資產風險評估：錨定瑞士法郎的穩定幣DCHF及其治理機構Moneta DAO

Protocol Owner 多籤最初在 2022 年 9 月 23 日種子發放了 1 億個 Token。文檔列出了種子發放使用的合約，但其中許多已隨着 Moneta DAO 的推出而被棄用。Moneta 文檔應更新以反映有關財務管理和分配的新決策。以下圖表顯示了自最初分配以來已返還給所有者多籤的資金。

我們還構建了一個 Moneta Dune 儀表板，顯示協議所有者多籤的鏈上交易，請參見「MON 收款和流通」。

下圖顯示了截至 2023 年 4 月 17 日的 MON 實際分配情況。大部分資金已轉移到新的 Treasury 多籤和 Grizzly.Fi 多籤。後者提供給 Moneta DAO 價值 1 百萬美元的種子資金，以 USDC、CRV 和 LIT 計價。所有者多籤仍然是 Curve 測量獎勵、穩定性池激勵（CommunityIssuance）和空投的常規資金來源。

合約地址：

Uniswap MON pool (tx)——MON/WETH UniV3 池 

UniV3 rewards vest——MON/WETH 池 LP 的獎勵

Team vest——原始團隊分配 

lockedMON——新團隊成員 @elnilz 的獎勵 

Treasury multi-sig——與 Moneta DAO 一起創建的金庫 

Grizzly.Fi multi-sig——在 Moneta DAO 創立時籌集了 1 百萬美元的種子資金

Moneta DAO: Deployer——Moneta 團隊主持的贈品活動 

Curve Gauge Rewards——DCHF 池獎勵，每週分配 

CommunityIssuance——穩定性池激勵，每月分配 

MON airdrop——GHNY、LQTY 和 Grizzly Freezer 空投；Token 獲取通過空投合約進行，從所有者多籤分發資金

Treasury 多籤目前持有約 50％的所有 Token。在流通供應中，大部分在 MONStaking 合約（17m）和 Uniswap 池（3m）中。由於所有分配都是在 DAO 成立之前並且沒有社區參與的情況下進行的，因此可能會對空投提出問題。Grizzly.Fi 社區獲得了最多的 Token（11.17m），值得注意的是，核心團隊的成員也是 Grizzly.Fi 的聯合創始人。這種重疊可能會引起擔憂，因爲大部分 MON 流通供應來自空投，團隊的整體 MON 分配量由於這種空投策略而被遮蔽。

市場和實用性

超過 90％的流通 DCHF 存在於 WBTC/ETH 穩定性池和 Curve DCHF/3CRV 池中。UniV3 DCHF/USDC 池也排名前幾，儘管僅佔供應的 ~2％。截至 2023 年 4 月，最高地址如下：

目前，DCHF 在兩個主要的 DEX 上交易，包括 Uniswap 和 Curve，似乎沒有在任何 CEX 上交易。絕大部分流動性存在於 Curve 池中。

歷史上，Curve 在 DEX 交易量上領先，儘管近幾個月 Uniswap 已經趕上來。以下兩個圖表分別顯示了每日賣出和買入量：

TVL 和未解鎖的 DCHF 在 2022 年 9 月的初始發佈後下降，自 2022 年 11 月以來，其採用情況似乎相對平穩。

DCHF 在其歷史上一直以高於其 CHF 錨定價的價格交易，並且目前的溢價相當大，約爲 1.04:1。這並不完全令人驚訝，因爲沒有可輕鬆獲得的 CHF 可用於套利，而 Liquity 機制允許相當大的偏離錨定價。由於 110％ MCR，上漲的 depeg>1.1 將爲用戶創造一個即時套利機會，以最大借款金額借入並出售以獲利。Liquity 將這視爲價格上限。從歷史上看，LUSD 也因其保守的抵押選擇而在價格上高於錨定價（即使在價格高於錨定價時，套利者可能選擇不介入），並且系統的寬鬆的軟錨定價區間。上漲的 depeg 對用戶來說不那麼令人擔憂，但可能會引發關於穩定幣實用性的問題。

