概述
去中心化金融是一种创建于区块链上的金融，它不依赖券商、交易所或银行等金融机构提供金融工具，而是利用区块链上的智能合约进行金融活动。在DeFi中存在了大量的套利机会，包括但不限于清算、差价套利。本文将分析部分去中心化交易所以及聚合器在合约代码上可能存在的套利机会。
分析
Uniswap
Uniswap是一个采用了自动做市商模型的去中心化的加密货币交易平台，目前有两个流行的版本，分别是UniswapV2和UniswapV3，我们将分别分析其中可能存在的套利机会。
UniswapV2Router
在UniswapV2中，用户一般是通过Router合约与Pair合约以及Factory合约进行交互。通常来说Router只是会在交易中中转代币，而不会存储代币，但由于种种原因，如空投、转账失误导致Router合约中存储了某些代币。那么如何将这些代币提取出来呢？
通过分析UniswapV2Router?02合约的代码，发现存在removeLiquidityETHSupportingFeeOnTransferTokens函数：
该函数用于移除其中一个代币为WETH的流动性，其内部调用removeLiquidity函数时传入的to的地址为address(this)，也就是会将两种代币先转移到Router合约中，然后Router合约再将两种代币转移到指定的地址。这里虽然转移的WETH的数量是removeLiquidity返回的，无法修改，但是转移的另一种Token的数量是balanceOf(address(this))，即Router合约中的该代币的余额。
因此根据上述分析，我们能得到一个套利的流程：
监控到Router?02合约存在ERC?20代币；
监控到Router?02合约存在ERC?20代币；
YugaLabs联合创始人：我们从不看NFT地板价:8月23日消息，YugaLabs创始人Greg Solano和Wiley Aronow在FullSend播客节目中表示，他们购买的第一批NFT是2017年的Crypto Punks和Crypto Kitties，但不是作为投资，而是作为有趣的东西。
Solano将CryptoPunks称为NFT的蒙娜丽莎。Aronow则表示，我们从不看地板价。我不在乎，创始人称，他们关心的是唯一钱包持有人的数量，这也是为什么每个创始人只拥有一只无聊猿的原因。Solano向任何坚持不关注地板价的创始人提出了一些建议，他说想想你可以用这个项目做些什么很酷的事情。（Blockworks）[2022/8/23 12:42:39]
调用addLiquidityETH添加该ERC?20代币和WETH的流动性；
调用removeLiquidityETHSupportingFeeOnTransferTokens移除流动性。
局限性：
如果该代币之前没有和WETH组流动性，当第一次添加流动性时会损失一小部分流动性；
暂时未发现提取Router?02合约中的WETH和ETH的方法。
UniswapV2Pair
UniswapV2Pair合约，即所谓的流动性池，存储着提供流动性的?2?种代币，因为Pair合约中使用的是reserve来记录余额而不是balanceOf(address(this))，因此有人直接误转流动性代币到合约中时会出现balance和reserve出现差值，而Pair合约中存在平衡函数skim，我们可以调用该函数将这差值数量的代币给提取出来：
可以看到该函数会将流动性池中两种流动性代币的balance和reserve差值数量的代币转移到to地址。
流动性池中除了这两种代币外，也会因为误转、空投等原因存在其他的ERC?20代币，如何提取这一部分的代币呢？
加密概念艺术家Ryder Ripps聘请律师事务所 Wilmer Hale对抗Yuga Labs起诉:金色财经报道，加密概念艺术家Ryder Ripps已宣布聘请律师事务所 Wilmer Hale 的 Louis Tompros 律师担任首席审判律师，以对抗Yuga Labs的起诉，Louis Tompros 是一位经验丰富的知识产权诉讼律师，曾代表 Pepe the Frog 的创作者 Matt Furie 处理多起针对极右翼组织的诉讼。今年6月，Yuga Labs起诉艺术家Ryder Ripps和几名相关人员，指控他们使用原始的BAYC图像，大量生产和销售山寨版NFT系列“RR/BAYC”，从而导致BAYC NFT贬值。[2022/7/13 2:09:29]
对Pair合约的代码分析后发现无法提取这一部分代币，只有一种情况例外：当流动性池中存在该池的LP代币时。
出现这种情况我们可以调用Pair合约的burn函数，移除流动性，取出相应的两种流动性代币：
UniswapV3SwapRouter
UniswapV3的SwapRouter合约中也会存在和UniswapV2Router一样的情况，存在ERC?20代币和ETH，但是幸运的是SwapRouter合约提供了几个函数可以方便提取其中的代币。
提取ERC?20代币我们可以使用sweepToken函数：
提取ETH我们可以使用refundETH函数：
也能够直接调用unwrapWETH?9?函数将WETH还原成ETH并提取出来：
