Протоколы автоматизированной доходности DeFi: от удобства для розничных инвесторов до новых рисков

Протоколы автоматизированной доходности в сфере децентрализованных финансов (DeFi) изначально были созданы с целью привлечения розничных инвесторов, предлагая простоту и удобство. Пользователям достаточно было внести средства в депозитный пул, а протокол сам занимался всеми остальными процессами. Однако с недавними инцидентами стало очевидно, что такая простота может скрывать серьезные риски, которые могут привести к значительным потерям.

Сложности автоматизированных протоколов

Протокол Stake DAO, например, предлагал пользователям возможность получать повышенные доходы от Curve без необходимости вручную управлять замками CRV, голосами, обертками и другими аспектами. Однако такая упаковка услуг также скрывает потенциальные уязвимости. По данным Blockaid, злоумышленник смог создать более 5.4 триллионов токенов vsdCRV на платформе Arbitrum, воспользовавшись, как предполагается, компрометацией ключа развертывателя. В результате он начал обмен токенов на ETH, что привело к значительным потерям.

Атакующий изменил конфигурацию одноранговой сети LayerZero, чтобы подделать межсетевое сообщение, прежде чем создать 5,446,744,073,709 токенов vsdCRV и конвертировать часть из них в примерно 43.78 ETH. Однако ограничения ликвидности не позволили ему извлечь всю сумму, которую он мог бы получить. Stake DAO призвал пользователей не взаимодействовать с токенами vsdCRV в активной фазе инцидента, что привело к предупреждениям и другим мерам со стороны Curve и Beefy Finance.

Скрытые риски и их последствия

Интерфейс депозитного пула скрывает множество сложных процессов, таких как управление ключами развертывателя, доверие к межсетевым сообщениям, учет оберток токенов и зависимости от оракулов. Это приводит к тому, что пользователи не осознают, какие риски они принимают на себя, когда взаимодействуют с такими протоколами. Инфографика, показывающая четыре шага, которые видят пользователи, и семь скрытых слоев рисков, с которыми они сталкиваются, подчеркивает эту проблему.

Идо Бен-Натан, соучредитель и CEO Blockaid, отметил, что «где бы ни находилась ценность в блокчейне, всегда будут злоумышленники, пытающиеся ее эксплуатировать». Он подчеркнул важность наличия правильной инфраструктуры управления и инструментов безопасности в реальном времени, которые могут проверять каждую транзакцию перед ее выполнением.

Общая ситуация в DeFi

Апрель 2026 года стал худшим месяцем для DeFi по количеству взломов, когда было украдено около 635 миллионов долларов в результате 28 инцидентов, связанных с социальной инженерией, подделкой мостов и использованием ИИ для разведки. Мануэль Араоз, соучредитель OpenZeppelin, заявил, что теперь считает «все» протоколы DeFi небезопасными, поскольку ИИ-агенты кода стали «суперчеловеческими» в поиске уязвимостей. В то время как защитники должны исправлять каждую ошибку, злоумышленникам достаточно найти лишь одну.

OpenZeppelin опроверг это утверждение, заявив, что мнения Араоза не отражают позицию компании. Тем не менее, описанная им асимметрия привлекла серьезное внимание к проблеме безопасности в DeFi. Бен-Натан подчеркивает, что защитное преимущество заключается в инструментах безопасности в реальном времени и адаптивном обнаружении угроз. «Хакеры все чаще используют ИИ, чтобы действовать быстрее и находить новые векторы атак», — добавил он.

Будущее автоматизированных протоколов доходности

В случае негативного сценария, увеличение числа компрометаций ключей, инцидентов с мостами и пауз в работе пулов может привести к снижению доверия пользователей к автоматизированным продуктам доходности. Пользователи будут требовать более высоких доходов, чтобы компенсировать скрытые риски, что затруднит поддержание привлекательности таких продуктов без явного раскрытия рисков. В результате меньшие пулы могут потерять общий объем заблокированных средств (TVL) по мере того, как интеграции становятся более рискованными.

В позитивном сценарии протоколы могут принять архитектуру, описанную Бен-Натаном, включающую контроль управления, который устраняет легкие точки отказа, валидацию транзакций в реальном времени и непрерывный мониторинг угроз. Это позволит автоматизированной доходности выжить в более стандартизированной форме. Формальная проверка, многоподписные контроли и мониторинг в реальном времени станут стандартной инфраструктурой, а продукты, которые сохранят доверие розничных инвесторов, будут теми, которые раскрывают и управляют зависимостями.

Заключение

Обещание автоматизированной доходности всегда заключалось в перемещении сложности на второй план, и на протяжении многих лет протоколы невидимо поглощали это бремя. Однако инцидент с Stake DAO показал, что происходит, когда эта невидимая структура ломается. Рекорды апреля указывают на то, что такие поломки происходят с нарастающей частотой. Следующий продукт автоматизированной доходности, который завоюет доверие розничных инвесторов, должен будет продемонстрировать, какие части стека находятся под контролем и как протокол реагирует на сбои в любой из этих частей.