Перейти к основному контенту

Уолл-стрит берет паузу: почему Jefferies считает, что взлом KelpDAO может отложить институциональный криптосектор на 18 месяцев

· 13 мин чтения
Dora Noda
Dora Noda
Software Engineer

На каждый доллар, украденный у KelpDAO 18 апреля 2026 года, еще сорок пять долларов покинули сектор DeFi в течение следующих сорока восьми часов. Именно это соотношение — а не громкий заголовок о потере 292 миллионов долларов — неделю спустя оказалось на столах специалистов по банковским рискам. Именно за это число ухватились аналитики Jefferies, утверждая, что крупным банкам, возможно, придется полностью пересмотреть свою дорожную карту развития блокчейна на 2026–2027 годы.

Отчет Jefferies, опубликованный 21 апреля, не предсказывал смерть токенизации. Он предсказывал нечто более тонкое и, возможно, более разрушительное: тихую «паузу» в масштабах всей отрасли. Переоценку того, какие протоколы DeFi действительно могут функционировать в качестве залоговой инфраструктуры для продуктов на базе реальных активов (RWA) стоимостью в триллионы долларов. Осознание разрыва между тем, что могут подтвердить аудиты, и тем, что протоколы делают на самом деле после постоянных обновлений. И, возможно, задержку на 12–18 месяцев в ончейн-амбициях BNY Mellon, State Street, Goldman Sachs и HSBC.

Это история о том, как один эксплойт моста, один неверно настроенный верификатор и коэффициент заражения 45 к 1 сбросили институциональный календарь.

Анатомия кражи на 292 млн долларов​

Инцидент с KelpDAO не был, строго говоря, взломом смарт-контракта. Это была компрометация офчейн-инфраструктуры, которая использовала единую точку отказа, о существовании которой большинство людей даже не подозревало.

Мост rsETH от KelpDAO был настроен с одним верификатором — децентрализованной сетью верификаторов (DVN) от LayerZero Labs. Один верификатор, одна подпись, одно узкое место. Злоумышленники, которых LayerZero позже приписала северокорейской группировке Lazarus Group, по сообщениям, скомпрометировали два RPC-узла, на которые полагался верификатор для подтверждения межсетевых сообщений. Вредоносный бинарный файл, подмененный на этих узлах, сообщил верификатору, что мошенническая транзакция была реальной. 116 500 rsETH — примерно 292 миллиона долларов — покинули мост в 20 различных сетях.

KelpDAO и LayerZero немедленно начали обвинять друг друга. В Kelp утверждали, что собственное руководство по быстрому запуску и конфигурация по умолчанию на GitHub от LayerZero указывали на настройку DVN «1 из 1», и отметили, что 40 % протоколов на LayerZero используют ту же конфигурацию. LayerZero парировала тем, что Kelp сама решила не добавлять второй DVN. Оба аргумента верны одновременно, и оба они не имеют значения для банков, читающих отчет о вскрытии. Урок, который усвоили отделы институционального хранения, был проще: самая безопасная на вид конфигурация в документации не была безопасной.

KelpDAO удалось приостановить контракты, чтобы заблокировать последующую попытку кражи на 95 миллионов долларов, а Совет по безопасности Arbitrum заморозил более 30 000 ETH на следующих этапах. Но настоящий ущерб уже переместился на уровень выше по стеку.

Каскад заражения 45:1​

Спустя несколько часов после взлома моста злоумышленники начали вносить украденные rsETH в качестве залога на Aave V3. Они брали под них займы, оставляя Aave с «плохим долгом» в размере примерно 196 миллионов долларов в паре rsETH–wrapped ether на Ethereum.

