Как проверить DeFi-протокол на надёжность

Деньги уводят через тех, кто меняет программу

Больше всего денег из DeFi уходит через людей, которые вправе менять программу: у них крадут ключи или выманивают подписи. У Drift программу менял «сейф», мультиподпись, где для изменения хватало подписей двоих из пяти владельцев.

Вор неделями выманивал их подписи поддельными запросами и 1 апреля стал управляющим. Задержки не было, права перешли сразу. Он подключил залогом бесполезную монету с ценой, которую назначил сам, и примерно за 12 минут вывел деньги. В разборе взлома от фирмы BlockSec за 3 апреля 2026 года сказано, что уязвимости в коде не было.

По квартальному отчёту сервиса DefiLlama, больше 80% украденного во втором квартале 2026 года дали два случая, Drift и протокол Kelp.

Поэтому первой ищите задержку (timelock): пока объявленное изменение ждёт на виду, деньги ещё можно забрать.

Аудит проверяет код на дату, а не тех, кто его поменяет

«Прошёл аудит» значит, что внешняя фирма проверила программу на определённую дату. Аудиторская фирма Neodyme в отчёте по Drift за май 2024 года нашла одно критическое замечание, и его исправили.

Ещё аудитор отметил, что управляющий может подключить любой источник цены монеты без проверки. Опасным это не сочли, ведь такое может только управляющий. В 2026 году вор сам стал управляющим и, по разбору издания Rekt от июля, прошёл именно там.

После взлома возвращают мало и поздно

Пострадавшим Drift выдал токены возврата, по одному за доллар потери. По объявлению Drift от 1 октября 2026 года, их выкупает фонд, в котором около 3,1 млн USDT почти на 300 млн токенов.

Продав сейчас, вы получите около 10 USDT за потерянную тысячу. Фонд растёт из выручки, но продавший токены будущих выплат не получит. Крупные суммы, обещанные Tether и партнёрами, пока без срока.

Закон о цифровых валютах (282-ФЗ, с 1 сентября 2026 года) протоколы не называет. Цифровой депозитарий отвечает за убытки от неправомерного распоряжения криптой клиента, но, если их причинили третьи лица, договор может это ограничить. С сентября 2027 года депозитарий и обменник, нарушившие обязательные проверки, возмещают стоимость украденного за 30 дней с обращения клиента с постановлением о возбуждении уголовного дела.

Как проверить протокол за три шага

Адрес сайта берите из карточки протокола на DefiLlama, а не из поиска или чатов. На сайте ищите через Ctrl+F слова timelock, multisig и audit. Если деньги уже внутри, пройдите шаги сегодня.

1. Кто меняет программу и с какой задержкой. Смотрите раздел Security или Governance. У Aave, например, изменения утверждают голосованием держателей токена и ждут 1 или 7 дней. Стоп, если не написано или изменение срабатывает сразу.
2. Был ли протокол во взломах. На defillama.com/hacks введите имя в поле «Search projects…», а отчёт о случае найдите по имени и дате. Нет в базе или потери покрыли, шаг пройден. Не вернули или о возврате не нашли, это «не знаю».
3. Проверял ли аудит то, куда вы кладёте деньги, займы или биржу. В Security найдите дату последнего отчёта. Если ему больше двух лет, это «не знаю». Стоп, если у самых опасных замечаний, Critical и High, нет пометки Fixed или Resolved. Нет таблицы или неясно, к чему отчёт, тоже «не знаю».

Проверь вы Drift в марте, три шага, скорее всего, дали бы «пройдено». Сбой 2022 года Drift покрыл выплатой, критическое замечание аудитора исправил, задержка в марте была. 27 марта, по разбору TRM Labs, задержку убрали. Объявления об этом разборщики не нашли, смена была видна в блокчейне. Через пять дней деньги ушли.

Если хоть на одном шаге стоп или «не знаю», не переводите, ведь это вклад вслепую. Внесённое заберите.

Все три шага пройдены? Тогда риск известен, но безопасным вклад не стал: программу меняют и после, и деньги могут пропасть почти целиком. Мы бы клали только сумму, потерю которой переживёте.

Частые вопросы