Rizika DeFi protokolů: chyby smart kontraktů, rug pull a falešné weby

V DeFi neexistuje instituce, která by vám prostředky vrátila, pokud se něco pokazí. Proto je důležité znát rizika DeFi protokolů a rozumět tomu, na co si dát pozor. Níže uvedený seznam není vyčerpávající, protože útočníci stále vymýšlejí nové postupy.

Základy fungování jsou v článku o tom, co je DeFi, a další související články najdete v kategorii DeFi. O obecných podvodech s kryptoměnami píšeme v kategorii Podvody.

Chyby ve smart kontraktech

Smart kontrakt je jen program a programy mají chyby. Útočník může chybu využít k vytěžení prostředků z protokolu. Audit kódu riziko neodstraňuje: snižuje ho, ale nevylučuje, a nikdy nepokrývá změny provedené po auditu.

Na bezpečnost má vliv i to, zda lze kontrakt aktualizovat. U aktualizovatelných kontraktů může mít správce pravomoc změnit pravidla, což je riziko pro důvěru. Informace o správě a pravomocích najdete v dokumentaci protokolu.

Útoky se často týkají i propojení mezi protokoly. I dobře napsaný kontrakt může být zranitelný, pokud spoléhá na cenu z jiné služby, kterou lze krátkodobě zmanipulovat. Riziko tak může pocházet i ze závislostí.

Rug pull a podvodné projekty

Rug pull je podvod, při kterém tvůrci vytvoří token nebo protokol, nalákají uživatele a pak stáhnou likviditu nebo prostředky. Někdy je zabudovaný přímo v kódu, například jako pravomoc zablokovat prodej tokenu.

Varovnými signály jsou anonymní tým bez historie, sliby nepřiměřeně vysokého výnosu, tlak na rychlé rozhodnutí a nedostatečná dokumentace. Žádný z nich není důkazem podvodu, ale jejich kombinace by měla vést k opatrnosti.

Dalším trikem je token, který lze koupit, ale ne prodat, takzvaný honeypot. Před nákupem neznámého tokenu proto zvažte, zda máte spolehlivý způsob, jak ověřit, že je skutečně obchodovatelný.

Falešné weby a škodlivé podpisy

Nejčastější příčinou ztrát u běžných uživatelů není chyba protokolu, ale falešná stránka. Útočník zkopíruje vzhled skutečné služby, láká na ni přes reklamu nebo zprávu a vyzve vás k připojení peněženky a podpisu transakce, která mu umožní vybrat prostředky.

Adresu služby otevírejte ze záložky nebo z ověřeného zdroje, ne z reklamy. Před podpisem si přečtěte, co transakce dělá. Nikdy nezadávejte seed frázi na webu; legitimní protokol ji nepotřebuje. Hardwarové peněženky zobrazují podrobnosti na zařízení.

Rizika správy a centralizace

I protokol, který se označuje jako decentralizovaný, může mít správce s mimořádnými pravomocemi, například k pozastavení kontraktu nebo změně parametrů. Pokud se jejich klíče dostanou do rukou útočníka, může to ohrozit všechny prostředky v protokolu.

Proto stojí za to zjistit, kdo takové pravomoci má, zda se na změnách podílí více osob a zda existuje časová lhůta před nabytím účinnosti změny. Pokud se o správě nedá nic zjistit, jde o další důvod k opatrnosti. Základní pojmy najdete ve slovníku.

Jak rizika snížit

Používejte oddělenou peněženku s malým objemem prostředků na experimenty a hlavní částku držte jinde. Pravidelně rušte nepotřebná schválení tokenů a vyhýbejte se novým protokolům, které jste důkladně neprověřili. U každé nové služby začněte částkou, kterou jste ochotni ztratit.

Kromě toho si ověřte, zda protokol zveřejňuje audity, kdo ho spravuje a jaké jsou jeho pravomoci. Nezapomínejte, že propojené protokoly šíří riziko: problém jednoho může zasáhnout další. Poslední věc je psychologická: slib rychlého zisku by měl vyvolat spíše podezření než nadšení.