Är all DeFi osäker? Branschledare går till motangrepp efter att Openzeppelins grundare varnat privatinvesterare för att sälja av sina blue chip-aktier

Från drama till data

När Openzeppelins medgrundare och tidigare teknikchef (CTO) Manuel Aráoz beskrev decentraliserad finans (DeFi) som helt osäker, skakade det om en bransch som redan var i gungning efter en kraftig ökning av hackningar. En färsk analys av blockkedjesäkerhetsföretaget Peckshield belyser denna sårbarhet och visar att enbart utnyttjande av kedjeöverskridande protokoll ledde till förluster på 328,6 miljoner dollar mellan årets början och mitten av maj.

Aráoz virala varningar tvingade Openzeppelin att offentligt ta avstånd från vissa av hans påståenden, men uttalandena lyckades ändå sätta igång en häftig debatt om DeFi-säkerhet. Kritikerna avfärdade dock hans dramatiska språk som ett egennyttigt försök att skapa rädsla och panik. Andra, som Leo Fan, grundare av Cysic, anser att formuleringen undergräver trovärdigheten hos ett budskap som i grunden är sant.

”Att klä in det i ’lämna allt’ förvandlar en nödvändig varning till domedagsinnehåll”, sa Fan. ”Man behöver inte dramatik för att påverka människor i den här branschen; man behöver siffror.”

Samma åsikt delas av Michael Heinrich, medgrundare och VD för 0G Labs, som pekar på den cirka 98-procentiga förbättringen av säkerheten inom DeFi-utlåning jämfört med 2020 års utgångsläge. Heinrich lyfter också fram de markant minskade dagliga förlustnivåerna hos stora utlåningsprotokoll, som nu ligger runt 0,001 %, som en ytterligare faktor som motbevisar Aráoz kommentarer om att ”all DeFi är osäker”.

”Att uppmana privatinvesterare att lämna blue-chips som Aave och Maker stämmer inte överens med den faktiska riskjusterade bilden”, sa Heinrich till Bitcoin.com News.

I sitt argument mot DeFi insisterade Aráoz på att kodningsagenter med artificiell intelligens (AI) har blivit otroligt avancerade när det gäller att skanna smarta kontrakt med öppen källkod och identifiera komplexa utnyttjbara brister i maskinhastighet. Hotet från dessa agenter är så stort att han privat har rått sina vänner och familj att helt avveckla sina positioner i stora, väletablerade ”blue-chip”-DeFi-protokoll.

Den statiska revisionens död

Heinrich och Fan hävdar dock att uppkomsten av övermänskliga AI-angripare inte innebär att försvararna ska överge skeppet. Istället säger de att det kräver en grundläggande förändring i hur branschen hanterar säkerhet.
"Den punktvisa revisionen är redan död; folk har bara inte hållit begravningen", sa Fan. Han varnade för att en helt övergång från revisioner till bug bounties är fel lärdom. "Man ersätter inte förebyggande åtgärder med övervakning – man minskar klyftan mellan dem."
Enligt Heinrich är det inte längre ett trovärdigt försvar att förlita sig på en årlig revision. Istället vilar framtiden för smarta kontrakts säkerhet på en maskinhastig, skiktad försvarskedja där revisioner fungerar som den första kontrollpunkten snarare än en enskild händelse. Han skissade på en säkerhetsstack i fyra lager: AI-assisterade revisioner före driftsättning i kombination med mänsklig granskning, kontinuerlig övervakning efter driftsättning, välfinansierade bug bounties och verifierbar AI på försvararsidan.
Det slutgiltiga målet, noterade Heinrich, är att införliva formell verifiering på kritiska vägar – med hjälp av matematiska bevis snarare än subjektiva granskningar – tillsammans med kontinuerliga AI-förstärkta granskningar som körs mot aktiva kontrakt på samma sätt som angripare agerar.

"Granskningar försvinner inte", sa han. "De blir den första kontrollpunkten i en försvarskedja som arbetar i maskinhastighet."
Utöver förebyggande säkerhetskedjor vänder sig diskussionen om riskminimering oundvikligen mot försäkring, ett grundläggande inslag som enligt Heinrich fortfarande är kraftigt underutvecklat i kryptoekosystemet. Enligt Heinrich håller några strukturella hinder den decentraliserade försäkringssektorn tillbaka. För det första låser försäkringspooler in kapital som annars skulle kunna ge aktiv avkastning på andra håll inom DeFi.

För att illustrera detta pekar Heinrich på marknadsledaren Nexus Mutual, som förvaltar cirka 190 miljoner dollar mot en bredare DeFi-marknad som fluktuerade mellan 40 miljarder dollar och över 100 miljarder dollar i totalt låst värde. Heinrich konstaterar att denna kapitalkvot är strukturellt tunn. Ett annat hinder är att definiera vad som utgör en on-chain-exploit, vilket han beskriver som en icke-trivial uppgift.

Trots dessa hinder hävdar Heinrich att att införa försäkringskrav över protokollgränserna är fel verktyg för att driva på införandet. Istället måste branschen innovera på produktnivå.

"Det som verkligen gör skillnad är parametriska on-chain-produkter som betalar ut automatiskt vid verifierbara signaler, och protokoll som bunter ihop försäkring i produkten på samma sätt som clearingavgifter fungerar på traditionella marknader", sa Heinrich.

Reglera verksamheten, inte bara koden

Även om det nuvarande skyddsnätet är begränsat ökar efterfrågan på marknaden. Enligt en prognos från Coinlaw från mars 2026 förväntas den decentraliserade försäkringsmarknaden växa nästan femfaldigt fram till 2029.

"Kapitalet är på väg", konstaterade Heinrich. "Det som saknas är produktytan för att distribuera det."
"Branschens interna skiftning mot försvar i maskinhastighet och automatiserade säkerhetsnät väcker bredare frågor om tillsyn. I takt med att beslutsfattare i allt högre grad granskar säkerheten för digitala tillgångar varnar Fan för att tillsynsmyndigheter riskerar att fokusera för mycket på fel hot, såsom spöket av skurkaktiga AI-system."

"Det smartare tillvägagångssättet för tillsynsmyndigheterna är inte att drabbas av panik specifikt över AI-angripare", sade Fan. "Det är att fokusera på det operativa lagret där pengarna faktiskt försvinner: nyckelförvaring, multisig-styrning, bryggsäkerhet och incidenthantering."

Fan hävdar att genom att tillämpa strikta operativa säkerhetsstandarder på dessa specifika vektorer skulle tillsynsorgan kunna eliminera den stora majoriteten av kapitalförlusterna i den verkliga världen. Att fokusera uteslutande på smartkontraktskod samtidigt som man försummar den dagliga driften, varnade han, innebär att ”reglera 10 % och missa 90 %.”

Vidare pekade Fan på en teknisk grundkomponent som beslutsfattare konsekvent underskattar: avancerad kryptografi.

"Kryptografiska bevis, som nollkunskapsbevis, på vilken kod som kördes och att den kördes korrekt är en mycket bättre grundläggande metod för regelefterlevnad än en revisionsrapport i PDF-format", sa Fan. "Det kan granskas matematiskt, inte genom förtroende. Det är dit jag vill att regleringsenergin ska gå."