То, что произошло дальше, стало примером рефлексивности в огромном масштабе. TVL (общая заблокированная стоимость) Aave упала примерно на 6,6 миллиарда долларов за 48 часов. Во всем секторе DeFi общая заблокированная стоимость упала примерно на 14 миллиардов долларов до отметки около 85 миллиардов долларов — самого низкого уровня за год и примерно на 50 % ниже октябрьских пиков. Большая часть этого исхода была связана с закрытием леверидж-позиций, а не с реальным уничтожением капитала, но посыл был тем же: кража 292 миллионов долларов привела к оттоку TVL в размере 13,21 миллиарда долларов. Коэффициент заражения 45 к 1.

Для отдела кастодиальных услуг, оценивающего Aave как залоговую инфраструктуру для токенизированных фондов денежного рынка, эту математику невозможно игнорировать. Тезис о «безопасности голубых фишек» предполагает, что глубина ликвидности поглощает шоки. Каскад апреля 2026 года показал, что ликвидность бежит в тот самый момент, когда случаются шоки.

Стало еще хуже: резерв Aave Umbrella, по сообщениям, оказался недостаточным для покрытия дефицита, что породило вероятность того, что держателям stkAAVE самим придется поглощать убытки. Затем протокол привлек 161 миллион долларов нового капитала, чтобы закрыть дыру. Для наблюдателей из мира TradFi последовательность — эксплойт, плохой долг, нехватка резервов, экстренное привлечение средств — выглядела пугающе похожей на набег на банк с дополнительными промежуточными этапами.

Паттерн, который действительно беспокоит Jefferies​

Эндрю Мосс, аналитик Jefferies, написал этот отчет не из-за одного моста. Он написал его из-за трех инцидентов за три недели.

  • 22 марта 2026 г. — Resolv: Злоумышленник скомпрометировал среду AWS Key Management Service (KMS) протокола Resolv и использовал привилегированный ключ подписи протокола для минта 80 миллионов токенов USR, выведя примерно 25 миллионов долларов и вызвав депег стейблкоина.
  • 1 апреля 2026 г. — Drift: Злоумышленники в течение нескольких месяцев использовали социальную инженерию против команды Drift и эксплуатировали функцию «долговечных нонсов» (durable nonces) в Solana, чтобы заставить членов Совета безопасности неосознанно предварительно подписать транзакции. В итоге в белый список в качестве залога был внесен бесполезный фейковый токен (CVT), что позволило вывести 285 миллионов долларов в реальных активах.
  • 18 апреля 2026 г. — KelpDAO: Скомпрометированные RPC-узлы в основе настройки верификатора «1 из 1», потеряно 292 миллиона долларов.

Три разных протокола, три разные сети, три разные поверхности атаки — но одна общая тема: ни один из этих сбоев не произошел в ончейн-коде, который проверяли аудиторы. Они произошли в облачной инфраструктуре, в офчейн-процессах управления, в процедурах обновления и в конфигурациях по умолчанию, которые находились за границами аудита.

Jefferies охарактеризовала это как определяющий класс атак 2026 года: уязвимости, вносимые при обновлениях. Каждое рутинное обновление протокола незаметно меняет допущения о доверии, которые предыдущий аудит подтвердил для предыдущей версии кода. Для менеджеров по институциональным рискам — тех, чья работа заключается в написании служебной записки со словами «это достаточно безопасно, чтобы держать здесь 5 миллиардов долларов активов пенсионного фонда» — это осознание, убивающее всю категорию. Фреймворку оценки рисков на основе аудитов, который они методично выстраивали два года, только что сообщили, что он измерял не то, что нужно.

Почему это влияет на календарь Уолл-стрит​

Тезис Jefferies заключается не в том, что токенизация терпит неудачу. Он состоит в том, что та часть токенизации, которая зависит от композируемости DeFi, откладывается на более поздний срок.

