กำไร:
- ความสามารถในการเข้าใจ Building Block ของ DeFi เช่น AMM, Liquidity Pool, Oracle และ Flash Loan และใช้ปัญญาประดิษฐ์ในการอธิบายกลไกและการร่างสถานการณ์
- สามารถแยกแยะได้ว่าความเสี่ยงของ DeFi ส่วนใหญ่เป็นช่องโหว่ทางเศรษฐกิจ/ตรรกะทางธุรกิจ ไม่ใช่ข้อผิดพลาดของโค้ด และปัญญาประดิษฐ์นั้นอ่อนแอในช่องโหว่ทางเศรษฐกิจดั้งเดิม
- การสามารถเข้าใจได้ว่าความมั่นคงทางเศรษฐกิจได้รับการพิสูจน์โดยการจำลอง ไม่ใช่โดยการคิด และการเสพติดออราเคิลเป็นจุดที่เปราะบางที่สุด
DeFi (Decentralized Finance) เป็นโดเมนที่มีมูลค่าสูงสุดและเป็นโดเมนที่ถูกโจมตีมากที่สุดของ Web3 การแลกเปลี่ยน โปรโตคอลการให้กู้ยืม กลุ่มสภาพคล่อง ทั้งหมดทำงานเป็นโค้ด และเคลื่อนย้ายเงินหลายล้านดอลลาร์ในสภาพแวดล้อมที่ไม่เป็นมิตร ในหน่วยนี้ เราจะใช้ AI เป็นตัวช่วยในการวิเคราะห์โปรโตคอล เราจะเรียนรู้ที่จะเข้าใจสภาพคล่อง ราคา MEV และการโจมตีทางเศรษฐกิจ และจุดที่ AI มีประโยชน์และไม่เพียงพอในบริบทนี้
โครงสร้างพื้นฐานของ DeFi
- AMM (ผู้ดูแลสภาพคล่องอัตโนมัติ): กลไกการแลกเปลี่ยนที่กำหนดราคาตามสูตร (เช่น x·y=k) แทนที่จะจับคู่ผู้ซื้อและผู้ขาย
- กลุ่มสภาพคล่อง: กองทุนทั่วไปที่ผู้ใช้ฝากโทเค็นและทำการซื้อขาย
- โปรโตคอลการให้กู้ยืม: การกู้ยืมโดยมีหลักประกัน การชำระบัญชีเกิดขึ้นเมื่อมูลค่าหลักประกันลดลง
- Oracle: แหล่งข้อมูลที่นำราคาโลกภายนอกมาสู่โปรโตคอล — การพึ่งพาที่สำคัญและเปราะบางที่สุดของ DeFi
- สินเชื่อแฟลช: สินเชื่อที่กู้โดยไม่มีหลักประกันในธุรกรรมเดียวและส่งคืนในธุรกรรมเดียวกัน มีทั้งการใช้งานที่ถูกกฎหมายและเครื่องมือโจมตี
MEV และการโจมตีทางเศรษฐกิจ
MEV (Maximal Extractable Value — มูลค่าที่แยกออกมาโดยผู้มีอำนาจในการสั่งซื้อ/เพิ่ม/ลบธุรกรรม) เป็นระดับความเสี่ยงเฉพาะสำหรับ DeFi ธุรกรรมที่รอดำเนินการจะปรากฏในพูลสาธารณะ (mempool) การมองเห็นนี้จะเปิดประตูสู่การโจมตีต่อไปนี้:
- Front-running: การเห็นธุรกรรมที่ทำกำไรและแทรกธุรกรรมของตัวเองไว้ข้างหน้า
- การโจมตีแบบแซนวิช: ทำธุรกรรมก่อนและหลังการซื้อของเหยื่อและทำกำไรจากส่วนต่างของราคา
- การยักย้ายของ Oracle: หลอกลวงโปรโตคอลโดยการเปลี่ยนราคาของพูลทันที โดยปกติจะเป็นการกู้ยืมแบบแฟลช
