非反应式金融（NoRFi）——去中心化金融和代理金融的确定性基础

您好，ETH Research，

以下内容旨在探索一种不同的DeFi安全模型，该模型不依赖于对市场快速反应以求生存。这项工作的部分灵感来源于两篇文章，它们明确了我想要推进的方向：《无需信任宣言》和《低风险DeFi》。它们提出了一个我认为DeFi尚未完全应对的明确挑战：构建安全源于可靠、可检验的不变性的金融基础，并且用户无需被迫将结果外包给不可或缺的中介机构和对抗性的市场结构。

• 不信任宣言
  https://trustlessness.eth.limo/general/2025/11/11/the-trustless-manifesto.html

• 低风险的 DeFi 之于以太坊，就像搜索之于谷歌一样。
  https://vitalik.eth.limo/general/2025/09/21/low_risk_defi.html

接下来是朝着这个方向的具体尝试：协议对承诺和时间做出反应，而不是对价格信息和清算竞赛做出反应，具有确定性的状态转换、明确的会计核算和隔离的头寸，通过构建来限制风险。

文档仓库： GitHub - EqualFiLabs/EqualFi：此仓库包含 EqualFi 的文档，EqualFi 是一套确定性的、无需许可的反提取金融协议。

抽象的

非反应式金融（NoRFi）是一种去中心化金融（DeFi）设计方向，它用确定性的、时间参数化的状态机取代了预言机触发的清算和被动式拍卖。与那些在外部价格信号触发清算竞争之前一直保持“健康”状态的头寸不同，NoRFi 协议在初始阶段就被明确定义，包含明确的参数、明确的状态转换和有界的最终结果。其目标并非消除市场风险，而是使风险变得清晰、局部化，并且能够通过机制强制执行，而无需依赖对抗性的时机选择。

本文提出了一种单一资产池基础架构，其中所有活动均以对余额的显式抵押（锁定抵押品、托管本金、报价储备）的形式体现。在此基础架构之上，衍生出三种基本功能：（1）自担保信贷，借款额度限制在用户自身同资产池余额范围内；（2）直接双边信贷，资金来源于同一资产池，可选择跨资产，结算确定，并可选择提前行权；（3）交易报价，例如收益限价单，其中预留流动性可根据系统会计规则继续产生费用。

通过消除清算竞争并使结果可由局部状态加时间计算得出，NoRFi 为自主代理构建了一个更简洁的执行层。自主代理的规划和安全性在瞬时、预言机驱动的故障模式下会急剧下降。本文阐述了 NoRFi 的理论基础、核心不变量以及一些待探讨的问题。

非反应性金融（NoRFi）

NoRFi 是一种设计空间，其中的协议不对价格或市场做出反应，而是对承诺和时间做出反应。

这听起来像是文字游戏，但当你了解大多数 DeFi 系统的实际运作方式后，就会发现并非如此。其主导模式是被动式金融：持仓会一直存在，直到预言机更新，而某些阈值计算表明它们无法继续存在，此时系统会紧急通过清算、拍卖以及该区块中任何受 MEV 算法影响的微结构来分散风险。结果取决于路径。两个持有相同仓位的用户可能会得到不同的结果，原因可能是市场波动持续了 90 秒、gas 费用飙升，或者预言机比预期提前一个区块更新。

NoRFi 采取了截然相反的立场。它不以价格作为决定仓位存亡的触发因素，而是将每个仓位视为一台小型确定性机器，其行为在创建时就已经确定。

• 各方做出明确承诺：抵押品、本金托管、期限、结算规则、可选提前行权。
• 时光流逝。
• 只有当一方采取允许的行动或协议达到规定的界限时，状态才会发生转变。

市场依然存在，价格依然波动，用户依然承担着经济风险。不同之处在于，该协议不再试图实时追逐市场以维持偿付能力，而是执行一项合约。最终结果是有限的，并且可以根据本地链上状态加上时间计算得出。

这一点很重要，因为它改变了问题的性质：

“当出现问题时，我们如何才能迅速清算？”

到：

“在已作出的承诺下，允许出现哪些结果？可能的最大损失是多少？”

