DAO：没有老板的公司，以及它怎么被一秒钟搬空
来源: lucifer的网络博客 ·
大家好，我是 Lucifer。之前写 DePIN 的时候，我随口带过一句”通过 DAO，你可以用 token 投票决定网络升级”。当时一笔带过，但这句话背后其实站着一种完整的组织形态——它没有 CEO、没有董事会、没有财务总监，金库里的钱却比很多上市公司还多。这就是今天的主角：DAO，去中心化自治组织。 先剧透一个真实结局。2022 年 4 月，有人对这种”没有老板的公司”下手了：一分钟前他还是个穷光蛋，靠闪电贷借来约 10 亿美元的投票权，投完票、搬完金库、把票原样还回去，前后约 13 秒，净落袋近亿美元。他利用了几个代码漏洞？零。偷了谁的私钥？没有。他走的完全是正规流程：提案、投票、执行，一步一步，手续齐全。Beanstalk 协议金库里约 1.82 亿美元，就这么被”合法地”搬空了。 这篇文章咱们就把这件事讲透：DAO 到底怎么运转？为什么能被一秒钟搬空？防御方手里那几张牌又怎么打？照例，全程用 Python 模拟关键过程，建议你亲手跑一遍——治理这件事，光看懂没用，得亲眼看到攻击的净利润那个数字，你才会记住”公示期”三个字值多少钱。
常见问题
什么是 DAO：没有老板的公司，以及它怎么被一秒钟搬空？
DAO：没有老板的公司，以及它怎么被一秒钟搬空 is a 文章 discovery curated from lucifer的网络博客. 大家好，我是 Lucifer。之前写 DePIN 的时候，我随口带过一句”通过 DAO，你可以用 token 投票决定网络升级”。当时一笔带过，但这句话背后其实站着一种完整的组织形态——它没有 CEO、没有董事会、没有财务总监，金库里的钱却比很多上市公司还多。这就是今天的主角：DAO，去中心化自治组织。 先剧透一个真实结局。2022 年 4…
如何访问或体验此内容？
You can experience this content directly on its original host (lucifer的网络博客) by clicking the "Open Original" button.
此内容来源于哪里？
Curated from lucifer的网络博客 by the OnSuggest team to surface the most interesting and serendipitous content on the web.
相关发现
所有 科技 发现 →无常损失：当 LP 到底亏不亏，把账算清楚
前面两篇文章，我们把”把币存进池子当 LP”这件事讲得热血沸腾： 《Web3 金融的基石 - Swap 和 Staking》 用 x·y=k 从零搭了个池子，亲眼看着手续费一分一分进账； 《当下流动性池分析》 又盘点了各家池子的设计，从 Uniswap V2 一路看到 Curve。看起来当 LP 就是”躺赚手续费”，稳得很。 但如果你真去当过 LP，大概率经历过这样的时刻：ETH 从 3000 涨到 6000，你打开钱包一看，仓位总价值确实涨了——可隔壁拿着币啥也不干的朋友，涨得比你多得多。你安慰自己”至少我还有手续费”，然后心里隐隐有个声音：我该不会……亏了吧？ 这个声音有名字，叫 无常损失 （Impermanent Loss，IL）。先别急，别急着去搜定义，我们用一个摆摊的比喻把它钉在墙上： 你和朋友合伙摆摊。你出 1 个 ETH，朋友出 3000 USDT，凑成一份 6000 美元的货，放进摊子的收银台。这个摊子是程序控制的，脾气写死在代码里： 只要价格一动，它就自动”卖掉涨得多的、收进跌得多的” 。ETH 涨了？摊子根本不等你想，先把涨了的 ETH 卖给排队的客人；ETH 跌了？摊子反手往里收贬值的币。等你俩哪天散伙清点，把手里的东西折成钱，跟”当初不摆摊、俩人死拿着资产不动”比——总是少一截。 少的那一截，就是无常损失。 大部分文章讲到这里就跑路了，丢下一句”LP 会亏一
夏普比率：怎么判断一个策略是真好还是运气好
大家好，我是 Lucifer。今天聊一个做量化的人天天要面对的问题：回测报告里的夏普比率，到底是本事，还是运气。 你大概率经历过这个瞬间：Freqtrade 回测跑完，终端哗啦啦吐出一堆指标——总收益、夏普比率、索提诺比率、卡玛比率、最大回撤……大多数人只盯着收益率那一行，眼睛发直，手已经悬在”实盘启动”按钮上了。稍微冷静一点的会瞟一眼 Sharpe 1.8，然后开始灵魂拷问：1.8，算”策略很强”，还是算”我菜到看不懂”？ 《小菜的交易系统》 里说过，一套交易系统必须”可量化”——进场理由要量化、出场条件要量化，绩效同样要量化。量化绩效量化的是什么？不只是”赚了多少”，而是 每一份收益背后，你扛了多少惊吓 。这套体系叫风险调整后收益指标，本文用纯标准库 Python（random / statistics / math）把它们挨个算一遍，所有代码和数字都是真实运行的。最后回答那个终极问题：你的夏普，是本事，还是猴子掷飞镖。
