Podpisana transakcja w DeFi jest wykonywana automatycznie przez smart contract: po włączeniu do bloku transferu nie można anulować ani cofnąć.
DeFi daje kontrolę, ale usuwa procedury anulowania i zwrotu
DeFi (decentralized finance) to usługi on-chain oparte na smart contractach, w których swap, depozyt i pożyczka są wykonywane transakcją z walleta, bez operatora i bez procedury anulowania. Błąd adresu, nadmierny approve lub nieprawidłowy parametr transakcji zostają zapisane w blockchainie po podpisie i nie są korygowane przez support.
Smart contract to program w blockchainie, który automatycznie wykonuje wcześniej ustalone reguły: przyjmuje transakcję, sprawdza warunki i przenosi tokeny ściśle według kodu, dlatego po podpisaniu i włączeniu do bloku działanie uznaje się za ostateczne, a „anulowanie” wewnątrz sieci nie istnieje.
Cel materiału: podzielić ryzyka DeFi na grupy i powiązać każdą grupę z operacjami: swap DEX, lending pod collateral, farming z nagrodami w tokenach, bridge cross-chain, derywatywy on-chain.
Scentralizowany serwis czasem stosuje ręczne zatrzymanie operacji, procedurę zwrotu, kontrolę podejrzanego wypłacenia środków i support, który może zatrzymać błędne działanie przed finalnym obciążeniem. W DeFi smart contract wykonuje podpisaną transakcję według kodu i nie sprawdza intencji użytkownika.
Jeśli kapitał nie dopuszcza częściowej straty, nieodwracalność transakcji on-chain dodaje ryzyko: jeden błąd podpisu może wyprowadzić cały saldo tokena albo przekazać prawo wydatkowania przez approve.
Strata techniczna w DeFi wynika z kodu i infrastruktury: bug smart contractu, awaria oracle, przejęcie klucza admina, atak na bridge.
Techniczne ryzyka DeFi: smart contracty, upgrade’y, oracle, bridge, frontend i RPC
Ryzyko techniczne w DeFi to ryzyko utraty środków przez błędy logiki smart contractów, upgrade’y kodu, oracle (źródła ceny), bridge i infrastrukturę dostępu (interfejs webowy oraz dostawcę RPC), a nie przez zmianę ceny rynkowej. Exploit smart contractów skaluje się (exploit to wykorzystanie błędu w kodzie), ponieważ atakujący powtarza to samo działanie i wyprowadza płynność serią transakcji, dopóki kontrakt przyjmuje operacje.
1) Podatności smart contractów
Bug smart contractu ujawnia się, gdy kontrakt zapisuje stan pozycji lub saldo w nieprawidłowej kolejności względem transferu, dlatego kontrakt przenosi aktywa według błędnego stanu.
- Reentrancy to błąd, w którym kontrakt może zostać wywołany ponownie przed aktualizacją salda, dlatego wypłata następuje kilka razy z rzędu.
- Błędy arytmetyczne i zaokrąglenia w obliczeniach powtarzają się przy serii wywołań i kumulują rozbieżność.
- Brak kontroli uprawnień pozwala wywołać funkcje admina albo wyprowadzić środki przez funkcję dostępną dla wszystkich.
- Tokeny z niestandardowymi regułami transferu lub obciążenia mogą działać inaczej, przez co protokół błędnie liczy saldo lub limity.
W takim porządku operacji środki mogą zostać pobrane kilka razy z rzędu przed aktualizacją salda.
2) Upgrade’y, klucze admina i centralizacja zarządzania
Protokół upgradeable pozwala zmieniać logikę lub parametry po depozycie, dlatego ryzyko zależy od kluczy admina i procedury aktualizacji, a nie tylko od kodu początkowego.
- Pojedynczy klucz admina bez multisig (wielopodpisu) zwiększa ryzyko kompromitacji zarządzania (wycieku lub kradzieży tego klucza), po czym reguły protokołu można zmieniać jednostronnie.
- Brak timelock (opóźnienia wykonania) sprawia, że zmiana parametrów jest natychmiastowa dla posiadacza pozycji.
- Zmiana współczynników collateral, opłat lub źródła ceny oracle zmienia progi likwidacji bez działania użytkownika.
- Błędy częściej trafiają do release’ów i upgrade’ów, ponieważ zmienia się kod już działającego protokołu z aktywną płynnością.
Depozyt pozostaje w kontrakcie upgradeable, gdzie właściciel klucza admina może zmienić logikę działania protokołu; audit (kontrola kodu) starej wersji nie chroni przed błędami w aktualizacji.
3) Komponowalność i łańcuchy zależności
Strategia DeFi często wywołuje kilka kontraktów i usług (kolejno wykonuje działania w różnych smart contractach w ramach jednej operacji), dlatego revert (anulowanie transakcji z powodu błędu) albo pause jednego zewnętrznego komponentu blokują wypłatę i zarządzanie pozycją w momencie stresu.
- Błąd może znajdować się w zewnętrznym kontrakcie wywoływanym wewnątrz transakcji protokołu.
- Biblioteki i integracje zwiększają liczbę adresów, od których zależy jeden depozyt lub jedna wypłata.
- Wspólny komponent (biblioteka, router, oracle) dotyka kilka protokołów jednocześnie.
- Wieloetapowa strategia zwiększa prawdopodobieństwo awarii, ponieważ jeden błąd cofa całą transakcję.
Jeśli jedna transakcja wywołuje kilka zewnętrznych kontraktów, revert dowolnego zewnętrznego kontraktu anuluje całą transakcję i blokuje wypłatę do czasu przywrócenia zewnętrznego kontraktu.
4) Oracle i zniekształcenia ceny
Oracle przekazuje cenę do smart contractu, dlatego zniekształcona cena zmienia obliczenia margin, progi likwidacji i końcowe wypłaty z pozycji.
- Manipulacja ceną jest prostsza w płytkich poolach, ponieważ niewielka transakcja silniej przesuwa cenę spot.
- Brak TWAP (time-weighted average price) prowadzi do tego, że krótki skok ceny spot jest używany do obliczeń w oknie aktualizacji.
- Słabe filtrowanie anomalii transakcyjnych w źródle ceny przenosi „szum” do obliczeń collateral i długu.
- W lendingu (gdy bierze się pożyczkę pod collateral) i derywatywach kontrakt automatycznie sprzedaje collateral, jeśli cena z oracle jest uznana za zbyt niską, dlatego błąd ceny może doprowadzić do sprzedaży collateral nawet bez realnego spadku rynku.
Jeśli oracle przekazał zawyżoną lub zaniżoną cenę, kontrakt lendingowy albo derywatywny przelicza margin i może zlikwidować collateral według błędnego progu.
5) Bridge cross-chain
Bridge blokuje aktywo w jednej sieci i emituje wrapped asset w innej sieci, dlatego ryzyko koncentruje się w walidatorach (uczestnikach potwierdzających transfery między sieciami), kluczach governance i pomocniczych kontraktach bridge’a.
- Złożony schemat walidatorów i wielopodpisów zwiększa liczbę komponentów, których kompromitacja psuje emisję albo wypłatę.