การโจมตีเหล่านี้ไม่ได้เกิดขึ้นจาก "จุดบกพร่อง" ของโค้ด แต่มาจากความสามารถในการหาประโยชน์ของการออกแบบเชิงเศรษฐกิจ นี่คือจุดที่ AI มีปัญหามากที่สุด: AI ที่สามารถสแกนโค้ดทางเทคนิคได้ดีมักจะไม่สามารถตรวจจับช่องโหว่ทางเศรษฐกิจเฉพาะโปรโตคอลได้
ข้อควรสนใจ: ช่องโหว่ DeFi ส่วนใหญ่ไม่ใช่ "ข้อผิดพลาดของโค้ด" แต่เป็นช่องโหว่ด้านตรรกะทางเศรษฐกิจ/ธุรกิจ การสแกนโค้ดมาตรฐานของ AI พลาดสิ่งเหล่านี้ เป็นสาขาที่ต้องใช้ความเชี่ยวชาญ การจำลอง และการสร้างแบบจำลองของมนุษย์มากที่สุด
บทบาทของ AI ในการวิเคราะห์ DeFi
1. คำอธิบายกลไก AI มีประสิทธิภาพในการอธิบายด้วยภาษาธรรมดาว่าโปรโตคอลที่ซับซ้อน (เช่น AMM แบบ Curve) ทำงานอย่างไร ช่วยให้เข้าสู่การวิเคราะห์ได้อย่างรวดเร็ว
2. การสร้างสถานการณ์/สมมติฐานที่โต้แย้ง “โปรโตคอลหนี้นี้จะเข้าสู่วิกฤตการชำระบัญชีที่การเคลื่อนไหวของราคาเท่าใด” AI สร้างแบบร่างสถานการณ์โดยมีคำถามเช่น; สิ่งเหล่านี้ได้รับการทดสอบโดยการจำลอง
3. เตือนรูปแบบการโจมตีที่ทราบ AI กระตุ้นรูปแบบของการโจมตี DeFi ในอดีต (การจัดการแบบออราเคิล การกลับเข้าใหม่ การชำระบัญชีแบบเกลียว) เหมือนรายการตรวจสอบ
4. ร่างแผนจำลอง AI สามารถวางแผนว่าจะทดสอบสถานการณ์ใด แต่การจำลองนั้นทำได้ด้วยเครื่องมือ (Foundry, Tenderly)
พรอมต์อ่อน / พรอมต์แรง
พรอมต์ที่อ่อนแอ:
โปรโตคอล DeFi นี้ปลอดภัยหรือไม่?
พรอมต์อันทรงพลัง:
บทบาทของคุณ: นักวิเคราะห์โปรโตคอล DeFi ตรวจสอบกลไกของโปรโตคอลด้านล่าง พิจารณาเวกเตอร์การโจมตีทางเศรษฐกิจต่อไปนี้ทีละตัว: การจัดการของ Oracle (พร้อมสินเชื่อแฟลช), แบบแซนวิช/แบบฟรอนต์รันนิ่ง, เกลียวการชำระบัญชี, เอฟเฟกต์การถอนสภาพคล่อง สำหรับเวกเตอร์แต่ละตัว: วิธีทริกเกอร์ เงื่อนไขใดที่จำเป็น ผลกระทบที่เป็นไปได้ เหล่านี้เป็นสมมติฐานที่ต้องทดสอบโดยการจำลอง อย่าพูดว่า "ปลอดภัย/ไม่ปลอดภัย" อย่างแน่นอน สร้างรหัสการโจมตีจริง อธิบายความเสี่ยงเพื่อวัตถุประสงค์ในการป้องกันเท่านั้น
เทมเพลตที่สามารถคัดลอกได้สี่แบบ
1) คำอธิบายกลไก:
อธิบายด้วยภาษาธรรมดาทีละขั้นตอนเกี่ยวกับกลไกการกำหนดราคา/สภาพคล่องของโปรโตคอลนี้: จะเกิดอะไรขึ้นเมื่อผู้ใช้ทำธุรกรรม ราคาถูกกำหนดอย่างไร มีการพึ่งพาภายนอกอะไรบ้าง ทำเครื่องหมายส่วนที่ไม่เข้าใจหรือเว้นไว้ชัดเจน
2) พื้นผิวการโจมตีทางเศรษฐกิจ:
