yếu là không chính thức (mềm) hay chính thức (cứng)."

Nhìn từ góc độ ngược lại của lập luận của Danny, những thay đổi nhỏ, chậm chạp của giao thức do EF thúc đẩy khó có thể khiến DAO/người dùng rút khỏi Ethereum, nhưng giao thức Ethereum (và tinh thần của nó) vẫn có thể trải qua những thay đổi lớn theo thời gian.

Đặc biệt, nó có thể thay đổi cách thức của giao thức, từ đó phá vỡ hợp đồng xã hội của những người đóng góp sớm.

Mặc dù tôi không phải là người tối đa hóa tính không thay đổi, nhưng tôi thực sự tin rằng, việc tối thiểu hóa quản trị như một triết lý, tồn tại ở phía thượng nguồn của quản trị mềm và cứng.

Những bất lợi của quản trị cứng đã được bàn luận nhiều, trong khi quản trị mềm cũng có những vấn đề riêng (tinh vi hơn và thường bị che giấu), liên quan đến quyền lực không được công nhận/không chịu trách nhiệm, cách thức thực hiện quyền lực mà không hy sinh tính trung lập đáng tin cậy, và cách xử lý khoảng trống quyền lực (trong trường hợp xảy ra cái chết hoặc tai nạn thảm khốc). Điều này chắc chắn không phải là thuốc tiên để loại bỏ tất cả các rủi ro đuôi.

Nói cách khác, dưới quản trị mềm, thường có rất nhiều quyền lực không được biết đến. Quyền lực không được công nhận chính là quyền lực không chịu trách nhiệm. Và quyền lực không chịu trách nhiệm gần như chắc chắn sẽ dẫn đến những tình huống không lý tưởng trong một khoảng thời gian đủ dài.

Gwart đã từng tweet rằng "hình phạt xã hội là Justin Drake cầm dao đến trước cửa nhà bạn, cắt đứt dây mạng máy tính của bạn, chỉ vào bạn và nói 'bạn là kẻ xấu.'"

Mặc dù đây là một cách diễn đạt hài hước, nhưng nó thực sự tiết lộ một mâu thuẫn tiềm ẩn sâu sắc hơn, đó là sự cần thiết phải duy trì giao thức và sự tập trung quyền lực mềm trong các tác nhân chính.

Nói một cách nghiêm túc hơn, Dankrad đã nói: "Vâng, chúng tôi có thể có ý kiến về những gì bạn làm ở tầng thế chấp, điều này có thể bao gồm việc làm gián đoạn giao thức của bạn và phá hủy nó."

Đại diện người dùng

Danny cho rằng:

"Như đã đề cập ở trên, những người nắm giữ LSD không tương đương với người dùng Ethereum. Những người nắm giữ LSD có thể chấp nhận một số hình thức bỏ phiếu quản trị dựa trên kiểm duyệt, nhưng điều này vẫn là một cuộc tấn công vào giao thức Ethereum, và người dùng cùng với các nhà phát triển sẽ giảm thiểu cuộc tấn công này bằng các phương tiện mà họ nắm giữ - can thiệp xã hội."

Chúng ta cũng có thể nhìn nhận vấn đề này từ góc độ ngược lại.

Hầu như ở mọi nơi, chúng ta có thể thấy rằng, các quyết định do người dùng dẫn dắt thường khuyến khích sự tập trung thị trường ở nhiều khía cạnh quan trọng.

99,9% người dùng có thể không quá quan tâm đến các hình thức kiểm duyệt kịp thời mà họ không có mối liên hệ trực tiếp, trong khi hầu hết các nhà đóng góp cho các giao thức thanh khoản gắn liền với Ethereum có thể quan tâm đến điều này.

Ví dụ, hầu hết người dùng không quan tâm và cũng không nên quan tâm đến sự phân bố địa lý của các nút Ethereum hoặc sự đa dạng về quyền tài phán, nhưng các nhà đóng góp cho các giao thức thanh khoản gắn liền với Ethereum chắc chắn sẽ quan tâm và có thể thực hiện các biện pháp thực tế để duy trì tính linh hoạt của Ethereum trong những khía cạnh này.

Rủi ro vốn và rủi ro giao thức

Danny cho rằng:

"Cuộc thảo luận trên chủ yếu tập trung vào rủi ro mà pool LSD (như Lido) gây ra cho giao thức Ethereum, chứ không phải rủi ro mà những người nắm giữ vốn trong pool phải đối mặt. Do đó, đây có thể là một bi kịch chung - mọi người một cách hợp lý quyết định sử dụng giao thức LSD để thế chấp, điều này là một quyết định tốt cho người dùng, nhưng lại là một quyết định ngày càng tồi tệ cho giao thức. Nhưng thực tế, khi vượt quá ngưỡng đồng thuận, rủi ro mà giao thức Ethereum phải đối mặt và rủi ro mà vốn được phân bổ cho giao thức LSD phải đối mặt là liên kết với nhau.