- Koncentracja płynności czyni bridge priorytetowym celem ataków, ponieważ jeden incydent dotyka dużego wolumenu środków.
- Nowy bridge ma mniej realnych testów w niestandardowych sytuacjach, dlatego nieoczekiwane awarie mogą pojawić się później.
- Awaria bridge’a blokuje wypłatę i przerywa cross-chainowy łańcuch operacji między sieciami.
Przy awarii walidatorów albo wycieku kluczy governance wrapped token zostaje bez zabezpieczenia i nie może zostać zwrócony do sieci źródłowej.
6) Frontendy i infrastruktura RPC
Użytkownik podpisuje transakcje przez interfejs webowy, a wysyłka i odczyt stanu idą przez dostawcę RPC (usługę, przez którą wallet i strona dApp łączą się z blockchainem), dlatego podmiana interfejsu lub awaria RPC zmieniają parametry podpisu i zarządzanie pozycją.
- Podmiana interfejsu podstawia inny adres kontraktu albo inne parametry wywołania przed podpisem.
- Awaria RPC pokazuje błędny status transakcji lub saldo, dlatego użytkownik powtarza działanie i płaci gas dwukrotnie.
- Ograniczenie dostępu do strony dApp odbiera zwykły kanał zarządzania, choć kontrakty pozostają w sieci.
- Porównanie adresu kontraktu i parametrów wywołania w wallecie przed podpisem ogranicza ryzyko podmiany.
Jeśli interfejs podmienił adres kontraktu, wallet podpisze wywołanie innego kontraktu; smart contract wykona wywołanie i pobierze tokeny według podpisanych danych.
Strata w DeFi często utrwala się właśnie przy wyjściu z pozycji: opłaty gas, slippage, price impact i spadek ceny tokena nagrody zmniejszają końcową ilość aktywa bazowego po zamknięciu.
Dlaczego transakcje w DeFi stają się stratne przy wyjściu
Wiele strat w DeFi utrwala się nie przy wejściu, ale przy wyjściu: opłaty sieciowe (gas), price impact (pogorszenie ceny przez niewystarczającą głębokość poola), spadek ceny tokena nagrody i pogorszenie płynności nie mogą zostać anulowane po podpisie.
Operacje DeFi są wykonywane przez smart contracty bez operatora, dlatego błąd podpisu lub parametrów nie jest korygowany przez support. W usługach scentralizowanych część ryzyk operacyjnych ograniczają limity, opóźnienia, ręczne kontrole i procedury zwrotu; w DeFi wynik zależy od kodu protokołu, płynności rynku i parametrów podpisanych przez użytkownika.
Strata powstaje bez hacku, gdy transakcja wejścia została potwierdzona i pozycja jest otwarta, ale zamknięcie pozycji wymaga drogiego gas i daje gorszą cenę przez spadek płynności.
- Wejście do poola z wysokim APY (annual percentage yield, roczna rentowność procentowa) bez obliczenia opłat sieci i slippage przy wyjściu.
- Spadek APY po zakończeniu zachęt i spadek ceny tokena nagrody, który był naliczany zamiast dochodu z opłat.
- Wzrost kosztu gas w momencie wyjścia i zachowane aktywne approvals po zakończeniu strategii.
Scenariusz: depozyt w farmie przynosi token nagrody; następnie cena tokena nagrody spada, a płynność poola maleje. Swap tokena nagrody na aktywo bazowe daje duży price impact, a dwa wyjścia wymagają dwóch opłat gas.
Strata przy wyjściu składa się z konkretnych pozycji: opłata gas za wypłatę, slippage swapu w płytkim poolu i spadek ceny tokena nagrody między naliczeniem a sprzedażą.
Self-custody oznacza, że klucze znajdują się u użytkownika, dlatego wynik określają podpisane transakcje i podpisane wiadomości, których nie można anulować po włączeniu do bloku.
Utrata środków następuje, gdy aktywny approve pozostaje na adresie, a złośliwy kontrakt lub podmieniony interfejs używa prawa wydatkowania tokena bez nowej transakcji approve — więcej zob. approval phishing w DeFi.
Audit sprawdza aktualną wersję kodu; upgrade, zmiana oracle i zależność od bridge’a mogą zmienić progi likwidacji i reguły wypłaty po depozycie.
Dlaczego protokół po audicie nadal może wygenerować stratę
Audit zmniejsza prawdopodobieństwo oczywistych błędów w kodzie, ale nie wyklucza ryzyka governance (upgrade’y i klucze), ryzyka zewnętrznych zależności ani ryzyka wyjścia przy spadku głębokości poola po odpływie płynności.
Emisja to wydawanie nowych tokenów według wcześniej ustalonych reguł (harmonogram, wolumen, odbiorcy); emisja jest używana do zachęt płynnościowych i nagród, ale wzrost podaży naciska na cenę tokena przy niezmienionym popycie.
- Upgrade’y i governance zmieniają parametry pozycji po wejściu
- Zmiana współczynnika collateral i opłat zmienia odporność pozycji bez działania użytkownika.
- Timelock i multisig zmniejszają ryzyko natychmiastowej zmiany parametrów, ale nie wykluczają błędu aktualizacji ani kompromitacji kluczy.
- Zastąpienie źródła ceny oracle i zmiana limitów collateral zmieniają progi likwidacji oraz rozmiar bufora.
- Integracje dodają zewnętrzny kontrakt do łańcucha ryzyka
- Protokół może opierać się na bridge’u, bibliotece albo zewnętrznym źródle płynności z innym poziomem weryfikacji i innym modelem awarii.
- Awaria zewnętrznego komponentu blokuje strategię, nawet jeśli główny protokół wykonuje funkcje poprawnie.
- Każdy zewnętrzny kontrakt w łańcuchu operacji zwiększa szansę, że transakcja wypłaty zostanie cofnięta przez revert tego zewnętrznego kontraktu.
- Odpływ płynności pogarsza cenę wyjścia i wzmacnia likwidacje
- Przy spadku głębokości poola duża wypłata silniej przesuwa cenę, dlatego wyjście odbywa się z dyskontem (po cenie niższej od oczekiwanej).
- Likwidacje w lendingu nasilają się, gdy cena oracle spada, a płynność sprzedaży collateral staje się cieńsza.
- Rentowność oparta na emisji spada razem z ceną tokena nagrody i odpływem płynności.
Mapa zagrożeń, typowe ataki i sygnały kontrolne incydentów: «Bezpieczeństwo DeFi: mapa zagrożeń, case’y, ochrona i checklist».
Strata ekonomiczna powstaje bez buga w kodzie: emisja tokena nagrody obniża cenę nagrody, impermanent loss (strata przez zmianę cen aktywów w poolu względem prostego trzymania) zmienia skład LP, a kaskada likwidacji sprzedaje collateral.
Ekonomiczne ryzyka DeFi: rentowność, płynność i scenariusze stresowe
Strata ekonomiczna powstaje przy poprawnym działaniu smart contractów, gdy spada rentowność, tanieje token nagrody i w tym samym okresie maleje płynność wyjścia.
