To, co zaczęło się jako exploit Kelp DAO, nie jest już tylko historią o moście, ale stało się kryptowalutowym referendum na temat tego, jak DeFi radzi sobie z bezpieczeństwem, zarażeniem i odpowiedzialnością.

Natychmiastowe szkody były już poważne. Exploit o wartości około 292 milionów dolarów uderzył w most rsETH Kelp DAO, wywołał obawy o złe długi w Aave i zapoczątkował nową rundę wzajemnego obwiniania się między protokołami a dostawcami infrastruktury.

Reakcja rynku była brutalna. Analitycy onchainowi z Lookonchain poinformowali, że całkowita wartość zablokowana (TVL) Aave spadła o prawie 8 miliardów dolarów po tym, jak atakujący wykorzystał skradzione aktywa powiązane z Kelp DAO jako zabezpieczenie, pozostawiając około 195 milionów dolarów w złych długach.

Dane The Block pokazują teraz, że TVL Aave odnotowało gwałtowny spadek w ciągu 48 godzin, ponieważ środki przeniosły się gdzie indziej, w tym do Spark.

Rozwiń Wykres

The Block później poinformował, że Aave modelowało dwa możliwe scenariusze złych długów związane z konsekwencjami zdarzenia.

W międzyczasie, skradzione w exploicie środki zaczęły przemieszczać się między łańcuchami po tym, jak Arbitrum zamroziło dużą część powiązanego ETH.

Debata o bezpieczeństwie DeFi

Ostra kwestia krążąca obecnie w branży dotyczy nie tego, czy DeFi nadal działa, ale jakiego rodzaju ryzyka toleruje w 2026 roku.

Założyciel Curve, Michael Egorov, ujął to w najbardziej dosadnych słowach. "WTF? Czy jesteśmy branżą klaunów?" napisał na X, argumentując, że niedawne awarie związane ze scentralizowanymi punktami awarii szkodzą branży, która wciąż twierdzi, że buduje przyszłość finansów.

Jego szerszy punkt widzenia trafia w sedno. Naruszenie Kelp nie uderzyło tylko w jeden protokół, ale rozprzestrzeniło się poprzez kompozycyjność.

Pojedyncza awaria mostu przerodziła się w ryzyko zabezpieczenia wielu protokołów. Ryzyko zabezpieczenia przerodziło się w napięcia w pożyczkach. Napięcia w pożyczkach przerodziły się w wypłaty. W DeFi kod może być modułowy, ale panika jest wspólna.

Wenzhao Dong, analityk blockchain w CertiK, powiedział The Block, że problem nie polega na tym, że DeFi jest z natury zepsute. Raczej na tym, że zbyt wiele zespołów nadal traktuje bezpieczeństwo jako koszt ogólny.

"Protokoły, które przetrwają następny cykl, będą tymi, które postrzegają bezpieczeństwo tak, jak TradFi postrzega ryzyko kontrahenta — jako kluczowy czynnik, a nie coś drugorzędnego" — powiedział Dong.

Brian Trunzo, dyrektor ds. rozwoju w Succinct Labs, podzielił się podobnym spostrzeżeniem. Powiedział, że mosty nie powinny już polegać na modelach walidatorów opartych na zaufaniu, skoro istnieją systemy oparte na dowodach.

Według niego, exploit Kelp był awarią w warstwie weryfikacji mostu, a nie typowym błędem w smart kontrakcie, i pokazał, jak niebezpieczne pozostają założenia dotyczące pojedynczego sygnatariusza.

"W tym momencie, jeśli twój model zaufania jest niższy niż ZK, jesteś rażąco niedbały. Może nawet lekkomyślny" — powiedział Trunzo The Block.

Inni posunęli krytykę dalej.

Sergej Kunz, współzałożyciel 1inch, powiedział, że ten epizod ujawnił, jak kruchy może stać się model wspólnej puli, gdy jeden zły aktyw prowadzi do pełnego wykorzystania i skutecznie więzi środki użytkowników. Matthew Pinnock, COO w Altura DeFi, dodał, że szybkość wypłat pokazała, jak szybko zaufanie może się załamać, gdy tylko zawiodą założenia dotyczące zabezpieczeń.

