我们都知道，加入社区Discord服务器的人不一定就是DAO的成员。而且，不同级别的社区参与者应该有不同的特权和期望，把它们混为一谈是对社区的伤害。有些人加入社区的心态非常随意，而有些人则在希望能在社区寻求全职工作。有些人是为了休闲而加入社区，而其他人则是为了解决去中心化治理的难题。
去中心化自治组织的其它问题来自于错位的财务激励。投资500美元的成员与投资5000美元或15000美元的成员的想法是不同的，他们在社区中承担的责任也是不同的。要求某位社区成员在会议上做记录和管理一个2.5万美元的金库是不同的。即使资金在多人小组中是安全的，但是在后一种情况下，社区还是承担了更大的机会成本风险。在审视DAO的组织结构时，我们需要考虑以下几个问题：社区是否以确定的可用性、责任和期望水平来划分群体？社区是否利用了与这些细分级别相对应的工具和访问权限？不同社区级别的财务收益是否与预期的承诺和责任水平相匹配？如果这些问题的答案都是否定的，那么一个社区将不可避免地遭受挫折、困惑、怨恨和人才流失。每个人的经验和目标，包括DAO本身都会因为所有社区成员都被归入同一个没有区别的篮子里而受到损害。为了解决这些社区成员的细分问题，本文将提出一个由会员级别和门槛组成的社区分级方案，并在此过程中详细说明贡献者漏斗。每个社区成员的级别都与DAO的具体关注点和目的相关，每个门槛都是通往下一级的明确通行证。在描述完社区分级之后，我将描述如何配置可用的工具，使用代币门槛来建立社区的访问级别。第一级：用户
LendHub被黑简析：系LendHub中存在新旧两市场:金色财经报道，据慢雾安全区情报，2023 年 1 月 13 日，HECO 生态跨链借贷平台 LendHub 被攻击损失近 600 万美金。慢雾安全团队以简讯的形式分享如下：
此次攻击原因系 LendHub 中存在两个 lBSV cToken，其一已在 2021 年 4 月被废弃但并未从市场中移除，这导致了新旧两个 lBSV 都存在市场中。且新旧两个 lBSV 所对应的 Comptroller 并不相同但却都在市场中有价格，这造成新旧市场负债计算割裂。攻击者利用此问题在旧的市场进行抵押赎回，在新的市场进行借贷操作，恶意套取了新市场中的协议资金。
目前主要黑客获利地址为 0x9d01..ab03，黑客攻击手续费来源为 1 月 12 日从 Tornado.Cash 接收的 100 ETH。截至此时，黑客已分 11 笔共转 1,100 ETH 到 Tornado.Cash。通过威胁情报网络，已经得到黑客的部分痕迹，慢雾安全团队将持续跟进分析。[2023/1/13 11:11:00]
社区的第一级成员是用户，它包括任何使用社区产品或服务的人。达到社区的第一级是没有门槛的，而且社区鼓励所有人参与进来。这个级别也包括拥有任何数量社区代币的人。
安全团队：LPC项目遭受闪电贷攻击简析，攻击者共获利约45,715美元:7月25日，据成都链安“链必应-区块链安全态势感知平台”安全舆情监控数据显示，LPC项目遭受闪电贷攻击。成都链安安全团队简析如下：攻击者先利用闪电贷从Pancake借入1,353,900个LPC，随后攻击者调用LPC合约中的transfer函数向自己转账，由于 _transfer函数中未更新账本余额，而是直接在原接收者余额recipientBalance值上进行修改，导致攻击者余额增加。随后攻击者归还闪电贷并将获得的LPC兑换为BUSD，最后兑换为BNB获利离场。本次攻击项目方损失845,631,823个 LPC，攻击者共获利178 BNB，价值约45,715美元，目前获利资金仍然存放于攻击者地址上（0xd9936EA91a461aA4B727a7e3661bcD6cD257481c），成都链安“链必追”平台将对此地址进行监控和追踪。[2022/7/25 2:36:51]
慢雾：Avalanche链上Zabu Finance被黑简析:据慢雾区情报，9月12日，Avalanche上Zabu Finance项目遭受闪电贷攻击，慢雾安全团队进行分析后以简讯的形式分享给大家参考：
1.攻击者首先创建两个攻击合约，随后通过攻击合约1在Pangolin将WAVAX兑换成SPORE代币，并将获得的SPORE代币抵押至ZABUFarm合约中，为后续获取ZABU代币奖励做准备。
2.攻击者通过攻击合约2从Pangolin闪电贷借出SPORE代币，随后开始不断的使用SPORE代币在ZABUFarm合约中进行`抵押/提现`操作。由于SPORE代币在转账过程中需要收取一定的手续费(SPORE合约收取)，而ZABUFarm合约实际接收到的SPORE代币数量是小于攻击者传入的抵押数量的。分析中我们注意到ZABUFarm合约在用户抵押时会直接记录用户传入的抵押数量，而不是记录合约实际收到的代币数量，但ZABUFarm合约在用户提现时允许用户全部提取用户抵押时合约记录的抵押数量。这就导致了攻击者在抵押时ZABUFarm合约实际接收到的SPORE代币数量小于攻击者在提现时ZABUFarm合约转出给攻击者的代币数量。