風險向量

智能合約風險

DCHF 是 Vesta Finance 的分叉，而 Vesta Finance 又是 Liquity 去中心化穩定幣協議的一個分叉。儘管 Liquity 是一個經過良好審計的協議，但來自 Vesta 的工程師已經警告過不要分叉這些項目，因爲它們的代碼凌亂且未經優化，可能沒有更新到新功能。儘管有這個警告，DCHF 仍然是 Vesta 的一個分叉，似乎沒有努力跟進原始代碼庫中的更改，可能是由於它們使用了不可升級的合約。

審計

DeFi franc 版本 1.0 經過了 CertiK 和 General IT 的兩次審計，後者是由一家外國公司進行的。需要在瀏覽器中翻譯才能解密審計內容。發現了兩個關鍵問題，包括：

1. 可能發生重入攻擊：發現了 StabilityPool 和 ETHTransferScript 合約的此漏洞。審計員建議使用「ReentrancyGuard」庫，該團隊似乎已經通過向私有存儲庫提交了更改來解決了此問題。

2. 錯誤的以太幣價值：此漏洞出現在 PriceFeed 和 PriceFeedV2 合約中，涉及將「int256」轉換爲「uint256」，這可能會導致算術溢出。該團隊已經考慮了這個問題，但尚不清楚是否已經完全解決了此問題。

還發現了其他四個問題，包括：

1. 違反 ERC-20 標準：此問題已經得到解決。

2. 沒有足夠的 Gas 來完成所有循環迭代（DoS）：此問題已被考慮在內。

3. 可能會在合約的餘額中阻止Token：此問題已被考慮在內。

4. 錯誤的Token價格：此問題已被考慮在內。

CertiK 審計報告顯示，該項目沒有未解決的問題和關鍵問題。以下是一些可能與智能合約之外的額外風險向量相關問題的樣例：

GLOBAL-01 | 集中化相關風險：在 AdminContract 中，_owner 角色在幾個功能方面擁有廣泛的權限，包括影響借款/贖回費用、向穩定性池添加或刪除抵押資產、從穩定性池轉移資金、更改鎖定期或更糟糕的是更改 AdminContract 本身，包括但不限於：

此外，AdminContract 有權在沒有社區共識的情況下升級多個合約，包括 SortedTroves、StabilityPool、StabilityPoolManager 和 TroveManager 等。這打開了攻擊者更改合約實現並流出 Token 的可能性。

MOT-01 | 初始Token分配（已緩解）：在集中化/特權風險類別中的另一個主要問題涉及在部署合約時將 MON 發送到_treasurySig 地址。這意味着可以在沒有社區共識的情況下分配 MON。爲了緩解這個風險，該團隊已經記錄了他們的 Token 經濟學和 MON 的分配方式。

GLOBAL-02 | 存儲間隙不足（已解決）：多個合約都是可升級的，包括 AdminContract、StabilityPoolManager、TroveManager 等。這意味着需要有存儲間隙，以允許添加新狀態而不損害現有的部署。作爲迴應，CertiK 的報告指出該團隊已經修改了設計，並選擇了不可升級的合約。儘管不可升級的合約可以防止未來的更改可能會影響協議，但系統仍有更新的選項。協議所有者多籤仍然可以通過 AdminContract 添加 NewCollateral，或者他們可以通過 DFrancParameters 合約更新參數。

DPK-01 | 輸入驗證不足（部分解決）：在 dfrancParameters 合約中，setMCR() 和 setCCR() 函數存在一個小型合約風險，可能會導致用戶的 MCR 大於 CCR，這將實質上阻止恢復模式的激活。這在部署的代碼中沒有得到更改。

審計建議

該團隊遵循 CertiK 的建議，將特權角色分配給了多籤錢包，並過渡到了 DAO 治理/投票模塊。金庫多籤和協議所有者多籤（控制 AdminContract）地址可以在這裏和這裏找到。

CertiK 還建議實施一個時間鎖合約，具有 48 小時的延遲，以進行特權操作。該團隊已經考慮了這一點，但目前選擇不將所有權交給時間鎖合約，以保持靈活性。永久解決方案可以是放棄所有權或刪除所有者角色對從穩定性池中的抵押資產、轉移資金、更改鎖定期或更改 AdminContract 的影響能力。這將使 DCHF 的信任假設與 Liquity 保持一致，但會犧牲靈活性，因爲無法更改新的抵押類型和價格預言機。

