Как DeFi-протокол потерял миллионы — и что пошло не так

Децентрализованные финансы обещают открытые, безразрешительные рынки, работающие без посредников. Но та же открытость означает, что код доступен любому — в том числе злоумышленникам, которые ищут слабые места. Недавний инцидент, в ходе которого кредитный протокол, по сообщениям, потерял миллионы долларов пользовательских средств, напоминает, как быстро всё может выйти из-под контроля, когда сквозь защиту проскакивает единственный изъян.

Хотя у каждого эксплойта свой почерк, данные ончейн указывают, что этот случай следовал схеме, которую исследователи безопасности документировали уже много раз. Понимание этой схемы — лучшая защита, доступная широкой аудитории.

Что, по сообщениям, произошло

Согласно первичному ончейн-анализу, злоумышленник взаимодействовал со смарт-контрактами протокола так, как разработчики никогда не предполагали. Сообщается, что средства были выведены серией быстрых транзакций, а затем пропущены через мосты и миксеры, чтобы запутать след.

Вскоре после обнаружения аномалии протокол приостановил работу. Однако в DeFi пауза часто приходит слишком поздно: как только транзакция подтверждена в Ethereum или другой сети, отменить её невозможно.

Проблема скорости

В традиционных финансах есть задержки расчётов, отделы по борьбе с мошенничеством и возвраты платежей. В DeFi этого нет по своей природе. Аналитики говорят, что именно это делает эксплойты столь разрушительными — злоумышленник способен опустошить контракт в пределах одного блока, задолго до того как хоть кто-то успеет отреагировать.

Где, вероятнее всего, что-то пошло не так

Двух одинаковых разборов не бывает, но в подобных случаях, как правило, всплывает несколько повторяющихся слабых мест.

Манипуляция оракулом и ценами

Многие кредитные протоколы полагаются на ценовые оракулы для оценки залога. Если злоумышленник может временно исказить цену, которую сообщает оракул — иногда с помощью флеш-займа, чтобы сдвинуть тонкий рынок, — он получает возможность занять куда больше, чем стоит его залог. Данные ончейн указывают, что манипуляции такого рода входят в число самых распространённых векторов атак.

Непроверенный или наспех написанный код

Аудиты снижают риск, но никогда не устраняют его полностью. Некоторые инциденты связаны с контрактами, которые проверялись лишь поверхностно, или с кодом, который обновили уже после завершения аудита. Одного упущенного пограничного случая в логике учёта средств может оказаться достаточно.

“

Большинство эксплойтов не экзотичны — они используют допущения, о которых сами разработчики даже не подозревали.

”

Слабые механизмы защиты

Такие меры, как лимиты на вывод, временные задержки на крупные переводы и автоматические предохранители, способны замедлить злоумышленника. Когда их нет или они настроены неверно, уязвимость, которую можно было бы локализовать, оборачивается катастрофой.

Уроки для пользователей и разработчиков

Для обычных пользователей практический вывод — осторожность. Высокая доходность нередко отражает высокий риск, и даже прошедшие аудит протоколы могут дать сбой. Распределять вложения, отдавать предпочтение проектам с более долгой историей и относиться к любой отдельной платформе как к способной подвести — разумные привычки.

Для разработчиков аналитики всё чаще подчёркивают важность многоуровневой защиты: несколько независимых аудитов, мониторинг в реальном времени, консервативный дизайн оракулов и понятные планы реагирования на инциденты. Некоторые команды также финансируют программы вознаграждений за найденные ошибки или ончейн-страхование, чтобы смягчить удар, если что-то всё же проскользнёт.

Ничего из этого не является инвестиционной рекомендацией — это лишь напоминание о том, что в DeFi безопасность является общей ответственностью, а бремя проверки ложится на пользователя куда сильнее, чем в традиционных финансах.

Более широкая картина

Каждый крупный эксплойт, как правило, подталкивает отрасль на шаг вперёд. Стандарты ужесточаются, инструменты совершенствуются, а самые небрежные практики постепенно выходят из обихода. Успевает ли этот прогресс за всё более изощрёнными злоумышленниками — вопрос открытый, и ответить на него поможет следующий разбор.