Bycze perspektywy

Mimo to nie wszyscy stali się bardziej pesymistyczni.

Ekspert ds. bezpieczeństwa Metamask, Taylor Monahan, nazwał awaryjne zamrożenie skradzionego ETH przez Arbitrum znakiem, że "DeFi f*cking wins", chwaląc koordynację, która była potrzebna, aby powstrzymać dalsze szkody.

Haseeb Qureshi z Dragonfly powiedział, że DeFi zawsze uczyło się na błędach, porównując obecną chwilę do wcześniejszych kryzysów, takich jak Terra, awarie aukcji z marca 2020 roku i depeg stETH. Erik Voorhees przedstawił podobny argument z perspektywy pierwszych zasad: w krypto, jak twierdził, awarie pozostają blisko źródła, zamiast być uspołeczniane w całym społeczeństwie, tak jak często dzieje się to w tradycyjnych finansach.

Nieco inną perspektywę przedstawił Neil May, CEO defi.com. Rozmawiając z The Block, May stwierdził, że słabość DeFi nie jest tylko techniczna, ale także doświadczeniowa. Od użytkowników nadal oczekuje się, że będą rozumieć zbyt wiele, zbyt wiele eksponować i zbyt słabo radzić sobie z odzyskiwaniem, gdy coś pójdzie nie tak.

"Ludzie muszą rozumieć, co podpisują, ograniczać to, co ujawniają, i mieć jasną ścieżkę odzyskiwania, gdy coś pójdzie nie tak. To jest po prostu poziom korporacyjny, którego brakuje w dzisiejszym DeFi" — powiedział May. "Produkty, które zdobędą zaufanie głównego nurtu, będą tymi, które sprawiają, że bezpieczeństwo staje się niewidoczne, a nie tymi, które proszą użytkowników, aby byli własnym zespołem ds. bezpieczeństwa."

Dla niektórych to może być najważniejszy wniosek z incydentu Kelp.

Exploit ożywił stary argument DeFi dotyczący decentralizacji kontra wygody, ale także zaostrzył nowszy: bezpieczeństwo nie kończy się już na własnych kontraktach protokołu.

Rynek pożyczek może być zdrowy na własnych warunkach i nadal zostać dotknięty przez most w górę strumienia.

Most może nazywać się zdecentralizowanym, a mimo to zależeć od jednego słabego ogniwa.

Awaryjne zamrożenie może uratować środki i nadal otwierać niewygodne pytania dotyczące zarządzania i interwencji.

Adwersarz państwowy

Lukas Schor, prezes Safe Ecosystem Foundation, powiedział The Block, że szerszy wzorzec jest ważniejszy niż obwinianie się o to, kto ostatecznie załata dziurę w Aave.

Podmioty powiązane z Lazarusem, jak powiedział, przyspieszyły częstotliwość ataków w tym miesiącu, podczas gdy AI zaczyna wzmacniać ryzyko rozpoznania i inżynierii społecznej.

Zdaniem Schora, branża DeFi stoi w obliczu przeciwnika na poziomie państwowym, z obroną wciąż zbudowaną na łagodniejszą erę.

"Teraz jest jasne, że nawet najbardziej ugruntowane protokoły DeFi mają na sobie cel" — powiedział The Block. "Cyberbezpieczeństwo zawsze było grą w kotka i myszkę. Ale teraz jest jasne, że my, jako branża, musimy podnieść poziom naszych obronnych. W przeciwnym razie zaufanie do DeFi zostanie bardzo szybko i bezpowrotnie zniszczone."

Zasugerował, że właśnie dlatego liczby są ważne poza nagłówkami. The Block poinformował na początku tego tygodnia, że straty DeFi już przekroczyły 600 milionów dolarów w ciągu zaledwie kilku tygodni. Dodając do tego exploit Drift o wartości około 285 milionów dolarów i zrewidowaną stratę Hyperbridge szacowaną na 2,5 miliona dolarów, kwiecień zapowiada się jako kolejny miesiąc, który zmusza sektor do odpowiedzi na trudne pytania dotyczące założeń zaufania i dyscypliny operacyjnej.