Vad är DeFi Protocol Risk Score Calculator?
▾
En DeFi Protocol Risk Score Calculator utvärderar säkerhetsriskerna, de finansiella och operativa riskerna med decentraliserade finansprotokoll genom att poängsätta flera riskdimensioner och ta fram en sammansatt riskbedömning. DeFi-protokoll rymmer miljarder dollar i användarmedel inom smarta kontrakt, och till skillnad från traditionella finansiella institutioner är de inte skyddade av statlig insättningsförsäkring, regulatorisk tillsyn eller juridiska regressmekanismer. Riskberäknaren tillhandahåller ett systematiskt ramverk för att utvärdera om ett specifikt protokoll representerar en acceptabel risk för mängden kapital en användare avser att sätta in. DeFi-ekosystemet har lidit över 7 miljarder dollar i förluster från smarta kontraktsexploater, mattandrag och ekonomiska attacker sedan 2020, enligt Rekts topplista. Högprofilerade incidenter inkluderar Ronin Bridge hack ($624 miljoner), Wormhole-exploatet ($320 miljoner), Mango Markets-manipulationen ($114 miljoner), Euler Finance-attacken ($197 miljoner) och Terra/Luna-kollapsen (ungefär 40 miljarder dollar i värdeförstöring). Dessa händelser visar att DeFi-risker inte är teoretiska utan representerar konkreta, återkommande hot mot insatt kapital. Kalkylatorn kvantifierar dessa risker med hjälp av historiska data, protokollspecifik analys och branschriktmärken. Riskbedömningsramverket utvärderar sex kärndimensioner: smart kontraktssäkerhet (revisionskvalitet, bug-bounty-program, formell verifieringsstatus), finansiell hållbarhet (TVL-stabilitet, tokenomics, intäktsmodell), operativ risk (decentralisering av styrning, administratörsnyckelhantering, uppgraderingsmekanismer), orakelberoende (prisflödestillförlitlighet, manipulationsmotstånd, manipulationsmotstånd, tidigare systemintegration, problemhistorik (tid i produktionen) och problemhistorik (tid i produktionen). risker, beroende av andra protokoll). Varje dimension får ett betyg från 0 (högsta risk) till 100 (lägsta risk), och den viktade sammansättningen ger en övergripande riskklass. För investerare som allokerar kapital över DeFi-protokollen, fungerar riskpoängen som en kritisk input för positionsstorlek. Ett protokoll som får 90+ (som Aave V3 på Ethereums huvudnät) kan berättiga upp till 20-30 % av en DeFi-portfölj, medan ett protokoll med 40-60 (ett nyare, mindre granskat protokoll som erbjuder högre avkastning) inte bör få mer än 2-5 % av kapitalet. Det omvända förhållandet mellan riskpoäng och avkastning är grundläggande: protokoll som erbjuder 20-50 % APY har nästan alltid betydligt högre riskpoäng än blue-chip-protokoll som erbjuder 2-5 % APY, och överavkastningen kompenserar för sannolikheten för partiell eller total förlust.
DigiCalcs delivers precision-engineered tools for engineers and STEM professionals.
Formel
▾
Riskresultat = (Revisionsresultat x 25 %) + (TVL och finansiellt resultat x 20 %) + (Record x 20 %) + (Governance Score x 15 %) + (Oracle-resultat x 10 %) + (försäkringspoäng x 10 %)
Revisionsresultat = Revisionsföretagsnivå (0-40) + Antal revisioner (0-20) + Bug Bounty-storlek (0-20) + Formell verifiering (0-20)
TVL-poäng = Log10(TVL i USD) x 10, begränsat till 100
Track Record = Min(månader live, 36) / 36 x 60 + (1 - Incidenter/månader live) x 40
Styrningsresultat = Decentralisering (0-40) + Tidlås (0-30) + Multi-sig-tröskel (0-30)
Oracle Score = Oracle Provider Tier (0-50) + Flera källor (0-25) + Manipulationsmotstånd (0-25)
Försäkringsresultat = Tillgänglig täckning (0-50) + Täckningsdjup (0-25) + Skadehistorik (0-25)
Arbetat exempel: Aave V3 på Ethereum.
