當 DeFi 出問題後，如何決定損失歸屬？

原文標題：How loss travels to the holder of onchain product

原文作者：mathy_research

原文編譯：AididiaoJP，Foresight News

過去幾年，數位資產的風險評級擴張很快。評級機構和鏈上風險服務商現在會評估穩定幣、協議、借貸金庫，多數工作圍繞產品本身及其構成部分展開：它的儲備或投資組合、負責運營的管理者，以及它運行的代碼。

這些評估給持有人提供了大量關於產品的信息。但持有人真正需要知道的更具體：如果底層某個環節出問題，自己的索償權會損失多少、剩下的部分要多久才能拿回來、最終由哪些持有人承擔損失。

這三個問題的答案，取決於故障如何從那些構成部分傳導到持有人手裡的索償權。本文提出一種追蹤這條路徑的方法，對各類產品都適用，核心包含四個原則。

四個原則

• 產品無關。 分析從一個問題出發：持有人退出時能拿多少，由什麼決定。金庫份額、按面值贖回的代幣、承諾支付的票據，放進同一個框架，產品標籤不改變方法。
• 損失與延遲路徑。 故障會穿過資產與持有人之間的各層------代碼、能改動規則的人、自動執行的規則。每一層都可以吸收它、拖慢它，或者把它傳下去。同一個事件，到達兩個持有人手裡，結果可能截然不同。
• 誰承擔。 索償條款決定損失由緩衝、債務人還是持有人吸收；退出規則則可以把損失從早走的人轉移給留下的人。
• 路徑。 有些弱點可以互相替補，比如抵押品好能彌補借款人弱，這種可以綜合打分。但有些弱點卡在必經之路上：金庫的抵押品再足，一把沒有時間鎖的管理者密鑰就能把它轉走，那抵押品好壞已經不重要了。這種弱點不能拿去和強項平均，它自己就決定了上限。
• 下面按這個順序展開：索償權是什麼、中間有哪些操作層、損失如何穿過它們、最後如何彙總成結論。

第一步：持有人能要回什麼

第一個問題是：什麼決定了持有人退出時能要求多少。索償權其實只有少數幾種類型，每種類型都清楚說明了損失會在什麼環節落到持有人身上。

舉三組對比。持有池子份額時，持有人按池子當前價值分得一份，資產一貶值，損失立刻落到頭上------多數借貸金庫份額就是這樣。持有承諾支付的票據時，無論底層資產賺多少，債務人都欠一個固定金額，只有債務人違約，持有人才會受損。持有按面值贖回的代幣時，損失出現在贖回失敗或價格破位的時候。其他索償權同理：搞清楚什麼決定金額，就知道損失從哪裡進來。

索償權的種類決定了故障對持有人意味著什麼。同樣是一筆借款人違約：對池子份額是立刻減記；對優先級承諾支付，只要索償權下方的緩衝還沒耗盡，支付金額就不變。不過，索償權背後由什麼支撐、誰控制它、跑什麼代碼，同樣關鍵------這些內容會在下面的層級中分析，但不改變索償權本身的種類。正因為方法從索償權出發，它對金庫、穩定幣或代幣化資產都一視同仁。

第二步：資產與持有人之間的五層

索償權弄清楚之後，下一步要看：在索償權和最終償還它的資產之間，還隔著什麼。從下往上數，一共五層。最底層是底層敞口，也就是產生價值、最先吸收損失的那部分資產。最頂層是持有人索償權，也就是決定持有人實際能拿到什麼的權利和退出條款。

中間夾著三個操作層。最靠近資產的是智能合約與基礎設施，包括持有資產的代碼，以及它依賴的系統，比如預言機、跨鏈橋和鏈本身。往上一層是控制，指的是能改變敞口、條款或估值的實體，以及它們改動的邊界在哪裡。最靠近持有人的是機制，也就是不需要任何人做決定、自動轉移價值的規則，比如清算和提款限制。

之所以要分層，是因為每一層失敗的方式不一樣。代碼和基礎設施可以在沒有任何人做決定的情況下失敗：鏈停了、預言機斷了，不管發行方願不願意，退出都會停擺，資產也會錯價。控制層的失敗來自人的決定，所以真正要看的是每項權力的範圍有多大，以及它生效前有多少延遲。機制層按規則應對壓力，行為可以從參數和市場條件推出來；一旦條件變化快過規則，它就會失敗。

