DeFi рискове

Без тази страница останалото в раздела няма много смисъл. В DeFi няма застраховка на депозитите и няма съд, който да ти върне парите - има рискове, които си разбрал предварително, и такива, които те изненадват.

Smart contract риск

Кодът е закон, дори когато е бъгав. Експлойти за стотици милиони стават всяка година, включително при одитирани протоколи. Одитът намалява риска, но не го маха, понеже одиторите проверяват една конкретна версия на кода, а не всяка следваща промяна и всяка комбинация с други протоколи.

Какво гледам:

• колко време протоколът работи с реални пари без инцидент;
• колко одита има и от кого;
• има ли програма за награди за открити бъгове.

Нов протокол, който е копие на известен, но с „малки подобрения“, носи риска точно от тези подобрения. Колкото по-нов и по-„иновативен“ е протоколът, толкова по-малка част от капитала ти трябва да слагаш там.

Манипулиран оракул

Контрактите сами не виждат пазара, цените им идват от оракул. Ако протоколът взима цената от един малък пул, нападателят може за малко да я изкриви с голяма сделка, често с flash loan, който взима и връща в една и съща транзакция. После тегли колатерал по фалшивата цена и оставя протокола с лоши дългове. Mango Markets през октомври 2022 г. е класически пример за манипулирана цена.

Лош оракул може и да ликвидира здрави позиции или да приеме боклук за колатерал. Затова гледай откъде протоколът взима цените си - утвърдените oracle мрежи и усреднените цени се манипулират много по-трудно от един малък пул.

Админ ключове и upgradeability

Много протоколи могат да се обновяват - контрактът, в който са парите ти, е „прокси“ и сочи към код, който някой може да смени. Въпросът е кой е този някой.

Ако един човек държи един админ ключ, рискът е огромен - ключът може да бъде откраднат или собственикът да реши да изчезне. По-добре е да има мултисиг с няколко независими подписващи плюс таймлок, тоест задължително чакане преди всяка промяна, за да имат хората време да си изтеглят парите.

Това обикновено го пише в документацията на протокола, а в explorer-а често се вижда дали контрактът е прокси. Ако не можеш да разбереш кой контролира протокола, това също ти казва нещо.

Rug pull

Екипът (или този, който държи админ ключовете) източва ликвидността или минтва колкото си иска токени - класически ръг. Има и „бавен“ вариант, при който екипът постепенно продава своите токени и изоставя проекта.

Затова проверявай дали ликвидността е заключена, дали mint правата са отказани, кой държи админ ключовете и колко от supply-а е при екипа. Пълният чеклист е в анализа на токен.

Непостоянна загуба (impermanent loss)

Депозираш два актива в ликвиден пул (как работят пуловете). Ако цените им се разминат, делът ти започва да струва по-малко, отколкото ако просто ги беше холдвал. Това е impermanent loss.

Пример (пул 50/50, без такси): депозираш 1 ETH + 2 000 USDC при цена 2 000$, общо 4 000$. ETH се удвоява до 4 000$. Пулът се ребалансира и делът ти вече е около 0,707 ETH + 2 828 USDC ≈ 5 657$. Ако просто ги беше държал, щеше да имаш 1 ETH + 2 000 USDC = 6 000$. Разликата е около 343$, или около 5,7%. Същите 5,7% губиш и ако цената падне наполовина, а при движение 4 пъти загубата е 20%.

Нарича се „непостоянна“, защото изчезва, ако цената се върне там, откъдето си влязъл. Ако не се върне, става съвсем постоянна. При концентрирана ликвидност ефектът е по-силен вътре в диапазона, който си избрал. Таксите трябва да покрият тази загуба, но при силно движение рядко успяват.

Всеки, който ти шилва „пасивен доход от LP“, без да спомене това, или не разбира, или те лъже.

Хакове на мостове

В мостовете между мрежите стоят огромни суми на едно място, затова са любима цел на хакерите. Хаковете на Ronin, Wormhole и Nomad през 2022 г. заедно струваха над милиард долара. Когато хакнат мост, обвитата версия на актива от другата страна може да остане без покритие.

Бриджвай само колкото ти трябва, не дръж дълго бриджнати версии на активи, ако има нативна алтернатива, и първо пращай малка тестова сума.

Depeg и каскадни ликвидации

Стейбълкойн може да депегне и да се отлепи от долара, а liquid staking токен може да се търгува под стойността на това, което стои зад него.

При резки движения каскадните ликвидации удрят и хора, които „нямаха много ливъридж“ - една ликвидация продава колатерал, цената пада още и идва следващата.

Подменени сайтове и DNS атаки

Контрактът може да е напълно наред, а сайтът да е подменен. Случвало се е и на големи, утвърдени протоколи - нападателят взима контрол над домейна или вкарва зловреден код във front-end-а и всеки, който се свърже, подписва дрейнър транзакция.

Как се пазиш:

• влизай от отметка;
• чети симулацията в wallet-а (Rabby, Phantom и др. показват какво ще излезе от сметката ти);
• ако „обикновен“ депозит изведнъж поиска странен подпис, спираш.

Следи официалния X акаунт на протоколите, които ползваш, понеже там първо излизат предупрежденията.

Approval drains - най-честият риск си ти

От това, което виждам около себе си, повечето хора губят пари от собствения си подпис, а не от експлойт - фалшив сайт, зловреден апрув или „permit“ подпис, който изглежда като безобидно съобщение. Старите неограничени апруви също са бомба със закъснител - ако контракт, на който си дал права преди година, бъде хакнат днес, може да ти изтегли токените.

Навиците от правилата за безопасност (отделни wallets, hardware wallet за големите суми, четене на всеки подпис, редовно чистене на апрувите с Revoke.cash) те пазят от по-голямата част от това. Типичните дрейнър схеми ги има и в NFT безопасност.

Чеклист преди депозит

1. Влизам от проверен адрес, не от линк в съобщение (как работят измамите).
2. Знам откъде идва доходността (staking и yield).
3. Протоколът работи с реални пари поне от няколко месеца и има одити.
4. Знам кой може да обновява контрактите и дали има таймлок.
5. Знам откъде протоколът взима цените си.
6. Знам колко протокола и мостове стоят между мен и парите ми.
7. Знам как и колко бързо излизам.
8. Ползвам отделен wallet, не основния.
9. Започвам с малка сума и проверявам транзакцията в explorer-а.
10. Сумата е такава, че мога да я загубя изцяло.

Накрая

Преди всяка DeFi позиция си отговори писмено: какво точно може да се обърка, колко губя в най-лошия случай и мога ли да си го позволя?

Ако не можеш да си отговориш, значи или позицията е прекалено голяма, или не познаваш протокола достатъчно.