一种基于承诺交易的 NFT 担保借贷合约

[editor-Ajian]

前言

大概在三个星期前，我完成了这里所述的设计。我认为，推理出其中的内容实际上只需要对比特币合约式编程的基本理解，所以，我毫不怀疑之前曾经有人发明过相同的东西，以及，其他人无需阅读本提议，也能独立发明出同样的东西。

需要提醒的是，本提议使用 “NFT 担保借贷” 作为演示的案例，但显然，同样的设计也适用于别的担保物和借贷标的，比如 BTC 和稳定币。

---

假定 Alice 拥有一个 NFT（表现为一个 UTXO，但依据某种协议（比如 RGB），这个 NFT 可以转移）；Alice 希望获得现金（在这里是 btc），但不希望卖出 NFT。那么，有富余资金的 Bob 就可以向 Alice 提供这样的 NFT 担保借贷合约。

一. 质押的实现

保证 Bob 的利益需要停止 Alice 对该 NFT 的排他性控制权，否则，Bob 就没有任何能力约束 Alice 。

在这里，我们让 Alice 将该 NFT 存放到 Alice -Bob 的 2-of-2 多签名输出中，从而锁定该 NFT。

注意，生成这个 2-of-2 多签名输出的操作应该在后续所有承诺交易都签名完成后再执行；同时，这笔交易还应该把 Alice 借得的 btc 支付给她。

二. 一次性还本付息的到期可赎回条款

假定 Alice 借到了 M，并且跟 Bob 约定了借贷的利息率和时长（我们用利息函数 f(i, t)来描述），那么我们只需两笔承诺交易，就可以保证 Alice 到期还本付息就一定能拿回自己的 NFT；如果到期不能还本付息，Bob 就可以拿走 NFT。Alice Bob 双方需要以合适的方式签名以下两笔承诺交易：

• 到期赎回交易：花费 2-of-2 的 NFT 输出，产生两个输出，一个输出为 Bob 支付本金和利息，即 M * f(i, T)，另一个输出将 NFT 归还给 Alice 。Bob 需要使用 SIGHASH_ALL_ANYONECANPAY 签名这笔交易并交给Alice 。
  • 这笔交易的输入的面额（以聪计量）小于输出的面额，所以，这笔交易在当前是一笔无效的交易；但是，Bob 使用 ANYONECANPAY 签名了这笔交易，这就意味着，其他人（包括Alice ）可以为之增加输入；当所增加的输入的面额足够大，足以给Bob 还本付息时，这笔交易就会是有效的。
  • 需要根据 NFT 的协议安排两个输出的位置。
  • 这笔交易没有时间锁，因此，实际上，只要 Alice 能支付这个数额（M * f(i, T)），随时都可以拿回自己的 NFT；但是，这个数额实际上是根据一定的利率和一定的期限计算出来的，也即是说，它假设的是 Alice 会到这个期限再还款，如果是提前还款，Alice 将联系 Bob 商议减免利息。
• 过期不候交易：花费 2-of-2 的 NFT 输入，产生一个输出；该输出将 NFT 交给Bob 。Alice 需要签名这笔交易，并交给Bob。这笔交易带有时间锁 T + t，即在 T + t 之前，这笔交易是无法动用的。
  • 这笔交易是为了保证，在 T 之后，如果 Alice 没有及时赎回 NFT，Bob 可以在等待 t 之后，拿走 NFT 作为自己的补偿（这也是担保借贷合约的常见条款）。

Alice Bob 各自保管对自己有利的承诺交易，就可以保证：（1）到期之后，只要 Alice 能还本付息，就一定能拿回 NFT；（2）如果到期之后 Alice 没有还本付息，Bob 在等待一段时间后可以获得 NFT，作为对自己的补偿。

三. 多次付息的安排

只需借用第二节中的结构就可以实现多次付息的安排。假设 Alice、Bob 双方约定分三次还款，那就需要签名三组 付息交易-过期交易：

• 每一笔过期交易都是将 NFT 分配给 Bob；
• 每一笔付息交易的结构都跟第二节中的 “到期赎回交易” 类似：需要增加一个价值为还款额的输入才能生效；产生两个输出，一个输出给 Bob 支付还款额，另一个输出继续将 NFT 锁定在 Alice 和 Bob 双方的 2-of-2 输出中；
• 第一笔付息交易是在花费最初的 2-of-2 输出；最后一笔付息交易就是上文的 “到期赎回交易”；期间的每一笔付息交易都是在花费前一笔付息交易的 2-of-2 NFT 输出；（对应的过期交易总是跟付息交易花费相同的输出）
  • 付息交易-过期交易 应该按倒序签署。比如，在我们这个案例中，应该先签名第三组、然后是第二组、然后是第一组。

