TER:简析BarnBridge：将风险代币化，然后分解再分解_Ternoa

作者：

时间：

作者：北辰

DeFi依旧处在西部淘金热，在不断突破想象的暴富机遇背后，承担的风险也毫不逊色。

在Crypto世界，以Uniswap、Compound、YFI为代表的交易、借贷和资产管理协议已经是成熟的金融基础设施。

金融的本质是价值的跨时间和跨空间交换，显然它们只是实现了最基础的金融服务，而金融的深水区要跟风险打交道——依照不同用户，精准地实现不同程度的风险暴露。

比如传统金融体系就有结构化产品，往往是固定收益产品与风险资产的组合，这是针对高净值用户的私人订制。

越来越多的人开始长期看好DeFi的成长性，但同时又惧怕它的波动性，所以能精准实现风险暴露的产品不出意外将在2022年爆发。

Beosin：ULME代币项目遭受黑客攻击事件简析:金色财经报道，10月25日，据Beosin EagleEye 安全预警与监控平台检测显示，ULME代币项目被黑客攻击，目前造成50646 BUSD损失，黑客首先利用闪电贷借出BUSD，由于用户前面给ULME合约授权，攻击者遍历了对合约进行授权的地址，然后批量转出已授权用户的BUSD到合约中,提高价格ULME价格，然后黑客卖掉之前闪电贷借出的ULME，赚取BUSD，归还闪电贷获利离场。Beosin安全团队建议用户用户取消BUSD对ULME合约的授权并及时转移资金减少损失。[2022/10/25 16:38:21]

正如我们此前无数次强调过的，真正有生命力的Crypto领域的产品，都是以Crypto的方式重构原有的产品。

安全公司：Starstream Finance被黑简析:4月8日消息，据Agora DeFi消息，受 Starstream 的 distributor treasury 合约漏洞影响，Agora DeFi 中的价值约 820 万美金的资产被借出。慢雾安全团队进行分析后以简讯的形式分享给大家。

1. 在 Starstream 的 StarstreamTreasury 合约中存在 withdrawTokens 函数，此函数只能由 owner 调用以取出合约中储备的资金。而在 April-07-2022 11:58:24 PM +8UTC 时，StarstreamTreasury 合约的 owner 被转移至新的 DistributorTreasury 合约(0x6f...25)。

2. 新的 DistributorTreasury 合约中存在 execute 函数，而任意用户都可以通过此函数进行外部调用，因此攻击者直接通过此函数调用 StarstreamTreasury 合约中的 withdrawTokens 函数取出合约中储备的 532,571,155.859 个 STARS。

3. 攻击者将 STARS 抵押至 Agora DeFi 中，并借出大量资金。一部分借出的资金被用于拉高市场上 STARS 的价格以便借出更多资金。[2022/4/8 14:12:38]

如果只是直接照搬传统金融的结构化产品过来，可以有但没必要。但BarnBridge是一款真正用Crypto的方式重构了结构化产品的DeFi协议。

慢雾简析Qubit被盗原因：对白名单代币进行转账操作时未对其是否是0地址再次进行检查:据慢雾区情报，2022 年 01 月 28 日，Qubit 项目的 QBridge 遭受攻击损失约 8000 万美金。慢雾安全团队进行分析后表示，本次攻击的主要原因在于在充值普通代币与 native 代币分开实现的情况下，在对白名单内的代币进行转账操作时未对其是否是 0 地址再次进行检查，导致本该通过 native 充值函数进行充值的操作却能顺利走通普通代币充值逻辑。慢雾安全团队建议在对充值代币进行白名单检查后仍需对充值的是否为 native 代币进行检查。[2022/1/28 9:19:19]

从功能上来看，BarnBridge也可以满足不同风险承受能力的用户，但在实现机制上则完全不同。

Force DAO 代币增发漏洞简析:据慢雾区消息，DeFi 量化对冲基金 Force DAO 项目的 FORCE 代币被大量增发。经慢雾安全团队分析发现：在用户进行 deposit 操纵时，Force DAO 会为用户铸造 xFORCE 代币，并通过 FORCE 代币合约的 transferFrom 函数将 FORCE 代币转入 ForceProfitSharing 合约中。但 FORCE 代币合约的 transferFrom 函数使用了 if-else 逻辑来检查用户的授权额度，当用户的授权额度不足时 transferFrom 函数返回 false，而 ForceProfitSharing 合约并未对其返回值进行检查。导致了 deposit 的逻辑正常执行，xFORCE 代币被顺利铸造给用户，但由于 transferFrom 函数执行失败 FORCE 代币并未被真正充值进 ForceProfitSharing 合约中。最终造成 FORCE 代币被非预期的大量铸造的问题。此漏洞发生的主要原因在于 FORCE 代币的 transferFrom 函数使用了`假充值`写法，但外部合约在对其进行调用时并未严格的判断其返回值，最终导致这一惨剧的发生。慢雾安全团队建议在对接此类写法的代币时使用 require 对其返回值进行检查，以避免此问题的发生。[2021/4/4 19:45:30]

流动性、代币化、可组合性、DAO治理，这一切都有着鲜明的DeFi风格，那么具体是怎么实现的呢？

一、SMARTYield

这是整个BarnBridge最基础的部分，其实也可以理解为债券市场。

用户可以根据自己的风险承受能力，把稳定币存入初级池或者高级池。

对用户来说是有区别的，初级池是高风险且杠杆可变利率，而高级池是低风险且固定利率。

但这些资金流向却是一致的——无论是初级池还是高级池的资金，都进入了Compound和Aave等借贷市场。也就是说，初级池和高级池的实际风险是相同的。

之所以利率不一致，是因为借贷市场的收益总是波动的，一部分人获得固定利率，另一部分人则在行情不佳时补贴前者，或者在行情好的时候收取额外回报。

值得一提的是，用户存入高级池的仓位，会被生成NFT，被称为高级债券，能去二级市场交易，或者用作其他的可组合性用途。到期时可赎回本金和收益，NFT被销毁。

而用户存入初级池的仓位，可以生成ERC-20代币，被称为初级代币，也可以生成NFT，本质上也是到期债权，不过利率不可测。

总而言之，SMARTYield分为初级池和高级池的方式，在产品整体风险一致的情况下，满足了不用用户的需求。

二、SMARTAlpha

刚才介绍的SMARTYield为用户提供了两种不同程度的风险暴露，万一发生极端行情，高级池的用户资产以币本位来看的话依旧有固定收益，但以法币本位来看的话可能缩水很多。