Основные сведения о рисках DeFi
Практическое руководство по рискам в криптовалюте, основанное на данных о потерях в размере более 5 млрд долларов США в результате взломов, раг-пулов и экономических происшествий.
Быстрое распространение криптовалют привлекло сотни миллиардов. Вместе с этим ростом, к сожалению, широко распространились эксплойты и мошенничество. Эти риски все еще широко непонятны как на уровне протокола, так и на индивидуальном уровне. В этом материале мы надеемся разъяснить наиболее актуальные технические и экономические риски, присущие протоколам DeFi, проанализировать некоторые из наиболее известных эксплойтов и факторы, которые пользователи должны учитывать, чтобы управлять своей уязвимостью к этим рискам.
Классификация рисков в протоколах DeFi
Протоколы DeFi подвержены различным рискам - от раг-пулов до взлома и экономических атак. Эти термины часто используются как взаимозаменяемые... но что они означают на самом деле?
Прежде чем различать эти атаки, необходимо сначала понять типы рисков. В целом их можно разделить на следующие категории:
Технические риски - программные функции, используемые во враждебной манере для изъятия средств из протоколов.
Экономические риски - использование механизмов, ключевых для протоколов, непредусмотренным образом для создания дисбаланса, который приводит к потерям для вкладчиков (и выгоде для атакующего)
В этом контексте мы бы классифицировали взломы как чисто технические, внешние атаки, рагпуллы как внутренние, преднамеренное злоупотребление техническими факторами и экономические эксплойты как те, которые используют преимущества дисбаланса экономических протоколов.
В следующей части статьи мы рассмотрим факторы, лежащие в основе этих рисков, через призму 50 крупнейших инцидентов в DeFi. Для тех, кого интересуют исходные данные, не стесняйтесь посмотреть эту электронную таблицу.
Анализ крупнейших рисков
Чтобы понять, насколько протоколы DeFi подвержены каждому типу риска, мы изучили 50 крупнейших инцидентов, произошедших на сегодняшний день. Сюда входят взломы на сотни миллионов мостов, экономические крахи алгоритмических стейблкоинов и откровенное ограбление средств пользователей.
По нашим оценкам, между этими 50 инцидентами пользователи потеряли более 5 миллиардов долларов в приложениях DeFi. Как мы будем рассказывать в этом материале, среди самых крупных эксплойтов были взломы мостов, а также особенно крупный крах алгоритмического стейблкоина.
Вот распределение основных факторов риска, стоящих за 50 крупнейшими атаками DeFi.
Примерно две трети крупнейших инцидентов были вызваны техническими рисками. При этом чуть менее четверти инцидентов были вызваны экономическим дисбалансом, который привел к уязвимости, а 10% представляли собой сочетание этих двух типов рисков.
Технические Риски
Далее мы классифицируем программные атаки в зависимости от того, связаны ли они с ошибками в смарт-контрактах, управлением закрытыми ключами, внешними эксплойтами или раг-пулами.
Здесь мы можем наблюдать, что подавляющее большинство технических атак связано с непреднамеренными ошибками, присутствующими в смарт-контрактах протоколов. Фактически, 46% из 50 рассмотренных атак возникли из-за такого риска. Среди них наиболее распространенными были ошибки обновления, такие как те, которые были использованы в печально известном взломе The DAO.
Кроме того, значительная часть атак была связана с управлением закрытыми ключами, как это недавно произошло при взломе сети Ronin стоимостью 624 миллиона долларов, стоящей за Axie Infinity. Эти инциденты происходят из-за того, что хакеры могут получить доступ к закрытым ключам, которые контролируют смарт-контракты протоколов. В случае с Ronin был использован мультисигмальный кошелек, который требовал 5 из 9 адресов для одобрения транзакций, причем 4 из них принадлежали SKy Mavis, компании, стоящей за сетью. Рассылка Ronin указывает на то, что атака была социально сконструирована, предполагая, что злоумышленник отправил команде Sky Mavis ссылку, которая после открытия давала доступ к их закрытым ключам. Пятый скомпрометированный адрес принадлежал Axie DAO, один из членов которой, похоже, подвергся такой же атаке.
Хотя мост Ronin использовал кошелек с несколькими подписями, многие другие атаки в этой подкатегории связаны с тем, что один адрес контролировал доступ к средствам протокола. Такое неправильное управление закрытыми ключами может привести как к взлому, так и к раг-пулу. Это действует как центральная точка уязвимости для хакеров, а также дает разработчикам возможность намеренно выводить средства пользователей.