这种转变并非表面功夫。它是构建在压力下可预测的金融基础，以及构建无需时刻警惕即可避免灾难性、瞬时崩溃的代理金融的基础。

本文分享的工作是这一理念的初步实现：构建一个确定性的底层架构，其中借贷、双边信贷和交易报价均以明确的抵押和基于时间的状态转换形式呈现。我们的目标并非追求完美，而是为去中心化金融（DeFi）打造一个更清晰、更机制化的设计框架，以便于审查、分析和改进。

账户隔离

如果说 NoRFi 是一种理念，那么账户隔离就是实现这一理念的机制。

大多数去中心化金融（DeFi）借贷系统都以某种方式分散风险，这种做法很容易被忽视，直到问题暴露出来。即使每个用户的持仓都会被追踪，但资金基础是共享的，而且一旦出现故障，往往会演变成集体责任：坏账被社会化，损失被分散到所有储户身上，或者治理机构被迫介入，以人为判断“处理”紧急情况。这并非道德批判，而是共享偿付能力架构的必然结果。

NoRFi 的想法恰恰相反。它希望结果是本地化的。

在此实现中，每个用户都通过相互隔离、可转移的账户（位置）进行交互。一个位置是一个独立的单元，包含：

• 其在单一资产池中的余额
• 这些余额所面临的抵押物（锁定抵押品、托管本金、储备流动性）
• 它已签订的协议（自有担保信贷、直接信贷、报价）
• 决定其下一步行动以及最终结果的确定性规则

这里所说的隔离包含两层含义：

1. 无污染
   一项持仓不能对其他持仓造成无限责任。如果出现问题，影响范围仅限于明确选择承担该风险的账户和协议。

2. 明确的负担
   风险体现为持仓可提取资金的减少，而非对共享资金池的隐性索取权。如果持仓将本金存入直接信贷协议或为交易预留流动性，则该资金将被标记为已承诺资金。该资金不可提取，也不可用于其他用途。

这就是“我们分别追踪持仓”和真正隔离之间的关键区别。隔离并非用户界面功能，而是一项会计规则：承诺事项至关重要，它们会限制其他方面的自由。

账户隔离与确定性自然契合。由于每个仓位的生命周期都由局部状态和时间驱动，观察者无需重构全局市场动态即可对其进行推理。仅凭这条链，你就能回答具体的问题：

• 犯了什么罪？
• 哪些可以提取？
• 接下来可以到达哪些州？
• 最终结果是什么？每条路径上的最大损失是多少？

这就是 NoRFi 所追求的安全形态：不是“不会发生任何坏事”，而是“坏的结果是有限的、明确的，并且仅限于选择它们的各方”。

没有中间商

很多去中心化金融（DeFi）的风险并非来自“智能合约”，而是来自合约落地后你不得不依赖的人员和流程。

预言家是中介。清算人是中介。守护者是中介。治理机构通常也披着去中心化外衣，扮演着中介的角色。即便这些参与者的动机并非法律信任，而是经济利益，他们仍然不可或缺。如果他们失职、遭到审查、被收买，或者在情况最糟糕时突然消失，用户的最终结果就会改变。

NoRFi 则朝着相反的方向努力：设计基本组件，使其不需要第三方来保证安全。

这项工作中，协议并非要求网络不断重新评估你的持仓价格并通过清算拍卖来拯救系统，而是强制执行那些已经明确做出且可以通过机械方式验证的承诺。

• 只有选择做出承诺（借款、托管、预留）才会使投资变得有风险。
• 该协议不需要“谁来清算？”这样的答案就能保持偿付能力。
• 结算是一种既定的状态转变，而不是市场紧急情况。

这并非论证预言机本身是邪恶的，而是论证对预言机的依赖构成了一种控制手段。如果你的核心安全依赖于外部信息源在压力下保持可靠性和及时性，那么即使信息源是去中心化的，你也引入了一个不可或缺的中介。

同样，如果偿付能力取决于一群清算人在市场拥堵和市场效率最大化（MEV）机制下采取的正确竞争行为，那么你就把安全外包给了对抗性的市场结构。这仍然是一个中介机构，只不过你无权起诉它。

