JPMorgan: Кризис безопасности DeFi уничтожает институциональные потоки капитала

Любой, кто хоть раз участвовал в разборе инцидента с кросс-чейн мостом, знает, как выглядит эта история, ещё до первого прочитанного слова. Одна функция mint, одно ошибочное допущение о доверии — и девятизначная дыра появляется на чьём-то балансе к утру. Последний отчёт JPMorgan по DeFi под руководством управляющего директора Николаоса Панигирцоглу использует эксплойт Kelp DAO как главный аргумент в пользу того, почему институциональные казначейства по-прежнему не переводят реальные деньги в on-chain кредитование. Вывод банка однозначен: модель безопасности недостаточно хороша, а цифры роста не опровергают этот факт.

Что произошло

Опубликованный в среду отчёт JPMorgan строится на простом тезисе: повторяющиеся взломы и слабый рост капитала — два главных препятствия, мешающих институционалам взять на себя обязательства в DeFi. Как сообщает CoinMarketCap, эксплойт Kelp DAO стал центральным кейсом, и цифры выглядят удручающе.

Злоумышленник воспользовался уязвимостью кросс-чейн моста, чтобы выпустить $292 млн токенов rsETH без реального обеспечения. Эти токены были переведены в Aave, использованы в качестве залога и применены для займа реального Ethereum под фиктивное обеспечение. В результате кредитный протокол оказался с безнадёжным долгом на сумму около $230 млн. Общий заблокированный объём (TVL) в DeFi упал примерно на $20 млрд за считанные дни.

Паттерн распространения заражения — это именно то, на чём сосредоточатся институциональные риск-менеджеры. Капитал бежал из пулов, не имевших прямого отношения к rsETH. Когда один залоговый актив оказывается воздухом, LP повсюду начинают предполагать, что следующий тоже может им оказаться. Это коррелированное рисковое событие в секторе, который позиционирует себя как trustless composability.

LayerZero и независимые исследователи безопасности блокчейна атрибутировали атаку северокорейской группировке Lazarus. Часть средств заморожена. Остальные по-прежнему перемещаются через кошельки и протоколы конфиденциальности — что на практике означает их безвозвратную потерю. Аналитики JPMorgan также отметили, что общие потери от взломов криптовалют в этом году идут примерно в том же темпе, что и в 2025 году. Индустрия год от года не становится безопаснее — она держится на одном уровне, пока поверхность атаки растёт.

Техническая анатомия

Если убрать брендинг, это классическая компрометация bridge-mint в связке с отказом оракула кредитного рынка. Мост доверял сообщению, которому не должен был доверять. Кредитный рынок доверял залоговому токену, реальное обеспечение которого не мог верифицировать в режиме реального времени. Оба допущения провалились одновременно, и эксплойт сложил их воедино.

Аналитики JPMorgan особо подчёркивают, что аудит смарт-контрактов улучшился, однако безопасность кросс-чейн мостов остаётся сегментом с наибольшей концентрацией нерешённых рисков. Это соответствует тому, что производственные инциденты в этой сфере продолжают демонстрировать: аудиты сейчас вполне справляются с ошибками reentrancy и контроля доступа, но доверительные допущения мостов — по сути, социальные и криптоэкономические. От валидаторского сета, который можно подкупить, фишинговать или скомпрометировать с участием государственного актора, аудитом не защититься.

Посмотрим на механику. Liquid restaking токен наподобие rsETH — это производное требование на стейкнутый ETH, хранящийся где-то ещё. В родной сети бухгалтерия одна. В сети назначения после пересечения моста это обёрнутый IOU, чьё реальное обеспечение находится по другую сторону. Ценовой фид Aave видит токен, торгующийся против ETH. Он не видит полномочий на выпуск (mint authority) в контракте моста. Когда эти полномочия скомпрометированы, залог фиктивный, а кредит — реальный. Обратитесь к документации Ethereum по передаче сообщений и каноническому бриджингу, если хотите разобраться в примитивах.

CryptoQuant отдельно сообщил, что ставки заимствования по всему DeFi резко выросли после эксплойта, отражая общее сжатие ликвидности. Это индикатор. Ставки растут, когда LP выходят. LP выходят, когда не могут отличить безопасные пулы от заражённых. Взаимосвязанная структура, которую DeFi считает своим преимуществом, в момент поломки одного узла превращается в механизм передачи системного риска.

Моя точка зрения: кросс-чейн мосты — это эквивалент корреспондентского банковского уровня 2026 года, который никто не хотел модернизировать, пока он не рухнул. Каждый restaking-нарратив, зависящий от них, наследует их профиль риска — независимо от того, говорится ли об этом в маркетинговых материалах.

