Еще один кровавый случай в DeFi. Фондовый пул, развернутый в рамках протокола Story на базе протокола Unleash, был атакован, хакер в ходе несанкционированной операции перевел 3,9 миллиона долларов США, затем через кросс-чейн мост направил средства в Ethereum и в конце использовал Tornado Cash для очистки 1337 ETH. В настоящее время протокол приостановил всю деятельность.

Такие события уже стали нормой в блокчейне. Но за кажущейся обыденностью скрываются две сложные реальности экосистемы DeFi. Первая — недостаточный аудит смарт-контрактов. Многие новые протоколы, чтобы быстрее запуститься, проводят поверхностный аудит кода, и управление правами, вызовы функций — все это может стать уязвимым местом. Вторая — профессионализация команд хакеров. Современные злоумышленники заранее изучают логику кода, и как только находят уязвимость, сразу приступают к атаке, весь процесс занимает секунды, и у сторон протокола зачастую даже нет времени реагировать.

Интересно также рассмотреть вопрос регулирования и инструментов приватности. После санкций Tornado Cash, отмывание денег хакерами стало еще проще, что говорит о том, что решения для приватности в цепочке не могут быть полностью заблокированы. Чем строже регулирование, тем совершеннее черный рынок инструментов. Это вопрос, требующий долгосрочного размышления.

Для участников эта ситуация дает ясные уроки. Лучше всего не торопиться с запуском новых протоколов на ранних этапах — пусть рынок поработает некоторое время, прежде чем принимать решение. Второе — диверсификация рисков — не вкладывайте все средства в один пул ликвидности. Третье — отдавайте предпочтение протоколам с страховкой, хотя это и увеличивает стоимость премии, но в случае проблем это может спасти.

Протокол Story в области IP-право и его подтверждения — довольно передовая идея, а создание на его базе DeFi-приложений — тоже инновационный эксперимент. Но этот инцидент еще раз напоминает нам: без надежной безопасности любые, даже самые яркие продукты — всего лишь воздушные замки. Надеемся, команда как можно скорее вернет средства и будет отвечать перед сообществом.