Предупреждение OpenZeppelin — это тревожный звонок: ИИ меняет способы взлома DeFi

Последние несколько лет я наблюдала, как DeFi превращался из простых пулов ликвидности в невероятно сложные, переплетенные «финансовые конструкторы Lego». Но недавнее предупреждение генерального директора OpenZeppelin — компании, которая фактически задает золотой стандарт безопасности смарт-контрактов — серьезно меняет правила игры. По сути, он заявил, что весь DeFi сейчас находится в зоне риска, потому что мы столкнулись с «сверхчеловеческими» ИИ-агентами для кодинга. Если вы задаетесь вопросом, безопасны ли DeFi протоколы от ИИ, честный ответ таков: планка только что поднялась. Мы больше не боремся с людьми-хакерами, мы сражаемся с алгоритмами, которые за секунды находят дыру размером с иголку в десяти тысячах строк кода. Ранее мы разбирали тему ИИ и безопасности крипты, чтобы дать вам больше контекста.

Новая реальность сверхчеловеческих эксплойтов

Долгое время мы верили, что строгий аудит от авторитетной фирмы — это своего рода знак качества и безопасности. Я сама раньше думала: если у проекта есть три аудита и программа Bug Bounty, значит, он «достаточно безопасен». Но эксплойт StablR и недавняя волна изощренных рагпуллов в Южной Корее показывают, что поверхность атаки расширяется.

Опасность здесь не в том, что какой-нибудь продвинутый чат-бот напишет скрипт. Речь об ИИ-агентах, которые могут симулировать миллионы комбинаций транзакций, чтобы найти один конкретный, неочевидный путь к опустошению казны протокола. Мы уже писали о том, как риски сложности DeFi делают системы хрупкими, но ИИ стал тем самым катализатором, который превращает эту хрупкость в мгновенную катастрофу.

Безопасны ли DeFi протоколы от ИИ (и почему нет)

Если вы ищете повод для оптимизма, можно сказать, что ИИ помогает и «хорошим парням». Бывали случаи, когда нейросети находили уязвимости еще до развертывания кода. Но, по моему опыту, атакующий всегда в выигрыше. Разработчику нужно закрыть каждую точку входа. Хакеру достаточно найти всего одну.

Если совместить ИИ с текущим состоянием рынка, картина получается напряженной. Индекс страха и жадности замер на отметке 37, что уверенно относит нас к зоне «Страха». Общая капитализация рынка составляет около $2,83 трлн, но самое интересное — в объемах. Мы видим почти $96 млрд за 24 часа, при этом комиссии за газ в Ethereum невероятно низкие. Это говорит о странном разрыве: крупные деньги крутятся на биржах, а реальная on-chain активность в DeFi замирает. Возможно, это симптом того, что люди начинают понимать: риски перевешивают возможную прибыль.

Пропасть между аудитами и реальностью

Я прочитала достаточно белых книг (whitepapers), чтобы понять: «прошел аудит» не значит «невозможно взломать». Это значит лишь то, что человек не заметил баг в конкретный промежуток времени. ИИ не устает, он не пропустит точку с запятой и у него не бывает «плохих дней».

Поэтому я становлюсь гораздо скептичнее к протоколам с высокой доходностью. Когда я вижу проект, обещающий 50% APY, я больше не вижу золотую жилу. Я вижу огромную мишень для ИИ-агента. Если код сложный, а награда высокая, это лишь вопрос времени, когда алгоритм найдет брешь.

Как на самом деле защитить свои активы

Раз мы не можем доверять протоколам в плане абсолютной безопасности, единственный логичный шаг — перенести риск с протокола на себя. Я всегда была сторонницей самохранения (self-custody), но уровень безопасности, который нужен сейчас, гораздо выше, чем в 2019 году.

Тем, кто держит значительные суммы в ETH или SOL, нужен аппаратный кошелек, который позволяет видеть, что именно вы подписываете. Большинство людей просто слепо жмут «Подтвердить» во всплывающем окне MetaMask, и именно так работают большинство фишинговых атак на базе ИИ. Я предпочитаю Ledger Stax именно из-за большого E Ink экрана и встроенной функции проверки транзакций, которая помогает обнаружить скам до того, как вы поставите подпись. Он дорогой ($399), но это гораздо дешевле, чем потерять весь портфель из-за одного бота.

Мой итог по угрозе ИИ

Я не говорю, что нужно полностью уходить из DeFi, но пора перестать относиться к нему как к сберегательному счету. Это лаборатория с высоким риском. Эпоха доходного фермерства по принципу «закинул и забыл» закончилась, потому что хищники теперь быстрее разработчиков.

Я буду внимательно следить за обновлениями протоколов в ближайшие месяцы. Если мы не увидим массового перехода к ИИ-мониторингу в реальном времени и формальной верификации, нас ждут серии «черных лебедей», на фоне которых крахи 2022 года покажутся просто разминкой. А до тех пор держите основные активы оффлайн и исходите из того, что в любом используемом вами протоколе уже есть дыра, которую нашел ИИ.

Торгуйте новости на бирже, которую выбрали наши редакторы: MEXC