第三步：損失如何一路傳到持有人

層擺好，傳導路徑就清楚了。壓力從底層敞口出發，朝持有人走，一路帶著兩樣東西：價值的損失，以及拿回這些價值要等的時間。每穿過一層，這兩樣東西都會被截掉一部分，剩下多少才繼續往上。

壓力也可能在某一層內部自己產生。代碼故障或一個壞決定，不必從底層開始，在中間某一層冒出來，照樣能一路傳到索償權。

底層敞口。 傳導的起點，是違約、價格下跌、儲備短缺或托管人失敗，它們讓支撐索償權的價值變少。能拿回多少、多快拿回，取決於抵押品、緩衝和法律追償；收不回來的那部分，才繼續往上走。現實中的樣子是：借款人違約，抵押品賣不到債務的價錢；托管人失敗，隔離資產要幾個月才歸還；儲備資產貶值，代幣跌破面值。

智能合約與基礎設施。 緊挨著資產的第一層操作層，是持有資產的代碼，以及承載交易和價格的設施。代碼缺陷、特權操作、鏈停擺、跨鏈橋故障、服務中斷，都可能毫無預警地發生。事件能波及多少價值，取決於鏈上的限額、延遲和冗餘；真正到達索償權的，表現為被盜資金、被困資金、錯價，或者退出停擺。升級沒有延遲，就能直接替換金庫邏輯；跨鏈橋被攻破，橋過去的抵押品可能一文不值；鏈一停，誰都出不去，直到重啟。

控制。 再往上是控制層，起作用的是人的決定。有人改了配置、參數或估值，這個決定會在約束範圍內改變敞口、價值或流動性。這裡真正要比的，是改動生效前的延遲，和持有人退出所需的時間。如果持有人能在改動生效前離開，退出通道又容得下所有人，他們就能拒絕這個風險；如果不行，一個糟糕或惡意的決定會直接落到索償權上。管理人把資金配進一個後來產生壞帳的市場；運營方沒能召回資金，退出排隊超過緩衝；被攻破的簽名人無延遲地改了限額。

機制。 最靠近持有人的是機制層，規則會自動響應穿過來的壓力。價格變動、提款潮、資金費率變化打進來，利率隨之調整，清算啟動，隊列排滿，計息繼續。壓力傳得多快、被吸收多少，由參數決定。規則失效時，壓力就變成損失或延遲：抵押品跌得比清算賣得快，留下壞帳；利用率觸頂，提款被堵；退出資產跌破面值，計息率還在漲。

持有人索償權。 一路穿過下面各層、最終落到索償條款上的壓力，由條款決定誰來吸收：持有人、緩衝，還是債務人。持有人能不能依法或依代碼強制付款，決定他拿不拿得到錢；退出權和退出資產，則決定拿到什麼、什麼時候拿到。這一層還能在持有人之間轉移損失。如果閘門關上，帳面價值卻仍報面值；或者早退的人在減值確認前按全額離場，損失就落在留下的人頭上。每個人承擔的，都不止是按比例該承擔的那一份。

沿著整條路徑看下來，同一個底層事件，落到兩個持有人手裡，結果可能天差地別。一筆借款人違約，在一個產品裡被緩衝吸收，在第二個產品裡變成延遲減記，在第三個產品裡引發擠兌、把損失推給晚退的人。所以，風險評估必須跟著路徑走------光看事件本身，你不知道持有人會碰上哪一種結果。

第四步：每種風險，都要逐層看一遍

每層只能告訴你壓力從哪兒過，卻看不出它造成的是哪種傷害。評估的第二個維度，正是傷害的類型：信用風險、市場風險、流動性風險，再加上鏈上索償權特有的那幾類。這兩個維度並不一一對應；硬把它們當成對應，風險到達索償權的大部分路徑就被遮住了。

以流動性為例。它的入口不止一個：底層資產是一個，退出權和退出資產是一個，提款機制和結算隊列是一個，必須召回資金的運營方是一個，退出所依賴的鏈上或鏈下服務又是一個。所以，一個金庫可以在市場上流動性很深，卻照樣在別的入口上把持有人堵死。信用風險也一樣：它從借款人進來，也從借款人和持有人之間的決定、規則、損失分擔條款進來。每一種風險，都要沿著它可能經過的每一層追一遍，評分才能說清持有人整體面對的是什麼。

