DeFi Переоценил Риски: 48 Часов, Которые Разрушили Миф о 2,32%

Представьте небольшой провинциальный банк, в котором никогда не было ограблений, рекламирующий страховку хранилища вдвое дешевле, чем конкурент через дорогу. Годами клиенты пожимают плечами и думают, что дешёвый банк просто знает что-то, чего не знают другие. А потом в одно субботнее утро кто-то выходит из парадной двери с мешком наличных — и каждый вкладчик вспоминает, что «инцидентов пока не было» никогда не означало «рисков нет». Именно таким банком был DeFi вплоть до 17 апреля. К 19 апреля очередь у дверей переоценила всю улицу.

До той пятницы кредитование стейблкоинов в Aave приносило 2,32% годовых, тогда как ставка ФРС по однодневным кредитам составляла 3,64%. Прочитайте ещё раз. Рынок брал меньше за кредитование нерегулируемому смарт-контракту, чем Министерству финансов США. Что-то должно было сломать это равновесие — и оно сломалось.

Цифры

Сравните долларовую доходность до выходных — и картина выходит почти комичной. Однодневные казначейские бумаги: 3,64%. Старший транш ABS на основе Bitcoin от Ledn с рейтингом BBB-, размещённый в феврале: 6,84%. Бессрочные привилегированные акции STRC от Strategy: 11,50%. Кредитные карты США при уровне дефолтов 4%: около 21%. И Aave — предполагаемый золотой стандарт ончейн-кредитования — скромно расположившийся в самом низу с 2,32%.

Аналогия с банковским хранилищем справедлива, потому что аргументы в пользу столь низкой ставки были вполне логичными. Как отметил CoinDesk, 2 апреля Банк Канады опубликовал доклад, цитируя нулевой показатель NPL (невозвратных кредитов) Aave как доказательство того, что ценовая ликвидация и избыточное обеспечение фактически исключают дефолты. Лука Проспери придерживался противоположной точки зрения: ставки по стейблкоинам в DeFi должны включать премию от 250 до 400 базисных пунктов сверх безрисковой ставки, то есть находиться в диапазоне от 6,15% до 7,76%. Одна из этих позиций неизбежно должна была оказаться ошибочной.

18 апреля злоумышленник воспользовался уязвимостью в кросс-чейн мосте Kelp DAO на основе LayerZero и создал около 116 500 непокрытых токенов rsETH — примерно 18% от обращающегося предложения, стоимостью около $292 млн. Фиктивные токены были напрямую внесены в Aave в качестве залога, а атакующий вышел с предположительно $190–230 млн реальных активов, занятых под несуществующее обеспечение. Отчёт Aave об инциденте честно признал: протокол сработал штатно. Дефицит носил структурный, а не технический характер. Kelp и LayerZero публично обвинили друг друга в конфигурации валидатора 1/1, которая сделала всю схему тривиально простой.

Затем последовало бегство из банка. За 48 часов из Aave утекло от $6 до $10 млрд. Пулы WETH, USDT и USDC достигли 100% утилизации. Вкладчики не могли вывести средства, заёмщики не могли получить стейблкоины, а застрявшие пользователи заняли ещё $300 млн под собственные заблокированные стейблкоин-депозиты при LTV 75% — просто чтобы выйти через чёрный ход. Доходность депозитов в стейблкоинах на Aave выросла с 3–6% до эксплойта до 13,4% за два дня. Vault USDC на Morpho, обеспечивающий потребительский кредитный продукт Coinbase, вырос с 4,4% APR 18 апреля до 10,81% на следующий день. Совокупный TVL DeFi в топ-20 блокчейнов упал более чем на $13 млрд.

Что Действительно Ново

Сам по себе эксплойт не является чем-то новым. Кросс-чейн мосты остаются уязвимым местом криптоиндустрии с 2021 года, и любой, кто разворачивал мультичейн-контракты, знает: безопасность всего стека сводится к наименее защищённому набору валидаторов в цепочке доверия. Конфигурация 1/1 на уровне кросс-чейн обмена сообщениями с $292 млн возможного эмиссионного объема откровенно не должна была работать в продакшене. Это провал управления, замаскированный под архитектурное решение для моста.

Действительно новым является механизм заражения, впервые проверенный публично в таком масштабе. Протоколы DeFi изначально построены на совместимости. «Зацикливание» — когда занимают на одной платформе и реинвестируют на другой — это функция, а не экзотический крайний случай. Около 20% исторического объёма займов Aave приходилось на рекурсивное использование. Поэтому когда фиктивное обеспечение попало в Aave, ударная волна затронула не только сам Aave, но и каждый протокол, который использовал его как надёжный фундамент. Скачок Morpho с 4,4% до 10,81% за один день — это кривая распространения, видимая в реальном времени.