จัดทำแผนผังพื้นผิวการโจมตีทางเศรษฐกิจของโปรโตคอลนี้: สมมติฐานใดบ้างที่สามารถนำไปใช้ประโยชน์ใน Oracle, สภาพคล่อง, หลักประกัน, การเลิกกิจการ, การกำกับดูแล เขียนแต่ละความเสี่ยงโดยมีเงื่อนไข ("จะเกิดอะไรขึ้นถ้า") นำเสนอเป็นสมมติฐานเพื่อยืนยันด้วยการจำลอง
3) สถานการณ์ความเครียด:
พิจารณาสถานการณ์ต่อไปนี้: หากโทเค็นหลักประกันลดลง 50% หากราคา oracle เบี่ยงเบน 30% ชั่วขณะ หาก 80% ของสภาพคล่องถูกถอนออก โปรโตคอลจะเป็นอย่างไร เขียนผลกระทบที่จะเกิดขึ้นของแต่ละสถานการณ์ อย่าอ้างความแม่นยำเชิงตัวเลข ระบุว่าจำเป็นต้องมีการจำลอง
4) การจับคู่รูปแบบการโจมตีตามประวัติ:
การออกแบบโปรโตคอลนี้มีเงื่อนไขคล้ายกับรูปแบบการโจมตี DeFi ที่ทราบหรือไม่ (เช่น single-source oracle, flash Loan Open Price) ชี้ให้เห็นความคล้ายคลึงกันเพื่อวัตถุประสงค์ในการป้องกัน อย่าใช้ขั้นตอนการหาประโยชน์ มันจะสร้างจุดสนใจเท่านั้น
มินิเคส 3 อัน (เป็นตัวเลข)
กรณีที่ 1 — ความเสี่ยงของ Oracle พบตั้งแต่เนิ่นๆ ทีมงานกำลังออกแบบระเบียบการชำระหนี้ใหม่ ในระหว่างการอธิบายกลไก YZ ได้ตั้งสมมติฐานว่า "ราคานำมาจากกลุ่มเดียวและสามารถจัดการได้ด้วยสินเชื่อแฟลช" ทีมงานยืนยันสิ่งนี้ในการจำลองและย้ายไปที่ TWAP + multi-sourcing หลีกเลี่ยงการสูญเสียโดยประมาณ: ค่าที่ถูกล็อคทั้งหมดของโปรโตคอล บทเรียน: AI มีคุณค่าในการกระตุ้นรูปแบบที่เป็นที่รู้จัก
กรณีที่ 2 — AI พลาดช่องโหว่ดั้งเดิม ในอีกโปรโตคอลหนึ่ง ช่องโหว่คือข้อผิดพลาดทางเศรษฐกิจเฉพาะอันเป็นผลมาจากปฏิสัมพันธ์ของกลไกทั้งสอง (รางวัล + การชำระบัญชี) AI พบว่ากลไกแต่ละอย่าง "ไร้ที่ติ" ทีละอัน ไม่เห็นการโต้ตอบ นักสร้างแบบจำลองและการจำลองมนุษย์ถูกจับได้ บทเรียน: แม้ว่าองค์ประกอบต่างๆ จะถูกต้อง แต่เศรษฐศาสตร์โดยรวมกลับเป็นจุดบอดของ AI
กรณีที่ 3 — แผนการจำลองช่วยประหยัดเวลา นักวิเคราะห์รายหนึ่งร่างสถานการณ์ความเครียดที่แตกต่างกัน 15 แบบไว้ใน AI แทนที่จะวางแผนด้วยตนเอง จากนั้นก็วิ่งไปที่ Foundry การวางแผนลดลงจาก 1 วันเหลือ 2 ชั่วโมง แต่การตีความผลและการตัดสินใจเป็นของมนุษย์ บทเรียน: แผน AI การวัดยานพาหนะ การตัดสินใจของมนุษย์
สิ่งที่ขาดไม่ได้ของการจำลอง
ใน DeFi ความปลอดภัยไม่ได้พิสูจน์ด้วย "การคิด"; มีการทดสอบโดยการจำลอง ความแข็งแกร่งทางเศรษฐกิจของโปรโตคอลสามารถเข้าใจได้โดยการเรียกใช้ราคา สภาพคล่อง และสถานการณ์การโจมตีที่แตกต่างกันเป็นตัวเลข AI สามารถวางแผนและร่างโค้ดของการจำลองเหล่านี้ได้ แต่เป็นเครื่องมือและบุคคลที่สร้างและตีความผลลัพธ์ คำกล่าวที่ว่า "น่าจะคงทน" ที่ AI สร้างขึ้นนั้นไม่ใช่ผลการจำลองและไม่สามารถนำเสนอได้เช่นนั้น