Cartel hóa, lạm dụng MEV, chế độ kiểm duyệt, v.v. đều là những mối đe dọa đối với giao thức Ethereum, và người dùng cùng với các nhà phát triển sẽ áp dụng các phương pháp tương tự như các cuộc tấn công tập trung truyền thống để đối phó với những mối đe dọa này - thông qua can thiệp xã hội để rò rỉ hoặc đốt cháy. Do đó, việc tập hợp vốn vào lớp này để cartel hóa không chỉ đe dọa giao thức Ethereum mà còn đe dọa cả vốn đã được tập hợp.

Điều này có vẻ là một "rủi ro đuôi" khó có thể nghiêm túc xem xét hoặc có thể sẽ không bao giờ xảy ra, nhưng nếu chúng ta đã học được điều gì trong lĩnh vực tiền điện tử, đó là - nếu rủi ro này có thể bị khai thác hoặc có một số "tình huống biên" khó xảy ra, thì nó sẽ bị khai thác hoặc sụp đổ nhanh hơn bạn nghĩ. Trong một môi trường mở và động như vậy, các hệ thống dễ bị tổn thương liên tục sụp đổ, và các hệ thống yếu đuối liên tục bị khai thác."

Như Nikolai Mushegian đã nói, trong một hệ thống mở, toàn bộ thế giới có thể tương tác với nó, động lực không chỉ là một gợi ý. Chúng giống như các định luật vật lý, như trọng lực hoặc định luật entropy. Chỉ cần có một phần nào đó trong hệ thống không tương thích với cơ chế động lực, việc bị khai thác chỉ là vấn đề thời gian. Bất kỳ ý tưởng ngây thơ nào cũng không thể giảm thiểu rủi ro này.

Dựa vào cam kết để ngăn chặn những kẻ xấu sẽ mở ra cánh cửa cho rủi ro đuôi, và rủi ro đuôi có thể nói là nghiêm trọng như rủi ro mà Danny đã nhấn mạnh, thậm chí còn nghiêm trọng hơn.

Tự hạn chế

Danny cho rằng:

"Giao thức Ethereum và người dùng có thể phục hồi từ sự tập trung và tấn công quản trị của LSD, nhưng điều này không đẹp. Tôi đề xuất rằng Lido và các sản phẩm LSD tương tự tự hạn chế vì lợi ích của chính họ, và khuyên những người phân bổ vốn nên công nhận rủi ro tập hợp vốn vốn có trong thiết kế giao thức LSD. Do rủi ro cực đoan vốn có, số tiền mà những người phân bổ vốn phân bổ cho giao thức LSD không nên vượt quá 25% tổng số ETH được thế chấp. Việc áp đặt hạn chế nhân tạo thực sự không thể đảm bảo sẽ có kết quả tốt."

Thực tế, việc hạn chế nhân tạo các sản phẩm thế chấp thanh khoản rất có thể sẽ không mang lại kết quả tốt.

Bởi vì thời gian mà cam kết có thể duy trì là có hạn.

Kết quả cuối cùng rất có thể là các bên không thể tác động đến cộng đồng sẽ thắng: thực hiện thế chấp thanh khoản trên các sàn giao dịch, các tổ chức (và các sản phẩm được cấp phép), hoặc áp dụng các giao thức khó thay đổi hơn (và có tính linh hoạt kém hơn).

Những ý tưởng lý tưởng này có xuất phát điểm tốt, nhưng lại tách rời thực tế, giống như những điểm mù thường xuất hiện ở EF. Chính những sai lầm này đã dẫn đến việc các sàn giao dịch chiếm ưu thế trước khi Lido lên kế hoạch ra mắt.

Bổ sung: Sản phẩm công cộng rất có lợi

Vậy, thế giới mà Lido chiến thắng có ý nghĩa gì đối với tương lai của các sản phẩm công cộng Ethereum (đặc biệt là vai trò của Lido DAO trong việc thúc đẩy tương lai này)?

Như Kelvin Fichter đã nói, EF là một tổ chức phi lợi nhuận độc lập, có cấu trúc quản trị khép kín, không thể (và không nên) trở thành người điều phối chính cho các sản phẩm công cộng của cộng đồng Ethereum.

Do đó, tôi cho rằng một người xác thực tốt là một sản phẩm công cộng cần được hỗ trợ tài chính, EF không nên phụ thuộc vào điều này để cung cấp tài chính (một phần lý do là cấu trúc quản trị khép kín và sức mạnh mềm vượt trội của nó không thể xây dựng các quy tắc trung lập đáng tin cậy), chỉ có một giao thức thế chấp thanh khoản thành công (>50% thị phần) mới có đủ không gian tài chính để chịu đựng sự kém hiệu quả tài chính cần thiết để làm điều này: duy trì một thị trường xác thực tốt, tài trợ cho các xác thực tốn kém, cung cấp hỗ trợ hệ sinh thái, trong khi vẫn có thể có lợi trong dài hạn (trong 100 năm tới).