Ryzyko ekonomiczne w DeFi to ryzyko utraty kapitału przy poprawnym działaniu kodu. Źródło straty znajduje się w modelu zachęt (emisja nagrody), głębokości płynności i mechanizmach likwidacji według ceny oracle.
- Rentowność na emisji tokena nagrody
- Wysokie APY często powstaje przez emisję nowych tokenów nagrody, a nie przez dochód z opłat protokołu.
- Emisja zwiększa podaż tokena nagrody; przy niezmienionym popycie cena tokena nagrody spada.
- Jeśli cena tokena nagrody spada szybciej niż naliczanie, wynik w aktywie bazowym staje się ujemny.
- Dochód z opłat jest stabilniejszy, ponieważ zależy od wolumenu operacji w protokole.
- Impermanent loss w poolu AMM
- W AMM (automated market maker) część aktywa, które wzrosło, jest sprzedawana, a aktywo spadające dokupywane, dlatego przy rozjechaniu się cen wynik może być gorszy niż gdyby aktywa były po prostu trzymane.
- Impermanent loss powstaje, gdy cena jednego aktywa w parze oddala się od drugiego, a pozycja kończy z większą ilością aktywa spadającego.
- Zmienność pary przyspiesza redystrybucję udziałów wewnątrz poola i zwiększa różnicę względem pasywnego trzymania.
- Pary z niską płynnością zwiększają przesunięcie ceny przy każdej transakcji i wzmacniają straty przy wyjściu.
- Wyjście z pozycji przy cienkiej płynności
- Po zakończeniu zachęt głębokość poola maleje i pogarsza cenę wykonania przy wyjściu.
- Cena w interfejsie nie równa się cenie wykonania, ponieważ wykonanie zależy od głębokości poola i rozmiaru transakcji w momencie włączenia do bloku.
- Duży wolumen w cienkim poolu daje zauważalny price impact i zmniejsza ilość otrzymanego aktywa bazowego.
- Przy przeciążeniu sieci opłaty gas rosną i zwiększają koszt zamknięcia pozycji.
- Likwidacje i kaskady w lendingu
- Pożyczka pod collateral jest automatycznie likwidowana po osiągnięciu progu ryzyka według ceny oracle.
- Gwałtowny ruch ceny przecina progi ryzyka wielu pozycji i uruchamia masowe likwidacje.
- Sprzedaż collateral naciska na cenę i tworzy kolejną falę likwidacji.
- Cienka płynność i niestabilna cena oracle przyspieszają kaskadę likwidacji.
- Stablecoiny i depeg
- Peg stablecoina jest utrzymywany przez rezerwy, collateral albo mechanizm algorytmiczny, który wykupuje nierównowagę.
- Depeg (utrata powiązania stablecoina z ceną docelową, na przykład $1) powstaje, gdy sprzedaż stablecoina przekracza możliwości mechanizmu stabilizacji i głębokość rynków wykupu.
- Wysokie APY na stablecoinie często powstaje przez subsydium (wypłaty z rezerw albo emisję tokenów w celu przyciągnięcia płynności), a nie przez realny dochód, dlatego pokrywa się z ryzykiem wyjścia z poola.
- Zachowanie kapitału zależy od modelu zabezpieczenia i głębokości rynków wyjścia.
APY na stablecoinie nie kompensuje depeg, jeśli stablecoin traci peg i jest sprzedawany z dyskontem w cienkim poolu.
- Opłaty sieci przy niewielkich wolumenach
- Przy przeciążeniu sieci koszt gas rośnie i zwiększa koszty wejścia oraz wyjścia.
- Przy niewielkim kapitale dwie opłaty gas (wejście i wyjście) mogą przykryć cały wynik strategii.
- Częste claimy, swapy i rebalance zwiększają łączne opłaty.
- Strategie o wysokiej częstotliwości operacji tracą efektywność przez nagromadzone opłaty.
Wstrząs regulacyjny przychodzi przez dostęp: blokada strony dApp albo wyłączenie dostawcy RPC może uniemożliwić zamknięcie pozycji, podczas gdy smart contract nadal wykonuje likwidacje.
Ryzyka regulacyjne: status operacji i ograniczenia dostępu do interfejsów
Ryzyko regulacyjne w DeFi powstaje poza kodem protokołu, gdy ograniczenia dotykają stron dApp, dostawców API albo infrastruktury dostępu w momencie, gdy pozycję trzeba zamknąć albo uzupełnić collateral.
Smart contracty nadal wykonują operacje w sieci, ale zarządzanie pozycją zwykle odbywa się przez stronę dApp i dostawcę RPC. Blokada tych kanałów ogranicza wysłanie transakcji i odczyt stanu pozycji przez zwykły interfejs.
1) Nieokreślony status prawny operacji on-chain
Ta sama operacja on-chain może być kwalifikowana jako wymiana, kredytowanie, emisja derywatywu albo usługa finansowa. Różna kwalifikacja w różnych jurysdykcjach zmienia wymagania dotyczące dostępu i raportowania, dlatego niepewność prawna staje się ryzykiem operacyjnym dla pozycji.
2) Ograniczenia interfejsów i infrastruktury dostępu
Dostęp do smart contractów zwykle odbywa się przez strony, API i dostawców RPC. Ograniczenie tych punktów dostępu zmienia sposób zarządzania pozycją, nawet jeśli kontrakt nadal działa.
Scenariusz: pozycja w lendingu jest otwarta wcześniej; następnie interfejs webowy zostaje zablokowany regionalnie albo dostawca RPC zwraca błędy. Smart contract nadal liczy cenę oracle i wykonuje likwidacje, ale zamknięcie pozycji przez zwykły interfejs staje się niedostępne.
3) Podatki, raportowanie i obciążenie operacyjne
Strategia DeFi tworzy strumień operacji: swapy, naliczenia, claimy, rebalance i likwidacje. Duża liczba transakcji utrudnia ewidencję opłat i cen wykonania oraz zwiększa ryzyko błędów w raportowaniu.
Stratę użytkownika tworzy podpis: błędna sieć, błędny adres, unlimited approve i szeroki slippage (dopuszczalne pogorszenie ceny wykonania) zmieniają jedną transakcję w nieodwracalne pobranie tokenów.
Ryzyka użytkownika: adres, sieć, approve, podpisy wiadomości i parametry swapu
Większość nieodwracalnych strat w DeFi jest związana z podpisem: błędna sieć, błędny adres, nadmierny approve albo szeroki slippage zapisują operację w blockchainie bez procedury anulowania.
Wallet w DeFi jest narzędziem podpisu kryptograficznego. Podpis transakcji uruchamia transfer, swap, depozyt lub wypłatę; podpis wiadomości może nadać prawo wydatkowania tokena albo zmienić uprawnienia bez osobnej transakcji approve.
1) Błędy sieci, adresu i kontraktu
Kontrole przed wysłaniem transakcji
- 🌐 Kontrola sieci: podpis w innej sieci wysyła tokeny do innego rejestru; adres odbiorcy w innej sieci może nie należeć do nadawcy.