Revisionsresultat: Trail of Bits + OpenZeppelin + Certora formell verifiering = 95/100
TVL-poäng: 12 miljarder USD TVL, log10(12 000 000 000) = 10,08, poäng = 100/100
Track Record: 48+ månader live, 1 mindre incident (V2 flash-lånekantfall, inga användarförluster) = 92/100
Styrningsresultat: Styrning i kedjan, 24-timmars tidslås, Aave Guardian multi-sig = 88/100
Oracle-poäng: Chainlink primära + reservmekanismer = 90/100
Försäkring: Nexus Mutual täckning tillgänglig, Aave Safety Module ($400 M+) = 85/100
Komposit: (95 x 0,25) + (100 x 0,20) + (92 x 0,20) + (88 x 0,15) + (90 x 0,10) + (85 x 0,10) = 23,75 + 20,00 + 18,40 + 13,500 + 13,50 92,85. Betyg: A (lägsta risk).Variabelbeskrivning
▾
| Symbol | Namn | Enhet | Beskrivning |
|---|---|---|---|
| RS | Riskpoäng | poäng (0-100) | Den viktade sammansatta bedömningen av alla riskdimensioner, där högre poäng indikerar lägre risk |
| TVL | Totalt värde låst | valuta (USD) | Det totala värdet av tillgångar som deponerats i protokollet, vilket indikerar omfattning och förtroende för samhället |
| ALP | Sannolikhet för årlig förlust | procentsats | Den uppskattade sannolikheten att protokollet råkar ut för en förlusthändelse inom en ettårsperiod |
| LGD | Förlust given standard | procent (0-100 %) | Den förväntade andelen insatta medel som går förlorade om en säkerhetsincident inträffar |
| STRÅLE | Riskjusterad avkastning | procent (årlig) | Den annonserade avkastningen minus den förväntade årliga förlusten, vilket representerar den verkliga ekonomiska avkastningen efter risk |
| PÅ | Revisionsnivå | nivå (1-3) | Säkerhetsrevisionsföretagets ryktenivå, från nivå 1 (högst anseende) till nivå 3 |
Hur man DeFi Protocol Risk Score Calculator
▾
- 1Steg 1 - Utvärdera smart kontraktsrevisionskvalitet, den mest kritiska riskdimensionen. Kalkylatorn betygsätter protokollet baserat på: revisionsbyråns anseendenivå (nivå 1: Trail of Bits, OpenZeppelin, Consensys Diligence, ChainSecurity; nivå 2: PeckShield, CertiK, Halborn; nivå 3: mindre kända företag), antalet oberoende revisioner av olika företagsrevisioner av stor storlek (flera företagsrevisioner) program (större belöningar lockar fler forskare med vita hattar), och om formell verifiering har utförts (matematiskt bevis på att koden beter sig som avsett). Ett protokoll med två nivå 1-revisioner, en $1M+ bugglön och formell verifiering ger 90-100 poäng. Ett protokoll med en nivå 3-revision och ingen bug-bounty ger 20-40 poäng.
- 2Steg 2 - Bedöm TVL-stabilitet och finansiell hållbarhet. Högre TVL indikerar i allmänhet större förtroende för samhället och mer omfattande tester i verkligheten. Kalkylatorn utvärderar: absolut TVL (protokoll över 1 miljard dollar har överlevt betydande marknadsstress), TVL-trend (fallande TVL kan indikera nya problem), protokollets intäktsmodell (avgiftsbaserade intäkter är mer hållbara än symboliska utsläppssubventioner) och tokenomics hälsa (oavsett om förvaltningstokenet är upplevt att fonden är tillräcklig för att finansiera inflationen). Ett protokoll med $5B+ stabil TVL och positiva protokollintäkter får 85-100 poäng, medan ett protokoll med $10M TVL som har minskat 50% under den senaste månaden får 20-40 poäng.
- 3Steg 3 - Utvärdera meritlista genom att mäta tid i produktion och incidenthistorik. Tiden är den ultimata revisionen: ju längre ett protokoll har fungerat med betydande TVL utan en säkerhetsincident, desto mer förtroende kan användarna ha för dess säkerhet. Kalkylatorn tilldelar ökande poäng för varje månad av incidentfri drift, med minskande marginella vinster (de första 12 månaderna bidrar med mer än månaderna 24-36). Incidenthistoriken viktas efter svårighetsgrad: mindre konfigurationsfel utan användarförluster har minimal inverkan, medan utnyttjanden som resulterar i förluster av användarmedel drar ner poängen kraftigt. Protokollets reaktion på incidenter (hastighet, transparens, restitution) utvärderas också.