Чтобы понять причину, рассмотрим институциональную дорожную карту по состоянию на 17 апреля 2026 года:

  • BlackRock BUIDL вырос примерно до 1,9 миллиарда долларов, будучи развернутым в сетях Ethereum, Arbitrum, Aptos, Avalanche, Optimism, Polygon, Solana и BNB Chain. Он уже принимался в качестве залога на Binance.
  • Franklin Templeton BENJI продолжал расширять свое присутствие в казначейских облигациях США на блокчейне, используя FOBXX в качестве базового актива.
  • Apollo ACRED был развернут на Plume и разрешен в качестве залога на Morpho — это была явная ставка на то, что под залог институциональных кредитов можно брать займы в ончейне.
  • Рынок токенизированных казначейских облигаций США вырос с 8,9 миллиарда долларов в январе 2026 года до более чем 11 миллиардов долларов к марту. Токенизированный частный кредит превысил 12 миллиардов долларов. Общий рынок RWA в публичных блокчейнах превысил 209,6 миллиарда долларов, при этом 61 % приходилось на основную сеть Ethereum.

Ключевая деталь: почти все интересные пункты институциональной дорожной карты — использование BUIDL или ACRED в качестве залога для займов, создание доходных структурированных продуктов на базе токенизированных казначейских облигаций, интеграция токенизированных фондов денежного рынка в прайм-брокеридж — зависят от чего-то большего, чем просто сам RWA-токен. Они зависят от работающего слоя DeFi под ними.

Этот слой в апреле 2026 года как раз продемонстрировал рефлексивность. Если Aave может потерять 10 миллиардов долларов депозитов за 48 часов после эксплойта на 292 миллиона долларов в другом протоколе, то «голубые фишки DeFi» — это не оплот, а механизм передачи рисков. И институциональным продуктам, построенным на таких механизмах передачи, требуется от 6 до 18 месяцев дополнительной работы над независимой инфраструктурой, либо их нужно перепроектировать как площадки только с закрытым доступом (permissioned-only).

Именно эту задержку и закладывает Jefferies в свои прогнозы.

Контраргумент: Токенизация без DeFi​

Существует весомое мнение, что отчет Jefferies преувеличивает влияние на институциональный сектор. Большая часть из 209,6 миллиарда долларов RWA в ончейне находится в основной сети Ethereum, а не внутри протоколов DeFi. Держатели BlackRock BUIDL — это в основном институциональные покупатели, которые никогда не планировали использовать его с кредитным плечом на Aave. Сеть Onyx от JPMorgan и деск токенизированных активов Goldman Sachs работают преимущественно на закрытых площадках. История с «композируемостью DeFi» всегда была лишь небольшой частью институционального принятия, чем полагают крипто-нативные комментаторы.

Если принять эту концепцию, то записка Jefferies становится скорее формальным поводом для отсрочки, чем поворотным моментом — комитеты по рискам Уолл-стрит, которые и так прохладно относились к композируемости DeFi, используют этот отчет, чтобы официально оформить задержку, которую они и так собирались внедрить потихоньку. Сама токенизация продолжается. Пилотные программы действуют. Громкие цифры в триллионы долларов в заголовках не сильно меняются.

Честный ответ, вероятно, заключается в обоих факторах одновременно: токенизация продолжается, но ее самая интересная часть — та, где активы в ончейне становятся композируемым залогом, где структурированные продукты строятся на бездоверительных рельсах и где действительно проявляются преимущества программируемых денег в эффективности — отодвигается назад.

Что институты изменят на самом деле​

Читая между строк отчета Jefferies и публичных заявлений крупных кастодиальных сервисов, в ближайшие шесть месяцев можно ожидать три конкретных сдвига.

Во-первых, область аудита расширится за пределы смарт-контрактов. Как выразился один эксперт после эксплойта Drift: «аудируйте ключи администратора, а не только код». Ожидайте, что институциональная проверка (due diligence) начнет требовать аудита облачной безопасности, проверки процедур управления ключами, анализа векторов атак на управление (governance) и непрерывного повторного подтверждения после каждого обновления протокола. Кустарная индустрия аудиторов кода породит смежную отрасль операционных аудиторов.