四. 动态清算

在担保借贷协议的设计中，动态清算是极为关键的一环。在担保借贷协议中，担保品的价格会不断改变；在担保品的价格快速下跌的时候，其市场价值可能跌至低于债务的价值，或低于债务的某个比值；这时候，这一笔借贷就成了 “担保不足的借贷”，即担保物的价值将不足以约束（或者说吸引）贷款者还款。为了保护放贷者的利益，必须有一定的动态清算安排 —— 在某种情况下，担保品被转移给放贷者。

缺乏动态清算能力的担保借贷协议并不是无法成立的，只是，可以应用它的市场将大大受限 —— 只有担保品价值较为稳定、担保品价值远高于债务值、借贷周期较短的担保借贷才能成立。而如果有动态清算能力，担保品的门槛将降低，市场将扩大。

与人们的直觉相反的是，动态清算的能力并不需要我们持续为担保借贷合约提供担保品的价格并以此价格（或者该价格与债务的比值）为条件执行合约。因为：

1. 动态清算的最终目的是为了保护放贷者的利益。它必须能够在某些情况下，将担保品分配给放贷者。
2. 但是， 清算程序必须允许贷款者作出响应，否则，这样显失公平的机制就会被放贷者滥用。比如，假设动态清算一经启动就必定导致担保品分配给放贷者，则一定存在一个足够高的价格区间，使放贷者具有这样滥用清算程序的动机。
   • （1）并不必然需要价格信息的输入；而在（2）中，价格信息的输入（以及相应的执行能力）并不能替代这样的响应机制。给定 NFT 自身的非标准化特性，为某一个 NFT 提供价格信息的断言机可能是数量有限的，甚至是 Alice 和 Bob 主动联系的。在这个背景下，即使要使用市场价格信息，也不得不考虑断言机被爆破或者串通的可能性。

事实证明，只需一种机制，即足以约束动态清算的程序，并让输入价格信息成为不必要的：在 Bob 启动清算程序之后，Alice 总能优先行动；并且，只要 Alice 能还清一定的款项，就可以拿走 NFT。

换言之，我们可以将 “动态清算” 理解为一种 “催促还款” 安排：如果 Alice 不能及时还款，Bob 就可以拿走 NFT；但是，Alice 所需归还的款项并不是上文所说的 M * f(i, T) - 已归还款项（如果有多次还款的安排的话）；而是 [M * f(i, T) - 已归还款项] * f'(i', T') - A，这里的 f'(i', T') 表示折现函数，它由预期的折现率和剩余债务时间决定；A 是一个惩罚因子；也就是说，Alice 要归还的是自己的到期债务值的折现值，再减免一部分金额。

“折现值” 的概念在金融业中极为普遍，它的意思是：如果我明年的今天要还给你 100 元，那么，如果我今天就还钱，我应该不需要还 100 元，因为今天的 100 元的价值是大于明年的今天的 100 元的 —— 如果你在未来的某一天有某一笔收入，这笔收入可根据时间和利息率折合成今天的某个值。它跟利息是同一种现象。

这种机制即足以实现我们想要的特性：（1）如果担保品的价格稳定，Bob 将不可能通过清算机制获得担保品，即不能诈骗 Alice；（2）如果担保品的价格下跌，Bob 可以启动清算机制，要么 Alice 清偿债务，要么 Bob 得到担保品，无论哪种情况，Bob 都得到了保护；（3）折现函数保护了 Alice，当 Bob 要求她清偿债务时，她只需要支付折现值，而不是债务的到期值；（4）惩罚因子构成了 Bob 启动清算的成本；在 Bob 单纯只是想要催促 Alice 还款时，惩罚因子是他违反合约的代价；因此，只有在担保品真的可能不足以覆盖债务时，Bob 才会动用清算。