- 🏷️ Kontrola adresu: błąd w adresie odbiorcy przenosi aktywa na cudzy adres; smart contract nie zawiera procedury zwrotu błędnego transferu.
- 🧾 Kontrola kontraktu: podmiana adresu kontraktu zmienia odbiorcę approve albo logikę swapu przed podpisem.
- 🧪 Operacja testowa: minimalna transakcja potwierdza sieć, adres kontraktu i trasę swapu przed wysłaniem dużego wolumenu.
2) Approve i uprawnienia do pobierania
Kontrola praw dostępu do tokenów
- 🎚️ Ograniczony limit: unlimited approve daje prawo pobrania całego salda tokena; kompromitacja kontraktu lub interfejsu zmienia prawo pobrania w faktyczne pobranie.
- 👤 Kontrola spender: adres odbiorcy uprawnienia (spender) powinien pokrywać się z kontraktem protokołu, inaczej uprawnienie trafia na inny adres.
- 🧰 Separacja walletów: osobny adres przechowywania zmniejsza ilość tokenów na adresie roboczym, z którego wydawane są approvals.
- 🧹 Revoke: cofnięcie starych approvals zamyka prawo pobrania po zakończeniu operacji.
3) Podpisy wiadomości i ukryte prawa
Filtr przed potwierdzeniem podpisu
- ✍️ Świadomy podpis: podpis wiadomości może utworzyć autoryzację pobrania później bez osobnego approve, jeśli protokół używa wiadomości jako uprawnienia.
- 🎁 Ostrożność przy „claimach”: strona phishingowa często podsuwa podpis wiadomości, która daje prawo pobierania tokenów.
- 📩 Ignorowanie prywatnych wiadomości: konto „supportu” w wiadomościach prywatnych często prowadzi do fałszywej domeny dApp do podpisu.
- 🔗 Stałe źródła: przejście do dApp z zapisanego adresu zmniejsza ryzyko podmiany domeny i adresu kontraktu.
4) MEV, ataki sandwich i wykonanie swapów
Kontrola parametrów transakcji
- 📏 Sztywny slippage: duży slippage rozszerza zakres ceny wykonania i ułatwia atak sandwich.
- 🧱 Dzielenie wolumenu: duży swap w cienkim poolu zwiększa price impact; rozbicie zmniejsza price impact każdego swapu.
- ⏳ Uwzględnianie mempoola: MEV (maximal extractable value — wydobywanie zysku przez zmianę kolejności transakcji w bloku) powstaje, gdy bot zmienia kolejność transakcji i zabiera różnicę ceny wykonania.
- 🧾 Minimum received: parametr ustala minimalny wynik swapu i ogranicza pogorszenie wykonania.
Atak sandwich wykorzystuje szeroki slippage: bot kupuje przed swapem, podbija cenę, następnie sprzedaje po swapie i zabiera różnicę w aktywie bazowym.
5) Złośliwe tokeny i pułapki interfejsu
Filtr przed zakupem aktywa
- 🧬 Porównanie kontraktu: taka sama nazwa tokena nie gwarantuje jednego kontraktu; swap może kupić token z innym adresem kontraktu.
- 📉 Ocena płynności: niska głębokość poola pogarsza cenę sprzedaży i zwiększa price impact przy wyjściu.
- 🧾 Kontrola warunków sprzedaży: podatek od sprzedaży albo zakaz sprzedaży zmieniają faktyczną cenę wyjścia i mogą zablokować sprzedaż.
- 🚪 Kontrola wyjścia: sprzedaż testowa potwierdza, że token można sprzedać i że kontrakt nie zawiera blokady ani podatku, który czyni wyjście stratnym.
Powtarzalne błędy prowadzą do strat bez hacku: unlimited approve, jeden adres do przechowywania i operacji, wejście według APY na emisji, swap w cienkim poolu.
Typowe błędy w DeFi, które powtarzają się najczęściej
Powtarzalne przyczyny strat w DeFi są związane z trzema działaniami: zaufaniem do interfejsu webowego bez kontroli adresu, wydaniem unlimited approve i wejściem w strategię bez obliczenia wyjścia po opłatach i price impact.
- Unlimited approve dla wygody
- Uprawnienie do nieograniczonego pobierania pozostaje aktywne po zakończeniu operacji.
- Kompromitacja kontraktu lub interfejsu wykorzystuje aktywny approve i pobiera tokeny bez nowego podpisu.
- Limit pod operację i późniejszy revoke zamykają prawo pobierania po zakończeniu strategii.
- Wejście przy wysokim APY bez sprawdzenia źródła dochodu
- APY może powstawać przez emisję tokena nagrody, a nie przez opłaty protokołu.
- Cena tokena nagrody może spadać szybciej, niż naliczana jest nagroda.
- Obliczenie wyniku w aktywie bazowym po gas i price impact pokazuje wynik strategii bez ekspozycyjnego APY.
- Jeden wallet do przechowywania i aktywnych operacji
- Phishing albo złośliwy podpis otwierają dostęp do pełnego salda adresu roboczego.
- Brak separacji walletów zwiększa kwotę dostępną do pobrania przez approvals.
- Oddzielny adres przechowywania zmniejsza kwotę na adresie, który podpisuje operacje i wydaje approvals.
- Swap w cienkim poolu przy szerokim slippage
- Szeroki slippage pozwala wykonać swap po cenie pogorszonej o ustawiony procent i ułatwia atak sandwich.
- Przeciążenie sieci i spadek płynności zwiększają opóźnienie włączenia transakcji i pogarszają cenę wykonania.
- Dzielenie wolumenu i ograniczenie slippage zmniejszają straty na price impact i MEV.
Strata behawioralna utrwala się serią podpisów: FOMO przyspiesza wejście, powtarzane swapy zwiększają łączny gas, a uśrednianie wzmacnia ekspozycję przy spadku płynności.
Ryzyka behawioralne: FOMO, seria transakcji i wzrost opłat
FOMO i wejście przy przegrzanej rentowności
FOMO zmusza do wejścia w strategię po wzroście ceny i skoku APY, gdy warunki wyjścia już się pogarszają.
- FOMO (fear of missing out) uruchamia wejście po wzroście ceny i ekspozycyjnej rentowności.
- APY utrzymuje się wysoko, dopóki trwa emisja tokena nagrody i napływ płynności.
- Po zmniejszeniu zachęt płynność odpływa, a price impact przy wyjściu rośnie.
- Wyjście utrwala stratę, jeśli gas i pogorszenie ceny zjadają nagrodę.
Wejście przez FOMO często następuje w momencie, gdy ryzyko wyjścia jest już wyższe niż potencjalna rentowność.
Iluzja kontroli przy podpisie
Podpis tworzy poczucie kontroli, ale smart contract wykonuje parametry literalnie, bez sprawdzania intencji użytkownika.
- Interfejs może podmienić adres kontraktu lub parametry operacji przed podpisem.
- Approve i slippage są potwierdzane bez porównania spender i minimum received.
- Smart contract wykonuje podpisane parametry bez możliwości anulowania.
