Riziká DeFi protokolov: chyby smart kontraktov, rug pull a falošné weby

V DeFi neexistuje inštitúcia, ktorá by vám prostriedky vrátila, ak sa niečo pokazí. Preto je dôležité poznať riziká DeFi protokolov a rozumieť, na čo si dať pozor. Zoznam nižšie nie je vyčerpávajúci, pretože útočníci stále vymýšľajú nové postupy.

Základy fungovania sú v článku o tom, čo je DeFi, a ďalšie súvisiace články nájdete v kategórii DeFi. O všeobecných podvodoch s kryptomenami píšeme v kategórii Podvody.

Chyby v smart kontraktoch

Smart kontrakt je len program, a programy majú chyby. Útočník môže chybu využiť na vyťaženie prostriedkov z protokolu. Audit kódu rizikom nezbavuje: znižuje ho, ale nevylučuje, a nikdy nepokrýva zmeny vykonané po audite.

Na bezpečnosť vplýva aj to, či je kontrakt možné aktualizovať. Pri aktualizovateľných kontraktoch môže mať správca právomoc zmeniť pravidlá, čo je riziko pre dôveru. Informácie o správe a právomociach nájdete v dokumentácii protokolu.

Útoky sa často týkajú aj prepojení medzi protokolmi. Aj dobre napísaný kontrakt môže byť zraniteľný, ak sa spolieha na cenu z inej služby, ktorú možno krátkodobo zmanipulovať. Riziko tak môže pochádzať aj zo závislostí.

Rug pull a podvodné projekty

Rug pull je podvod, pri ktorom tvorcovia vytvoria token alebo protokol, nalákajú používateľov a potom stiahnu likviditu alebo prostriedky. Niekedy je zabudovaný priamo v kóde, napríklad ako právomoc zablokovať predaj tokenu.

Varovnými signálmi sú anonymný tím bez histórie, sľuby neprimerane vysokého výnosu, tlak na rýchle rozhodnutie a nedostatočná dokumentácia. Žiadny z nich nie je dôkazom podvodu, ale kombinácia by mala viesť k opatrnosti.

Ďalším trikom je token, ktorý sa dá kúpiť, ale nie predať, takzvaný honeypot. Pred kúpou neznámeho tokenu preto zvážte, či máte spoľahlivý spôsob, ako overiť, že je skutočne obchodovateľný.

Falošné weby a škodlivé podpisy

Najčastejšia príčina strát u bežných používateľov nie je chyba protokolu, ale falošná stránka. Útočník skopíruje vzhľad skutočnej služby, láka na ňu cez reklamu alebo správu a vyzve vás na pripojenie peňaženky a podpis transakcie, ktorá mu umožní vybrať prostriedky.

Adresu služby otvárajte zo záložky alebo z overeného zdroja, nie z reklamy. Pred podpisom si prečítajte, čo transakcia robí. Nikdy nezadávajte záložnú frázu na webe; legitímny protokol ju nepotrebuje. Hardvérové peňaženky zobrazujú podrobnosti na zariadení.

Riziká správy a centralizácie

Aj protokol, ktorý sa označuje ako decentralizovaný, môže mať správcov s mimoriadnymi právomocami, napríklad na pozastavenie kontraktu alebo zmenu parametrov. Ak sa ich kľúče dostanú do rúk útočníka, môže to ohroziť všetky prostriedky v protokole.

Preto stojí za to zistiť, kto má takéto právomoci, či sa na zmenách podieľa viac osôb a či existuje časová lehota pred nadobudnutím zmeny. Ak sa o správe nedá nič zistiť, ide o ďalší dôvod na opatrnosť. Základné pojmy nájdete v slovníku.

Ako riziká znížiť

Používajte oddelenú peňaženku s malým objemom prostriedkov na experimenty a hlavnú sumu držte inde. Pravidelne rušte nepotrebné schválenia tokenov a vyhýbajte sa novým protokolom, ktoré ste dôkladne nepreverili. Pri každej novej službe začnite sumou, ktorú ste ochotní stratiť.

Okrem toho si overte, či protokol zverejňuje audity, kto ho spravuje a aké sú jeho právomoci. Nezabúdajte, že prepojené protokoly šíria riziko: problém jedného môže zasiahnuť ďalšie. Posledná vec je psychologická: sľub rýchleho zisku by mal vyvolať skôr podozrenie ako nadšenie.