通常的回应是“激励机制会解决这个问题”。有时确实如此。NoRFi 试图让核心保障机制不再需要这种机制。

由此得出了一种不同的稳健性定义：

不是“系统可以由外部行为者实时拯救”，而是“系统的最坏结果受到承诺的限制，并由链条强制执行”。

这就是“无中介”的含义。并非意味着不存在外部因素，而是指核心安全特性并不要求外部行为者在世界陷入危机之时恰好表现良好。

用户代理

随着 DeFi 的成熟，发生了一件微妙的事情：我们将提现规范化为一项安全功能。

清算罚款、拍卖折扣、优先 Gas 拍卖、MEV 回溯、Keeper 奖励、预言机更新博弈。单独来看，这些措施通常都被冠以“保护用户利益的必要性”或“维持偿付能力的必要性”之名。然而，综合起来，它们却营造了一种环境：用户面临的风险不仅在于市场风险，还在于协议内置的第三方可以从用户的不幸中获利的机制，尤其是在市场混乱的情况下。

这并非指责，而是对激励机制的一种观察。如果一个系统的安全依赖于外部行为者在最糟糕的时刻出现，那么该系统就必须向他们支付报酬，并且必须创造机会让他们获利。这种报酬本质上是掠夺，即便它被包装成保护。

NoRFi 旨在恢复一种更简单的用户自主性形式：你的结果应该主要取决于你选择的承诺，而不是取决于其他人是否先达到你的位置。

在此语境下，用户自主性指的是：

• 初始阶段结果有界：您可以在进入之前看到最终路径并了解最坏情况。
• 没有强制性的竞争条件：你不会被扔进一场速度和顺序决定命运的清算竞赛中。
• 明确的选择而非被动的惩罚：偿还、认捐或和解等行为受明确的规则和时间限制约束。
• 在适当情况下，可选择提前演练：在双边协议中，“和解”可以是用户或代理人可以选择的明确的、确定性的分支，而不是由预言机触发的混乱失败状态。

市场永远充满竞争，人们永远都会想方设法获取利益。关键不在于消除竞争，而在于停止将竞争以系统性地削弱用户控制的方式嵌入协议的安全模型中。

最好的DeFi版本不仅是非托管的，而且是非强制性的：它执行合约，而不是制造危机供他人牟利。

原始灵活性

NoRFi并非单一协议，而是一个设计空间。

共同的约束很简单：系统不会通过实时响应市场来保护自身。它通过时间、数学和用户选择来强制执行承诺。除此之外的一切都属于实现细节，而这正是灵活性的体现。

当状态转换是确定性的，你就可以把协议当作一台可预测的机器，而不是一个脆弱的有机体。这一点至关重要，因为它允许构建者设计更复杂的金融行为，而无需引入隐藏的控制面或“必须有人介入”的情况。

以下几个例子说明了当结果由明确规则约束时，哪些事情会变得更容易：

灵活、可验证的费用和收入分配方式

在反应式系统中，费用往往取决于诸多复杂因素：拍卖结果、清算收益、MEV 条件、预言机更新时间等等。虽然可以为此编写规则，但由于协议的行为受制于对抗性的外部动态，因此推导这些规则非常困难。

在NoRFi模式下，费用通常是由离散的、可枚举的事件触发的：

• 协议制定
• 报价已完成
• 基于时间的滚动
• 还款
• 和解或早期锻炼

每个事件都是一个清晰的会计节点。这意味着费用分配可以定义为基于已知量的数学运算：

• 固定本金基点
• 名义储备金固定基点
• 固定时间表费用
• 对特定分支的确定性惩罚

一旦具备了这一点，收益分配就变成了一种政策选择，而不是突发事件。你可以在不改变安全模式的情况下实施不同的“经济体制”：

• 将部分收益转为被动费用累积
• 部分路线通往保护区
• 将部分路径纳入协议可持续性
• 部分资金流向活跃交易对手或做市商。

由于触发器和公式都很明确，因此系统更容易进行审计、模拟和推理。仅凭状态就可以计算出应该发生的情况。

更多无需空谈就能创造收益的方法

DeFi中的收益机制往往事后才被解释成一个晦涩难懂的故事。而在NoRFi中，收益机制则清晰明了，因为它们源于明确的承诺：

• 预留用于要约的资金可根据明确的会计规则产生费用。
• 和解罚款可以确定性地分配。
• 基于时间的承诺可以进行价格预测。
• 收入可以通过指数公式分配，而不是通过酌情决定来分配。

