這兩天接連出現了兩起非法所得巨額資金被退回的事件。
一件是一位礦友通過OKEX交易所轉了一筆20萬USDT的款給合作夥伴，結果轉錯到別人的地址上去了；另外一件就是前天轟動幣圈的Venus平臺差點被擼走1億羊毛的事情。
當然我們已經知道這兩件事結果都被圓滿解決，最終財歸原主。但是從事件發展的過程看，中間一定都經歷了許多曲折，當事人也一定經受了一段時間的煎熬。
從一些社群中我們看到很多同學的思考和總結，這可能是這樣的意外事件帶給我們最大的收穫吧。
今天我們就一起來弄清楚這些事故發生的原因，以及給帶給我們的啟示。
第一件事其實比較簡單，是因為當事人轉錯帳導致，而意外收到20萬U（相當於100多萬軟妹子）的同學在驚喜之後，迅速進行了提幣到其他交易所併購買成ETH，然後提到個人錢包的操作。
當然遭受損失的付款人和沒有收到款的合伙人採用了一些手段，比如收集到對方的聯繫方式，估計也向收到意外之財的兄弟施加了一些壓力，最終對方還是把20萬USDT轉回給了付款者，然後付款者也付了2萬人民幣作為酬謝。
從結果上看還是比較圓滿。
第二件事就比較複雜了，引起的轟動也要大很多。
整個事件總結一下就是14號中午有人在幣安智能鏈BSC上最大的借貸平臺 Venus 中用4.5億個CAN做抵押，借走了價值1個多億美金的3000個BTC和7000個ETH，導致 Venus 平臺上的BTC和ETH資產基本被掏空。
上圖是14號下午5點過事件發生之後雪兒從Venus平臺上截的圖，可以看到當時BTCB（BTC跨鏈映射到BSC上的名稱）的流動性只剩下13.18美金，已經被掏空了，ETH當時還有5.48萬美金，也所剩無幾。
下圖是每晚幣看更早一點時候的截圖，發在微博上的時間是下午三點過，當時BTCB的流動性還有2.66萬美金。
而那天平臺上BTCB的存款總共是將近1.32億美金，ETH存款總金額是3000萬美金。
也就是說到雪兒截圖的時候，被人借走的BTC是1.31億美金，還有2995萬美金ETH。
這個數據跟社群中很多同學統計的數據不太符合，估計這些借出的BTC和ETH中並非全部都是CAN的事件中被借出的，可能有些是其他人的正常借貸。
上面就是事件的基本情況，接下來我們要來聊的是平臺上的幣被借走，跟普通用戶有什麼關係，為什麼用戶會那麼緊張？
直接原因是這些BTC和ETH都是用戶的，是他們存款在Venus平臺上，那麼如果這些幣被當做羊毛擼走了，就意味著用戶的錢被擼走了。當然責任肯定不在用戶身上，但是因為池子裡面沒有流動性，那麼用戶要提出自己的存款當然也就提不出來了。
就像銀行沒錢，你存在銀行的錢也提不出來一個道理。
上圖是昨當天下午Venus電報群裡的用戶聊天，大家其實都不知道這個CAN是個什麼來頭，對一個誰都不知道的新幣怎麼可以借出這麼多最值錢的幣來，大家也是一頭霧水。
但是他們擔心的是這麼多的BTC被借出去，自己的存款會提不出來。
造成這種情況的一個直接原因，是類似的點對點借貸平臺的其中一個設計原理，就是借貸池子中的流動性（可以直接理解為資金，比如BTC, ETH, USDT等數字資產）絕大部分是由用戶提供，方式就是向平臺存款獲取利息。
而借款的人是通過向池子的智能合約進行借貸，雖然存款人和借款人之間沒有直接的接觸，但是他們之間的關係本質上就是債權人和債務人的關係，只不過這種債權和債務關係都是轉而與平臺的智能合約進行締結。
其實相當於智能合約提供了借貸人之間的擔保。
雖然有這一層擔保關係，但是用戶必然也會擔心，因為錢是自己的，如果借款人不歸還借款，借出去的錢追不回來，智能合約（確切地說是平臺）也真的沒錢可賠，那麼平臺上就只剩下一堆沒有價值的垃圾幣CAN， 損失還得用戶自己承擔。