- Błąd podpisu zmienia się w pobranie tokena albo wymianę po gorszej cenie.
Podpis utrwala decyzję ostatecznie: błędny parametr od razu staje się wynikiem finansowym.
Uśrednianie stratnej strategii
Uśrednianie zwiększa kapitał w strategii, w której warunki bazowe już się pogarszają.
- Uśrednianie zwiększa ekspozycję (część kapitału zależną od jednego scenariusza) w strategii z dochodem na emisji tokena nagrody.
- Spadek ceny tokena nagrody obniża końcową wartość naliczeń.
- Wzrost liczby operacji zwiększa łączny gas.
- Każda nowa transakcja utrwala stratę w warunkach cienkiej płynności.
Seria operacji wzmacnia stratę, jeśli bazowa ekonomia strategii już się nie spina.
DeFi nie pasuje przy zerowej tolerancji na błąd podpisu: błędna sieć albo approve bez limitu mogą wyprowadzić cały saldo tokena bez zwrotu.
Kryteria wyboru między DeFi a infrastrukturą z anulowaniem i supportem
Jeden błąd sieci, adresu kontraktu, approve albo slippage w DeFi zostaje utrwalony podpisem i nie jest anulowany przez protokół, dlatego koszt błędu często przekracza utracone APY.
Czynniki stop
- 🧨 Częściowa strata kapitału jest niedopuszczalna dla zadania.
- 🧾 Potrzebne są procedura anulowania i proces zwrotu środków.
- ⏱️ Nie ma czasu regularnie sprawdzać approvals, adresów kontraktów i parametrów podpisu.
- 🎯 Potrzebna jest dokładna cena wykonania, a price impact i MEV zmieniają wynik transakcji.
- 🔐 Brak separacji walletów, wysokie ryzyko phishingu i złośliwego podpisu.
- ⛽ Wolumen jest mały względem gas, opłaty zjadają wynik.
Warunki, przy których DeFi zwykle jest dopuszczalne
- 📏 Ustalono limit pozycji i maksymalną dopuszczalną stratę.
- 🧰 Adres przechowywania jest oddzielony od adresu roboczego z ograniczonym saldem.
- 🎚️ Approve jest wydawany pod limit i cofany po zakończeniu.
- 🚪 Istnieje warunek wyjścia przy spadku płynności i spadku rentowności.
Infrastruktura z supportem zmniejsza szkodę błędu operacyjnego przez limity, opóźnienia wypłat i procedurę zwrotu; DeFi przenosi błąd operacyjny do nieodwracalnej transakcji on-chain.
DeFi psuje scenariusze z obowiązkowym anulowaniem i odzyskaniem: utrata seed phrase, podmiana interfejsu albo błąd sieci nie są kompensowane procedurą supportu.
Scenariusze, w których DeFi zwiększa ryzyko operacyjne
DeFi zwiększa ryzyko operacyjne, gdy wymagane są anulowanie operacji, odzyskanie dostępu i przewidywalne wykonanie bez ręcznej kontroli każdego parametru podpisu.
Duży kapitał przy niskiej tolerancji ryzyka
Przy dużym kapitale brak anulowania i zwrotu sprawia, że jeden błąd podpisu jest krytyczny dla całego wyniku.
- Koncentracja środków w jednym protokole lub sieci zwiększa rozmiar potencjalnej szkody.
- Kompromitacja klucza, urządzenia lub interfejsu dotyka całego salda adresu roboczego.
- Jedna błędna transakcja przenosi aktywa na cudzy adres bez mechanizmu zwrotu.
Przy dużej kwocie jeden nieprawidłowy adres odbiorcy albo unlimited approve może doprowadzić do utraty kwoty porównywalnej z całym kapitałem na adresie roboczym.
Krytyczna jest szybkość i precyzja wykonania
W DeFi wynik zależy od mempoola, głębokości poola i aktywności MEV, dlatego cena wykonania może różnić się od ceny w interfejsie.
- Slippage i przeciążenie sieci pogarszają cenę wykonania.
- Duży wolumen w cienkim poolu wzmacnia price impact.
- Opóźnienie włączenia transakcji zmienia stan poola między podpisem a wykonaniem.
Jeśli transakcja wymaga stałej ceny i minimalnego opóźnienia, mempool, price impact i MEV mogą zmienić cenę wykonania względem ceny na ekranie.
Potrzebna jest prosta ewidencja i przejrzyste raportowanie
Aktywna strategia w DeFi tworzy dziesiątki transakcji i osobne opłaty sieciowe dla każdej operacji, dlatego ewidencja wymaga analizy każdej transakcji.
- Claimy, rebalance i częściowe wykonania utrudniają obliczenie kosztu bazowego i wyniku.
- Kilka sieci i bridge dodają osobne opłaty oraz osobne zdarzenia ewidencyjne.
- Błąd w ewidencji opłat gas i cen wykonania zniekształca wynik podatkowy i raportowy.
Jeśli strategia generuje dziesiątki transakcji, raportowanie zmienia się w ewidencję każdej opłaty gas i każdej ceny wykonania według hash transakcji.
Niewystarczający poziom bezpieczeństwa operacyjnego
W DeFi bezpieczeństwo opiera się na kluczach i podpisach użytkownika, dlatego słaba ochrona urządzenia i przeglądarki zmienia się w bezpośrednią utratę środków.
- Publiczne urządzenia i rozszerzenia zwiększają ryzyko podmiany interfejsu oraz kradzieży sesji walleta.
- Przechowywanie seed phrase online ułatwia kompromitację kluczy.
- Brak separacji walletów zwiększa kwotę dostępną przez approvals.
Jeśli urządzenie albo przeglądarka są skompromitowane, atakujący może zmusić wallet do podpisania approve albo transferu i pobrać tokeny z adresu roboczego.
Wymagane są support i odzyskanie dostępu
W self-custody utrata seed phrase oznacza utratę kontroli nad adresem, ponieważ protokół nie może odzyskać kluczy ani cofnąć własności.
- Błąd przechowywania kluczy nie jest kompensowany przez usługę.
- Bez schematów backupu możliwa jest całkowita utrata dostępu.
- Przekazanie dostępu i dziedziczenie wymagają osobnego schematu prawnego i technicznego.
Jeśli seed phrase zostanie utracona, dostęp do adresu przepada na zawsze, ponieważ blockchain nie zawiera procedury odzyskiwania kluczy.
Wolumen jest nieproporcjonalny do opłat sieci
Przy wysokim gas niewielki kapitał traci sens, ponieważ opłaty wejścia, zarządzania i wyjścia zajmują zauważalną część kwoty.
- Opłaty przekrywają wynik przy częstych działaniach.
- Jeden błąd podpisu zeruje efekt strategii.
- Wzrost liczby operacji zwiększa względne koszty.
Jeśli depozyt jest mały, dwie opłaty gas (wejście i wyjście) mogą zjeść cały dochód, nawet jeśli APY w interfejsie wygląda wysoko.
Strata w DeFi jest powiązana z operacjami: swap AMM cierpi przez MEV i price impact, lending przez oracle i likwidacje, bridge przez walidatorów.
