Чи варто ще гратися з DeFi? Це відчуття занадто знайоме…

Крипторинок входить у ще одну безсонну ніч під холодним повітрям. Bitcoin за тиждень впав майже на 12%, Ethereum повернувся до позначки близько 3300 доларів, а ризикові активи загалом знаходяться під тиском.

На тлі млявого ринку децентралізовані фінанси (DeFi) знову опинилися в епіцентрі шторму: відома платформа Balancer v2 зазнала найбільшої в історії хакерської атаки з втратою понад 120 мільйонів доларів; одразу після цього платформа оптимізації прибутку Stream Finance повідомила про збитки у 93 мільйони доларів, а її стейблкоїн для стейкінгу xUSD впав нижче 0,3 долара.

Шторм на цьому не зупинився. Ризики, викликані Stream, поширюються ланцюгом "композабельності" на інші протоколи.
У новій хвилі ланцюгової реакції компанія з управління ризиками DeFi Gauntlet вже подала термінову пропозицію на форумі управління Compound, запропонувавши тимчасово призупинити ринки USDC, USDS, USDT в основній мережі Ethereum, щоб запобігти поширенню ризиків.

Хакерські інциденти відбуваються один за одним на тлі слабкого ринку, ставлячи "безпосередні фінанси" перед суворим випробуванням реальністю:

Коли падіння цін поєднується з ризиковими подіями, чи наважишся ти й далі "грати" в DeFi?

Хакерський інцидент, що почався з Balancer

У понеділок було виявлено критичну вразливість у Balancer v2. Зловмисники скористалися логічною помилкою у Composable Stable Pools, провівши атаки на Ethereum, Arbitrum, Base та інших ланцюгах, і за кілька годин вивели 128 мільйонів доларів.

Дослідники зазначають, що зловмисники могли підробити "зарахування комісій" і ініціювати виведення, перетворивши "фіктивні бали" на "реальні кошти". Ще іронічніше, що цей модуль системи проходив понад десять аудитів безпеки, включаючи OpenZeppelin та Trail of Bits. Багаторічна репутація та технічний досвід не змогли захистити від логічної атаки.

Керівник стратегій Flashbots і Lido Hasu зазначив: "Кожного разу, коли такий старий контракт зламують, загальне впровадження DeFi відкидається назад на 6-12 місяців."

Менш ніж за 24 години Stream Finance повідомила, що її "зовнішній менеджер активів" спричинив збитки на 93 мільйони доларів. Платформа призупинила введення та виведення коштів, а стейблкоїн xUSD серйозно втратив прив'язку, впавши з 1 долара до 0,27 долара.

Дані з блокчейну показують, що загальна сума застав, пов'язаних з xUSD, xBTC, xETH, становить близько 285 мільйонів доларів, і це стосується таких протоколів кредитування, як Euler, Silo, Morpho. Загальна TVL на багатьох ринках за день скоротилася на сотні мільйонів доларів.

Твої кошти тобі не належать: зворотний бік "композабельності"

Простіше кажучи, найпривабливіша риса DeFi — "композабельність" (Composability) — це як фінансовий конструктор Lego: ти можеш поєднати пул прибутку протоколу А з кредитуванням протоколу B, а потім використати стейблкоїн протоколу C як заставу, створюючи багатошарову структуру.

У бичачому ринку ця схема дійсно приносить задоволення. Прибутки множаться, ефективність вражає. Але мало хто усвідомлює: чим вища вежа з кубиків, тим болючіше вона падає.

Як тільки ринок холоне або одна з базових "цеглинок" дає збій — наприклад, Balancer чи Stream — ризики поширюються ланцюгом, як доміно.

Засновник компанії з безпеки Ginger Security Johnny Time детально пояснив цей механізм передачі ризиків.

Багато хто купував на Beefy Finance так званий "найбезпечніший USDC-скарбничку", думаючи, що їхні кошти у безпеці. Але насправді гроші не залишалися на Beefy, а передавалися далі по ланцюгу:

Beefy → Silo → Arbitrum → інша компанія під назвою Valarmore → врешті-решт потрапили у Stream Finance, що і збанкрутувала.

Ти думав, що купуєш USDC, але насправді вже пасивно володів проблемним xUSD.

У цьому ланцюгу фронтенд-платформа Beefy показує користувачу "безпечну USDC-скарбничку", але кошти потім перерозподіляються проміжною компанією Valarmore у стратегію xUSD протоколу Stream.

Johnny Time зазначає, що проблема полягає в тому, що кожен рівень протоколу прагне максимізувати прибуток, але бракує розкриття інформації та механізмів ізоляції ризиків.
Така "багаторівнева вкладеність" дозволяє ризикам непомітно передаватися ланцюгом: зміна рішень у верхньому протоколі, волатильність базових активів чи помилки у проміжних стратегіях — усе це посилює ризики.
У підсумку, коли з базовим активом (наприклад, xUSD) виникають проблеми, вся структура руйнується, як доміно.

Дискусія про децентралізацію

Тому в спільноті знову спалахнула дискусія про децентралізацію.

Партнер Dragonfly Haseeb Qureshi вважає: "Навіть у децентралізованих системах, якщо достатньо учасників досягнуть згоди, вони можуть заморозити рахунки чи кошти."
Але критики швидко заперечили: "Якщо достатньо людей можуть погодитися зробити щось, вони можуть зробити все — це вже не децентралізація."

Ця дискусія виявляє парадокс управління DeFi: коли система потребує втручання людського консенсусу для зупинки втрат, межі "децентралізації" розмиваються.

Засновник OneSource Владислав Гінзбург вважає, що ризик — це основа DeFi-екосистеми: "Складність смарт-контрактів і фінансової інженерії означає, що користувачі повинні приймати невизначеність."
Дослідник безпеки Suhail Kakar прямо каже: "'Аудитовано' майже нічого не означає. Код складний, DeFi ще складніше."
CTO Komodo Kadan Stadelmann додає, що часті інциденти безпеки змушують інституційні кошти уникати складних структур і повертатися до стратегії "Bitcoin only".

Дослідник Nansen Nicolai Søndergaard зазначає, що уразливість Balancer була у логіці білінгу, а не у контролі доступу — такі ризики важко виявити аудитом, а механізми управління не можуть швидко реагувати.

Підсумок

Проблема DeFi — не у технологіях, а в управлінні.
У бичачому ринку протоколи нашаровуються, високі прибутки приваблюють; у ведмежому ринку відкривається правда — жоден рівень не є повністю безпечним.

У майбутньому виживуть ті проекти, які доведуть три речі:
прозорість коштів, ізольованість ризиків, ефективне управління.

Для звичайних користувачів досвід теж змінюється: якщо ти навіть не знаєш, куди врешті-решт потрапляють твої гроші, краще просто купити BTC і бути спокійним.

Зрештою, у світі DeFi: лише зрозумілий ризик — це можливість, а незрозумілий прибуток — це пастка.

Автор: Seed.eth