- 4Steg 4 - Betyg styrning decentralisering och admin nyckelrisk. Kalkylatorn bedömer: om styrning är i kedjan (omröstning i samhället om förslag) kontra utanför kedjan (lagbeslut), tidslåsningens varaktighet för förvaltningsåtgärder (24-48 timmar gör det möjligt för samhället att reagera på skadliga förslag), tröskeln med flera signaturer för nödåtgärder (en 3-av-5 multi-signatur är säkrare än en 3-nyckel och unilateral kan säkrare än en 3-modifiering), protokollparametrar (räntor, säkerhetsfaktorer, orakelkällor). Protokoll med helt decentraliserad styrning, 48-timmars tidslås och högtröskel multi-sigs ger 85-100. Protokoll med enstaka administratörsnycklar som kan ändra parametrar omedelbart får 10-30.
- 5Steg 5 - Bedöm orakelberoende och manipulationsrisk. De flesta DeFi-protokoll är beroende av externa prisflöden (orakel) för att fungera korrekt. Om ett orakel tillhandahåller ett felaktigt pris, kan protokollet tillåta undersäkrad upplåning, felaktiga likvidationer eller andra exploaterbara förhållanden. Kalkylatorn utvärderar: orakelleverantören (Chainlink anses vara mest tillförlitlig), om flera orakelkällor används (aggregation minskar manipulationsrisken), färskhetskraven (inaktuella priser skapar risk) och protokollets svar på orakelfel (graciös degradering kontra katastrofala misslyckanden). Mango Markets exploateringen ($114 miljoner) och många andra incidenter möjliggjordes av orakelmanipulation.
- 6Steg 6 - Utvärdera försäkringsskydd och mekanismer för förlustreducering. Vissa DeFi-protokoll upprätthåller försäkringsliknande mekanismer: Aaves säkerhetsmodul tillåter AAVE-token-spelare att absorbera protokollförluster, MakerDAO upprätthåller en överskottsbuffert och FLAP-auktionsmekanism, och externa försäkringsprotokoll (Nexus Mutual, InsurAce, Unslashed) erbjuder täckning för smarta kontraktsfel. Kalkylatorn bedömer: om det finns en protokollbaserad försäkring (och på vilken täckningsnivå i förhållande till TVL), om en tredjepartsförsäkring är tillgänglig (och till vilken kostnad), och den historiska meritlista för skadeutbetalningar. Ett protokoll med 500 miljoner USD i säkerhetsmodultäckning och tillgängliga Nexus Mutual-försäkringar får 80-100 poäng, medan ett protokoll utan försäkringsmekanism får poängen 0-20.
- 7Steg 7 - Beräkna den sammansatta riskpoängen och tilldela ett bokstavsbetyg. Det viktade medelvärdet av alla sex dimensioner ger en poäng från 0 till 100, vilket översätts till ett bokstavsbetyg: A (85-100, lägsta risk, lämplig för stora tilldelningar), B (70-84, måttlig risk, lämplig för medeltilldelningar), C (55-69, förhöjd risk, lämplig för små tilldelningar med noggrann övervakning, endast 54 för spekulativ risk), (hög risk för alla), D4, (hög risk för alla), (hög risk alla), (hög risk för alla). (under 40, extrem risk, rekommenderas inte). Kalkylatorn genererar också en riskjusterad avkastningsrekommendation: protokollets annonserade APY minus den uppskattade årliga förlustsannolikheten ger den riskjusterade förväntade avkastningen.
Lösta exempel
▾
Aave V3 representerar guldstandarden för DeFi-protokollsäkerhet. Flera nivå 1-revisioner, formell verifiering, den största DeFi TVL, fleråriga meritlista och decentraliserad styrning bidrar till dess högsta poäng. Den uppskattade årliga förlustsannolikheten på 0,5 % återspeglar den kvarvarande risken för smarta kontrakt som finns i något DeFi-protokoll (ingen kod är helt säker), den teoretiska risken för en koordinerad orakelmanipulation och svansrisken för en styrningsattack. Den riskjusterade avkastningen på 3,0 % kan jämföras med traditionella banksparkonton och är lämplig för en betydande portföljallokering.
Trots att den erbjuder 15 % APY (4 gånger högre än Aave) är den riskjusterade avkastningen ungefär densamma som Aaves 3,0 % efter att ha tagit hänsyn till den högre förlustsannolikheten. Den enda nivå 2-revisionen, korta meriter, teamkontrollerad multisig utan tidslås och brist på försäkring skapar betydande risker. Den 12 % uppskattade årliga förlustsannolikheten innebär att statistiskt sett har detta protokoll en 1-i-8 chans att uppleva en betydande exploatering inom ett år. Användare som lockas till den 15 % avkastningen bör inse att överavkastningen jämfört med Aave (11,5 procentenheter) är kompensation för att de tagit 24 gånger större risk (12 % jämfört med 0,5 % årlig förlustsannolikhet).