Yuga Labs向所有因网络状况而导致Otherdeed NFT交易失败的用户退还Gas费:金色财经报道，Yuga Labs宣布已向所有因铸造 Otherdeed NFT造成的网络状况而导致交易失败的用户退还 Gas 费，费用被发送回用于初始交易的钱包。根据Etherscan的数据， Yuga Labs 在大约 640 笔退款中总共花费了 90.57 ETH（约合 265,000 美元）。最大的个人退款是 2.6 ETH（约 7,500 美元），该公司花费了 0.26 ETH（约 783 美元）的Gas 费来发送所有退款。
此前报道，无聊猿元宇宙土地 Otherdeed 的发售导致以太坊 Gas 费一度飙到8000 gwei以上，NFT 玩家为此共支付超过 1 亿美元的以太坊交易费用。[2022/5/5 2:50:41]
以上是对UniswapV3SwapRouter合约的套利分析。
在对Uniswap?V3?Pool合约的代码进行分析后，发现没有办法提取其合约中的其他代币，也不存在如UniswapV2Pair合约中balance和reserve有差值的情况。
SushiSwap
SushiSwap最初是一个Uniswap的分叉项目，后来发展成为一个独立的生态系统，提供了许多不同的金融服务和产品。
因为SushiSwap和UniswapV2一样，因此上述的针对UniswapV2的套利手段对与SushiSwap也同样适用。
SushiXSwap
SushiXSwap是SushiSwap推出的基于LayerZero的全链交易协议，支持的网络包括Optimism、Arbitrum、Fantom、BNBChain、Polygon和Avalanche。用户可以在支持的网络以及资产之间进行跨链交易。
如何提取SushiXSwap合约中的代币呢？
声音 | BM：通过代码更新使测试网上的系统吞吐量增加近两倍:BM刚刚发推表示：最近对eosio网络代码的更新，使大型测试网络上的系统吞吐量增加了近两倍。[2019/5/15]
SushiXSwap中主要的功能都通过cook函数实现，该函数提供了一系列的操作，支持操作列表如下：
其中有一个操作ACTION_DST_WITHDRAW_TOKEN，其代码实现如下：
首先将传入cook函数的data进行解码，然后判断amount是否等于?0?，等于?0?则将amount的值设为该合约的ERC?20代币的余额或者ETH的余额。最后调用_transferTokens将代币转移到指定的地址：
因此我们只需要构造传入cook函数的actions和datas，即将actions设置为ACTION_DST_WITHDRAW_TOKEN，在data中构造想要转移的代币、接收地址、数量，即可转移出SushiXSwap合约中的代币。
SushiBentoBox
SushiBentoBox是SushiSwap生态系统中的一个组件。BentoBox是一个高度灵活的去中心化金融利率优化产品。简单来说，它是一个允许用户存储、借用和赚取利息的智能合约平台。BentoBox的主要目的是优化用户在DeFi领域中的收益。
以太坊上的BentoBox合约中存储了大量了代币，那么该合约是否存在套利的空间呢？
在BentoBox合约中用户可以通过deposit函数进行存款操作，函数的实现如下：
声音 | 郭达峰：DApp 开发者可以通过代码设计高效使用RAM:EOS Asia 的郭达峰在《EOSLaoMao · 宁话区块链》的节目中称“ DApp 开发者可以通过代码设计高效使用内存（RAM），即只在内存里存少量必要的数据。EOS Asia 在开发 DApp 时就特别为内存使用量进行优化。比如我们正在孵化的广告行业区块链解决方案TXT项目就需要储存大量的数据，对于这些数据我们并不会储存到内存（RAM），而是设计了一套第二层的储存链。通过这种方式，TXT只需要把大部分数据都存到了储存链，对主链的内存需求就大大减少了。”[2018/7/25]
可以看到用户传入指定的代币地址，扣款地址，接收地址，数量，股份数量，函数首先做了一系列校验，然后将amount或者share进行转换，关键点在195-198行，这里做了一个校验：amount<=_tokenBalanceOf(token).sub(total.elastic)。
在BentoBox合约中某种代币的余额使用的是total.elastic来记录，类似UniswapPair合约中的reserve，某些情况下会和_tokenBalanceOf(token)产生差值，我们可以利用deposit函数这里的特性，将差值部分真实转换成自己在BentoBox合约中的余额。
因此我们传入参数时将token设置为存在差值的代币地址，将amount的值设置为差值，然后将from设置为BentoBox合约的地址，将to设置为自己的地址，在207?行时由于地址为BentoBox合约地址，因此不会进行转账，只是平衡了total.elastic和_tokenBalanceOf(token)的值，将其转换为to地址在合约内的余额。
DODO
DODO是一个去中心化交易平台，使用独创的主动做市商算法为Web3资产提供高效的链上流动性。DODO既自己提供流动性，也聚合其它交易所的流动性。
DODO有一系列合约，其中用户会通过DODO?V2?Proxy?02合约进行代币的兑换。和UniswapRouter合约类似，该合约也会因为各种原因存在一些代币，我们应当如何提取这些代币？
DODO?V2?Proxy?02?
