EOSホットソース#72 – EOS DeFi：監査とMSIG対出口とエクスプロイト| Dan LarimerがすべてのEOSでライブ9月15日の活力の打ち上げ

このテキストはもともと書かれた EOS Nation CEOイヴ・ラ・ローズ そして Voice.comで公開 9月9日0500 UTC。その全体をここで再発行しています。 

最近、EOS DeFiの領域で多くの動きがあったため、この投稿を書くために自分の考えをまとめようと努めています。私たちからの議論を要約したかった EOS Nation電報グループ あなたにとって読みやすい形式で、また将来の参照で指摘するのに便利なものを持っています。

開示;私はこれを今夜具体的に今夜書くように促されました。

1. トークン所有者は今夜、MSIG許可リストにEOS Nationを追加したプロジェクトは詐欺プロジェクトであると彼らに信じるように連絡しました。
2. EMDプロジェクトの出口が詐欺されているようです。

私の目標は、可能な限り広い範囲に到達することです。したがって、複雑さの点でこれをシンプルに保つようにします。これらの概念を深く理解している人は、私が特定のものを単純化しすぎていると感じるかもしれません。それが私の意図です。

オープンソースの監査

現在、EOSで確認できるのは、契約を監査するか、監査をスキップして本質的に誰でも誰でも監査できる扉を開くコードをオープンソースにするプロジェクトです。どちらにも長所と短所があります。ポイントは、通常どちらか一方を表示する必要があるということです。

レッドフラグとなる可能性があるのは、プロジェクトがどちらも行わない場合です。

また、監査を実行したり、オープンソースのコードを使用したりしても、コード内に問題が発生するリスクは（意図的かどうかにかかわらず）除去されず、リスクの一部が軽減されるだけでなく、大幅に削減されることにも注意してください。ある程度、しかしそれは完全な証拠ではありません。どちらも、最初の基本的な信頼層を構築することにより、トークン所有者との関係を改善する手段です。私が使用しているEOSの監査サービスを提供している会社として、Slowmist、PeckShield、EOS42、Sentnlのいくつかを知っています。これらの4つを使用した経験に基づく私の意見では、彼らは有能で信頼できると考えています。しかし、私はそれを繰り返す必要があります–監査はリスクを取り除きません、それはそれをかなりの程度まで軽減します。覚えておいてください。監査を実行するプロセスは数日間続く可能性があり、コード内の潜在的な抜け穴を閉じることを目的としています。プロジェクトが監査を実行するが、監査されていないコードの異なるバージョンをデプロイする場合、それは意味がありません。デプロイされたコードが監査済みコードのハッシュと一致することを確認してください。通常、監査人は承認の印を付けるときにこれを言及として追加します（つまり、このコードを監査し、デプロイされたコードは監査したハッシュと一致します）。

MSIG VS単一所有者

これはトリッキーなので、ご容赦ください。 MSIGはMultiSignatureの略です。これは、複数の当事者が特定の契約を変更するための要件を追加するだけです。変更は、コードの変更から、コントラクト自体の中からの関数の実行に至るまで、さまざまです。 MSIGは多くの理由で優れています。主な目的は、特定の契約に対して唯一の権限を与えることであり、その所有権を分散化します。

EOSには、MSIGと一緒に活用できる、非常に強力な基本レイヤー許可機能のセットがあります。調整が必要な2つの主なものは、しきい値と重みです。

• しきい値は到達する基準であり、契約に対する権限を持つために達成または超える必要がある具体的な数値です。
• 重みは、各参加者に割り当てられる値です。重みを加算すると、しきい値が満たされているかどうかを判断するときに計算されます。

たとえば、しきい値が3に設定された契約があるとします。権限セットには、それぞれに1の重みが割り当てられた5つのアカウントがあります。アカウントに変更を加えるには、設定されたしきい値を満たすために、これらのアカウントのうち3つが合意している必要があります。