Кто пострадает

Aave — очевидная краткосрочная жертва. $230 млн безнадёжного долга — это не погрешность округления даже для первоклассного кредитного протокола, а репутационные издержки от принятия скомпрометированного LRT в качестве залога будут преследовать риск-команду в каждой будущей дискуссии о листинге. Ожидайте значительно более медленного и консервативного процесса онбординга для любых новых restaking-деривативов.

Протоколы liquid restaking в целом — второе концентрическое кольцо пострадавших. Когда один LRT оказывается уязвимым на уровне моста, аллокаторы перестают спрашивать «который из них безопасен» и начинают задаваться вопросом «зачем я вообще в этой категории». Команды, создающие следующий продукт Kelp, смежный с EigenLayer, или LRT-агрегатор, проведут ближайшие 90 дней, отвечая на вопросы о безопасности вместо того, чтобы выпускать фичи. Команды, с которыми я работал в смежных вертикалях, узнают этот паттерн: один инцидент с широким радиусом поражения откатывает всю категорию назад на два квартала в части бизнес-развития.

Институциональные аллокаторы — третья группа, и именно здесь живёт реальный посыл JPMorgan. В долларовом выражении TVL в DeFi частично восстановился вместе с широким крипторынком. В пересчёте на Ethereum TVL остался на месте. Именно эта flat-линия в ETH-номинале имеет значение. Она означает, что DeFi не привлекает капитал органически — он просто плывёт вверх вместе с ростом цены базового актива. Для пенсионного аллокатора или банковского казначейства — это не история роста, оправдывающая операционный риск.

Неудобный вывод: в период стресса капитал не ротировался внутри DeFi в более безопасные пулы. Он уходил. Инвесторы переходили в стейблкоины, причём USDT являлся предпочтительным инструментом из-за более глубокой ликвидности на CEX и более быстрых путей выхода. Ротация даже не отразилась в росте рыночной капитализации USDT, что говорит о том, что часть капитала ушла дальше — прямо офф-чейн. Это паттерн банковского набега, а не ребалансировки портфеля.

План действий для крипто и DeFi

Если вы управляете кредитным протоколом — проверьте каждый залоговый актив, обеспечение которого зависит от моста, который вы не контролируете. Установите жёсткие лимиты на обёрнутые или бриджированные залоги и встройте независимые от оракула автоматические выключатели, срабатывающие при аномальном объёме выпуска токенов выше по цепочке. Mint на $292 млн никогда не должен молча приниматься нижестоящим ценовым фидом.

Если вы управляете мостом или LRT — публикуйте proof-of-reserves в режиме реального времени, которые риск-движок кредитного протокола действительно может потреблять. Не PDF и не квартальная аттестация. Подписанный on-chain фид. Если безопасность вашего продукта зависит от того, что институционалы доверяют объявлению в Discord после инцидента — вы уже проиграли корпоративный разговор.

Если вы аллокатор или CTO, оценивающий DeFi-экспозицию для казначейского мандата — используйте TVL в ETH-номинале как показатель здоровья, а не долларовый TVL. Спросите контрагента, как он поведёт себя при распространении заражения по сценарию Kelp, когда скомпрометированный актив не входит в ваши пулы. Если ответ — «мы рассчитываем, что LP останутся» — уходите.

Для команд iGaming и fintech, присматривающихся к on-chain рельсам для расчётов, — это сигнал держать потоки горячих кошельков и расчётные потоки в активах и площадках с быстрыми путями выхода. Роль USDT как инструмента выхода в стрессовой ситуации не случайна — это рынок голосует ногами. Выстраивайте казначейские потоки исходя из того, что ликвидность DeFi может испариться за 48 часов.

Ключевые выводы

• Эксплойт Kelp DAO уничтожил примерно $20 млрд TVL в DeFi за считанные дни — в результате выпуска $292 млн ничем не обеспеченных токенов rsETH, из-за чего на Aave образовался $230 млн безнадёжного долга.
• Позиция JPMorgan: аудит смарт-контрактов улучшился, но кросс-чейн мосты остаются зоной с наибольшей концентрацией нерешённых рисков в секторе.
• TVL в DeFi в ETH-номинале не растёт, что подрывает историю органического роста, необходимую институционалам для обоснования аллокаций.
• В условиях стресса капитал ротировался в USDT и, по всей видимости, ушёл офф-чейн — паттерн банковского набега, который должен тревожить любой протокол, зависящий от устойчивой ликвидности.
• Атрибуция Lazarus Group означает, что речь идёт о модели угрозы на уровне национального государства, и продуктовые роудмапы по безопасности должны финансироваться соответствующим образом.