3.攻击者正是利用了ZABUFarm合约与SPORE代币兼容性问题导致的记账缺陷，从而不断通过`抵押/提现`操作将ZABUFarm合约中的SPORE资金消耗至一个极低的数值。而ZABUFarm合约的抵押奖励正是通过累积的区块奖励除合约中抵押的SPORE代币总量参与计算的，因此当ZABUFarm合约中的SPORE代币总量降低到一个极低的数值时无疑会计算出一个极大的奖励数值。
4.攻击者通过先前已在ZABUFarm中有进行抵押的攻击合约1获取了大量的ZABU代币奖励，随后便对ZABU代币进行了抛售。
此次攻击是由于ZabuFinance的抵押模型与SPORE代币不兼容导致的，此类问题导致的攻击已经发生的多起，慢雾安全团队建议：项目抵押模型在对接通缩型代币时应记录用户在转账前后合约实际的代币变化，而不是依赖于用户传入的抵押代币数量。[2021/9/12 23:19:21]
第一级该级别是这个分级方案中最大和最无定形的实体，它体现了社区希望更多的人成为用户，并为他们成为真正的社区成员提供可能。在这个级别，一些社区指定的用户会获得Discord的“访客通行证”，而其他社区用户则完全没有Discord的访问权。第二级：社区成员
Force DAO 代币增发漏洞简析:据慢雾区消息，DeFi 量化对冲基金 Force DAO 项目的 FORCE 代币被大量增发。经慢雾安全团队分析发现： 在用户进行 deposit 操纵时，Force DAO 会为用户铸造 xFORCE 代币，并通过 FORCE 代币合约的 transferFrom 函数将 FORCE 代币转入 ForceProfitSharing 合约中。但 FORCE 代币合约的 transferFrom 函数使用了 if-else 逻辑来检查用户的授权额度，当用户的授权额度不足时 transferFrom 函数返回 false，而 ForceProfitSharing 合约并未对其返回值进行检查。导致了 deposit 的逻辑正常执行，xFORCE 代币被顺利铸造给用户，但由于 transferFrom 函数执行失败 FORCE 代币并未被真正充值进 ForceProfitSharing 合约中。最终造成 FORCE 代币被非预期的大量铸造的问题。 此漏洞发生的主要原因在于 FORCE 代币的 transferFrom 函数使用了`假充值`写法，但外部合约在对其进行调用时并未严格的判断其返回值，最终导致这一惨剧的发生。慢雾安全团队建议在对接此类写法的代币时使用 require 对其返回值进行检查，以避免此问题的发生。[2021/4/4 19:45:30]
达到社区第一道门槛要求的社区第二级成员：官方社区成员。在分级方案中，用户和社区成员是不一样的。公共用户从社区的产品中受益，而社区成员则影响这些产品和服务的创建和传播。他们是社区的探索者、倡导者和传播者。许多数字社区已经采用这些术语来描述类似的项目。社区成员看好该社区的产品和愿景，并希望做出一定的贡献。他们渴望参与社区活动并与其他成员合作，从而测试和促进社区的新想法和机会。
Harvest.Finance被黑事件简析:10月26号，据慢雾区消息 Harvest Finance 项目遭受闪电贷攻击，损失超过 400 万美元。以下为慢雾安全团队对此事件的简要分析。
1. 攻击者通过 Tornado.cash 转入 20ETH 作为后续攻击手续费；
2. 攻击者通过 UniswapV2 闪电贷借出巨额 USDC 与 USDT；
3. 攻击者先通过 Curve 的 exchange_underlying 函数将 USDT 换成 USDC，此时 Curve yUSDC 池中的 investedUnderlyingBalance 将相对应的变小；
4. 随后攻击者通过 Harvest 的 deposit 将巨额 USDC 充值进 Vault 中，充值的同时 Harvest 的 Vault 将铸出 fUSDC，而铸出的数量计算方式如下：
amount.mul(totalSupply()).div(underlyingBalanceWithInvestment());
计算方式中的 underlyingBalanceWithInvestment 一部分取的是 Curve 中的 investedUnderlyingBalance 值，由于 Curve 中 investedUnderlyingBalance 的变化将导致 Vault 铸出更多的 fUSDC；
5. 之后再通过 Curve 把 USDC 换成 USDT 将失衡的价格拉回正常；
6. 最后只需要把 fUSDC 归还给 Vault 即可获得比充值时更多的 USDC；
7. 随后攻击者开始重复此过程持续获利；
其他攻击流程与上诉分析过程类似。参考交易哈希：0x35f8d2f572fceaac9288e5d462117850ef2694786992a8c3f6d02612277b0877。