Во-вторых, развитие закрытых площадок (permissioned venues) ускорится. Банки, планировавшие использовать Aave или Morpho в качестве инфраструктуры для залогов, незаметно перенаправляют инженерные ресурсы на частные развертывания — институциональные форки, белые списки кредитных рынков или двусторонние соглашения репо, построенные на тех же примитивах, но с известными контрагентами. Это обмен эффективности на контроль, на который специалисты по институциональным рискам идут очень охотно.

В-третьих, конфигурации с одним верификатором станут неприемлемыми для запуска. Тот факт, что 40 % протоколов LayerZero работали с конфигурацией DVN «1 из 1», и то, что настройки по умолчанию поощряли это, вероятно, вызовет скоординированное давление отрасли с требованием обязательного наличия нескольких верификаторов в качестве базового стандарта. Мосты, выпускаемые с разумными настройками верификации «2 из 3» или «3 из 5» по умолчанию, получат те институциональные потоки капитала, которые мосты с одним верификатором просто не смогут застраховать.

Историческая аналогия​

Jefferies охарактеризовал апрель 2026 года как менее суровое, но аналогично влияющее на темпы развития событие по сравнению с крахом Terra/UST и банкротством FTX в 2022 году. Terra отбросила сроки интеграции DeFi и TradFi примерно на 24 месяца. FTX отодвинула сроки внедрения институционального кастоди примерно на 18 месяцев. Последовательность событий вокруг KelpDAO — эксплойт моста, заражение кредиторов, крах системы аудита — выглядит как событие, замедляющее темпы развития именно тезиса о композируемом DeFi как институциональной инфраструктуре на 12–18 месяцев, но не токенизации в целом.

Это важное различие. Оно означает, что оптимистичный сценарий для RWA в 2027 году остается в силе. Это означает, что BUIDL продолжает расти. Это означает, что объемы платежей в стейблкоинах продолжают увеличиваться. Но это также означает, что версия 2026 года, в которой протоколы DeFi становятся децентрализованной основой институциональных финансов на триллионы долларов, теперь наступит не ранее 2027 или 2028 года.

Настоящий урок​

Самый неудобный вывод заключается в том, что DeFi потерял 14 миллиардов долларов не потому, что он был небезопасен. Он потерял 14 миллиардов долларов из-за непрозрачности того, что на самом деле означает безопасность. Аудиты смарт-контрактов реальны и ценны. Однако они составляют лишь малую часть реальной поверхности атаки. До тех пор, пока протоколы часто обновляются, зависят от облачной инфраструктуры, владеют привилегированными ключами подписи и поставляют конфигурации по умолчанию, которые ставят удобство разработчиков выше разнообразия верификаторов, аудит будет подтверждать одно, в то время как реальный риск будет находиться в другом месте.

Для разработчиков это возможность. Протоколы, которые переживут институциональную паузу 2026 года, будут теми, кто решит более сложную задачу — сможет предоставлять непрерывные, проверяемые доказательства операционной целостности, а не просто разовый аудит и надежду на лучшее. Для институциональных инвесторов путь более узкий, но ясный: исходить из того, что компонуемость DeFi задержится на 12–18 месяцев, и пока сосредоточиться на создании разрешенной токенизации. Для всех остальных: в следующий раз, когда вы увидите пометку «проверено аудитом» как единственный сигнал доверия, который предлагает протокол, спросите, на что аудиторы не обратили внимания.

Именно этот вопрос, в большей степени, чем любой отдельный взлом, сформирует институциональный крипто-стек 2027 года.

BlockEden.xyz предоставляет RPC-инфраструктуру и индексаторы корпоративного уровня для разработчиков и институциональных компаний, развертывающих решения на Sui, Aptos, Ethereum, Solana и более чем в 25 других сетях. Поскольку взломы 2026 года подчеркивают важность разнообразия верификаторов и операционной целостности, изучите наш маркетплейс API, чтобы строить на инфраструктуре, разработанной с учетом институциональных рисков.

Источники​

Share on Twitter