JPMorgan: Криза безпеки DeFi Знищує Інституційні Потоки

Кожен, хто хоч раз брав участь у розборі інциденту з крос-чейн мостом, знає, як розвивається ця історія ще до прочитання першого рядка. Одна функція mint, одне хибне припущення про довіру — і до ранку на чийомусь балансі з'являється дірка на сотні мільйонів. Останній звіт JPMorgan про DeFi, підготовлений керівним директором Ніколаосом Панігіртзоглу, використовує експлойт Kelp DAO як головний доказ того, чому інституційні казначейства досі не готові переводити реальні гроші в on-chain кредитування. Висновок банку прямолінійний: модель безпеки недостатньо надійна, і цифри зростання не спростовують цього.

Що Сталося

Звіт JPMorgan, опублікований у середу, базується на простій тезі: повторювані злами та слабке зростання капіталу — це два чинники, які заважають інституціям повноцінно увійти в DeFi. Як повідомляє CoinMarketCap, центральним прикладом став експлойт Kelp DAO, і цифри виглядають невтішно.

Зловмисник використав крос-чейн міст, щоб випустити $292 мільйони непідкріплених токенів rsETH. Ці токени були переведені до Aave, внесені як застава та використані для отримання реального Ethereum під фіктивне забезпечення. Протокол кредитування отримав орієнтовно $230 мільйонів безнадійного боргу. Загальний заблокований обсяг (TVL) у DeFi за кілька днів скоротився приблизно на $20 мільярдів.

Характер поширення кризи — це саме те, на чому зосередяться інституційні ризик-менеджери. Капітал тікав із пулів, що взагалі не мали прямого зв'язку з rsETH. Коли один заставний актив виявляється повітрям, LP повсюди починають підозрювати, що наступний може бути таким само. Це кореляційна ризикова подія в секторі, який позиціонує себе як надійна компонованість без довіри.

LayerZero та незалежні дослідники безпеки блокчейну пов'язали атаку з північнокорейською групою Lazarus Group. Частину коштів заморожено. Решта продовжує переміщуватися через гаманці та протоколи конфіденційності, що на практиці означає — вони втрачені. Аналітики JPMorgan також зазначили, що загальні збитки від хаків у криптовалюті цього року відповідають приблизно такому ж темпу, що й у 2025 році. Індустрія не стає безпечнішою рік від року — вона стоїть на місці, тоді як поверхня атак зростає.

Технічна Анатомія

Якщо відкинути брендинг, це була класична компрометація mint-функції мосту, поєднана з відмовою оракула кредитного ринку. Міст довірився повідомленню, якому не варто було довіряти. Кредитний ринок довірився заставному токену, підкріплення якого неможливо було перевірити в реальному часі. Обидва припущення зазнали краху одночасно, і експлойт скористався цим.

Аналітики JPMorgan окремо наголошують, що аудит смарт-контрактів покращився, але безпека крос-чейн мостів залишається сегментом із найвищою концентрацією невирішених ризиків. Це збігається з тим, що виробничі інциденти в цій сфері постійно демонструють: аудити тепер непогано виявляють помилки reentrancy та контролю доступу, але припущення щодо довіри мостів по суті є соціальними та криптоекономічними. Аудитом не вирішити проблему набору валідаторів, яких можна підкупити, зафішингувати або скомпрометувати за допомогою державного актора.

Розглянемо механіку. Токен liquid restaking на кшталт rsETH є похідною вимогою на застейкований ETH, що зберігається деінде. У рідному ланцюжку облік влаштований одним чином. У цільовому ланцюжку, після перетину мосту, це обгорнутий IOU, реальне забезпечення якого знаходиться на іншому боці. Цінова стрічка Aave бачить токен, що торгується відносно ETH. Вона не бачить права mint на контракті мосту. Коли це право mint скомпрометовано, застава є фіктивною, але позика — реальною. Дивіться документацію Ethereum щодо передачі повідомлень та канонічного бриджингу, якщо вам потрібні базові примітиви.

CryptoQuant окремо повідомив, що після експлойту ставки запозичення по всьому DeFi різко зросли, що відображає загальне стиснення ліквідності. Це показовий сигнал. Ставки ростуть, коли LP виходять. LP виходять, коли не можуть відрізнити безпечні пули від заражених. Взаємопов'язана структура, яку DeFi вважає перевагою, в момент зламу одного вузла перетворюється на механізм передачі системного ризику.

Моя думка: крос-чейн мости — це еквівалент 2026 року кореспондентського банківського рівня, який ніхто не хотів модернізувати, допоки він не обвалився. Кожна restaking-нарратив, що залежить від них, успадковує їхній профіль ризику, незалежно від того, що написано в маркетингових матеріалах.

