Ошибки в DeFi, которые приводят к потере средств
Разбор основных ошибок в DeFi, из-за которых теряются средства, и быстрые проверки, которые помогают заметить их на каждом этапе работы с приложением.
Большинство потерь в DeFi происходит из-за небольшого набора ошибок: подписи на поддельных сайтах, неограниченные разрешения на токены (approvals), покупка токенов-копий, отправка в неверной сети, погоня за доходностью без понятного источника и займы с уровнем, близким к ликвидации. Каждая из них случается в предсказуемый момент, поэтому каждую можно поймать быстрой проверкой.
Ошибки происходят в определённые моменты
Транзакция в DeFi проходит через последовательность этапов: поиск приложения, подключение кошелька, одобрение токенов, выбор того, что купить или куда отправить, размещение средств в позиции и, наконец, выход. Почти каждая распространённая потеря случается на одном из этих этапов. Понимание того, на каком вы этапе и что обычно идёт не так, полезнее, чем запоминание списка.
Перед подключением
Самые дорогие ошибки начинаются до любой транзакции. Рекламное объявление в поиске, ответ в социальной сети или сообщение в чате ведут к копии настоящего приложения, сделанной так, чтобы выглядеть идентично. Само по себе подключение безвредно, но всё, что вы подпишете после этого, достанется злоумышленнику.
Правило: заходите в DeFi-приложения только через закладки, которые вы сохранили сами, или по ссылкам из официальной документации протокола. Если вы попали туда другим путём, закройте вкладку и начните заново из закладки. См. также, как распознать поддельные сайты криптобирж.
Когда кошелёк что-то запрашивает
Всплывающее окно кошелька — последний момент, когда можно остановить плохую транзакцию, и именно здесь большинство людей торопится. Главная опасность связана с разрешениями (approvals). Многие приложения запрашивают право перемещать неограниченное количество токена, и такие разрешения не истекают. Если позже этот контракт будет взломан или если вы по ошибке одобрили вредоносный контракт, токены могут быть выведены спустя долгое время после того, как вы забыли о приложении.
Рисунок: шесть распространённых ошибок и привычка, которая предотвращает каждую из них.
| Что показывает кошелёк | Что это означает | Что проверить |
|---|---|---|
| Connect (подключение) | Передаёт ваш адрес | Что вы находитесь на настоящем сайте |
| Approve или set allowance (одобрение или лимит) | Позволяет контракту перемещать токен | Кому выдано право и на какую сумму |
| Permit или подпись сообщения | Может дать право на расходование без отдельной транзакции | Указаны ли получатель и токен |
| Set approval for all (одобрение для всех) | Позволяет оператору перемещать все предметы в коллекции | Узнаёте ли вы этого оператора |
| Swap или deposit (обмен или депозит) | Перемещает ваши токены сразу | Полученная сумма, комиссия, проскальзывание |
Правило: одобряйте только нужную сумму, читайте, кто является получателем разрешения, и считайте любой неожиданный запрос на подпись враждебным. См. также, что такое wallet drainer.
Когда выбираете, что купить или куда отправить
Здесь сходятся две ошибки. Первая — покупка токена-копии: любой может создать токен с таким же названием, тикером и логотипом, как у настоящего, и приложения для обмена его выведут, если кто-то создаст пул. Вторая — отправка в неверной сети: один и тот же токен существует во многих блокчейнах, и адрес, который работает в одной сети, может не поддерживаться принимающей платформой в другой. Неизвестные мосты добавляют риск потери средств в пути.
Правило: копируйте адреса контрактов только из официальных источников проекта, подтверждайте сеть с обеих сторон каждого перевода и сначала используйте известные мосты с небольшой тестовой суммой. См. также, что такое rug pull и как выбрать правильную сеть блокчейна.
Пока ваши деньги работают
После внесения средств риски меняются. Очень высокая заявленная доходность привлекает деньги в непроверенные протоколы, которые платят наградами в токенах, теряющих стоимость, или которые изначально задуманы так, чтобы рухнуть. Заимствование почти на максимум или использование заёмных средств для внесения дополнительных денег оставляет почти никакого запаса для движения цен до ликвидации и связанного с ней штрафа.
Привычка: перед депозитом выясните, кто платит доходность, берите займы значительно ниже лимита и настройте оповещения, чтобы узнавать о движениях цены раньше, чем ликвидаторы. См. откуда берется доходность в DeFi и как работают коэффициент здоровья и цена ликвидации.
Когда вы закончили
Последний момент — тот, который пропускают чаще всего. Разрешения (approvals), выданные месяцы назад, остаются активными после того, как вы перестали пользоваться приложением. Небольшие остатки, забытые в протоколах, продолжают подвергаться риску будущих эксплойтов. А многие свопы, награды и выводы создают налоговые записи, которые потом трудно восстановить.
Привычка: после выхода из протокола отзовите его разрешения с помощью проверщика разрешений на блок-эксплорере, выведите ненужные мелкие остатки и экспортируйте историю транзакций. См. как вести учет криптотранзакций.
Общая черта: спешка
Если посмотреть на эти моменты в целом, виден один общий паттерн: почти каждая дорогостоящая ошибка совершается впопыхах. Обратный отсчет на странице минта, доходность, которая может исчезнуть завтра, сообщение о том, что кошелек будет заблокирован, токен, который растет, пока вы читаете о нем. Срочность — самый надежный инструмент злоумышленника, потому что она заставляет людей перешагивать через проверки, которые они обычно сделали бы. Воспринимать любое ощущение спешки как предупреждающий знак и отходить на несколько минут перед подписью предотвращает больше потерь, чем любая отдельная техническая мера предосторожности. Со временем такие проверки становятся автоматическими, как взгляд по сторонам перед переходом дороги, и занимают считанные секунды, а не стоят денег каждый раз.
Одна настройка, которая предотвращает большинство этих ошибок
Многие опытные пользователи держат два кошелька: основной, на котором хранится большая часть средств и который редко что-либо подписывает, и отдельный кошелек с небольшим балансом для подключения к новым приложениям, получения airdrop-ов и экспериментов. Ошибка во втором кошельке стоит только того, что в нем лежит. В сочетании с закладками, внимательным чтением запросов кошелька и регулярной проверкой разрешений такая схема устраняет большинство путей, которыми пользователи DeFi теряют деньги.
Если что-то пошло не так
Переведите оставшиеся средства с затронутого кошелька на новый, отзовите разрешения, которые еще могут быть использованы, и зафиксируйте произошедшее, включая хэши транзакций и сайт, о котором идет речь. Сообщите об инциденте протоколу и платформам, на которые могут поступить украденные средства. Будьте осторожны с теми, кто предлагает вернуть средства за плату. См. как восстановить взломанный криптоаккаунт.
Полный чек-лист перед депозитом см. в как проверить DeFi-протокол перед депозитом. Основы см. в что такое DeFi.
Эта статья носит образовательный характер и не является финансовой, инвестиционной, юридической или налоговой консультацией. Цифровые активы волатильны, и вы можете потерять вложенную сумму.