Gdzie DeFi najczęściej staje się źródłem straty: operacje i czynniki stop
Ryzyko DeFi ujawnia się w konkretnych operacjach: swap AMM pogarsza cenę wykonania przy cienkiej płynności, lending uruchamia likwidacje według ceny oracle, farming zależy od emisji nagrody i płynności wyjścia, a bridge blokuje wypłatę przy awarii walidatorów.
Wymiany DEX w poolach AMM
AMM tworzy cenę z relacji aktywów w poolu, dlatego wzrost rozmiaru swapu względem głębokości poola zwiększa price impact i pogarsza cenę wykonania.
✅ Plusy
- Self-custody bez custodial przechowywania.
- Wymiana bez konta i bez KYC.
- Dostęp do tokenów bez listingu na exchange.
❌ Minusy
- MEV i ataki sandwich przy średnich i dużych wolumenach.
- Pogorszenie ceny wykonania w płytkich poolach.
- Ryzyko fałszywego kontraktu tokena i fałszywego adresu poola.
Lending i pożyczki pod collateral
Lending tworzy ryzyko likwidacji, ponieważ spadek ceny collateral według oracle uruchamia przymusową sprzedaż collateral po płynności rynkowej w momencie stresu.
✅ Plusy
- Dochód odsetkowy na płynnych aktywach.
- Pożyczka pod collateral bez sprzedaży aktywa bazowego.
- Stopa zależy od popytu na pożyczanie.
❌ Minusy
- Automatyczne likwidacje przy gwałtownym ruchu ceny.
- Zależność od poprawności ceny oracle.
- Ryzyko zmiany parametrów governance (opłaty, progi, limity).
Nadmierny collateral zmniejsza prawdopodobieństwo likwidacji, ponieważ zwiększa dystans do progu ryzyka według ceny oracle.
Yield farming i strategie z wysokim APY
Yield farming łączy dochód z opłat i zachęty tokenowe, dlatego wynik zależy od ceny tokena nagrody, szybkości emisji i głębokości płynności wyjścia.
✅ Plusy
- Dochód z opłat i zachęt tokenowych.
- Wejście i wyjście bez przechowywania na exchange.
- Dostęp do nowych modeli dochodu na starcie protokołu.
❌ Minusy
- Spadek APY po zakończeniu zachęt.
- Impermanent loss na zmiennych parach.
- Rug pull w młodym projekcie przy wycofaniu płynności przez organizatorów.
Co psuje farming w modelu dochodu
- Odpływ LP (dostawców płynności) i spadek głębokości poola.
- Spadek ceny tokena nagrody szybszy niż naliczenia.
- Gas i rebalance, które zmniejszają wynik w aktywie bazowym.
- Bug albo pause zewnętrznego kontraktu w łańcuchu strategii.
Bridge i operacje cross-chain
Bridge cross-chain koncentruje ryzyko w walidatorach i kluczach governance, dlatego kompromitacja albo awaria bridge’a blokuje wypłatę aktywów i przerywa łańcuch operacji między sieciami.
✅ Plusy
- Dostęp do płynności różnych sieci.
- Wybór sieci według opłat i szybkości.
- Rozdzielenie kapitału między ekosystemy.
❌ Minusy
- Koncentracja płynności w jednym punkcie.
- Złożony model bezpieczeństwa i zależność od walidatorów.
- Wzrost ryzyka błędu operacyjnego przy transferze między sieciami.
Derywatywy on-chain i trading z dźwignią
W derywatywach on-chain pozycja jest liczona według ceny oracle, a użycie dźwigni zostawia niewielki margines bezpieczeństwa, dlatego każdy błąd ceny, płynności lub wykonania szybciej prowadzi do przymusowego zamknięcia pozycji.
✅ Plusy
- Hedging bez custodial przechowywania.
- Dostęp do derywatywów przez smart contract.
- Zgodność ze strategiami on-chain.
❌ Minusy
- Kaskady likwidacji przy gwałtownej zmienności.
- Zależność wyniku od ceny oracle.
- Sumowanie ryzyka rynkowego i ryzyka protokołu.
Sygnały wyjścia w DeFi mierzy się parametrami: spadek głębokości poola, wzrost gas, spadek APY, spadek tokena nagrody, upgrade kontraktu, awaria interfejsu.
Sygnały, że z pozycji DeFi trzeba wychodzić
- APY rośnie bez wzrostu opłat i wolumenu
- APY rośnie bez wzrostu opłat protokołu i bez wzrostu wolumenu operacji.
- Źródło APY przesuwa się w emisję albo tymczasowe zachęty.
- Cena tokena nagrody spada szybciej niż naliczana nagroda.
- APY zależy od emisji, jeśli wolumen swapów i dochód z opłat nie rosną.
- Cena wyjścia pogarsza się przez spadek płynności
- Głębokość poola jest niższa niż w momencie wejścia.
- Wypłata wymaga dyskonta przez price impact względem oczekiwanej ceny.
- W okresie stresu gas rośnie i zwiększa koszt wyjścia.
- Price impact wzrósł, jeśli ten sam wolumen wypłaty z poola daje mniej aktywa bazowego niż przy wejściu.
- Upgrade zmienia parametry protokołu
- Pojawia się upgrade bez wystarczającego czasu na sprawdzenie nowych warunków.
- Zmieniają się opłaty, współczynniki collateral albo parametry likwidacji.
- Dodawane są nowe integracje, bridge albo zewnętrzne zależności.
- Ryzyko upgrade’u rośnie, jeśli implementacja kontraktu zmienia się przez klucz admina bez timelock.
- Dostęp do zarządzania pozycją staje się niestabilny
- Interfejs działa z błędami, a RPC pokazuje nieprawidłowy status transakcji.
- Ograniczenie dostępu regionalnego albo przeciążenie sieci utrudnia zamknięcie pozycji.
- Błąd operacyjny przy podpisie staje się bardziej prawdopodobny przez deficyt czasu.
- Ryzyko błędu podpisu rośnie, jeśli zamknięcie pozycji odbywa się przez nową domenę albo niestabilne RPC.
Jeśli jednocześnie spada płynność poola, maleje rentowność i pogarsza się dostęp do interfejsu, zamknięcie pozycji staje się droższe pod względem gas i gorsze cenowo.
DeFi wykonuje operacje smart contractem i podpisem walleta; CEX wykonuje operacje na kontach exchange i może stosować limity, opóźnienia wypłat oraz procedurę zwrotu.
DeFi vs CEX: gdzie ryzyko jest niższe, a gdzie jest przeniesione
W DeFi wynik transakcji jest w pełni określony przez podpisane parametry i nie może zostać anulowany, podczas gdy na CEX platforma czasem może interweniować i zatrzymać błędną wypłatę.
