Взлом KelpDAO на 293 миллиона долларов: почему риск сложности в DeFi стал главной проблемой

Я слежу за DeFi с 2019 года и поняла одну вещь: «инновации» здесь часто оказываются просто вежливым словом для фразы «мы добавили еще один слой риска, который никто до конца не понимает». Недавний взлом KelpDAO на 293 миллиона долларов — это не просто очередной случай из бесконечного списка эксплойтов. Это хрестоматийный пример того, что такое риск сложности в DeFi. Похоже, индустрия наконец уперлась в стену, где математика становится слишком запутанной, чтобы управлять ею безопасно. Ранее мы разбирали риски DeFi-кошельков, чтобы дать больше контекста.

Что на самом деле произошло с KelpDAO

Для тех, кто не погружен в дебри ликвидного рестейкинга, объясню: KelpDAO позволял пользователям сохранять ликвидность и одновременно получать награды за стейкинг активов. Проблема в том, что ликвидный рестейкинг — это далеко не простой процесс. Он включает в себя слои смарт-контрактов, сторонние протоколы и рекурсивные петли обеспечения.

В этот раз атакующий не просто нашел баг в одной строчке кода. Он использовал то, как разные компоненты протокола взаимодействуют друг с другом. Манипулируя состоянием системы, хакеры смогли выкачать почти 300 миллионов долларов. Это не была «флэш-лоан» атака в привычном смысле, а скорее сбой системы при обработке специфической и сложной последовательности событий.

Что такое риск сложности в DeFi и почему это важно

Когда я говорю о риске сложности, я имею в виду «проблему Lego». В самом начале каждый протокол делал что-то одно. Uniswap менял токены. Aave давал их в долг. Всё просто. Но сейчас у нас есть протоколы, которые стоят поверх других протоколов, которые, в свою очередь, обернуты в другой токен, который затем отправляется в оптимизатор доходности.

Каждый новый слой — это новая точка отказа. Даже если каждый отдельный кусок кода «проверен» и «безопасен», взаимодействие этих частей может создать неожиданные уязвимости. Это как строить небоскреб, где каждый болт сверхпрочный, но общая архитектура настолько нестабильна, что легкий ветерок в неправильную сторону сносит всё здание.

Я видела этот сценарий раньше. Мы уже писали про взлом Drift Protocol, где риск заключался не только в коде, но и в человеческом факторе с административными ключами. KelpDAO отличается тем, что риск был зашит в саму логику продукта.

Где индустрия ошибается

Самая большая беда в том, что большинство пользователей (и даже некоторые разработчики) воспринимают аудит как «знак качества». Видят PDF-файл от известной фирмы по безопасности и решают, что деньги в безопасности. Но аудит — это просто моментальный снимок системы в конкретный момент времени. Он не учитывает, как протокол поведет себя при взаимодействии с пятью другими живыми протоколами на волатильном рынке.

Честно говоря, мне надоело это мышление в стиле «двигайся быстро и ломай всё вокруг», когда «всё вокруг» — это сбережения людей. Текущие рыночные данные показывают нейтральный настрой с индексом страха и жадности 43, а доминация Биткоина держится на уровне 60,25%. Люди прячутся в BTC, потому что поняли: «высокая доходность» в DeFi часто идет с скрытой ценой в виде экстремального системного риска.

Как защитить себя от системного сбоя

Если вам надоело смотреть, как 300 миллионов долларов исчезают за несколько блоков, пора менять подход к хранению активов. Я не могу сказать, какой протокол «безопасен», потому что в сложной системе безопасность — это иллюзия. Но я точно скажу: никогда не держите основные средства в протоколе, который вы не понимаете до конца.

Активы, которые вы планируете держать в долгосрок, лучше убрать из сети в аппаратный кошелек. Я лично предпочитаю Ledger Flex, потому что E Ink экран делает гораздо сложнее случайно подписать вредоносную транзакцию. Он стоит 249 долларов, и это смешная цена по сравнению с потерей всего из-за ошибки в сложной логике.

Мой итог

DeFi наконец-то заставляют повзрослеть. Эпоха наслоения десяти разных протоколов ради 20% годовых заканчивается, потому что риск стал слишком очевидным. Думаю, мы увидим сдвиг в сторону «скучного» DeFi. Простые, прозрачные и проверенные временем протоколы победят эффектные, но переусложненные проекты.

А до тех пор считайте, что любой протокол, обещающий «оптимизированную» или «многослойную» доходность, — это по сути гигантский эксперимент с вашими деньгами. Если вы не можете нарисовать схему движения средств на салфетке за 30 секунд, значит, эта штука слишком сложна, чтобы быть безопасной.

Торгуйте новости на бирже, которую выбрала наша редакция: MEXC