Ще одна кровава історія у DeFi. Фондовий пул, розгорнутий у рамках протоколу Story на базі протоколу Unleash, зазнав атаки, хакер у рамках несанкціонованої операції вивів 3,9 мільйона доларів США, потім через міжланцюговий міст переказав їх на Ethereum, а наприкінці використав Tornado Cash для очищення 1337 ETH. Наразі цей протокол призупинив усі операції.

Подібні інциденти вже стали нормою у блокчейні. Але за зовнішньою рутиною ховаються дві складні реальності DeFi-екосистеми. По-перше, недостатній аудит смарт-контрактів. Багато нових протоколів, щоб швидше запуститися, ігнорують глибокий аудит коду, а управління правами та виклики функцій можуть містити серйозні вразливості. По-друге, професіоналізація команд хакерів. Тепер зловмисники заздалегідь вивчають логіку коду, і якщо знаходять вразливість, одразу починають атаку — весь процес займає секунди, і у протоколу навіть немає часу на реакцію.

Цікаво й з точки зору регулювання та інструментів приватності. Після санкцій протоколу Tornado Cash, відмивання грошей хакерами стало ще легшим, що свідчить про те, що рішення для приватності у блокчейні не можна повністю заборонити. Чим суворіше регулювання, тим більш досконалими стають чорні ринки. Це питання, яке потребує довгострокового обмірковування.

Для учасників цей інцидент має чіткий урок. На початкових етапах запуску нових протоколів краще не поспішати, дати ринку трохи часу, щоб визначитися. По-друге, диверсифікація ризиків — не вкладати всі кошти в один пул ліквідності. По-третє, обирати протоколи з страховкою — хоча це і коштує дорожче, але у разі проблем це може врятувати ситуацію.

Протокол Story у напрямку підтвердження прав інтелектуальної власності — досить передовий, а побудова DeFi-слою на цій основі — теж інноваційний експеримент. Але цей інцидент знову нагадує нам: без безпеки як основи будь-який продукт — це лише палац із піску. Сподіваємося, команда швидко поверне кошти та відповідально поставиться до спільноти.