以上我們說清楚了第一個問題：平臺上的BTC被借空跟存款的用戶有什麼關係。
接下來說第二個相關的問題，也是這件事中最重要的一個因素：這樣的事為什麼會發生？
這得從去中心化借貸平臺的另一個機制：借貸抵押說起。
其實這是從傳統金融中借鑑過去的思路，我們從銀行貸款都需要拿出值錢的東西做抵押。一般來講如果沒有流動性好的抵押品，普通人是無法從銀行借到款的。
目前去中心化的借貸平臺絕大部分借貸業務也是採用這種思路，而且是採用超額抵押的方式。也就是抵押品的價值要大於借貸出去的資產價值，用超過借款金額的抵押資產來規避借款人不償還貸款的風險。
其實這個機制中還有一個規避借款不還風險的設計，就是能夠作為抵押品的資產類別，在數字資產借貸平臺，主要指的就是能夠用作抵押品的幣種類型。
比如我們知道的三大借貸平臺，MakerDao, AAVE，Compound 對用作抵押品的資產都有非常嚴格的要求，並不是任何幣種都可以用來抵押進行借貸的。
只有那些經過市場檢驗，價值被廣泛任何，價格不容易貶值，或者價格比較穩定，流動性好，容易變現的優質幣種才能擔此重任。
因為需要在出現用戶不歸還借款，或者抵押品價格大幅下跌時能夠快速賣出抵押品，用所得的收入來償還借款，以免存款用戶的資產受到損失。
目前MakerDao平臺能夠用作抵押品的幣種為19個，AAVE為20個，Compound為11個。都需要經過社區投票，達成共識，慎重選出來的幣種才能進入抵押品清單。
我們來看一下Venus用作借貸抵押的CAN是個什麼樣的情況。
下圖是項目方 Swipe 6天前在海外媒體Medium上官宣的Cannon 代幣 CAN的點火引爆發售（公募）計劃。
官宣中提到的一個非常重要的內容就是公募的時間，是2021年1月14號格林尼治時間零點，相當於北京時間早上8點。
也就是說CAN是出事當天才上線的一個新幣種，完全不具備我們前面提到的作為抵押品的資產屬性，比如經過市場檢驗，價值被廣泛認可，價格穩定或者具有良好升值特性，流動性好變現容易等。
這樣性質的資產成為抵押品就為事故的發生埋下了第一個坑。
導致事故的第二個坑是這個幣的經濟模式。
上圖的官宣英文說明中能看出CAN的分配，發售和釋放規則。
總量為10億個，分兩次發售
第一次是之前就已經完成的思慕，數量為8億個，價格為0.02美金。這一部分的鎖倉時間為1年，但是這一年鎖倉只是限制出售，卻允許CAN立即參與到去中心化金融（DEFI）協議中，也就是說這8億個CAN可以隨時進入DEFI平臺參與DEFI活動。
第二次售賣就是14號的公募，數量為1億個，價格同樣是0.02美金。這部分CAN是通過Swipe的錢包進行發售，購買時需要用Swipe的代幣SXP進行支付。估計這部分CAN應該是沒有鎖倉要求，可以直接進行流通的。
從官宣內容看，一共出售的CAN為9億個，還剩一億個應該是留在項目方手中。
但是從昨天的電報群聊天記錄看到，項目方的財庫中擁有的CAN數量為3億個，也就是說思慕部分中有2億個是進入了項目方的財庫。
可以說允許思慕部分的CAN立即進入DEFI協議參與金融活動是促成這次事故的第二個原因。
在CAN公開發售之後不久，北京時間 8:36 Venus就在推特上發布支持CAN作為抵押資產進行借貸的官宣。推文表示用戶可以用CAN來存款和抵押進行借貸，同時還可以賺取挖礦收益。
很顯然發售僅僅幾十分鐘就被列入抵押品清單，這麼短時間是不可能經過社區投票和共識的，因此這個決定應該是項目方直接作出並立即執行的。