Alice 和 Bob 可以通过一组承诺签名来实现这样的机制；这组承诺签名的基本单元是这样的：

• 触发清算交易：花费 Alice 和 Bob 当前的 2-of-2 NFT 输出，产生一个 NFT 输出。该输出有两种花费条件：（1）Alice 和 Bob 的 2-of-2 多签名；（2）Alice 的签名以及一个时间锁（在这里假定为 T2 + t），意思是在一定的时间之后，Alice 就可以直接拿走 NFT。Alice 要签名这样的承诺交易并交给 Bob。
  • 输出的 Alice-时间锁 分支，阻止了 Bob 在过期（T2）之后广播这笔交易：这样只会让 Alice 可以直接拿走 NFT，而不能起到强迫 Alice 多付利息的目的。
• 清偿交易：花费触发清算交易的 NFT 输出的 2-of-2 多签名分支，产生两个输出，一个输出给 Bob 一定的数额；另一个输出将 NFT 交给 Alice。这笔交易表示 Alice 提前还款，从而拿回自己的 NFT。Bob 要使用 SIGHASH_ALL_ANYONECANPAY 要签名这样的交易并交给 Alice。
  • 给 Bob 的数额是 [M * f(i, T) - 已归还款项] * f'(i', T - T1) - A，也即，以 T1 为时间点，计算 Alice 的债务的折现值。
  • 因此，这笔交易的输入的价值是小于输出的价值的，必须由 Alice 或其他人为之增加一个足够大的输入，才能使之有效。
• 清算 NFT 交易：花费触发清算交易的 NFT 输出的 2-of-2 多签名分支，产生一个输出，将 NFT 分配给 Bob。这笔交易带有相对时间锁 t，由 Alice 签名并交给 Bob。
  • 可见，不论 Bob 在什么时候广播触发清算交易，Alice 都有 t 的时间窗口来筹备还款。如果 Alice 不能及时还款，Bob 就可以收走 NFT。

如此，Alice 和 Bob 各自获得了自己想要的保证：（1）当 Bob 适时广播触发清算交易时，Alice 总是可以在时间窗口 t 内通过偿还自己的债务的折现值来拿回自己的担保品 NFT；（2）如果 Alice 无法及时还款，Bob 就可以拿走担保品 NFT；（3）Bob 总是只能广播定价合适的触发清算交易，如果广播更老旧的触发清算交易，Alice 并不会多付利息，而是可以把 NFT 拿走。

还需注意的是：

• Alice 和 Bob 可以通过签名许许多多的承诺交易，将整个还款周期切分成许许多多的小段；切得越细，Bob 实际得到的款项跟实际应得款项的偏离就越小；
• 但是，这里的 t 不应太小，否则便有失公平；t 越小，Bob 利用清算机制夺走担保品的激励就越大；这里的 t 跟闪电通道的争议期时间窗口一样，要求贷款方每 t 段时间至少上线一次；
• 惩罚因子 A 允许我们作进一步的设计。例如，Bob 越早催促还款，A 就越高，而且负激励 Bob 使用清算机制。
• 折现率跟利率一样，都需要 Alice 和 Bob 提前预估；虽然这样的预估可能偏离后续的市场所呈现出来的真实值，但是，现实生活中的许多担保借贷合约，都是这么运行的；尝试提供实时变化的利率和折现率会让整个协议变得更加复杂，于是我们暂时不考虑。

五. 提前还款及其它

如上所述，动态清算机制也可以认为是 Bob 发起的一种要求提前还款的操作。但是，Alice 也可以主动跟 Bob 商议提前还款并减免利息。在这种情况下，只需双方合作，就可以构造合适的交易，归还欠款并分配担保品 NFT。

在控制 NFT 的输出中使用更复杂的脚本，将允许 Alice 使用链上比特币以外的方式还款，其原理跟 HTLC（哈希时间锁合约）一致，此处不述。

六. 总结

随着越来越多的资产发行协议解决消耗链上资源来获得可编程性的理论问题，其它种类和特性的资产几乎必然在比特币网络上出现并进入不同的应用场景。本提议的设计将为值得金融化的资产提供帮帮助。

本提议也证明了，比特币协议并不缺乏编程能力，尤其不缺乏支持金融应用的编程能力。 最基本的模块 —— 承诺交易、时间锁、SIGHASH —— 就蕴藏了组合出复杂应用的可能性，所需的只是对这些模块的了解，以及对现实生活的合约的认识。这样的可能性，仍未被完全开发。

请给我反馈以及指出我在这里犯的错误。

参考文献：
[1] https://www.btcstudy.org/2021/11/09/bitcoin-signature-types-sighash/

[realoctoshi]

这种设计下，看上去目前还无法构建免信任的借贷池，只能设计出撮合式的订单簿借贷。