这并不能保证良好的产量。它只是使产量逻辑可以通过机械方式进行检查。

没有“紧急例外”的可组合性

确定性也减少了对异常处理逻辑的需求，从而悄然增强了信任。当协议依赖于不稳定的外部行为时，人们往往会倾向于添加一些应急措施：暂停器、参数更改、紧急治理、特权清算等等。

NoRFi 并不能神奇地消除人们对这些工具的渴望，但它确实减少了人们觉得必须使用这些工具的情况。你的系统越是依赖“数学和时间”，就越不需要“人和希望”。

实际意义在于，NoRFi 原则可以支持各种协议设计，从极其保守到相当复杂，同时保持核心安全理念的可理解性：

• 承诺是明确的
• 转换是可枚举的
• 结果有界。
• 收入是可以计算的

这是一个对开发者非常友好的底层架构。它更难隐藏意外情况，也更容易在其上构建复杂的行为而不会偏离主题。

代理融资

代理金融不仅仅是“机器人进行交易”。它是一种自主软件，可以长期管理资本：进行资产配置、对冲、滚动承诺、执行策略，并应对不断变化的情况，而无需人工每小时监控健康状况。

这种未来与目前占主导地位的 DeFi 安全模式正面冲突。

反应式 DeFi 假定工作流程是人性化的：

• 观察仪表盘
• 对价格波动做出反应
• 追加抵押品
• 再融资
• 当神谕翻转时，大家争先恐后
• 希望清算引擎在拥堵情况下也能正常运行。

代理人并不“抱有希望”。他们需要像机器一样运作的合同。

NoRFi 是代理金融的天然基础，因为它将对抗性时机博弈中的风险转化为决策问题。

代理人需要的是确定性，而不是收益。

在基于清算的系统中，代理的最坏情况状态转换是外部的、瞬时的和对抗性的：

• 它可以通过 Oracle Cadence 触发。
• 通过块排序和MEV放大
• 天然气价格飙升和交通拥堵加剧了这种情况
• 最终通过拍卖成交，成交价以当时允许的任何价格为准。

这使得计划变得脆弱。即使期望值为正，尾部风险也十分棘手，因为代理人可能在最糟糕的时刻失去对仓位的控制。

在NoRFi风格的系统中，生命周期是可枚举的：

• 承诺是明确的
• 转变是已知的
• 时间界限是已知的
• 最终结果是有界的。

实际上，智能体可以对此进行建模。它可以计算可达状态，并选择能够优化这些状态之间的动作。

关键转变：“默认”变成了一个可控分支

在许多 DeFi 协议中，清算是一种突发性的故障状态。而在 NoRFi 原语中，结算则是一种预先定义的状态转换。

在双边信贷中，可选的提前结算条款尤为重要：它允许交易方选择按照预先设定的条款触发结算，而不是被迫进入被动的清算机制。这使得“我被清算了”变成了“我选择了结算，因为在当前情况下这是最优选择”。