Хто Постраждав

Aave — очевидна короткострокова жертва. $230 мільйонів безнадійного боргу — це не похибка округлення навіть для першокласного протоколу кредитування, а репутаційні витрати від прийняття скомпрометованого LRT як застави переслідуватимуть ризик-команду в кожній майбутній дискусії щодо лістингу. Очікуйте набагато повільнішого та набагато консервативнішого процесу onboarding для будь-яких нових restaking-деривативів.

Протоколи liquid restaking загалом — це друге концентричне кільце постраждалих. Коли один LRT виявляється вразливим на рівні мосту, алокатори перестають запитувати «який з них безпечний» і починають запитувати «навіщо мені взагалі бути в цій категорії». Команди, що будують наступний Kelp, продукт суміжний з EigenLayer або агрегатор LRT, проведуть наступні 90 днів, відповідаючи на питання щодо безпеки, замість того щоб випускати функції. Команди, з якими я працював у суміжних вертикалях, впізнають цю схему: один інцидент з широким радіусом ураження відкидає всю категорію на два квартали в розвитку бізнесу.

Інституційні алокатори — третя група, і саме тут живе головний меседж JPMorgan. У доларовому вираженні TVL у DeFi частково відновився разом із ширшим ринком криптовалют. У вираженні Ethereum TVL залишився на місці. Саме ця пласка лінія в деномінації ETH — ключова цифра. Вона означає, що DeFi органічно не залучає капітал — він просто плаває на хвилі зростання ціни базового активу. Для пенсійного алокатора чи банківського казначейства це не та growth-історія, яка виправдовує операційний ризик.

Незручне прочитання: під час стресу капітал не ротувався всередині DeFi до безпечніших пулів. Він пішов. Інвестори перейшли в стейблкоїни, причому USDT став переважним вибором завдяки глибшій ліквідності на CEX та швидшим виходам. Ротація ще навіть не відобразилась у зростанні ринкової капіталізації USDT, що свідчить: частина капіталу пішла ще далі — прямо в off-chain. Це характеристика банківського run-у, а не ребалансування портфеля.

Посібник для Крипто та DeFi

Якщо ви керуєте протоколом кредитування, перегляньте кожен заставний актив, чиє забезпечення залежить від мосту, який ви не контролюєте. Встановіть жорсткі ліміти на обгорнуту або бриджовану заставу та впровадьте незалежні від оракула автоматичні вимикачі, що спрацьовують при аномальному обсязі mint вище по потоку. Mint на $292 мільйони ніколи не має бути мовчки прийнятий нижчестоящою ціновою стрічкою.

Якщо ви керуєте мостом або LRT, публікуйте доказ резервів у реальному часі, який ризик-рушій протоколу кредитування може реально споживати. Не PDF, не квартальне підтвердження. Підписану on-chain стрічку. Якщо безпека вашого продукту залежить від того, щоб інституції довіряли оголошенню в Discord після інциденту, — ви вже програли корпоративну розмову.

Якщо ви алокатор або CTO, що оцінює DeFi-експозицію для казначейського мандату, використовуйте TVL у деномінації ETH як показник здоров'я, а не TVL у доларах. Запитайте свого контрагента, як він поводитиметься при кризовому сценарії на кшталт Kelp, де скомпрометований актив не знаходиться у ваших пулах. Якщо відповідь — «ми вважаємо, що LP залишаться», — йдіть геть.

Для команд у сферах iGaming та fintech, що розглядають on-chain розрахункові рейки, це сигнал тримати потоки гарячих гаманців і розрахунків в активах та майданчиках із швидкими виходами. Роль USDT як виходу під час стресу не є випадковістю — це ринок голосує ногами. Проектуйте свої казначейські потоки, виходячи з припущення, що ліквідність DeFi може випаруватися за 48 годин.

Ключові Висновки

• Експлойт Kelp DAO знищив приблизно $20 мільярдів з TVL DeFi за лічені дні, спровокований mint $292 мільйонів непідкріплених rsETH, що залишив $230 мільйонів безнадійного боргу на Aave.
• Позиція JPMorgan: аудити смарт-контрактів покращились, але крос-чейн мости залишаються найвищою концентрацією невирішеного ризику в секторі.
• TVL у DeFi в деномінації ETH є плоским, що підриває наратив органічного зростання, необхідний інституціям для виправдання алокацій.
• Стресові ротації відбулися в USDT і, ймовірно, повністю в off-chain — патерн, що нагадує банківський run і має турбувати будь-який протокол, що залежить від стабільної ліквідності.
• Атрибуція Lazarus Group означає загрозу з боку державного актора, і дорожні карти безпеки продуктів мають бути відповідно профінансовані.