各EOSアカウントには、所有者キーとアクティブキーがあります。

所有者のアクセス許可は、何でも好きなことができます

• アクティブなキーと権限セットの変更を含みます。
• 多くの場合、アクティブな権限はeosio.codeのみです。だから契約自体。

ほとんどのプロジェクトでは、オーナーレベルでMSIGが表示されますが、アクティブレベルである必要はありません。これで結構です。ここで少しトリッキーになります…

すべてのアカウントをMSIG権限リストに追加できます。これには、アカウント所有者からの同意も知識も必要ありません。

何でこれが大切ですか？ 1つは、MSIGdのアカウントを持つことである程度のセキュリティ層が追加されます（前述のように、契約の所有権が分散されます）が、他の基準に従わない場合は表面的である可能性があります。 MSIGアカウントは、契約に問題がないことを本質的に意味するものではありません。

• コードが監査されているか、オープンソースであるかを常に確認してください。
• MSIG参加者が既知で信頼できるエンティティであるかどうかを常に確認してください。
• 設定したしきい値と重みを常に確認してください。コンセンサスに到達するために変更を承認する必要がある他のエンティティの数。

同意の問題では、それはやや無関係です。プロジェクトが手を差し伸べ、特定のエンティティがMSIGの当事者になりたいかどうかを尋ねるのは良い形です（丁寧に見てください）。しかし、ご存じのように、それは必要ではありません。私たちが各プロジェクトを導き、指導し、メンターし、レビューする方法はありません。これを行うことはできません。それを行うのに十分な時間がありません。

MSIGリストにあることは、プロジェクトの本質的な保証ではありません。

EOS Nationでは、トークン保有者と開発者への一般サービスとしての契約の分散化を支援するために、プロジェクトのMSIGリストに含まれることを受け入れる立場にあります。上記の基準が満たされている場合、これによってある程度の範囲内で、たとえば誰も任意に資産を移動できないようにすることができるため、そうすることを受け入れます。ただし、エコシステムが成長し、より多くのプロジェクトが展開されるにつれて、これはもはやスケーラブルではなくなります。したがって、同意は不要であるという私の以前のコメント。ある時点で、プロジェクトが信頼できるエンティティを割り当て、変更を加える必要がある場合または必要な場合にのみ連絡を取ることは避けられません。承認された場合、レビュープロセスはその時点で行われます。注目すべきは、絶対に必要な場合を除いて、通常はコードを変更したくないためです。トークン保有者が私が上で書いたことを理解している限り、これは問題ありません。 MSIGdアカウントは、監査と同様に、リスクがないことを意味するものではありません。これは、リスクを取り除くのではなく、リスクを軽減するための追加の保護層にすぎません。

私はこの記事の特定のタイミングについて開示することからこの記事を始めました。

• 実用性がほとんどなく、コミュニケーションが不十分で、疑わしいトークノミクス、匿名のチーム、および資産評価の低下が見られるプロジェクトは、それを詐欺にはしません。 
• 私の知る限り、EMDは監査されておらず、オープンソースではなく、所有者とアクティブなキーは同じで、MSIGdではありませんでした。これは防げたかもしれません。

お読みいただきありがとうございます。これがこれらの概念に光を当て、エコシステムが次の成長段階に入ったときに情報に基づいた意思決定に役立つことを願っています。

「私たちは宇宙のリーダーの1人として、イノベーションをサポートしています。イノベーションには、高い報酬と高いリスクのチャンスが伴います。一部のプロジェクトは月に到達しますが、いくつかは不十分です。常にそれに応じてリスクを管理してください。」 – BinanceのCEO、Changpeng Zhao氏

免責事項：上記の情報は、投資アドバイス、財務アドバイス、取引のアドバイス、またはその他の種類のアドバイスを構成するものではなく、当社のウェブサイト上の情報は信頼できるものではありません。この情報は一般的な市場の解説としてあなたに提示します。この情報は投資アドバイスやいかなる専門的な財務アドバイスも構成しません。暗号通貨、デジタルトークン、ICO、デジタル資産を購入、売却、保有することはお勧めできません。あらゆる種類のデジタル資産または暗号通貨を購入、売却、または保有する前に、当社はユーザーに自らの適切な注意を払い、有資格の財務アドバイザーに相談することをお勧めします。当ウェブサイトに掲載されている情報に基づいて行われた投資決定について、当社は一切責任を負いません。