这就是两者的区别：

• 因市场事件而受到惩罚
• 执行合同条款

这些特工是为发展中国家而生的。

时间是一个 API

这一点常常被低估。智能体擅长在约束条件下进行调度、预测和优化，但它们不擅长应对随时可能发生的模糊、对抗性的触发事件。

当协议与时间挂钩时，时间就成为了一种可靠的接口：

• 到期日
• 视窗
• 滚动期
• 已知的收费标准
• 已知的定居点边界

这使得策略可以组合。智能体可以自信地将一系列动作串联起来，因为当它执行动作时，合约仍然处于预期状态。

确定性降低了对“可信操作”的需求。

大规模的代理金融不能依赖于专业运营商来维持系统的运转：

• 必须到场的守门员
• 清算人必须行为得当
• Oracle 更新人员必须保持诚实和及时。

这些都是中介机构，而中介机构会带来运营风险。代理人不希望自身与结果之间存在由人类组织和激励机制构成的依赖关系图。

NoRFi降低了这种依赖性，因为该协议不将偿付能力外包给实时市场反应，而是强制执行承诺。代理只需要区块链持续生成区块即可。

为什么这超越意识形态而重要

如果代理金融成为现实，那些需要持续被动防御的协议会随着时间的推移变得越来越不实用，而不是越来越实用。软件的自主性越高，其底层架构就越需要稳定、清晰且非强制性。

NoRFi正是基于这一要求而构建的。在这种金融模式下，规则不会因市场动荡而改变，最坏的结果也可以在进入市场前预先计算出来。

这就是为什么我认为NoRFi不仅仅与代理金融兼容。如果我们希望自主资本不仅仅是机器人争夺清算引擎的残羹剩饭，那么NoRFi或许是DeFi必须发展的方向。

第一个 NoRFi 参考实现

Equalis 是目前 NoRFi 理念的参考实现。它并非“唯一正确的设计”，而是一个具体的系统，您可以对其进行检查，了解当您采用确定性、显式负担和孤立位置时会产生什么结果。

在当前的参考实现中，可以使用以下功能：

• 持仓 NFT
  用户状态由一个独立的、可转让的职位（NFT）表示，该职位保存余额、抵押和协议状态。

• 自担保信贷（定期和循环）
  持仓只能以其自身在同一资产中的资金池余额作为抵押进行借款。借款形式包括固定期限和循环期限两种。

• 直接信贷（P2P协议）
  由同一单一资产池提供资金的双边协议。这些协议可以是同资产协议，也可以是跨资产协议，并且结算方式确定。在收益方面，它们可以表达有界的、类似期权的收益（看涨期权或看跌期权），而无需由预言机触发清算。

• 早期练习和可调用结构
  直接协议可以选择性地允许提前行权（借款人触发的确定性结算）和类似赎回权的行为（贷款人根据预定义规则触发的操作）。关键在于，这些是明确的状态转换，而非被动的清算。

• 管理型资金池（机构配置）
  支持受限参与和策略控制的资金池变体，适用于需要这些控制的环境，同时仍然使用相同的底层会计模型。

费用指数和活跃信贷指数

Equalis 将“收益来源”分为两个确定性的应计路径，每个路径都由明确的事件和会计规则触发：

• 活跃信贷指数（ACI）
  积极参与信贷活动（包括借款和贷款）的资本可获得主动资本收益 (ACI)。这是与积极信贷利用相关的会计处理方式。

• 费用指数
  被动存款人会累积费用指数，某些受限制的余额也会累积该指数（例如，为直接协议提供的锁定抵押品），因为系统将提款可用性与费用累积分开跟踪。

本节的重点并非具体的公式，而是这两个指数都由离散的、可枚举的行为和时间驱动。这使得它们比依赖于清算收益或拍卖条件的收益机制更容易建模、审计和推理。

收益限制指令（YBLO）

在相同的资金池基础之上，Equalis 还支持收益限价单 (YBLO) 。这些交易报价与传统限价单类似，都能预留资金，但它们是通过明确的资金抵押来实现的，而不是将资金从收益表面转移出去。

从概念上讲：

• 持仓是指以特定比例发布买入或卖出的要约。
• 所需余额将被预留（冻结），因此不能提取或重复使用。
• 即使资金被保留，该余额仍可能累积费用指数，因为费用累积与提款是分开计算的。
• 当订单成交时，交易将按照报价条款确定性地执行，而不会变成无限制的信用头寸。

实际效果是，您可以保持流动性“稳定”，而无需在做市商和赚取协议分布式手续费之间做出选择。这是 NoRFi 模式的另一个例子：明确的承诺 + 确定性的执行，而不是被动的做市逻辑。

自担保信贷和高贷款成数，无清算风险

自担保信贷可以支持高贷款价值比（LTV），例如 95%，因为该系统不需要传统意义上的清算缓冲。它没有任何机制会因为价格波动而强制平仓。相反，该设计仅要求持仓维持足够的缓冲，以支付结算路径上的预定罚款。

从概念上讲：

• 你不是在保护协议免受价格影响；你是在满足“结算”分支上已知的合同要求。
• 最坏的结果受既定规则的限制，因此缓冲规模是根据确定性成本来设定的，而不是根据市场混乱情况来设定的。