DeFi wykonuje transakcję ściśle według parametrów podpisu w wallecie, a CEX przez wewnętrzny order book i ewidencję sald. W DeFi błędna transakcja jest nieodwracalna po włączeniu do bloku, podczas gdy CEX czasem może zatrzymać wypłatę albo zwrócić środki przed ostatecznym obciążeniem.
| Kryterium | CEX | DeFi |
|---|---|---|
| Przechowywanie aktywów | Klucze kontroluje platforma (custodial) | Klucze znajdują się u użytkownika (self-custody) |
| Korekta błędów | Czasem możliwe są regulowane procedury zwrotu | Transakcje są nieodwracalne po włączeniu do bloku |
| Ryzyko hacku | Rzadkie, ale duże scentralizowane incydenty | Incydenty na poziomie pojedynczych protokołów i interfejsów |
| Wykonanie transakcji | Cena zależy od order booka i reguł exchange | Cena zależy od głębokości poola, price impact i MEV |
| Dostęp i compliance | KYC/AML i procedury regulacyjne | Bez konta, ale z ryzykiem blokady interfejsów i RPC |
| Przejrzystość | Reguły platformy i raportowanie operatora | Publiczne transakcje i weryfikowalny kod przy zweryfikowanych adresach |
✅ Gdzie DeFi daje przewagę
- Kontrola nad aktywami bez custodial przechowywania.
- Dostęp do narzędzi on-chain bez listingu na exchange.
- Automatyzacja strategii przez smart contracty przy sprawdzeniu adresów i parametrów podpisu.
❌ Gdzie CEX zwykle jest odporniejszy
- Duże operacje, gdzie potrzebne są minimalne opóźnienie i dokładna cena.
- Scenariusze, w których krytyczne są support, odzyskanie dostępu i procedury.
- Scenariusze, w których potrzebne jest anulowanie błędnej wypłaty przed finalnym obciążeniem.
Porównanie modeli dostępu i ryzyk wykonania: DEX vs CEX: różnice w przechowywaniu, wykonaniu i dostępie.
Kontrola przed podpisem zmniejsza ryzyko transferu tokenów na błędny adres i wydania approve na błędnego spender: porównanie sieci i adresu kontraktu, kontrola spender w approve, ograniczenie slippage i minimum received.
Punkty kontrolne przed wejściem w DeFi: parametry podpisu i limity wykonania
Kontrola przed podpisem zmniejsza prawdopodobieństwo błędnej sieci, podmiany adresu kontraktu, nadmiernego approve i zbyt szerokiego slippage, który utrwala złą cenę wykonania.
Podstawowa kontrola parametrów podpisu
- Porównanie adresu kontraktu i zgodności sieci z operacją.
- Ocena głębokości płynności: duży wolumen w cienkim poolu zwiększa price impact.
- Ograniczenie slippage i porównanie minimum received.
- Kontrola aktywnych approvals i limitu pobierania.
- Operacja testowa minimalnym wolumenem przy nowej trasie.
Rozszerzona kontrola dla depozytów i farmingu
- Określenie źródła rentowności: opłaty, odsetki od pożyczek albo emisja nagrody.
- Kontrola upgrade’ów, kluczy admina, multisig i timelock.
- Ocena dystrybucji tokena nagrody i ryzyka koncentracji u dużych holderów.
- Ocena ryzyka bridge’a i stablecoina w strategii cross-chain, ponieważ awaria bridge’a albo utrata pegu stablecoina mogą zablokować wyjście.
- Porównanie gas i price impact z oczekiwanym zyskiem w aktywie bazowym.
Oznaki podwyższonego ryzyka
- Nowy protokół bez historii działania z obietnicami „gwarancji”.
- Dwucyfrowa rentowność w stablecoinach bez wyjaśnienia źródła (opłaty albo odsetki od pożyczek).
- Token nagrody z wysoką emisją i bez trwałego popytu.
- Opis bezpieczeństwa hasłami bez wskazania timelock, multisig, oracle i modelu dostępu.
- Podpis, który prosi o dostęp niezgodny z operacją (na przykład pobranie tokena zamiast claimu nagrody).
Zmniejszenie strat w DeFi osiąga się ograniczeniami: mniej środków na adresie roboczym, approve tylko pod kwotę operacji, mniej bridge’y i mniej zewnętrznych kontraktów w trasie.
Metody ograniczania ryzyka przy korzystaniu z DeFi
1) Podział walletów według ról
- Adres przechowywania. Na adresie przechowywania nie ma aktywnych approvals ani regularnych interakcji z dApp.
- Adres roboczy. Na adresie roboczym znajduje się kwota dopuszczalna do ryzyka i wykonywane są podpisy operacji.
- Adres testowy. Na adresie testowym sprawdzane są nowe protokoły i trasy minimalnymi kwotami.
2) Zarządzanie uprawnieniami do pobierania
- Approve jest wydawany pod konkretny wolumen operacji, aby kontrakt nie miał prawa pobierać pełnego salda.
- Nieużywane approvals są cofane po zakończeniu strategii, aby zamknąć prawo pobierania.
- Approve dla niezweryfikowanego kontraktu zwiększa skalę strat, jeśli kontrakt albo interfejs zostanie skompromitowany.
Scenariusze approval phishing i sposoby wykorzystania aktywnych approvals: «Approval phishing w DeFi: ukryte uprawnienia, które pozwalają kraść tokeny».
3) Wykonanie transakcji z uwzględnieniem MEV i płynności
- Slippage ogranicza zakres ceny wykonania i zmniejsza efekt ataków sandwich.
- Dzielenie wolumenu zmniejsza price impact w cienkim poolu.
- Trasa swapu przez kilka pooli zwiększa liczbę smart contractów; revert jednego kontraktu anuluje transakcję i zużywa gas.
4) Ograniczenie koncentracji i złożoności
- Koncentracja kapitału w jednym protokole zwiększa kwotę zależną od jednej podatności albo jednego upgrade’u.
- Jeden bridge albo jeden stablecoin nie powinien być jedynym punktem strategii, jeśli utrata pegu albo awaria bridge’a blokuje wyjście.
- Zmniejszenie liczby ogniw zmniejsza liczbę zewnętrznych kontraktów, od których zależy wypłata.
DeFi pasuje przy kontroli podpisu i uprawnień: sprawdzenie sieci i adresu kontraktu, approve z limitem, osobny adres przechowywania i warunek wyjścia przy spadku płynności.
Dla kogo DeFi jest odpowiednie przy świadomej kontroli podpisu
DeFi pasuje do tych, którzy akceptują nieodwracalność transakcji i kontrolują adresy kontraktów, approvals, parametry swapów oraz warunki wyjścia; bez tego self-custody zmienia błąd podpisu w bezpośrednią utratę środków.
Użytkownikom z uporządkowanym bezpieczeństwem operacyjnym
Separacja adresów, kontrola approvals i sprawdzanie parametrów podpisu ograniczają kwotę dostępną do strat w jednym incydencie.
- Adres przechowywania jest oddzielony od adresu roboczego, gdzie wykonywane są podpisy.
- Approvals są wydawane pod limit i cofane po operacji.
- Pozycja jest redukowana przy spadku głębokości płynności i pogorszeniu ceny wyjścia.
Separacja adresów i limitowany approve zmniejszają ilość tokenów dostępną do pobrania przez błędny podpis albo kompromitację kontraktu.