上新币之前，先做这五项检查：Rug Pull 与貔貅盘识别
在 Web3 里买新币，死法基本就三种，而且个个经典。第一种叫 硬 rug ：项目方直接把流动性池撤空卷款跑路，代币瞬间归零，从”因为相信所以看见”到”查无此币”只需要一笔交易。第二种叫 软 rug ：团队握着大份额代币按兵不动，看起来岁月静好，然后每天精准砸一点，温水煮青蛙，你甚至说不清自己是哪天死的。第三种最阴，叫 貔貅盘（honeypot） ——以只进不出的上古神兽命名：你买得进，卖不出，要么卖出直接 revert，要么卖出税高达 99%，1000 USDT 进去，50 USDT 出来，”客服”还会劝你长期持有必有回报。 很多人觉得识别这些骗局需要深厚的合约功底，其实不需要。发币的门槛低到令人发指：一段二三十行的 ERC-20 模板代码，复制粘贴改个名字，五分钟上线，全部成本就是几美元的 Gas 费。门槛越低，骗子密度越高。所以”上新币之前先做检查”不是选修课，是必修课——你不检查合约，合约就会检查你的钱包。 这篇文章不讲大道理，只讲五项买前检查：流动性安全、合约权限、卖出模拟、持仓分布、团队背景。每项都配一个菜市场、买房、相亲级别的类比——你哪怕记不住术语，把类比记住也能躲掉大半的坑——外加”为什么 + 怎么查”，最后用三段纯标准库的 Python 代码把检查思路自动化。学完至少能躲开 80% 明晃晃的坑，剩下 20% 属于 《合约安全审计入门》 的专业范畴，那篇是审计工程
合约安全审计入门：读不懂 Solidity，也能看懂审计报告
还记得 《我是一个区块链黑客（第一篇）》 结尾那份防范清单吗？最后一条写着”定期审计合约代码”——一句话打发了价值几十万美元的行业服务，堪称全文最省钱的一条建议。无独有偶，聊 DeFi 保险的 《DeFi 保险：谁来保护你的链上资产？》 更直接，把”审计次数”列进了协议风险评分表。 那么问题来了：审计到底是什么？谁在审？报告怎么读？普通人能不能自己跑两下？本文就回答这四个问题。 先把心态立正： 审计不是保险单 。这话怎么理解？想想体检。体检报告只能告诉你”抽血那天的你”状态如何，不能保证你一年不生病；车过了年检，上了高速照样可能爆胎。被多家审计公司轮番体检过的协议也一样——Euler Finance 审过不止一轮，2023 年 3 月还是被闪电贷攻击卷走 1.97 亿美元（后来黑客退还了大部分，堪称行业奇观）。原因并不神秘：审计是时间盒（time-boxed）内的抽检，不是数学证明。几个工程师花一两周，对着几万行代码找毛病，找到的是”他们能找到的”，而不是”不存在的”。 本文按四个问题展开：漏洞长什么样、审计怎么跑、报告怎么读、以及你自己怎么动手。读不懂 Solidity 没关系——审计报告本来就不全是写给程序员的，普通用户才是最该会读它的人。看完至少能看懂报告；看得懂代码更好，文末有个一百来行的玩具扫描器等你复现。
账户抽象：把 EOA 升级成智能合约账户
先说一个很多人都遇到过的尴尬：钱包里躺着几百 USDC，想转一点给朋友，界面却弹出一行字——“ETH 余额不足，无法支付 gas”。你明明有钱，却连手续费都交不起，像揣着一沓现金站在只收硬币的售货机前。更绝望的是另一种场景：抄助记词的那张纸丢了。没有”忘记密码”，没有客服，没有申诉入口，链上资产从此变成一座纪念碑。 这些尴尬不怪钱包 App 做得烂，怪以太坊账户模型的”出厂设置”。 《Web3 的入口 - 区块链钱包》 里介绍过的私钥账户叫 EOA（Externally Owned Account，外部账户），你可以把它理解成 一把钥匙管一切的旧式机械门锁 ：一把钥匙就是全部，丢了就完了，没有挂失，没有备用方案。而 账户抽象（Account Abstraction，AA） 想干的事，说白了就一件： 把这把旧门锁换成智能门锁 ——账户从”一把私钥”升级成”一段可编程的合约”，”怎么验身份、怎么付 gas、怎么执行”，全由代码说了算。 熟悉我的朋友应该知道，我经常从零实现一些东西帮助理解，本文照例代码驱动：先用 Python 模拟 ERC-4337 里一个 UserOperation 从提交到结算的完整生命周期，再模拟社交恢复与 guardian 串通攻击，中间穿插 EIP-7702 的机制讲解，所有输出均为真实运行结果，纯标准库，复制即可跑。