Защита своих средств от этих рисков может показаться сложной задачей, но она не является невозможной. В конце статьи мы приведем практические шаги, которые пользователи могут предпринять для снижения технических рисков, но перед этим давайте окунемся в экономические риски, которые привели к еще большим потерям.
Экономические Риски
Несмотря на то, что за большинством атак в DeFi стоят технические факторы, на самом деле из-за экономических рисков было потеряно большее количество долларов.
Экономические риски можно разделить на четыре подкатегории: со стороны предложения, со стороны спроса, механизмы стабильности и здоровье активов. Эти факторы в определенной степени взаимозависимы, хотя обычно убытки можно отнести к одной или двум из этих подкатегорий в каждом инциденте.
Риски со стороны предложения в основном связаны с притоком и оттоком ликвидности и ее концентрацией. Здесь динамика сильно отличается от той, что наблюдается при технических атаках.
Например, рассмотрим недавний экономический инцидент, в результате которого вкладчики пула Curve понесли убытки на сумму не менее 80 миллионов долларов. Стейблкоин MIM до 26 января 2022 года был одним из основных активов DeFi для получения высоких доходов. В тот день стало известно, что основатель проекта Даниэль Сеста сотрудничал в другом проекте, Wonderland, с анонимным соучредителем, который является бывшим заключенным, связанным с миллионами средств через централизованную биржу Quadriga в Канаде. Кроме того, часть залога, обеспечивающего MIM, была в токене TIME проекта Wonderland. Когда личность соучредителя была раскрыта, по всей DeFi произошли сильные экономические потрясения.
Майкл Патрин, который был псевдонимно известен как Сифу, был финансовым директором Wonderland, а основатель Abracadabra признался, что знал его настоящую личность. Это привело к значительным потерям в проектах, связанных с Даниэле Сестой. В случае с пулом Curve MIM вкладчики поспешили вывести ликвидность.
В течении нескольких часов из пула было выведено около 2 миллиардов долларов ликвидности. Поскольку пул состоял из MIM и 3Crv (другой пул, в котором 33,3% USDT, USDC, DAI), вкладчики предпочли вывести средства в 3Crv, чтобы избежать рисков, связанных с MIM. Это привело к тому, что состав активов в пуле стал несбалансированным.
По мере того, как пул стал состоять в основном из MIM, с вкладчиков стали взимать более высокие комиссии за выход, если они решали снять средства в 3Crv (или любом из его компонентов). Поскольку ликвидность в пуле становилась все меньше, а МММ потеряла привязку к доллару, комиссии за вывод средств выросли до такой степени, что один адрес получил убыток в размере 80 миллионов долларов США при выводе средств. Совокупные убытки всех вкладчиков, вероятно, достигли цифры, связанной с этим инцидентом.
Хотя это не эксплойт как таковой, инцидент с Curve MIM подчеркивает, как экономические риски могут привести к значительным потерям для пользователей DeFi. Когда речь идет об экономических атаках, наиболее часто в них участвует манипуляция ценами, как правило, относительно низкой рыночной капитализации или неликвидных активов. Они используют уязвимости в механизмах стабильности протоколов, особенно в оракулах, которые они используют.
Протоколы кредитования Cream Finance и Compound стали жертвами этого, где злоумышленники используют флэш-кредиты для манипулирования ценами на активы, что позволяло им искусственно завышать цену залога и увеличивать свою заемную силу до неприемлемого уровня. Поскольку Cream и Compound в то время использовали ончейн оракулы , злоумышленник мог сделать все это в одном блоке с помощью флэш-кредита.
Несмотря на то, что флэш-кредиты облегчают многие из этих атак, они не являются их основной причиной. Это признаки того, что протоколы восприимчивы к дисбалансу производства, и иногда это можно сделать даже вручную без флэш-кредитов, как в случае с эксплойтом на $200M для протокола Venus в BSC. Далее мы обсудим, как риски стабильности, связанные с оракулами, ликвидаторами и арбитражниками, могут быть уменьшены пользователями.
В целом, эти экономические риски могут быть очень сложными, но их можно отслеживать, наблюдая за такими факторами, как изменения ликвидности в этих протоколах и оракулах, которые они используют. Пользователи могут сделать больше, чтобы защитить себя от этих рисков, а также от технических рисков.
