原文标题： How loss travels to the holder of onchain product
原文作者：mathy_research
原文编译：AididiaoJP，Foresight News
过去几年，数字资产的风险评级扩张很快。评级机构和链上风险服务商现在会评估稳定币、协议、借贷金库，多数工作围绕产品本身及其构成部分展开：它的储备或投资组合、负责运营的管理者，以及它运行的代码。
这些评估给持有人提供了大量关于产品的信息。但持有人真正需要知道的更具体：如果底层某个环节出问题，自己的索偿权会损失多少、剩下的部分要多久才能拿回来、最终由哪些持有人承担损失。
这三个问题的答案，取决于故障如何从那些构成部分传导到持有人手里的索偿权。本文提出一种追踪这条路径的方法，对各类产品都适用，核心包含四个原则。
第一个问题是：什么决定了持有人退出时能要求多少。索偿权其实只有少数几种类型，每种类型都清楚说明了损失会在什么环节落到持有人身上。
举三组对比。持有池子份额时，持有人按池子当前价值分得一份，资产一贬值，损失立刻落到头上——多数借贷金库份额就是这样。持有承诺支付的票据时，无论底层资产赚多少，债务人都欠一个固定金额，只有债务人违约，持有人才会受损。持有按面值赎回的代币时，损失出现在赎回失败或价格破位的时候。其他索偿权同理：搞清楚什么决定金额，就知道损失从哪里进来。
索偿权的种类决定了故障对持有人意味着什么。同样是一笔借款人违约：对池子份额是立刻减记；对优先级承诺支付，只要索偿权下方的缓冲还没耗尽，支付金额就不变。不过，索偿权背后由什么支撑、谁控制它、跑什么代码，同样关键——这些内容会在下面的层级中分析，但不改变索偿权本身的种类。正因为方法从索偿权出发，它对金库、稳定币或代币化资产都一视同仁。
索偿权弄清楚之后，下一步要看：在索偿权和最终偿还它的资产之间，还隔着什么。从下往上数，一共五层。最底层是底层敞口，也就是产生价值、最先吸收损失的那部分资产。最顶层是持有人索偿权，也就是决定持有人实际能拿到什么的权利和退出条款。
中间夹着三个操作层。最靠近资产的是智能合约与基础设施，包括持有资产的代码，以及它依赖的系统，比如预言机、跨链桥和链本身。往上一层是控制，指的是能改变敞口、条款或估值的实体，以及它们改动的边界在哪里。最靠近持有人的是机制，也就是不需要任何人做决定、自动转移价值的规则，比如清算和提款限制。
之所以要分层，是因为每一层失败的方式不一样。代码和基础设施可以在没有任何人做决定的情况下失败：链停了、预言机断了，不管发行方愿不愿意，退出都会停摆，资产也会错价。控制层的失败来自人的决定，所以真正要看的是每项权力的范围有多大，以及它生效前有多少延迟。机制层按规则应对压力，行为可以从参数和市场条件推出来；一旦条件变化快过规则，它就会失败。
层摆好，传导路径就清楚了。压力从底层敞口出发，朝持有人走，一路带着两样东西：价值的损失，以及拿回这些价值要等的时间。每穿过一层，这两样东西都会被截掉一部分，剩下多少才继续往上。
压力也可能在某一层内部自己产生。代码故障或一个坏决定，不必从底层开始，在中间某一层冒出来，照样能一路传到索偿权。
底层敞口。 传导的起点，是违约、价格下跌、储备短缺或托管人失败，它们让支撑索偿权的价值变少。能拿回多少、多快拿回，取决于抵押品、缓冲和法律追偿；收不回来的那部分，才继续往上走。现实中的样子是：借款人违约，抵押品卖不到债务的价钱；托管人失败，隔离资产要几个月才归还；储备资产贬值，代币跌破面值。
智能合约与基础设施。 紧挨着资产的第一层操作层，是持有资产的代码，以及承载交易和价格的设施。代码缺陷、特权操作、链停摆、跨链桥故障、服务中断，都可能毫无预警地发生。事件能波及多少价值，取决于链上的限额、延迟和冗余；真正到达索偿权的，表现为被盗资金、被困资金、错价，或者退出停摆。升级没有延迟，就能直接替换金库逻辑；跨链桥被攻破，桥过去的抵押品可能一文不值；链一停，谁都出不去，直到重启。
控制。 再往上是控制层，起作用的是人的决定。有人改了配置、参数或估值，这个决定会在约束范围内改变敞口、价值或流动性。这里真正要比的，是改动生效前的延迟，和持有人退出所需的时间。如果持有人能在改动生效前离开，退出通道又容得下所有人，他们就能拒绝这个风险；如果不行，一个糟糕或恶意的决定会直接落到索偿权上。管理人把资金配进一个后来产生坏账的市场；运营方没能召回资金，退出排队超过缓冲；被攻破的签名人无延迟地改了限额。
机制。 最靠近持有人的是机制层，规则会自动响应穿过来的压力。价格变动、提款潮、资金费率变化打进来，利率随之调整，清算启动，队列排满，计息继续。压力传得多快、被吸收多少，由参数决定。规则失效时，压力就变成损失或延迟：抵押品跌得比清算卖得快，留下坏账；利用率触顶，提款被堵；退出资产跌破面值，计息率还在涨。
持有人索偿权。 一路穿过下面各层、最终落到索偿条款上的压力，由条款决定谁来吸收：持有人、缓冲，还是债务人。持有人能不能依法或依代码强制付款，决定他拿不拿得到钱；退出权和退出资产，则决定拿到什么、什么时候拿到。这一层还能在持有人之间转移损失。如果闸门关上，账面价值却仍报面值；或者早退的人在减值确认前按全额离场，损失就落在留下的人头上。每个人承担的，都不止是按比例该承担的那一份。