链式杠杆场景（并非“免费收益”，但代理人可以规划）

因为每个仓位和每个资金池交互都是独立的、确定性的，所以你可以构建链式策略，这在基于清算的系统中是可怕的。

示例工作流程：

1. 用户将代币 A存入资金池 A
2. 用户以95% 的 LTV借入代币 A （自担保，同种资产）
3. 用户将借入的代币 A交换为代币 B
4. 用户将代币 B存入资金池 B
5. 用户以95% 的贷款价值比 (LTV)借入代币 B。
6. 用户将借入的代币 B交换为代币 C
7. 用户将代币 C存入池 C。
8. 用户以95% 的 LTV借入代币 C。
9. 根据需要对其他资产重复上述步骤

有几点需要特别强调，以免被误解：

• 这并非免费收益。借款会产生利息（ACI），而且互换交易还会引入价差、手续费和执行成本。
• 关键在于，用户可以规划高级的多腿策略，其中每腿都有确定性的条款，并且不存在清算竞争。
• 每个交易环节都是独立的，也就是说，协议不会因为某个市场的短暂波动而导致整个结构级联式清算。如果某个特定环节变得无利可图，用户的损失仅限于该环节的承诺和结算规则，而不会因强制性的反应性平仓而扩大。

这正是自主代理想要的环境：不是没有风险，而是风险明确、局部化且可计算的规则集，使得复杂的连锁策略成为可能，而无需围绕它们构建一个永无止境的清算防御机制。

NoRFi 指数代币

目前的实现方式还提供了一个指数代币工厂。重点不在于“被动投资”，而在于提供一种确定性的方式来铸造和赎回多资产篮子，而无需将协议变成一个被动的价格引擎。

从宏观层面来看，该工厂创建了一种新的 ERC20 指数代币，其支持完全由数学决定：

• 组件资产的固定列表
• 每1e18指数单位的每项资产固定捆绑金额
• 针对铸币贷款、烧币贷款和闪电贷的固定收费标准
• 确定性的手续费分配方案，分别在持有者（手续费池）和协议金库（可选）之间进行。

没有再平衡逻辑，也没有“追踪指数价格”的策略。投资组合的构成取决于其成分，而非某种预测。

会创造出什么

创建索引时，您将部署一个专用的IndexToken ERC20 ，并在工厂中注册相应的索引配置。

创建参数定义：

• ERC20 的名称和符号
• assets[] ：购物篮组件
• bundleAmounts[] ：每种资产支持 1e18 个单位指数代币的金额。
• mintFeeBps[] 和 burnFeeBps[] ：每次铸造和销毁的资产手续费。
• flashFeeBps ：闪电贷手续费
• protocolCutBps ：收取的费用在持有者和协议金库之间的分配（如果启用）

创造是决定性的和防御性的：

• 数组长度必须匹配
• 资产必须是唯一的
• 捆绑金额必须为非零值。
• 费用设有上限（铸币、烧录、闪存每次均设有上限，协议切割也设有上限）

工厂回归：

• 一个新的索引 ID
• 已部署的IndexToken地址

双平衡会计：为什么铸币和烧币很容易理解

每个指数追踪每项资产的两个余额：

1. 金库余额（净资产支持）
   这是指数代币的核心支撑，是“真正的”底层资产。

2. 费用池余额（累计费用）
   铸币、销毁和闪电贷期间支付的费用会累积在此处，不会立即支付。这些费用会在销毁时按比例分配给持有者。

这种划分非常重要，因为它使系统的行为变得非常清晰易懂：

• NAV是后盾。
• 费用池是累积的“股息堆”。
• 焚烧可以赎回你应得的份额。

铸币：如何发行新的指数单位

要铸造指数代units ，铸币者会将所需的篮子数量（加上费用）转入金库。

对于捆绑包中的每个资产：

• required = bundleAmount * units / 1e18
• fee = required * mintFeeBps / 10_000
• 用户转账required + fee

然后：

• required款项记入金库余额

• fee按确定性方式分配：

  • potShare会进入该资产的费用池。
  • 如果配置了金库，协议共享收益将进入金库；否则，收益还将进入手续费池。

铸币方式是按比例机械化的。对于已有的指数，发行量基于维持篮子中各成分股的比例平衡。合约会设定各资产的限额比例，从而避免因对某一成分股投入不足而人为增加供应量。

实用说明：该实现方案包含转账手续费保护机制，通过检查收到的金额是否符合预期最低金额来实现。多付的款项不会退还。这确保了铸币过程在 ERC20 出现异常行为时仍能保持确定性。