在DODO?V2?Proxy?02合约中存在externalSwap函数，用来调用DODO聚合的外部平台进行兑换，如0x，1inch，代码实现如下：
1719-1721?行在对传入的参数做校验，然后?1724?行校验fromToken是否为ETH，不是的话则会将调用者的代币转移到合约中，然后进行授权，在分析了DODOAPPROVE?合约的代码后发现只需要将fromTokenAmount设置为?0?即可绕过：
然后会对调用的外部合约做校验，是白名单内的才能够调用，这里的swapTarget，calldataConcat都是由用户可控的，因此可以将swapTarget设置为0x或者1inch的合约地址，然后calldataConcat设置为其合约的view函数的编码，从而让返回的值为true，也能通过后面的require校验：
接下来会将合约中的toToken，全部转移给调用者，这里的toToken可以是ERC?20代币，也可以是ETH，发送完后会进行最小的预期数量校验，我们将minReturnAmount的值设置为非常小的值即可通过。最后两个函数调用无关紧要。
通过以上的步骤我们就能够提取出DODO?V2?Proxy?02合约中的ERC?20代币以及ETH。
1inch
1inch是一个去中心化交易所聚合器，它从多个DEX中汇集流动性，以便为用户提供最佳的代币兑换价格。通过整合来自不同来源的流动性，1inch帮助用户优化交易并在各个平台之间找到最优惠的价格。1inch的智能合约自动在各个去中心化交易所之间进行交易，使用户能够轻松地在不同交易所之间获取最佳价格和最低滑点。此外，1inch还提供了其他功能，如流动性挖矿和治理代币。
1inch的主要合约是AggregationRouter，现在使用较多的是V?4和V?5版本，这两个合约也会因为各种原因存在一些代币，我们可以通过构造的传入函数中的参数，提取合约中的代币。
AggregationRouterV?5?
AggregationRouterV?5合约存在swap函数，其实现如下：
校验了desc中的minReturnAmount后，从desc中获取srcToken和dstToken，接下来986-997?行可以通过构造desc结构体中的flags和srcToken进行绕过：
然后执行函数_execute，这里会进行call调用，并会校验执行状态，由于executor由用户传入，因此这里我们可以使用?0?地址进行绕过：
然后获取合约中dstToken的余额。1007-1018?行我们可以构造desc中flags以及minReturnAmount进行绕过：
最后会将合约中的dstToken余额都转到dstReceiver地址中，该地址也由用户控制：
通过以上的步骤，我们能构造传入swap函数的参数从而将AggregationRouterV?5合约中的代币提走。
AggregationRouterV?4?
AggregationRouterV?4与AggregationRouterV?5差别不大，AggregationRouterV?4中也存在swap函数，实现如下：
可以发现跟AggregationRouterV?5的swap函数的实现是一样的，只是AggregationRouterV?5对call进行了优化，因此使用和AggregationRouterV?5一样的方法即可提取出存在AggregationRouterV?4合约中的代币。
总结
本文简单介绍了部分去中心化交易所以及聚合器，并探讨了其中可能存在的套利，从合约代码层面分析了套利的原理，但在实际中能否成功还和诸多因素相关，如GAS，节点速度等。
参考?Reference
如何从defi中捡钱
WhatIsUniswap
SUshiAcademy
AboutDODO
1inchaggregationprotocol
关于我们
AtEoceneResearch,weprovidetheinsightsofintentionsandsecuritybehindeverythingyouknowordon'tknowofblockchain,andempowereveryindividualandorganizationtoanswercomplexquestionswehadn'tevendreamedofbackthen.
了解更多:Website|Medium|Twitter
来源：星球日报
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。