DeFi за 48 часов переоценил кредитный риск после эксплойта Kelp DAO
Еще в пятницу, 17 апреля, доходность по размещению стейблкоинов в Aave — протоколе, который часто называют эталоном DeFi, — составляла 2,32% годовых. Ставка ФРС по овернайту была на уровне 3,64%. Получалось, что рынок фактически оценивал нерегулируемый opensource смарт‑контракт как менее рискованный, чем казначейские обязательства США. Через 48 часов эта логика перестала работать: рынок в реальном времени сделал то, чего не смогли добиться ни регуляторы, ни аудиторы, ни комментаторы — пересчитал кредитный риск DeFi.
Если сравнить "долларовые" варианты по доходности до прошлых выходных, иерархия выглядела странно: Treasury overnight — 3,64%; старший транш инвестиционного уровня в Bitcoin‑обеспеченном ABS от Ledn (оценка BBB, февраль) — 6,84%; бессрочные привилегированные STRC от Strategy — 11,50%; кредиты по американским кредитным картам — около 21% при дефолтности порядка 4%. И Aave — ниже всех: 2,32%. Такая цена риска не могла удержаться.
Ранее в этом году Лука Проспери утверждал, что ставки по DeFi‑стейблкоинам должны включать премию 250–400 б.п. к безрисковой ставке, то есть 6,15–7,76%. В отчете Банка Канады от 2 апреля звучала противоположная позиция: нулевая доля проблемных кредитов (0,00%) в Aave приводилась как доказательство того, что архитектура DeFi якобы обеспечивает кредитование без дефолтов благодаря жестким требованиям к залогу и рыночному механизму принудительной ликвидации.
На практике вопрос сводился к одному: либо DeFi действительно решил проблему кредитного риска, либо рынок просто перестал его учитывать. На прошлых выходных стало ясно, какой вариант верен.
18 апреля атакующий воспользовался уязвимостью кроссчейн‑моста Kelp DAO на базе LayerZero и выпустил около 116 500 необеспеченных токенов rsETH — примерно 18% обращения, на сумму порядка $292 млн. Эти синтетические токены были внесены в Aave как залог. Под залог, который в критический момент оказался фикцией, злоумышленник занял, по оценкам, $190–230 млн в реальных активах. В отчете об инциденте Aave признал, что протокол отработал "как задумано"; дефицит носит структурный характер, а не технический. Kelp и LayerZero затем публично возложили ответственность друг на друга из‑за конфигурации валидатора 1/1, сделавшей эксплойт тривиальным.
Эффект заражения проявился мгновенно. Совместимость протоколов — базовый принцип DeFi, а "лупинг" (заимствование на одной площадке и повторное внесение полученных средств как залога на другой) означает, что проблема в Aave автоматически бьет по всему, что построено поверх Aave. Около 20% исторического объема заимствований в Aave приходилось на рекурсивное плечо.
За 48 часов из Aave ушло, по оценкам, $6–10 млрд чистых оттоков. Утилизация пулов WETH, USDT и USDC достигала 100%. Депоненты не могли вывести средства. Заемщики не могли найти ликвидность в стейблкоинах. Пользователи, оказавшиеся "запертыми", заняли еще около $300 млн под собственные заблокированные депозиты стейблкоинов при LTV 75% — зачастую с убытком — лишь бы получить наличную ликвидность.
Ставки отреагировали резко. Доходности по депозитам стейблкоинов в Aave, находившиеся до эксплойта в диапазоне 3–6%, за два дня поднялись до 13,4%. USDC‑хранилище Morpho, которое используется в потребительском кредитном продукте Coinbase, выросло с 4,4% APR 18 апреля до 10,81% уже на следующий день, когда дефицит ликвидности начал расходиться по экосистеме. Совокупный TVL DeFi по топ‑20 сетям снизился более чем на $13 млрд.
Есть важный момент, который, скорее всего, не попадет в заголовки, но который должны понимать аллокаторы. Внутри DeFi‑протокола нет законодательства о банкротстве. Кто успел вывести первым — сохраняет все. Кто оказался среди последних — нет, и может принять на себя непропорционально большую долю потерь. Регулируемые кредиторы обязаны остановить операции, как только понимают, что не могут покрыть обязательства; суды по банкротству способны изымать средства у тех, кто получил несправедливую выгоду. Ликвидации Celsius, BlockFi и FTX были тяжелыми, но кредиторы возвращали активы, а ответственные лица попадали в суд. В DeFi нет процедуры, нет суда, нет механизма восстановления и нет того, кого можно привлечь к ответственности.
Это напрямую влияет на расчет риска. Если можно оценить общий размер потерь, но нельзя предсказать их распределение, невозможно оценить собственную экспозицию. Она может быть нулевой. Может оказаться тотальной. Все зависит от того, насколько быстро действовали вы и насколько быстро действовали другие.
DeFi никуда не исчезнет: у архитектуры есть практическая ценность, а рынки без разрешений существовали всегда — во всех классах активов и в любую эпоху. Но они никогда не были безрисковыми и всегда торговались с премией к регулируемым аналогам. 48 часов после инцидента 17 апреля напомнили рынку, что это правило действует и ончейн.
Институциональным инвесторам, которые настраивают размер экспозиции к DeFi на ближайший год, стоит воспринимать этот сигнал всерьез. Доходность 2,32% в Aave перед прошлыми выходными не отражала реальный риск — рынок уже скорректировал цену. Где именно теперь стабилизируются ставки в DeFi, решит рынок. Но период явной недооценки риска завершен. Прошлые выходные это подтвердили.
