Все ли DeFi-проекты небезопасны? Лидеры отрасли дают отпор после того, как основатель Openzeppelin предупредил розничных инвесторов о необходимости выхода из «голубых фишек»

От драмы к данным

Когда соучредитель и бывший технический директор (CTO) Openzeppelin Мануэль Араос охарактеризовал децентрализованные финансы (DeFi) как абсолютно небезопасные, это всколыхнуло отрасль, уже потрясенную всплеском хакерских атак. Подчеркивая эту уязвимость, недавний анализ, проведенный компанией Peckshield, специализирующейся на безопасности блокчейнов, показал, что только эксплойты межсетевых протоколов привели к потере 328,6 млн долларов с начала года до середины мая.

Вирусные предупреждения Араоса вынудили Openzeppelin публично дистанцироваться от некоторых его утверждений, но эти замечания все же вызвали ожесточенную дискуссию о безопасности DeFi. Тем не менее, критики отвергли его драматические высказывания как корыстную попытку разжечь страх и панику. Другие, такие как Лео Фан, основатель Cysic, считают, что такая подача подрывает достоверность сообщения, которое имеет реальную суть.

«Оборачивая это в формулу «выходите из всего», вы превращаете необходимое предупреждение в контент для пессимистов», — сказал Фан. «Чтобы заставить людей в этой сфере действовать, не нужна драма; нужны цифры».
То же мнение разделяет Майкл Хайнрих, соучредитель и генеральный директор 0G Labs, который указывает на улучшение безопасности кредитования DeFi примерно на 98% по сравнению с базовым уровнем 2020 года. Хайнрих также подчеркивает заметно снизившиеся показатели ежедневных убытков по основным протоколам кредитования, которые сейчас составляют около 0,001%, как еще один фактор, опровергающий комментарии Араоса о том, что «вся DeFi небезопасна».
«Совет розничным инвесторам выходить из таких «голубых фишек», как Aave и Maker, не соответствует реальной картине с учетом рисков», — сказал Хайнрих в интервью Bitcoin.com News.

Выступая против DeFi, Араоз настаивал на том, что кодирующие агенты искусственного интеллекта (ИИ) достигли невероятного уровня развития в сканировании смарт-контрактов с открытым исходным кодом и выявлении сложных уязвимостей со скоростью машины. Угроза, исходящая от этих агентов, настолько велика, что он в частном порядке посоветовал своим друзьям и семье полностью закрыть свои позиции в крупных, давно существующих «голубых фишках» DeFi-протоколов.

Смерть статического аудита

Однако Хайнрих и Фан утверждают, что появление сверхчеловеческих злоумышленников с ИИ не означает, что защитники должны сдаться. Напротив, по их мнению, это требует коренного изменения подхода отрасли к безопасности.
«Одномоментный аудит уже мертв; просто люди еще не устроили ему похороны», — сказал Фан. Он предупредил, что полный переход от аудитов к программам поощрения за обнаружение уязвимостей — это неправильный урок. «Нельзя заменить профилактику мониторингом — нужно сократить разрыв между ними».

По словам Хайнриха, полагаться на ежегодный аудит больше не является надежной защитой. Вместо этого будущее безопасности смарт-контрактов зависит от многоуровневой системы защиты, работающей со скоростью машины, где аудиты служат первым контрольным пунктом, а не единичным событием. Он описал четырехуровневую систему безопасности: предразвертывающие аудиты с помощью ИИ в сочетании с проверкой людьми, непрерывный мониторинг после развертывания, хорошо финансируемые программы поощрения за обнаружение ошибок и проверяемый ИИ на стороне защитника.

Генрих отметил, что конечной целью является внедрение формальной верификации на критических путях — с использованием математических доказательств, а не субъективных проверок — наряду с непрерывными проверками с использованием ИИ, выполняемыми на действующих контрактах так же, как действуют злоумышленники.

«Аудиты никуда не исчезнут», — сказал он. «Они станут первым контрольным пунктом в конвейере защиты, работающем со скоростью машины».

Помимо превентивных конвейеров безопасности, разговор о снижении рисков неизбежно переходит к страхованию — элементу, который, как отмечает Хайнрих, остается крайне недоразвитым в криптоэкосистеме. По словам Хайнриха, несколько структурных препятствий сдерживают развитие сектора децентрализованного страхования. Во-первых, страховые пулы блокируют капитал, который в противном случае мог бы приносить активную доходность в других сферах DeFi.

Чтобы проиллюстрировать этот момент, Хайнрих указывает на лидера рынка Nexus Mutual, который владеет примерно 190 миллионами долларов на фоне более широкого рынка DeFi, общая заблокированная стоимость которого колебалась от 40 до более 100 миллиардов долларов. Хайнрих отмечает, что этот коэффициент капитала является структурно низким. Еще одним препятствием является определение того, что составляет эксплойт в цепочке, что он описывает как нетривиальную задачу.

Несмотря на эти препятствия, Хайнрих утверждает, что введение обязательного страхования во всех протоколах — неверный инструмент для стимулирования внедрения. Вместо этого отрасль должна внедрять инновации на уровне продуктов.

«То, что действительно меняет ситуацию, — это параметрические продукты в цепочке, которые автоматически выплачивают возмещение по проверяемым сигналам, и протоколы, которые включают страхование в продукт так же, как на традиционных рынках работают клиринговые сборы», — сказал Хайнрих.

Регулирование операций, а не только кода

Хотя нынешняя система защиты ограничена, рыночный спрос растет. Согласно прогнозу Coinlaw от марта 2026 года, децентрализованный рынок страхования к 2029 году вырастет почти в пять раз.

«Капитал уже идет», — отметил Хайнрих. «Чего не хватает, так это продуктовой поверхности для его развертывания».
«Внутренний сдвиг в отрасли в сторону защиты со скоростью машин и автоматизированных систем безопасности поднимает более широкие вопросы о регуляторном надзоре. По мере того как политики все тщательнее изучают безопасность цифровых активов, Фан предупреждает, что регуляторы рискуют уделить чрезмерное внимание не тем угрозам, таким как призрак злонамеренных систем искусственного интеллекта».

«Более разумный подход к регулированию заключается не в том, чтобы паниковать конкретно по поводу злоумышленников, использующих ИИ, — сказал Фан. — А в том, чтобы сосредоточиться на операционном уровне, где деньги фактически уходят: хранение ключей, управление с помощью мультиподписей, безопасность мостов и реагирование на инциденты».

Фан утверждает, что, введя строгие стандарты операционной безопасности в отношении этих конкретных векторов, надзорные органы могли бы устранить подавляющее большинство реальных капитальных потерь. Сосредоточиться исключительно на коде смарт-контрактов, пренебрегая повседневными операциями, предупредил он, равносильно «регулированию 10% и упущению 90%».

Кроме того, Фан указал на технический примитив, который политики постоянно недооценивают: передовую криптографию.

«Криптографическое доказательство, такое как доказательства с нулевым разглашением, того, какой код выполнялся и что он работал правильно, является гораздо лучшим элементом обеспечения соответствия, чем аудиторский отчет в формате PDF», — сказал Фан. «Оно поддается проверке с помощью математики, а не доверия. Именно на это я бы хотел направить усилия регулирующих органов».