Снижение рисков в DeFi
Как уже отмечалось ранее, 66% из 50 крупнейших инцидентов в DeFi были связаны с техническими рисками, в первую очередь с ошибками в смарт-контрактах. Поскольку подавляющее большинство людей не разбираются в коде смарт-контрактов, возникает вопрос: что мы можем сделать, чтобы предотвратить эти риски?
Первый и самый простой шаг - проверить, проходил ли протокол аудит. С точки зрения распространенности, значительное число проанализированных эксплойтов были неаудированными.
Стоит отметить, что более одного аудитора могут проверять эти протоколы, и все равно они могут быть взломаны. Например, взлом Poly Network на сумму $611M был проверен как компанией Certik, так и группой NCC. Учитывая послужной список этих аудиторов, пользователи могут оценить их ценность и потенциально присвоить весомые коэффициенты вероятности использования протоколов на основе предыдущих инцидентов. Здесь, однако, стоит обратить внимание не только на количество атак, которым подверглись эти аудиторы, но и на количество протоколов, прошедших безопасный аудит с их помощью, а также на содержащиеся в них TVL.
Помимо ошибок в смарт-контрактах, мы также указали на риск, который может представлять управление закрытыми ключами. Пользователям рекомендуется проявлять должную осмотрительность в отношении того, кто имеет доступ к закрытым ключам того или иного протокола. В идеале, эти протоколы не только имеют мультисигмы с несколькими (10+) адресами, но и включают авторитетных людей за пределами своей организации. Это эквивалент директоров для протоколов DeFi, за исключением большей подверженности уязвимостям, чем в традиционном смысле. Придерживаясь этого стандарта, протоколы имеют меньше шансов получить доступ к своим закрытым ключам и выманить у пользователей деньги, поскольку программно они не смогут этого сделать.
С экономической точки зрения, пользователям стоит следить за ключевыми показателями, которые могут повлиять на безопасность их вкладов. Для депозитов в АММ, в частности, стейбл-свапов как Curve, стоит следить за ликвидностью и ее структурой по активам. Кроме того, концентрация ликвидности в адресах китов также может быть полезна для оценки того, насколько уязвимыми могут быть позиции для проскальзывания или комиссий за выход, если с этих адресов будут сняты средства.
Когда речь идет о протоколах кредитования, крайне важно, чтобы в них использовались оракулы, отслеживающие либо данные вне цепочки, либо средневзвешенные по времени цены на активы. Это помогает предотвратить манипуляции с ценами, которые могут привести к потерям для вкладчиков. Аналогично, если в общих пулах ликвидности указаны неликвидные активы с малой капитализацией, они также могут быть искусственно завышены злоумышленниками, стремящимися получить средства.
Все это покрывает риски со стороны протокола, но есть и передовые методы, которые пользователи могут применять, чтобы избежать дальнейших потерь. Наиболее распространенные из них включают использование аппаратного кошелька, наличие одного " горячего" кошелька для активного использования небольших средств и отказ от перехода по подозрительным ссылкам или взаимодействия с фишинговыми рассылками. По этим вопросам существует много информации, поэтому мы не будем останавливаться на них более подробно.
Выводы
Риски присутствуют во всех криптовалютах, и DeFi не является исключением. Хотя протоколы DeFi действительно предоставляют возможности для получения более высокой доходности, чем те, которые доступны в традиционных финансах, они подвержены большим рискам, с совершенно разной динамикой. Хотя уследить за всеми этими рисками, конечно, сложно, их стоит иметь в виду, особенно если вы вносите большие суммы.
Хотя инцидентов стало больше по мере роста криптовалют, в отрасли создаются лучшие практики для более эффективного снижения этих рисков. Сейчас все больше протоколов предпочитают проводить аудиты, несмотря на их высокую стоимость. Также все реже они не используют мультисигмы для управления депозитами. Оракулы, используемые для определения цен, также стали более устойчивыми, поскольку разработчики извлекают уроки из предыдущих атак. Будучи с открытым исходным кодом, криптовалюты могут предоставлять прозрачные сведения об этих атаках, укрепляя отрасль в целом. В конечном счете, риски, вероятно, сохранятся во всех криптовалютах, но разработчики и пользователи могут сделать все больше и больше для их снижения.