風險類型之間還會互相作用。信用惡化的時候，提款往往同時在增加，資產不得不在下跌的市場裡拋售來應付退出，損失就疊加了。

衡量一種風險，通常需要兩種指標，因為要回答兩個問題。一種是流量指標，比如預期年化信用損失、年化脫鉤概率，告訴持有人平均每年該預期多少損失、多少次事件。另一種是事件指標，比如壓力情景下的損失，告訴持有人最壞的一天能有多糟。一個產品可以流量指標看著無害，事件指標卻很嚴重，這正是尾部風險的典型樣子。兩種指標並列放著，不能相加，也不能直接比較：年化預期和單次情景損失，衡量的不是一回事。對某些風險，比如退出擠兌，年均值說明不了什麼，情景數字才說明問題。

還有兩條規則，用來防止指標失真。一次壓力如果被多個風險類型觸及，只計一次。一個沒人能估計的指標，記為缺失，絕不能記為零------零會被誤讀成安全。

第五步：風險評估該穿透到哪一層

以上都假設你知道金庫實際持有什麼。但答案很少是一步就能看到的。一份金庫份額背後，可能是一家發行方的資產負債表；這張表把錢配到各個場所，場所運營市場，市場再拿抵押品放貸。底層敞口就在這條鏈的盡頭，風險評估得一路追到那裡------就像銀行資本規則要求銀行穿透基金持倉、對看不穿的持倉做保守處理一樣。由此引出兩個實際問題：要追到多深，追不到的地方怎麼辦。

追蹤要覆蓋每一個對索償權重要的頭寸，在剩餘風險可以整體判斷的地方停下來：一個真正償還索償權的資產，一個別人已經可信評估過的敞口，或者一塊沒人看得進去的部分。這些規則不看產品標籤，只是路徑上的節點種類不同，分析該做多深，取決於結構本身。

這個過程裡，有兩個細節最要緊。第一是集中點。一个預言機、一座跨鏈橋、一個托管人、一把管理員密鑰，可能同時壓在幾個看起來互不相干的敞口下面。每條經過它的路徑單看都不大，合起來卻都靠同一樣東西撐著。所以，哪怕沒有哪條路徑特別大，集中點也必須追；它只算一次，而且按最弱環節處理------靠它撐著的，不會比它更強。一個金庫分散在兩個借貸市場，兩個市場卻共用一個預言機，那它對這一個預言機就沒有分散化可言。

第二是未知敞口。沒披露的策略、沒有強制限額的配置，都不能略過------略過就等於默認它"平均"。正確的做法是：按它在索償權裡占多大比重，就把它當多弱來處理。未知部分還會壓低結論的確定程度：持有人看不進去的比例越高，任何風險評估就越只能算個臨時結論。

第六步：最弱環節

到目前為止，得出的是一組分開的評估。最清楚的呈現方式，就是讓它們保持分開，每種風險類型各給一個結果。如果非要壓成一個數，彙總這一步最容易把傳導邏輯丟掉。

取平均，會讓一處的強抵消另一處的弱。當幾個因素可以互相替補時，這樣做沒問題：從預期損失看，更好的抵押品可以彌補更弱的借款人，因為兩者減少的是同一筆信用損失。可一旦這些因素在通往持有人的路徑上首尾相接，平均就失效了。抵押品再好，如果一把沒有時間鎖的管理員密鑰就能把它挪走，那也說明不了什麼。這種時候，一層失效就夠了；再拿它去和強層平均，描述的是一個持有人根本不可能遇到的狀態。

所以，路徑決定怎麼彙總：因素能互相替補，就取平均；每一筆損失都必須穿過的弱點，單獨就能設上限。每個上限說到底都是判斷，上限一多，風險評估就退化成只看最差的那一項。目標是把評估攤開，讓持有人看得見：這個結論反映的是整體面貌，還是被一個弱點卡住了。

風險評估不能告訴你什麼

這樣得出的結論，排的是產品之間"持有人索償權受保護程度"的高低，反映的是評估當天的狀態。但它不是虧錢的概率。要把結論變成概率，得長期記錄每個評估檔位的產品實際虧過多少次，而鏈上市場還沒有這樣的記錄。迄今為止的損失，大多來自少數幾次席捲眾多產品的市場性事件；脫鉤很少見，小事故常常不報，真正鬧到法庭上的索償權寥寥無幾。

也正因如此，整套分析的價值在這裡：從索償權出發，它告訴持有人哪些故障能落到自己頭上、會帶來多少損失、要等多久、最後由自己還是別的持有人承擔。它把金庫份額、穩定幣、代幣化票據放進同一個框架，也讓人看得出：評估靠的是整體面貌，還是某一處每筆損失都必須穿過的弱點。一個數字裝不下這些信息------這正是要把損失一路追到持有人的原因。