เคล็ดลับ: เมื่อคุณได้รับการประเมินความเสี่ยง DeFi จาก AI คุณควรถามแต่ละสมมติฐานว่า “ฉันจะทดสอบสิ่งนี้ด้วยการจำลองแบบใด” เปลี่ยนมันเป็นคำถาม. คำกล่าวอ้างด้านความปลอดภัยที่ไม่สามารถทดสอบได้ไม่ถือเป็นการรับประกันใน DeFi
ข้อผิดพลาดทั่วไป
- สแกนการขาดดุลทางเศรษฐกิจเหมือนข้อผิดพลาดของโค้ด ความเสี่ยงของ DeFi ส่วนใหญ่อยู่ในตรรกะทางธุรกิจ
- เชื่อ AI บอกว่า "ปลอดภัย" และข้ามการจำลองไป จำเป็นต้องมีการทดสอบ
- ตรวจสอบองค์ประกอบทีละรายการและข้ามการโต้ตอบ เศรษฐกิจโดยรวมเป็นสิ่งสำคัญ
- ไว้วางใจ Oracle จากแหล่งเดียว ภัยพิบัติ DeFi ที่พบบ่อยที่สุด
- ไม่สนใจ MEV/วิ่งหน้า ลืมข้อเท็จจริงของ mepool สาธารณะ
- กำลังสร้างโค้ดการหาประโยชน์ การวิเคราะห์การป้องกันเท่านั้นที่ถูกต้องตามกฎหมาย
โดยสรุป
- DeFi เป็นพื้นที่ที่มีมูลค่าสูงและไม่เป็นมิตร ความเสี่ยงส่วนใหญ่อยู่ในตรรกะทางเศรษฐกิจ/ธุรกิจ
- การจัดการ MEV, front-running, Sandwich และ oracle เป็นคลาสของการโจมตีเฉพาะสำหรับ DeFi
- AI มีความแข็งแกร่งในการอธิบายกลไกและการร่างสถานการณ์ การขาดดุลทางเศรษฐกิจเดิมอ่อนแอ
- ความมั่นคงทางเศรษฐกิจได้รับการพิสูจน์โดยการจำลอง ไม่ใช่การคิด แผน AI มาตรการยานพาหนะ
- การพึ่งพา Oracle เป็นจุดอ่อนที่สุดของ DeFi; ต้องใช้ทรัพยากรหลายรายการและ TWAP
งานสมัคร
เลือก AMM หรือโปรโตคอลการให้ยืม (พร้อมเอกสารที่ชัดเจน) ใช้คำแนะนำ "คำอธิบายกลไก" และ "พื้นผิวการโจมตีทางเศรษฐกิจ" กับ AI สำหรับทุกสมมติฐานความเสี่ยงที่ AI สร้างขึ้น “ฉันจะทดสอบสิ่งนี้ด้วยการจำลองแบบใด” ตอบคำถาม. จากนั้นค้นหารายงานการตรวจสอบจริงของโปรโตคอลนั้นและเปรียบเทียบสิ่งที่ค้นพบจริงกับความเสี่ยงที่ AI ระบุ: AI จับอะไร มันพลาดอะไรไป?
รายการตรวจสอบ
- [ ] ฉันพูดคุยถึงความเสี่ยงในสองมิติ: รหัส + เศรษฐกิจ
- [ ] ฉันประเมิน MEV/front-running
- [ ] ฉันยังตรวจสอบการพึ่งพาของ Oracle ด้วย
- [ ] ฉันตั้งคำถามถึงปฏิสัมพันธ์ขององค์ประกอบต่างๆ (เศรษฐกิจทั้งหมด)
- [ ] ฉันเชื่อมโยงแต่ละสมมติฐานเข้ากับแผนการจำลอง
- [ ] ฉันแทนที่ "ปลอดภัย" ของ AI ด้วยการจำลอง
- [ ] ฉันวิเคราะห์เพื่อจุดประสงค์ในการป้องกันเท่านั้น