«Аудированная» доходная ферма, которой не было

Ноябрь 2024. Житель Челябинска находит «OmegaYield» — DeFi-протокол на новом L2. На сайте значки аудита CertiK и PeckShield, счётчик TVL показывает 48 млн USD, доходность на USDC — 38 % годовых. Он вносит 22 000 USD. Через три недели админ публикует в Twitter цепочку постов, где всё сваливает на «эксплойт смарт-контракта», и останавливает выводы. TVL за ночь падает до нуля. Значки аудита оказались просто картинками — никаких аудитов не было.

Как устроен «тихий» rug pull

Протокол запускается и заманивает вкладчиков высокой доходностью (её платят из казны, а не из реального заработка), а видимость солидности создаёт поддельными значками аудита и накрученным TVL (организаторы заводят собственные средства, чтобы раздуть цифру). Через 4–8 недель притока настоящих депозитов организаторы выводят казну, ссылаются на «взлом» и исчезают. На новом L2 часто ещё нет нормальных обозревателей и аналитики, поэтому отследить деньги сложнее.

Пять проверок перед любым DeFi-депозитом

  • Протокол есть в списке на сайте самого аудитора. Откройте сайт аудиторской компании напрямую, не по ссылке со значка, и найдите там имя протокола. Если его там нет — значок на сайте протокола это скриншот.
  • Протокол работает минимум шесть месяцев. У новых протоколов риск тихого побега организаторов самый высокий. Шесть месяцев публичной работы со стабильным (не параболическим) ростом TVL — минимальный фильтр.
  • Команда публична или у её псевдонимов долгая проверяемая история. Анонимным командам без прошлого терять нечего. Команды, выступающие под настоящими именами (с профилями в LinkedIn), рискуют карьерой.
  • Доход платят в том же активе, который вы внесли, а не в собственном токене. «38 % годовых в USDC» должно означать 38 % в USDC. Если половину выплачивают токеном OMEGA по 0,40 USD, реальная доходность — это то, что выдержит рынок после разблокировки токенов, и обычно это лишь малая часть обещанной цифры.
  • TVL есть на DefiLlama. Найдите протокол на defillama.com сами. Наличие там — не рекомендация, и TVL по-прежнему может состоять из денег самого оператора, но подделать его намного сложнее, чем счётчик на сайте протокола. Если TVL виден только на этом счётчике — число ничем не подтверждено.

Правило бюджета риска

В новый DeFi-протокол кладите только ту часть сбережений, потерю которой переживёте без серьёзных последствий, даже если он прошёл все пять фильтров. Увеличивать долю имеет смысл не раньше, чем протокол полгода проработает без происшествий, — и то понемногу.