Ещё одна подлинно новая вещь: крупный регулятор (Банк Канады) фактически одобрил формулировку о 0,00% NPL несколькими неделями ранее. Эта позиция устарела примерно с той же скоростью, что рыба в багажнике автомобиля. Любой, кто проверял кредитную модель в три часа ночи, знает разницу между «мы никогда не наблюдали дефолта» и «у нас не может быть дефолта». DeFi делал вид, что это одно и то же, и многие распределители капитала верили в это, потому что данные на блокчейне выглядели безупречно. Чистые данные — это не то же самое, что полноценная модель.

Что Уже Заложено в Цены Крипто и DeFi

Часть этого уже была в воздухе. Инженеры, строящие поверх Aave и Morpho, годами знали, что риск мостов — это грязная составляющая, которую никто не хочет брать на себя. Премия в 250–400 б.п., о которой говорил Проспери, — это примерно то, чего потребовал бы кредитный отдел любого регулируемого кредитора, если бы вы передали ему тот же профиль рисков. Поэтому переоценка — не шок для тех, кто реально моделирует стек. Это шок для тех, кто апеллировал к показателю NPL 0,00% перед рисковыми комитетами.

Что, на мой взгляд, ещё не заложено в цены — это правовая асимметрия. Внутри смарт-контракта нет закона о банкротстве. Если вы вышли первым — вы сохранили всё. Если вы последний — вы несёте непропорционально большую долю убытков. Celsius, BlockFi и FTX были мрачными историями, но кредиторы что-то получили, и кто-то всё же увидел зал суда. В DeFi нет суда, нет механизма возврата, нет управляющего. Распределители капитала, формирующие позиции на следующий год, должны усвоить: распределение убытков — это бросок монеты, основанный на скорости соединения, а не на старшинстве требований. Эту проблему не решить более высокой ставкой APR. Это структурная особенность, и скучная правда в том, что большинство институциональных систем управления рисками просто не имеют для неё отдельной строки.

Также не в цене: насколько быстро розничные продукты, связанные с Coinbase, унаследовали это заражение. Удвоение ставки vault USDC на Morpho за 24 часа было не изолированным событием в DeFi. Это был ценовой сигнал, проникший в потребительскую кредитную книгу. Инфраструктура теперь имеет значение так, как это не было важно, когда DeFi был замкнутым кругом спекулянтов, занимающих у таких же спекулянтов.

Контрарианский Взгляд

Простой вывод — что это доказывает неработоспособность DeFi-кредитования. Я бы поспорил. Архитектура сделала то, что должна была сделать. Отчёт Aave об инциденте верен: протокол сработал штатно, дефицит возник выше по стеку. Заражение было видно в реальном времени, ставки скорректировались для очищения рынка в течение 48 часов, и не было многомесячных процедур банкротства с выяснением, кто получит десять центов на доллар. Это на самом деле преимущество, а не недостаток — если вы принимаете, что ценой скорости является отсутствие права на защиту.

Контрарианское прочтение таково: это выходные стали первым полноценным кредитным событием DeFi с работающим механизмом обнаружения цены. Неправильная оценка существовала потому, что рынок не был вынужден столкнуться с хвостовым риском. Теперь был. Ставки установились выше, потому что они и должны были быть выше с самого начала. Отныне распределители капитала могут оценивать активы по честной доходности, строители получают сильный стимул исправить конфигурации мостов, а весь стек здоровее, чем был при 2,32%. Банк в маленьком городе не сгорел. Он просто перестал рекламировать страховку хранилища, которую на самом деле не мог обеспечить.

Ключевые Выводы

• Ставка Aave APR 2,32%, находившаяся ниже однодневной ставки ФРС 3,64%, была неправильной оценкой, которую рынок не мог поддерживать при первом же испытании.
• Конфигурация валидатора 1/1 на мосту LayerZero от Kelp позволила злоумышленнику создать 18% предложения rsETH — около $292 млн — и внести это в Aave в качестве залога.
• Рекурсивное использование (около 20% исторического объёма займов Aave) превратило единственный эксплойт моста в $6–10 млрд оттоков и 100% утилизацию пулов стейблкоинов.
• Рост ставки vault USDC на Morpho с 4,4% до 10,81% APR за сутки показывает: кредитный риск DeFi теперь напрямую передаётся в розничные кредитные продукты, связанные с Coinbase.
• Правовая асимметрия (нет банкротства, нет возврата средств, победитель тот, кто вышел первым) — это то, что институциональные модели рисков всё ещё не оценивают должным образом, и никакая ставка APR сама по себе этого не исправит.

Возвращаясь к банку в маленьком городе: очередь рассеялась, двери всё ещё открыты, а объявление в окне теперь отражает тот факт, что хранилища порой грабят. Это не конец банковского дела. Это банковское дело, которое наконец начинает вести себя как банковское дело.