另一種解決方案是引入完全基於鏈上的治理，由 Token 持有人的 DAO 控制。過渡到 DAO 仍處於早期階段發展，除了團隊外，社區活動非常有限。可能會對 MON 分配的公平性提出問題，考慮到核心金庫多籤簽名者和 Grizzly.Fi 空投接收者之間的重疊。該團隊已經設置了一個多籤代理地址，並將 AdminContract 的所有權轉移到了該地址，向用戶提供有關 Token 分配的透明度（轉移的證明）。這提供了一個參考，幫助用戶檢查是否按照廣告分配了 MON。

中心化和託管風險

AdminContract 的 4/6 多重簽名所有權（以及所有相關的系統合約的所有權）賦予其對關鍵協議功能的廣泛控制權，引發了託管風險的擔憂。該團隊選擇了不可升級的合約，這意味着所有者多籤必須通過 AdminContract 添加新抵押品或通過 DFrancParameters 合約更新現有抵押品參數。該多重簽名可以：

儘管審計中發現的中心化風險在一定程度上得到了緩解，但核心團隊仍然有大量的特權可以行使。

該團隊已將多重簽名門檻從 3/6 擴大到 4/6，並添加了 Curve 團隊成員（Mimaklas）。他們還過渡到了 DAO，該 DAO 仍處於早期開發階段。目前，核心團隊對 DAO 的有效運作仍然必要。

爲了降低託管風險，推薦的下一步是將所有不受時間限制的功能的所有權轉移到時間鎖合約。沒有時間鎖的多重簽名應該被保留用於緊急操作（暫停 MON 質押/暫停 DCHF 鑄造）。長期目標應該是完全採用鏈上治理或選擇通過放棄相關合約的所有權來最小化治理。在此 Google 表格上編制了系統合約的訪問控制列表。

治理風險

以下是重要的 MON 持有者概述：

Grizzly.Fi 孵化了 DeFi franc 和 Moneta DAO。團隊和顧問被分配了 10％的 Token（1000 萬 MON），而 Grizzly.Fi 則獲得了 1M 美元的資產（9174312 MON）的資金籌備（來源）。

Moneta DAO 治理中有兩個實體：Token House 和 Delegate House。正如上面所討論的，Moneta DAO Token 持有人將對戰略性協議決策（包括 DAO 金庫基金的分配、關鍵風險參數和協議升級）進行表決。然而，在開發的早期階段，顯然缺乏一個明確的過程，讓突出的社區成員擔任 DAO 內的代表和被許可的角色。

此外，MON 的分配是在形成 DAO 之前進行的，沒有社區參與。鑑於沒有清晰的代表過程，我們可以認爲當前的金庫多籤簽名者和協議所有者代理人是實際的代表。儘管代表執行 Token 持有者的意願，但這種關係是非約束性的和基於信任的。

儘管 Token 持有者將在戰略協議決策中發表意見，但治理的範圍仍然不確定。明確的治理流程和代表計劃的清晰溝通將是有幫助的。

預言機風險

DCHF 使用 Chainlink 作爲其價格提供者。Chainlink 是一個備受推崇的預言機提供商，雖然 DCHF 沒有備用預言機。fetchPrice 函數包括一個健全性檢查，允許更新之間的最大偏差爲 50％，否則將接受上一個良好的價格。由於預言機故障，CHF 可能會定價不準確。這可能會對清算和贖回機制產生負面影響，最終導致潛在的資金損失（來源）。

相比之下，Liquity 將 Chainlink 作爲主要預言機，Tellor 作爲備份。如果主要預言機更新失敗或產生超出指定防護欄範圍之外的值，則它將在算法上拒絕主要預言機。該策略旨在確保價格提供可以自主地對黑天鵝事件做出反應，而無需手動干預。另一方面，DCHF 策略可能需要更積極的監控和手動更新，以防預言機發生故障。

脫鉤風險

DeFi franc 協議當前發行了 6,694,401 個 DCHF，價值爲 1.15 美元，總價值約爲 7.6 百萬美元，並持有約 17 百萬美元的抵押品（ETH 和 wBTC 的組合）。贖回由充足的抵押品支持。