沿着整条路径看下来，同一个底层事件，落到两个持有人手里，结果可能天差地别。一笔借款人违约，在一个产品里被缓冲吸收，在第二个产品里变成延迟减记，在第三个产品里引发挤兑、把损失推给晚退的人。所以，风险评估必须跟着路径走——光看事件本身，你不知道持有人会碰上哪一种结果。
每层只能告诉你压力从哪儿过，却看不出它造成的是哪种伤害。评估的第二个维度，正是伤害的类型：信用风险、市场风险、流动性风险，再加上链上索偿权特有的那几类。这两个维度并不一一对应；硬把它们当成对应，风险到达索偿权的大部分路径就被遮住了。
以流动性为例。它的入口不止一个：底层资产是一个，退出权和退出资产是一个，提款机制和结算队列是一个，必须召回资金的运营方是一个，退出所依赖的链上或链下服务又是一个。所以，一个金库可以在市场上流动性很深，却照样在别的入口上把持有人堵死。信用风险也一样：它从借款人进来，也从借款人和持有人之间的决定、规则、损失分担条款进来。每一种风险，都要沿着它可能经过的每一层追一遍，评分才能说清持有人整体面对的是什么。
风险类型之间还会互相作用。信用恶化的时候，提款往往同时在增加，资产不得不在下跌的市场里抛售来应付退出，损失就叠加了。
衡量一种风险，通常需要两种指标，因为要回答两个问题。一种是流量指标，比如预期年化信用损失、年化脱锚概率，告诉持有人平均每年该预期多少损失、多少次事件。另一种是事件指标，比如压力情景下的损失，告诉持有人最坏的一天能有多糟。一个产品可以流量指标看着无害，事件指标却很严重，这正是尾部风险的典型样子。两种指标并列放着，不能相加，也不能直接比较：年化预期和单次情景损失，衡量的不是一回事。对某些风险，比如退出挤兑，年均值说明不了什么，情景数字才说明问题。
还有两条规则，用来防止指标失真。一次压力如果被多个风险类型触及，只计一次。一个没人能估计的指标，记为缺失，绝不能记为零——零会被误读成安全。
以上都假设你知道金库实际持有什么。但答案很少是一步就能看到的。一份金库份额背后，可能是一家发行方的资产负债表；这张表把钱配到各个场所，场所运营市场，市场再拿抵押品放贷。底层敞口就在这条链的尽头，风险评估得一路追到那里——就像银行资本规则要求银行穿透基金持仓、对看不穿的持仓做保守处理一样。由此引出两个实际问题：要追到多深，追不到的地方怎么办。
追踪要覆盖每一个对索偿权重要的头寸，在剩余风险可以整体判断的地方停下来：一个真正偿还索偿权的资产，一个别人已经可信评估过的敞口，或者一块没人看得进去的部分。这些规则不看产品标签，只是路径上的节点种类不同，分析该做多深，取决于结构本身。
这个过程里，有两个细节最要紧。第一是集中点。一个预言机、一座跨链桥、一个托管人、一把管理员密钥，可能同时压在几个看起来互不相干的敞口下面。每条经过它的路径单看都不大，合起来却都靠同一样东西撑着。所以，哪怕没有哪条路径特别大，集中点也必须追；它只算一次，而且按最弱环节处理——靠它撑着的，不会比它更强。一个金库分散在两个借贷市场，两个市场却共用一个预言机，那它对这一个预言机就没有分散化可言。
第二是未知敞口。没披露的策略、没有强制限额的配置，都不能略过——略过就等于默认它“平均”。正确的做法是：按它在索偿权里占多大比重，就把它当多弱来处理。未知部分还会压低结论的确定程度：持有人看不进去的比例越高，任何风险评估就越只能算个临时结论。
到目前为止，得出的是一组分开的评估。最清楚的呈现方式，就是让它们保持分开，每种风险类型各给一个结果。如果非要压成一个数，汇总这一步最容易把传导逻辑丢掉。
取平均，会让一处的强抵消另一处的弱。当几个因素可以互相替补时，这样做没问题：从预期损失看，更好的抵押品可以弥补更弱的借款人，因为两者减少的是同一笔信用损失。可一旦这些因素在通往持有人的路径上首尾相接，平均就失效了。抵押品再好，如果一把没有时间锁的管理员密钥就能把它挪走，那也说明不了什么。这种时候，一层失效就够了；再拿它去和强层平均，描述的是一个持有人根本不可能遇到的状态。
所以，路径决定怎么汇总：因素能互相替补，就取平均；每一笔损失都必须穿过的弱点，单独就能设上限。每个上限说到底都是判断，上限一多，风险评估就退化成只看最差的那一项。目标是把评估摊开，让持有人看得见：这个结论反映的是整体面貌，还是被一个弱点卡住了。
这样得出的结论，排的是产品之间“持有人索偿权受保护程度”的高低，反映的是评估当天的状态。但它不是亏钱的概率。要把结论变成概率，得长期记录每个评估档位的产品实际亏过多少次，而链上市场还没有这样的记录。迄今为止的损失，大多来自少数几次席卷众多产品的市场性事件；脱锚很少见，小事故常常不报，真正闹到法庭上的索偿权寥寥无几。
也正因如此，整套分析的价值在这里：从索偿权出发，它告诉持有人哪些故障能落到自己头上、会带来多少损失、要等多久、最后由自己还是别的持有人承担。它把金库份额、稳定币、代币化票据放进同一个框架，也让人看得出：评估靠的是整体面貌，还是某一处每笔损失都必须穿过的弱点。一个数字装不下这些信息——这正是要把损失一路追到持有人的原因。
