Czy wszystkie projekty DeFi są niebezpieczne? Liderzy branży reagują na ostrzeżenie założyciela Openzeppelin, który radzi inwestorom detalicznym wycofać się z blue chipów

Od dramatu do danych

Kiedy współzałożyciel Openzeppelin i były dyrektor ds. technologii (CTO) Manuel Aráoz określił zdecentralizowane finanse (DeFi) jako całkowicie niebezpieczne, wstrząsnęło to branżą, która już borykała się z gwałtownym wzrostem liczby ataków hakerskich. Podkreślając tę podatność, najnowsza analiza przeprowadzona przez firmę Peckshield zajmującą się bezpieczeństwem blockchain wykazała, że same exploity protokołów międzyłańcuchowych spowodowały straty w wysokości 328,6 mln dolarów od początku roku do połowy maja.

Wirusowe ostrzeżenia Aráoz zmusiły Openzeppelin do publicznego zdystansowania się od niektórych jego twierdzeń, ale uwagi te wywołały burzliwą debatę na temat bezpieczeństwa DeFi. Krytycy odrzucili jednak jego dramatyczny język jako egoistyczną próbę wzbudzenia strachu i paniki. Inni, jak Leo Fan, założyciel Cysic, uważają, że takie ujęcie podważa wiarygodność przesłania, które ma realny sens.

„Ubranie tego w hasło »wycofaj się ze wszystkiego« zamienia potrzebne ostrzeżenie w treść katastroficzną” – powiedział Fan. „Nie potrzeba dramatyzmu, aby poruszyć ludzi w tej branży; potrzebne są liczby”.
To samo zdanie podziela Michael Heinrich, współzałożyciel i dyrektor generalny 0G Labs, który wskazuje na poprawę bezpieczeństwa pożyczek DeFi o około 98% w stosunku do poziomu z 2020 roku. Heinrich podkreśla również znacznie zmniejszone dzienne wskaźniki strat w głównych protokołach pożyczkowych, wynoszące obecnie około 0,001%, jako kolejny czynnik podważający komentarze Aráoz, że „całe DeFi jest niebezpieczne”.
„Mówienie inwestorom detalicznym, żeby wycofywali się z blue chipów, takich jak Aave i Maker, nie pasuje do rzeczywistego obrazu skorygowanego o ryzyko” – powiedział Heinrich dla Bitcoin.com News.

Argumentując przeciwko DeFi, Aráoz podkreślał, że agenci kodujący oparci na sztucznej inteligencji (AI) osiągnęli niesamowity poziom zaawansowania w skanowaniu otwartych smart kontraktów i identyfikowaniu złożonych luk, które można wykorzystać, z prędkością maszynową. Zagrożenie stwarzane przez tych agentów jest tak duże, że prywatnie doradził swoim przyjaciołom i rodzinie całkowite zamknięcie pozycji w głównych, ugruntowanych protokołach DeFi typu „blue-chip”.

Koniec statycznego audytu

Jednak Heinrich i Fan twierdzą, że pojawienie się nadludzkich atakujących AI nie oznacza, że obrońcy powinni opuścić statek. Zamiast tego twierdzą, że wymaga to fundamentalnej zmiany w podejściu branży do bezpieczeństwa.
„Audyt punktowy już nie istnieje; ludzie po prostu jeszcze nie zorganizowali pogrzebu” – powiedział Fan. Ostrzegł, że całkowite przejście z audytów na programy bug bounty jest błędną lekcją. „Nie zastępuje się zapobiegania monitorowaniem – zmniejsza się przepaść między nimi”.

Według Heinricha poleganie na corocznym audycie nie jest już wiarygodną obroną. Zamiast tego przyszłość bezpieczeństwa inteligentnych kontraktów opiera się na wielowarstwowym systemie obrony działającym z prędkością maszyny, w którym audyty służą jako pierwszy punkt kontrolny, a nie pojedyncze wydarzenie. Przedstawił czterowarstwowy system bezpieczeństwa: audyty wspomagane sztuczną inteligencją przed wdrożeniem w połączeniu z weryfikacją ludzką, ciągłe monitorowanie po wdrożeniu, dobrze finansowane programy nagród za wykrycie błędów oraz weryfikowalna sztuczna inteligencja po stronie obrońców.
Heinrich zauważył, że ostatecznym celem jest włączenie formalnej weryfikacji na ścieżkach krytycznych – przy użyciu dowodów matematycznych zamiast subiektywnych przeglądów – wraz z ciągłymi przeglądami wspomaganymi sztuczną inteligencją, przeprowadzanymi na aktywnych kontraktach w taki sam sposób, w jaki działają atakujący.