將完全新發的，沒有任何流動性，還不具備價值基礎的幣種列為借貸抵押品是這次事故的第三個原因。
分析到這裡，可能大家會問，
Venus作為一個借貸平臺為什麼會允許一個完全還不具備價值的新幣作為抵押品，這不是在為自己挖坑嗎？
這就要回到Cannon這個項目，其實它背後的項目方跟Venus的項目方都是同一家公司Swipe 錢包。這是一個做數字資產錢包，以及Visa 借記卡的支付平臺，它已經可以支持美元和歐元區的用戶用Visa卡自由交易數字貨幣，並使用Visa卡用數字貨幣進行消費購物。
只不過 Cannon 做的方向是資產跨鏈，比如將BTC跨鏈到BSC鏈上，或者把以太坊鏈上的資產橋渡到BSC上來。
上圖的官宣文章提到 Cannon 是Ren的一個分叉項目，因此橋接比特幣應該是它擅長的業務。 這也說明Cannon是以太坊鏈上的一個項目，因為Ren是基於以太坊開發的。
這個內容也就回答了為什麼Venus能夠允許剛剛發行出來的CAN作為借貸平臺的抵押品了。
既然CAN是以太坊鏈上的資產，那麼要進入BSC鏈上參與DEFI活動，必然要通過跨鏈的方式才能進得來。而我們知道進入BSC鏈上的CAN多達4.5億個。
可能我們還得問一個問題，這麼大數量的資產，在這麼短的時間跨到另一個鏈上可以這麼暢通無阻嗎？
實際上，Cannon針對以太坊的去中心化跨鏈還沒有開啟，這一點可以從Venus昨天在問題解決之後發布的事件說明公告中看出。
公告陳述了「買家」通過Venus平臺擼羊毛的那一段經過。平臺將CAN列入抵押清單，但是CAN的去中心化跨鏈橋還沒有修通，因此 Swipe 的OTC平臺特意開通了CAN從以太坊去往BSC的通道，來幫助用戶把CAN從以太坊鏈上運輸到BSC上。
也就是說「買家」是通過Swipe 的OTC中心化服務將這麼多CAN運輸到BSC上來的，顯然這需要經過Swipe 工作人員的審核。
能夠順利通過審核，原因是這個「買家」是Swipe OTC平臺的老客戶，當然也是CAN 的思慕金主。而且按照Venus的這份公告，這4.5億CAN都是出自這位老客戶，也就是說他一個人就買下了CAN所有資產的45%份額。
這樣的經濟模式估計會驚呆了所有小夥伴，反正我是被驚呆了。一個人擁有一個項目45%的代幣，就算這一次不出事，以後他也完全可以隨心所欲地操控CAN的幣價啊。
我們說回來，在這位老客戶兼CAN的超級大買家將抵押CAN借到的BTC和ETH拿出來，想要提出BSC，轉到自己的以太坊和比特幣地址的時候，同樣是Swipe OTC平臺的小夥伴們成功幫他完成的跨鏈。
也就是說，這一次1億多美金的羊毛，是 Swipe 自己幫著一個老客戶來擼凸自己的。
除了上面的這些原因，能夠讓這位超級羊毛黨得手的原因還包括CAN上線之後的價格暴漲。上圖是14號從Venus平臺截的，顯示當天CAN的價格為0.35美金。
而思慕價格是0.02美金，上線就暴漲了17.5倍。相當於羊毛黨用了17.5倍杆槓，只花費了17.5/1的本金，就用垃圾幣借到一筆巨額的高價值幣。
可見Venus平臺的借貸參考價格也是有問題的。
還有一個問題，Venus給 CAN設定的借貸係數是60%。而這位老客戶轉過去的是4.5億個CAN，按照0.35美金的價格，價值1.575億美金，如果能夠借出來的資產價值比例為60%，那麼理論上他能借到0.945億美金的資產。
也就是他把所有的額度都用來借出BTC和ETH了，而我們從最開始的截圖中看到，當天系統中的BTC已經被借空了，ETH也只剩幾萬美金。可能你也想問
這個平臺怎麼可能允許一個用戶借出這麼多的資產，難度就沒有額度限制嗎？
現實中我們可能把銀行中所有資產都借出來嗎?
