DeFi-turvallisuusvirheiden kustannukset ylittävät varastettujen varojen määrän

DeFi-hyökkäykset aiheuttavat pysyvää likviditeettivahinkoa, tutkimus osoittaa

Kryptovaluuttaprotokolla voi korjata rikkinäisen koodin nopeammin kuin se voi palauttaa luottamuksen. Hyökkäyksen jälkeen välitön kysymys on, kuinka paljon rahaa katosi. Merkityksellisempi kysymys saattaa olla, kuinka paljon pääomaa edelleen haluaa pysyä.

Uusi tutkimus, joka julkaistiin Finance Research Letters -lehdessä, “Kun koodi epäonnistuu: operatiiviset luottamushäiriöt ja likviditeetin vauriot hajautetussa rahoituksessa”, tutkii toista ongelmaa.¹ Tutkijat Michael Zouari, Ilan Alon ja Zeev Shtudiner havaitsivat, että hyökättyillä protokollilla on huomattavaa likviditeetin heikkenemistä verrattuna vastaaviin protokolliin, ja vahingot säilyvät usein kuukausia.

Tulokset tarjoavat käytännön oppitunnin hajautetulle rahoitukselle, eli DeFi:lle: turvallisuus on osa rahoitustuotteen taloudellista perustaa. Luotettava koodi houkuttelee pääomaa, mutta jatkuva osallistuminen riippuu myös hallintoon, operatiivisiin valvontamekanismeihin ja kyvystä reagoida, kun jokin epäonnistuu.

Mitä DeFi-hyökkäystutkimus mittasi

DeFi käyttää lohkoketjusovelluksia tarjotakseen palveluita, kuten lainaa ja kaupankäyntiä. Sen sijaan, että täysin perustuisi perinteiseen välikäteen, käyttäjät ovat vuorovaikutuksessa älykkäiden sopimusten kanssa, ohjelmien kanssa, jotka suorittavat tapahtumia ennalta määriteltyjen sääntöjen mukaisesti.

Tutkijat koottivat 197 hyökkäys- ja silta-iskutapausta 51 ketjun välillä marraskuun 2020 ja toukokuun 2026 välillä. Näihin sisältyivät koodin haavoittuvuudet, operatiiviset turvallisuusvirheet kuten kompromisoituneet ylläpitäjän avaimet, sekä hyökkäykset infrastruktuuriin, joka yhdistää eri lohkoketjuja.

Näistä tapauksista 133 täytti paritettuun analyysiin vaatimukset. Jokainen vaikutettu protokolla vertailtiin ei-hyökkäyksiin joutuneisiin protokolliin, jotka valittiin samankaltaisuuden perusteella, mukaan lukien liiketoimintakategoria ja tapahtumaa edeltävä koko. Vertailu samoina ajankohtina auttoi huomioimaan laajemmat kryptovaluuttamarkkinoiden olosuhteet.

Tutkimuksen hyödyllisin ominaisuus on sen tapa käsitellä kokonaislukittua arvoa (TVL). Tämä mittari mittaa protokollassa pidettävien varojen dollarimääräistä arvoa, mutta se voi muuttua pelkästään kryptovaluuttojen hintojen nousun tai laskun vuoksi.

Tutkijat sen sijaan mittasivat tokenien määrän muutoksia, jotka arvostettiin ajankohtaisilla hinnoilla. Tämä sulkee pois pelkät hintamuutokset, kun saldot pysyvät muuttumattomina. Kuitenkin syntyvä likviditeettimittari sisältää varastetut varat yhdessä nostojen ja muiden saldomuutosten kanssa. Sitä ei tule tulkita suoraan käyttäjien lähtömääränä.

Kuinka paljon likviditeettivahinkoa seurasi hyökkäys?

Laajennetussa paritetussa otoksessa vaikutetut protokollat kokivat poikkeuksellisia hintaneutraaleja likviditeettitappioita, jotka vastaavat 27.6 prosenttiyksikköä tapahtumaa edeltävästä TVL:stä seitsemän päivän kuluttua. Tämä ero kasvoi 33.6 prosenttiyksikköön kolmenkymmenen päivän kuluttua ja 42.7 prosenttiyksikköön yhdeksänkymmenen päivän kuluttua.

Nämä luvut kuvaavat eroja verrattuna paritettuihin kontrolliryhmiin, eivätkä hyökkäyksen kohteeksi joutuneiden protokollien keskimääräisiä menetyksiä. Ero on merkityksellinen, koska ei-hyökkäyksiin joutuneet protokollat voivat myös saada tai menettää likviditeettiä saman ajanjakson aikana.