„Audyty nie znikną” – powiedział. „Stają się one pierwszym punktem kontrolnym w procesie obrony działającym z prędkością maszyny”.

Poza prewencyjnymi procesami bezpieczeństwa rozmowa na temat ograniczania ryzyka nieuchronnie schodzi na temat ubezpieczeń, które, jak zauważa Heinrich, pozostają w ekosystemie kryptowalut w bardzo słabo rozwiniętej formie. Według Heinricha kilka przeszkód strukturalnych ogranicza sektor ubezpieczeń zdecentralizowanych. Po pierwsze, pule ubezpieczeniowe blokują kapitał, który w innym przypadku mógłby przynosić aktywny zysk w innych obszarach DeFi.

Aby zilustrować tę kwestię, Heinrich wskazuje na lidera rynku, firmę Nexus Mutual, która dysponuje około 190 milionami dolarów w porównaniu z szerszym rynkiem DeFi, którego łączna wartość zamrożona wahała się od 40 do ponad 100 miliardów dolarów. Heinrich zauważa, że ten wskaźnik kapitałowy jest strukturalnie niski. Kolejną przeszkodą jest zdefiniowanie, co stanowi exploit w łańcuchu bloków, co opisuje on jako niebanalne zadanie.

Pomimo tych przeszkód Heinrich twierdzi, że egzekwowanie wymogów ubezpieczeniowych w różnych protokołach jest niewłaściwym narzędziem do promowania ich wdrażania. Zamiast tego branża musi wprowadzać innowacje na poziomie produktów.

„To, co faktycznie ma znaczenie, to parametryczne produkty w łańcuchu bloków, które wypłacają odszkodowania automatycznie na podstawie weryfikowalnych sygnałów, oraz protokoły, które włączają ubezpieczenie do produktu w sposób podobny do opłat rozliczeniowych na tradycyjnych rynkach” – powiedział Heinrich.

Regulowanie operacji, a nie tylko kodu

Chociaż obecna siatka bezpieczeństwa jest wąska, popyt rynkowy rośnie w szybkim tempie. Według prognozy Coinlaw z marca 2026 r. przewiduje się, że do 2029 r. zdecentralizowany rynek ubezpieczeń wzrośnie prawie pięciokrotnie.

„Kapitał nadchodzi” – zauważył Heinrich. „Brakuje jedynie powierzchni produktowej, na której można by go wdrożyć”.
Wewnętrzna zmiana w branży w kierunku obrony działającej z prędkością maszyn i zautomatyzowanych zabezpieczeń rodzi szersze pytania dotyczące nadzoru regulacyjnego. Ponieważ decydenci coraz dokładniej analizują bezpieczeństwo aktywów cyfrowych, Fan ostrzega, że organy regulacyjne ryzykują nadmierne skupienie się na niewłaściwych zagrożeniach, takich jak widmo nieuczciwych systemów sztucznej inteligencji.

„Mądrzejszym podejściem regulacyjnym nie jest panika związana konkretnie z atakami AI” – powiedział Fan. „Chodzi o skupienie się na warstwie operacyjnej, gdzie faktycznie przepływają pieniądze: kluczowe przechowywanie, zarządzanie multisig, bezpieczeństwo mostów i reagowanie na incydenty”.

Fan twierdzi, że poprzez egzekwowanie rygorystycznych standardów bezpieczeństwa operacyjnego w odniesieniu do tych konkretnych wektorów organy nadzorcze mogłyby wyeliminować zdecydowaną większość rzeczywistych strat kapitałowych. Skupianie się wyłącznie na kodzie smart kontraktów przy jednoczesnym zaniedbywaniu codziennych operacji, ostrzegł, sprowadza się do „regulowania 10% i pomijania 90%”.

Ponadto Fan zwrócił uwagę na element techniczny, który decydenci konsekwentnie nie doceniają: zaawansowaną kryptografię.

„Kryptograficzny dowód, taki jak dowody zerowej wiedzy, potwierdzający, jaki kod został uruchomiony i że działał poprawnie, jest znacznie lepszym elementem podstawowym zapewnienia zgodności niż raport z audytu w formacie PDF” – powiedział Fan. „Można go zweryfikować matematycznie, a nie opierając się na zaufaniu. Właśnie w tym kierunku chciałbym, aby zmierzały wysiłki regulacyjne”.