很顯然，這又是一個漏洞，平臺為什麼不設定一個借貸上限呢？對某個地址，單個用戶，或者對池子中的資金借出比例，這些都應該要考慮一個避免系統被掏空發生暴雷的安全係數，這應該是借貸平臺最起碼的風險管理機制吧。
以上分析了這麼多，應該都是導致這樣的事故發生的原因。
我們也從中看出這次事件其實「買家」並沒有明顯的犯錯，只是利用了平臺的漏洞而已，但是卻因此獲得了巨額的不義之財。
事情的結果，我們也都知道了，項目方與這位大買家取得了聯繫，估計當然也經過了一番長時間的談判和博弈，最終對方答應把錢歸還給平臺。
平臺隨後決定終止了與這位大客戶以及他公司的合作關係。
而在之前，項目方已經自己墊付了2000個BTC到平臺，供存戶們提款之用。
結果還算滿意，項目方的態度也很誠懇，處理問題的過程也非常有效率。
最後Swipe 的CEO Joselito L在電報群說：事情已經解決了，當下我們需要關注的不是事件本身，而是接下來的公告聲明，社區治理，SXP(Swipe的代幣）銷毀， 以及CAN項目的成功。
另外昨天Venus平臺的資金量又回升到了2億美金，相比出事之前的4億美金，少了一半，影響還不算特別大。
但是幣價還是明顯受到了比較大的打擊，14號直線下跌超過了30%。這兩天也一直在3.9到4.5美元之間徘徊。昨天這麼好的行情也未能走出來，估計會在這個位置博弈幾天時間。
不過這樣比較動蕩的行情對做短線到是挺好的時機，昨天雪兒就做了3次短時間的操作，每次有0.3-0.5美金的差價。
可能最令大家開心的還是接下來的空投一事。
昨天有人問到XRP的3倍獎勵事情會怎麼處理。
Jose 的回答是這些獎勵將會以空投的方法分發出去，空投的對象是在平臺市場的用戶，以及購買XVS的用戶（後面這個點不能十分確定，英文表達不夠清楚） ，時間是在時機成熟的時候。
數量是12萬美金的XVS，按照4美金的價格就是3萬枚XVS。
對空投有興趣的同學可以進一步關注項目方的動態，電報中的聊天信息不夠明晰，估計也不夠準確。
最後用神魚的提醒來結尾，提醒的是參與DEFI借貸平臺提供存款和流動性的同學：
1. 沒有公開治理，沒有投票上幣做抵押品的不能參與；
2. 對單個幣種沒有借貸債務上限，或者上限過大，可以借空池子資金的不能參與；
3. 預言機對單點價格操控沒有預防措施的不能參與。
補充一下，經過這次事件，Venus已經決定把治理權下放給社區，以後上幣的決定權就會由社區投票來控制。
或許這次事件對Venus來說，未必是一件壞事，畢竟從大型事故中得到的成長會更加刻骨銘心；對行業來說，也可能是倒逼技術，治理，包括經濟設計等全方位快速進步的一個催化劑。
其實還有一點啟示：去中心化和中心化的優勢都是相對的，可能我們需要更客觀一些來對待這個話題。
在這一次大額資金失而復得的事件中，體現出了中心化機制的優勢，比如幣安從BSC上追查和幹預用戶資產（估計最後沒有派上用場，因為用戶實際上是提幣成功了）；
也體現出了它的劣勢，特別是在巨量CAN過橋時候的審核和操作上，如果不是中心化的OCT，可能用去中心化的跨鏈，這麼多資產是沒有那麼容易在這麼短時間跨過來的，要出去的時候也沒有那麼容易。
所以中心化也未必都能帶來壞的結果，對於有些事情去中心化也未必就是最好的方式。去中心化其實也只是達成目的一種方式而已。