Traderom, którzy potrzebują self-custody i bezpośredniego dostępu do rynku on-chain
Trading on-chain daje bezpośredni dostęp do pooli, ale wynik określają głębokość poola i parametry wykonania transakcji.
- Umiarkowany wolumen zmniejsza price impact w poolu AMM.
- Warunek wyjścia określa moment zamknięcia przy spadku APY i płynności.
- Slippage i minimum received ograniczają zakres ceny wykonania.
Cena wykonania swapu zależy od głębokości poola i slippage; przy cienkiej płynności ten sam wolumen swapu daje mniej aktywa bazowego po wykonaniu w bloku.
Użytkownikom, którzy sprawdzają mapę zależności protokołu
Sprawdzenie źródła dochodu i punktów ryzyka (oracle, bridge, upgrade, interfejs) zmniejsza prawdopodobieństwo wejścia w strategię, w której wypłata jest blokowana przez zewnętrzny kontrakt albo infrastrukturę dostępu.
- Podział dochodu na opłaty i emisję oddziela dochód z opłat od subsydium w tokenie nagrody.
- Sprawdzenie oracle i współczynnika collateral pokazuje ryzyko likwidacji według ceny oracle.
- Sprawdzenie bridge’y i integracji pokazuje, który zewnętrzny kontrakt może zablokować wypłatę.
Sprawdzenie oracle, bridge’a i upgrade’ów określa, od których zewnętrznych adresów i kluczy zależy wypłata oraz obliczenie progu likwidacji.
FAQ zamyka osiem pytań: DeFi vs CEX, approve, slippage, impermanent loss, bridge, małe kwoty, lending i typowe błędy początkujących.
FAQ o ryzykach i ograniczeniach DeFi
Czy DeFi jest bezpieczniejsze niż scentralizowane exchange?
Najczęściej nie. Dla większości użytkowników DeFi niesie wyższe ryzyko operacyjne, ponieważ każdy błąd podpisu albo parametrów transakcji jest nieodwracalny.
W DeFi strata powstaje przez bug smart contractu, podmianę interfejsu albo błąd użytkownika przy podpisie. W CEX strata jest związana z hackiem exchange, zamrożeniem wypłaty według reguł platformy albo błędem operatora, ale czasem może być zmniejszona dzięki limitom, opóźnieniom i procedurom zatrzymania wypłaty.
Dlaczego uprawnienia approve są uznawane za krytyczne ryzyko?
Approve daje smart contractowi prawo pobierania tokenów z adresu użytkownika bez ponownego podpisu. Unlimited approve daje prawo pobrania całego salda tokena, jeśli kontrakt albo interfejs zostanie skompromitowany.
Jaki slippage można uznać za dopuszczalny?
Slippage ustawia maksymalne pogorszenie ceny wykonania względem oczekiwanej ceny; przy szerokim slippage swap może zostać wykonany po cenie pogorszonej o ustawiony procent. W cienkim poolu szeroki slippage ułatwia atak sandwich i zwiększa faktyczną stratę na cenie.
Czy możliwe są straty w poolu płynności przy wzroście rynku?
Tak. Impermanent loss powstaje, gdy ceny aktywów w parze rozchodzą się, a AMM redystrybuuje udziały aktywów wewnątrz pozycji LP, dlatego końcowa wartość LP może być niższa niż pasywne trzymanie tych samych aktywów.
Dlaczego bridge są uznawane za najbardziej podatny element cross-chain?
Ponieważ w bridge’u jednocześnie zbiegają się kilka punktów awarii: walidatorzy, klucze governance, logika kontraktów i mechanizm emisji wrapped assets.
Jeśli psuje się choć jeden element — walidatorzy się zatrzymują, klucze governance wyciekły albo kontrakt działa nieprawidłowo — wrapped token traci możliwość wymiany na aktywo źródłowe, a wypłata środków może zostać zablokowana.
Czy ma sens używanie DeFi przy niewielkich kwotach?
Przy niewielkich kwotach opłata gas zajmuje dużą część kapitału, dlatego dwie operacje (wejście i wyjście) mogą zjeść cały dochód. Sens ekonomiczny zależy od tego, czy oczekiwany dochód pokrywa dwie opłaty gas i straty na price impact.
Dlaczego lending wygląda stabilnie, ale często prowadzi do strat?
Lending zawiera automatyczną likwidację: przy spadku ceny collateral według oracle pozycja jest sprzedawana przymusowo. W okresie gwałtownego spadku płynność sprzedaży collateral staje się cieńsza, dlatego likwidacja utrwala duże dyskonto względem sprawiedliwej ceny.
Od czego zaczynają się straty początkujących w DeFi?
Straty zaczynają się od dwóch błędów: nieprawidłowego podpisu (sieć, adres, slippage) i nadmiernego approve. Podpisana transakcja jest nieodwracalna, a aktywny approve pozwala pobrać token bez nowego podpisu, jeśli kontrakt albo interfejs zostanie skompromitowany.
DeFi nie zawiera anulowania ani zwrotu: podpis utrwala transfer, a ryzyka kodu, oracle, bridge’y i płynności mogą się zbiec oraz zwiększyć stratę.
Kiedy DeFi naprawdę nie jest odpowiednie
DeFi staje się złym wyborem, gdy potrzebne są anulowanie operacji, dokładna cena wykonania i minimalna szkoda od jednego błędu podpisu.
DeFi zostawia kontrolę kluczy użytkownikowi, ale usuwa procedurę anulowania, ręczną kontrolę operacji i proces zwrotu. Klucze, podpisy, approvals i weryfikacja adresów stają się jedyną barierą między aktywem a nieodwracalnym błędem.
Strata powstaje bez hacku, gdy upgrade protokołu, zniekształcona cena oracle, spadek płynności poola i wysoki gas zbiegają się w jednym okresie oraz pogarszają cenę wyjścia i możliwość zarządzania pozycją.
Rezygnacja z DeFi zmniejsza ryzyko nieodwracalnej straty, gdy pozycja jest duża, sieć i adresy nie są sprawdzane przed podpisem albo strategia wymaga dokładnej ceny wykonania przy przeciążeniu sieci i cienkiej płynności.
- Zmniejszenie liczby zależności. Mniejsza liczba protokołów i bridge’y zmniejsza liczbę zewnętrznych kontraktów, od których zależy wypłata.
- Podział adresów według ról. Adres przechowywania zmniejsza kwotę dostępną do pobrania przez approvals adresu roboczego.
- Ocena wyniku w aktywie bazowym. Gas i price impact zmniejszają wynik w aktywie bazowym, nawet jeśli APY w interfejsie wygląda wysoko.
- Bufor collateral. Bufor collateral zwiększa dystans do progu likwidacji według ceny oracle.
W DeFi smart contract wykonuje podpis bez anulowania; infrastruktura z procedurą zwrotu i ręczną kontrolą operacji zmniejsza szkodę błędu operacyjnego przy wypłacie i transferze.
🛡️ Materiał: bezpieczeństwo DeFi
Mapa zagrożeń, case’y ataków i sygnały kontrolne incydentów