180 päivän prosenttiosuudet perustuvat 136 vaikutettuun tapaukseen, jotka täyttivät tutkimuksen virtauskattevaatimuksen. Toiset 41.2 % sijoittuivat palautumisen ja vakavan heikentymisen raja-arvojen väliin. Nämä luokitukset mittaavat likviditeettituloksia, eivät sitä, oliko protokolla teknisesti toiminnassa.

Vakiintuneet protokollatkin kärsivät, vaikka niiden paritetut menetykset olivat pienempiä. Minimimäärän nostaminen tapahtumaa edeltävään TVL:ään 100 miljoonaan dollariin tuotti edelleen seitsemän päivän poikkeuksellisen menetyksen, joka oli 14.6 prosenttiyksikköä. Suuruus ei tarjonnut täydellistä pakotietä hyökkäyksen jälkeisiltä vahingoilta.

Miksi turvallisuus toimii taloudellisena omaisuutena

Syvempi implikaatio on, että turvallisuus suojaa enemmän kuin vain sopimuksen sisällä olevat varat. Se suojaa myös protokollan kykyä houkutella tulevia talletuksia, ylläpitää hyödyllisiä markkinoita ja tukea jatkuvaa taloudellista toimintaa.

Kuvitellaan hypoteettinen lainaprotokolla, joka menettää pienen osan varoistaan. Vaikka haavoittuvuus korjattaisiin, lainanantajat saattavat kyseenalaistaa, onko muita heikkouksia jäljellä. Jos he vetäytyvät, protokolla kohtaa toisen taloudellisen ongelman alkuperäisen varkauden lisäksi.

Tutkimus tarjoaa todisteita, jotka ovat yhdenmukaisia tämän mekanismin kanssa. Alhaisimman vakavuuden neljänneksessä seitsemän päivän mediaaninetto-virta oli 3,1 % tapahtumaa edeltävästä TVL:stä, kun mediaanivarkaus oli 0,6 %. Seuraavassa neljänneksessä luvut olivat 9,5 % ja 7,8 %.

Nuo vertailut viittaavat siihen, että on tarkasteltava uudelleen pelkästään mekaanisten menojen lisäksi. Ne eivät todista yksittäisiä motiiveja, ja tekijät sanovat, että käyttäytymiskomponentin eristämiseksi tarvittaisiin tapahtumatason jäljitys. Korkeamman hyökkäysvakavuuden yhteydessä itse varkaus on vaikeampi erottaa myöhemmästä likviditeetin heikkenemisestä.

Liiketoiminnallinen merkitys on kuitenkin selvä: pelkästään mahdolliseen varkauteen perustuva turvallisuusinvestoinnin arviointi aliarvioi sen mahdollisen arvon. Tapahtuman estäminen voi myös säilyttää tulevan osallistumisen, joka tekee rahoitusverkostosta hyödyllisen.

Miksi lohkoketju voi olla turvallinen, kun sovellus epäonnistuu

Sijoittajien tulisi erottaa lohkoketjun turvallisuus sen päällä toimivien sovellusten turvallisuudesta. Verkko voi jatkaa tapahtumien oikeaa vahvistamista, vaikka sovellus käsittelee virheellisen koodin sallimia tapahtumia.

Sama ero koskee ylläpitäjän tunnistetietoja, ulkoisia hintasyötteitä, käyttöliittymiä ja siltoja. Yhden komponentin epäonnistuminen ei välttämättä tarkoita, että taustalla oleva lohkoketju olisi lakannut toimimasta.

Kuten Securities.io:n tokenisoitujen omaisuuserien yhteentoimivuus -keskustelu selittää, omaisuuserien siirtäminen järjestelmien välillä sisältää myös standardeja, operatiivista hallintaa ja siirrettävien omaisuuserien merkitystä. Pelkkä yhteyskyky ei ratkaise näitä velvoitteita.

Samoin tokenisoinnin elinkaari ulottuu tokenin luomisen ulkopuolelle. Rahoitusinfrastruktuurin on ylläpidettävä luotettavia rekistereitä ja prosesseja koko omaisuuserän elinkaaren ajan. DeFin palautumishaaste havainnollistaa, miksi operatiivinen kyvykkyys ansaitsee huomiota teknisen innovaation ohella.

Miltä merkityksellinen DeFin palautuminen tulisi näyttää

Nouseva TVL-kaavio voi luoda harhaanjohtavan kuvan palautumisesta, jos nousu johtuu pääosin token-hintojen noususta. Vastaavasti hintojen lasku voi hämärtää talletusten palautumista. Tutkimus osoittaa, miksi arvostusefektien erottaminen tasapainomuutoksista parantaa tapahtuman jälkeistä analyysiä.