此次攻击主要是 Harvest Finance 的 fToken(fUSDC、fUSDT...) 在铸币时采用的是 Curve y池中的报价(即使用 Curve 作为喂价来源)，导致攻击者可以通过巨额兑换操控预言机的价格来控制 Harvest Finance 中 fToken 的铸币数量，从而使攻击者有利可图。[2020/10/26]
第一门槛|第二级在这种协作和创造性的环境中，丰富的社交和教育机会产生了学习和教学的良性循环。社区是人们可以学习和展示所学技能的地方。这一级别的成员是社区文化和“氛围”的主要驱动力，也是下一级别成员的文化基础。社区成员的门槛可以由一个申请和被接受的参与者所需的代币数量组成。FWB和Raidguild是这样做的社区的例子。第三级：贡献者
社区的下一个级别是贡献者。这些人已经超越了单纯的会员资格，他们是社区的生产性资产。因为最接近社区工作的人应该是决定做什么的人，我认为这个级别也属于社区管理的范畴。作为一个社区成员与作为其管理机构的投票成员是不同的，社区对他们的激励、关注和责任是不一样的。代币经济学、愿景和可持续性的问题，对于这个等级的社区成员来说更有意义。这个等级的成员已经显示出对社区的投资，他们的视野也变得更加全面和宏观。
第二门槛|第三级当数字社区采用委托治理模式时，我们部分地考虑到了这种区别，也考虑到了为什么一些社区在成员投票方面会遇到困难，或达不到法定的投票人数要求。这是因为他们没有区分社区成员和负有治理责任的贡献者。考虑到许多DAO在这前三个等级中没有区分代币持有人，这些社区在保留贡献者方面存在实际困难也就不足为奇了。第四级：团队
最后，我们来到了团队，这是社区的执行层面。团队是一个社区的引擎，他们的持续发展将决定一个社区的产品的功效和可持续性。没有他们，DAO就不能产生可持续的收入。社区聚集在成功的产品周围，而充满活力的社区使成功的产品成为可能。这种共生关系是Web3的命脉。
第三门槛|第四级没有稳定性，团队就无法完成交付。因此，社区有必要定义团队成员的资格是什么。短暂的团队成员资格意味着低效，它也是团队成长和成熟的障碍。正如布鲁克斯法则所预言的那样，每一个新出现的人都会抽走时间和注意力，从而阻碍社区势头的发展。我认为，出于这些原因，社区最好也通过持币量作为门槛来限制团队成员。你会注意到，我已经明确指出了团队领导，这是为了支持单点负责的执行方式。这些领导是团队的倡导者、工作流领导、项目经理或DRI。他们本身并不负责，但他们是一个中心和关键的协调点。
Sobol.io把所有这些这些社区成员放在一起，你可以看到我们已经创建了一个实际的社区成员漏斗，而不是一个不相干的团体集合。每一个等级都假设并依赖于之前的等级，唯一的区别是它们的范围不同。从这一点来看，我们可以对我们的社区有一个全面的看法，并且可以在每个层面上应用相关的健康指标。以代币为中心的工具和权限
现在，我们有了我们的等级和门槛的简单概述，问题是如何实际去创建它们。理想的方法是将每一个工具和相关的权限方案都围绕着代币的拥有量来进行。这种方法有几个优点：首先，它代表了一个单一的权限管理点，这减少了协调的开销。同时也增加了安全性，因为管理具有不同访问级别的多个电子邮件为黑客攻击和社会工程打开了大门。但最重要的是，它可以根据我们的目标指定工作，也就是支持链上自我主权身份的实现。现阶段完全以Discord为中心的社区正在建立过时的工具。
从Discord开始，让我们来看看一个可能的设置。使用ColabLand对特定的Discord频道设置代币门槛；设置Sobol以反映这些访问级别。这种间接的代币门槛并不像直接的钱包整合那样简单，但它可以而且已经成功地做到了，并实现了我们的目标。Sobol解决了我们的组织结构图和可视化成员需求，而Discord解决了我们的沟通渠道需求。幸运的是，我们通过以下两个工具获得了直接的钱包集成。以加密货币为中心的项目管理工具，如Clarity和Dework正在兴起，而且我相信它们将产生巨大的轰动。最后，我们有Cal.com，它解决了对代币门槛的调度需求。最近Cal.com还宣布了Web3的整合，它提供了支持我们成员漏斗的额外门槛。这些工具，以这种方式配置，有助于推进自我主权身份的目标和链上简历的梦想。以这种方式建立的社区为其成员服务，允许他们在Meritverse等网站上展示他们的技能和成就。一个通用的方法
最后，我想强调的是我刚刚建议的结构是一种方法，而不是社区的确切蓝图或教程。工具和门槛在整体系统保持不变的前提下可能会发生改变。我的目标是展示如何通过采用不同的等级来划分DAO的社区成员，以及如何用代币门槛和以代币为中心的工具来创建这些等级。所有这些工具和方法的共同作用于创造一个统一的贡献者漏斗。不过，我还是希望上述内容有助于为建设性的对话提供一些参考。有了上述心理模型，我们就可以对数字社区进行推理，并讨论其他配置和方法的优势和劣势。在未来的论文中，我将进一步详细探讨社区的执行层面，并讨论构建团队的策略，从开源软件和项目管理的方法中汲取灵感，所有这些的动力都是由Web3工具和协调模式提供的。特别感谢richiebonilla.eth、Links和bpetes.eth的反馈和编辑。原地址
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。