爲控制 DCHF 的供應，該協議使用借款和贖回費用。110％的抵押率提供價格下限和上限，套利者有動力維持價格穩定。該協議不依賴於外部 AMM 進行供應擴張或收縮，燃燒/提款金額通過 onchain peg 機制執行。

作爲 Liquity 的一個分叉-一個經受住考驗的穩定幣，破產風險目前較低。然而，Liquity 確實有過長時間脫離錨定>$1 的歷史。通過最大化去中心化，它犧牲了可擴展性，並且往往具有與中心化穩定幣相比顯着不同的軟錨定。

Moneta 選擇的抵押品（ETH/WBTC）也是相當保守的。我們認爲未來 depeg 的最大風險是治理管理不當的可能性。如果低質量的抵押品類型被添加到協議中（例如，協議的本地治理 Token MON 或複雜的衍生資產），這可能會增加失敗或操縱基礎抵押品的機會，導致系統破產，從而導致脫鉤。

用戶（借款人）應牢記外部因素，例如傳統金融市場中的貨幣匯率風險。考慮到瑞士法郎對美元貶值，DeFi 反映這種價格變化存在滯後。在 DCHF 對 CHF 的脫離錨定的情況下，假設借款人在借款後將資金換成美元，那麼假設重新錨定的前提就被破壞了，借款人有機會以更便宜的利率償還貸款。在另一種情況下，即 DCHF 脫離錨定超過 1 瑞士法郎（但低於 1.10 瑞士法郎）時，情況就不同了。由於在這種情況下沒有直接套利 DCHF 和 CHF 來平衡錨定，唯一可能導致 DCHF 重新錨定回 1 的動態是對向 DeFi 供應 DCHF 的需求。

LlamaRisk 評估標準

中心化因素

1. 是否有可能出現單個實體欺詐其用戶？

通過將所有權特權轉移給多簽名，風險降低了。目前，該多簽名設有 4 個簽名人設置，其中包括 Curve 團隊的成員。但該多籤仍可能採取影響用戶資金的行動。

2. 如果團隊消失了，項目能否繼續？

該協議可以在團隊缺席的情況下正常運行，但將無法更新系統或應對緊急情況。儘管 DAO 最近已經推出，但仍沒有直接的方式讓 Token 持有人直接控制協議。

經濟因素

1. 該項目的可行性是否依賴於額外的激勵？

該協議依賴於其自身的激勵來推動流動性到其穩定性池和 Curve 等 DEX。它不依賴於除作爲引導工具以外的其他激勵。

2. 如果需求明天降至 0，所有用戶是否可以得到賠償？

是的，約有 1700 萬美元的 ETH 和 wBTC 抵押品支持了 760 萬美元的 DCHF 價值。用戶可以明天贖回他們的存款。

安全因素

1. 審計是否揭示任何令人擔憂的跡象？

審計沒有發現任何關鍵問題，但標記了一些部分或全部得到解決的重大問題。主要問題是 AdminContract 的過度權限，已將其轉移到多簽名簽署者手中。儘管 DCHF 協議使用不可升級的合約，但它確實具有通過 AdminContract 更新系統或通過 DFrancParameters 合約進行參數更新的途徑。

風險小組建議

我們有三項建議，這些建議將有益於 DCHF 生態系統和社區：

1. 更新文檔，明確 MON 持有人在治理 DCHF 協議中的戰略作用

2. 明確金庫/協議多簽名在所有相關係統合約中繼續具有的津貼/權限，並提供清晰的去中心化路線圖。

3. 創建一個可接受的抵押品形式的政策，併爲 Moneta DAO 願意支持的添加抵押品類型的過程。

總的來說，我們認爲 Moneta DAO 面臨的去中心化挑戰對於 DeFi 協議部署的早期階段來說是典型的。雖然肯定存在風險和不確定性，但我們認爲他們的團隊已經盡力減輕了相關的擔憂。我們希望他們繼續行使良好的判斷力，當添加任何新的抵押品類型時保持謹慎。我們支持該團隊提出爲 DCHF/3CRV 池添加 Curve gauge 的提議。

原文鏈接