Palautuminen edellyttää myös korvauksen ja uudelleenrakennetun luottamuksen erottamista. Pelastusrahoitus voi palauttaa tasapainot ilman, että tavalliset käyttäjät ovat valmiita palaamaan. Markkinointikannustimet voivat houkutella talletuksia tilapäisesti ilman kestävää osallistumista.

Käytännön arvioinnin tulisi siis tarkastella useita erillisiä kysymyksiä:

• Onko epäonnistumisen syy selitetty ja itsenäisesti tarkastettu?
• Palautuvatko token-saldot hintamuutosten ja pelastusrahoituksen ulkopuolelta?
• Voivatko käyttäjät ymmärtää nostoehdot ja korvausjärjestelyt?
• Onko hallintoa ja operatiivisia valvontatoimia muutettu tarpeen mukaan?

Tämä kehys on analytiikkalähtöinen johtopäätös löydöksistä, eikä se ole tutkijoiden testaama palautumiskaava. Niiden pitkän aikavälin tulokset sisältävät myös korvauksia, migraatioita, hallintopäätöksiä ja muita reaktioita.

Coinbase yhdistää julkiset sijoittajat DeFin infrastruktuuriin

Kun DeFi saavuttaa käyttäjät tutunlaisten rahoitussovellusten kautta, näiden kysymysten kaupallinen merkitys kasvaa. Coinbase tarjoaa julkisen markkinan altistumisen tälle integraatiolle kaupankäynti-, säilytys- ja kehittäjäliiketoimintojensa kautta sekä tuotteiden avulla, jotka yhdistävät asiakkaat on-chain -palveluihin.

Syyskuussa 2026 Coinbase ilmoitti Morphoon perustuva USDC-lainananto Brasiliassa ja Kanadassa -laajennuksesta. Asiakasvarat siirtyvät itsehallinnoiduista lompakoista Morphon lainasäiliöihin Base-alustalla, ja säiliöiden kuratoinnin tarjoaa Steakhouse Financial.

Integraatio osoittaa, miten tuttu käyttöliittymä voi helpottaa DeFin käyttöä samalla, kun käyttäjät altistuvat protokollan perusriskeille. Coinbasen USDC-lainanannon riskitiedot kuvaavat riskejä, kuten älysopimusten epäonnistumisia, huonoa velkaa ja nostorajoituksia.

Osakkeenomistajille mahdollisuus on laajempi infrastruktuurin omaksuminen, joka tukee digitaalista rahoitustoimintaa. Vastaava haaste on, onko tuotevalikoiman laajentuminen yhdistetty tehokkaaseen riskiviestintään ja luotettavaan toimintaan. Yksinkertaisempi käyttöliittymä voi vähentää kitkaa, mutta se ei poista kompromisoituneen protokollan taloudellisia seurauksia.

Coinbase:n laajempi infrastruktuurilaajennus sisältää myös äskettäin raportoimansa yhteistyön Citi:n kanssa fiat- ja stablecoin-maksuissa. Nämä kehitykset antavat kontekstia sen liiketoimintasuunnalle. Tutkimus itsessään ei arvioi Coinbasea eikä osoita, että se hyötyy kilpailijoiden turvallisuusvirheistä.

Viimeisimmät Coinbase (COIN) -uutiset ja kehitykset

Kestävämpi perusta DeFin kasvulle

Tutkimuksen tulokset tukevat maltillista optimismia, koska vahinko keskittyi pääosin vaikuttaviin protokolliin. Lyhyen aikavälin keskimääräiset vaikutukset vertailukavereihin olivat taloudellisesti vähäisiä tutkijoiden määrittelemän testausalueen sisällä. Tämä havainto ei sulje pois tartuntaa tietyistä yhteisistä riippuvuuksista, mutta se haastaa oletuksen, että jokainen haavoittuvuus heikentää yhtä paljon koko alaa.

DeFin seuraava kehitysvaihe voi siis keskittyä tekemään turvallisuudesta, läpinäkyvästä mittaamisesta ja uskottavasta korjaamisesta keskeisiä tekijöitä tuotelaadussa. Parempi koodi on tärkeää. Samoin on tärkeää osoittaa, että pääoma voi pysyä tuottavana, helposti saatavana ja ansaita käyttäjien jatkuvan luottamuksen alkuperäisen innostuksen hiipymisen jälkeen.

Lähteet:

¹ Zouari, M., Alon, I., & Shtudiner, Z. (2026). Kun koodi epäonnistuu: Operatiivisen luottamuksen shokit ja likviditeetin arvet hajautetussa rahoituksessa. Finance Research Letters, 113, 110877. https://doi.org/10.1016/j.frl.2026.110877