燃烧：救赎是如何运作的

要销毁units ，持有者需返还指数代币，并按比例获得净资产值和累计费用的分成。

对于每项资产：

• navShare = vaultBalance * units / totalSupply
• potShare = feePotBalance * units / totalSupply
• gross = navShare + potShare
• burnFee = gross * burnFeeBps / 10_000
• netOut = gross - burnFee

然后：

• navShare将从金库余额中扣除。
• potShare会从费用池中扣除。
• burnFee分配遵循相同的池子规则，而非协议规则。
• netOut被传输到燃烧器

这就是为什么费用池模型很简洁：费用分配在销毁时自然发生，无需定期重新基准逻辑、检查点或外部会计核算。

闪电贷：借入一篮子商品，支付确定性费用

闪电贷按消费篮子比例收取：

• 您指定units

• 每项资产的贷款金额为：

  • loanAmount = vaultBalance * units / totalSupply

• 费用为：

  • loanFee = loanAmount * flashFeeBps / 10_000

接收方获得资产后，执行任意逻辑，然后必须在同一笔交易中返还本金和手续费。手续费同样会确定性地分配到手续费池中，并可选择存入协议金库。

为什么这符合 NoRFi 的理念

该指数系统之所以“符合 NoRFi 标准”，原因很简单：它不需要对市场价格做出反应。

• 篮子由固定的组成和固定的单位数量构成。
• 铸造和销毁只是与链上余额成比例的核算。
• 费用和费用分成是基于具体事件的明确数学计算。

因此，你会得到一个类似索引的基本元素，它：

• 真正意义上的非托管（支持在链上且可赎回）
• 确定性推理和检验
• 它与更复杂的系统兼容，因为“结果如何”始终可以从状态加上调用参数推导得出，而不是从外部价格更新推导得出。

换句话说，工厂生产的索引令牌就像干净的机械物体一样。它们不需要预言机来证明其“正确性”，因为正确性的定义就是令牌包本身。

接下来怎么办？

本文旨在提供一个公开的起点，而非结论。设计稿、规格说明和相关注释请参见此处：

https://github.com/EqualFiLabs/EqualFi

我希望收到DeFi研究最擅长的批评：质疑假设，找出极端情况，并告诉我不变性在哪些方面失效。

我所要求的

• 不变性审查： NoRFi 所宣称的目标在对抗条件下是否真的成立，还是会在某个地方坍塌成隐藏的反应性？
• 会计审查：抵押和提款限制是否合理，尤其是在部分成交、每个仓位多个协议以及复杂的操作序列的情况下？
• 博弈论：即使没有清算竞赛，激励机制在哪些方面仍然会导致剥削或胁迫？
• MEV 和边界条件：围绕充值、展期、到期边界和结算执行，还有哪些 MEV 策略？
• 安全面：剩余的信任假设（可升级性、角色控制配置、令牌允许列表、托管池）在哪里？如果目标是最小化信任，哪些假设是不可接受的？

我已经看到一些潜在的阻碍因素。

这些领域我预计会引发争议或存在技术难题：

• ERC20 的怪异之处：转账手续费、重新定基、非标准返回值和代币钩子可能会破坏“干净的数学”系统，除非受到严格的限制。
• 时间戳和时间窗口边界：基于时间的规则是可预测的，但它们也造成了边界游戏，需要谨慎处理。
• 复杂的组合风险：即使每个环节都是独立的，用户也可以将多个环节串联起来，构建高杠杆结构。这与清算系统不同，并非协议偿付能力风险，但它可能导致用户层面的崩溃，而协议本身却会被指责。
• 可升级部署与无人值守测试：如果当前任何部分可以升级，那才算是一个真正的控制面。而实现不可变或严格约束部署的路径则需要明确。
• 制度性特征：托管资金池固然有用，但它们引入了策略控制。无需许可的核心资金池和受限变体资金池之间的界限必须非常清晰。

如果你只回顾一件事

最有价值的反馈是：找出系统违反其预期保证（风险局部化、确定性结算、无强制竞争条件）的最小具体场景，并解释原因。

如果 NoRFi 要作为一种设计空间发挥作用，它就必须是可证伪的。我支持这一点。