Detta protokoll har varje röd flagga i riskramverket: ingen extern revision, minimal TVL, nästan ingen meritlista, en enda administratörsnyckel som kan tömma alla medel, ett anpassat orakel som är sårbart för manipulation och ingen försäkring. 500 % APY är matematiskt omöjligt att upprätthålla och finansieras nästan säkert av symboliska utsläpp som kommer att kollapsa i värde. Sannolikheten för en årlig förlust på 85 % innebär att de flesta investerare kommer att förlora en betydande del av sin insättning, antingen genom en exploatering, en ruggning (administratörsnyckeln tappar pengar) eller den oundvikliga kollapsen av det symboliska priset som stöder avkastningen. Detta är ett läroboksexempel på ett protokoll som bör undvikas oavsett den annonserade avkastningen.
Praktiska tillämpningar
▾
Institutionella DeFi-allokatorer på företag som Galaxy Digital, Pantera Capital och Paradigm använder ramverk för riskpoäng som liknar den här kalkylatorn för att utvärdera protokoll innan de sätter in kapital. Dessa företag har interna riskkommittéer som granskar varje protokolls revisionsrapporter, styrningsstruktur, orakelberoenden och historiska incidentdata innan de godkänner någon tilldelning. Riskpoängen avgör direkt positionsstorleken: ett protokoll som poängsätts under 70 kan begränsas till 1 % av fonden, medan ett protokoll som poängsätter över 90 kan få upp till 15 % av fonden. Dessa institutionella riskramar har blivit mer sofistikerade sedan Terra/Luna-kollapsen, vilket orsakade förluster hos flera institutionella kryptofonder som hade otillräckliga riskbedömningsprocesser.
DeFi-försäkringsprotokoll som Nexus Mutual, InsurAce och Unslashed Finance använder riskbedömningsmodeller för att prissätta täckningspolicyer för specifika protokoll. Försäkringspremien som tas ut för att täcka en protokolldeposition härleds direkt från den uppskattade årliga förlustsannolikheten. Aave-täckning kan kosta 0,5-1,5 % årligen (som återspeglar låg risk), medan täckning för ett nyare protokoll kan kosta 5-15 % årligen (som återspeglar högre risk). När försäkringspremier finns tillgängliga ger de en marknadsbaserad uppskattning av protokollrisken som kan jämföras mot räknarens bedömning. Om kalkylatorn uppskattar högre risk än försäkringsmarknadens priser kan försäkringen vara underprissatt (och därmed ett bra köp).
DeFi-protokollutvecklingsteam använder riskbedömningar av konkurrerande protokoll för att identifiera konkurrensfördelar och marknadsföringsskillnader. Ett nytt utlåningsprotokoll som uppnår en högre säkerhetspoäng än etablerade konkurrenter kan använda detta som bevis på överlägsen säkerhet i marknadsföringsmaterial och investerarpresentationer. Teamen använder också riskramverket för att prioritera säkerhetsinvesteringar: om kalkylatorn identifierar orakelberoende som den svagaste dimensionen, kan teamet allokera resurser till att implementera redundanta orakelflöden eller Chainlink CCIP cross-chain verifiering snarare än ytterligare smarta kontraktsrevisioner.
Ratingbyråer för kryptovaluta och analysföretag, inklusive Gauntlet, Chaos Labs och Llama Risk, tillhandahåller protokollriskbedömningar till DeFi-styrningsgemenskaper. När Aave-styrning överväger att lägga till en ny typ av säkerheter tillhandahåller Gauntlet en riskanalys som utvärderar tokens smarta kontraktsrisk, likviditetsprofil och korrelation med befintliga säkerheter. Dessa bedömningar påverkar direkt de parametrar som bestäms av förvaltningen (lånekvoter, likvidationsbonusar, utbudstak) och är i grunden riskpoängövningar som liknar denna kalkylator men med ytterligare kvantitativ modellering av svansriskscenarier.
Specialfall
▾
Konceptet risklager eller stapling är avgörande för att utvärdera DeFi
Konceptet med risklager eller stapling är avgörande för att utvärdera DeFi-strategier som involverar flera protokoll samtidigt. En användare som sätter in ETH i Lido (för att ta emot stETH), sedan sätter in stETH i Aave (som säkerhet), lånar USDC mot den och sätter in USDC i Curves 3pool är exponerad för riskerna med fyra separata protokoll samtidigt. Den sammansatta risken är inte medelvärdet av de fyra individuella riskpoängen utan snarare en multiplikativ funktion: om varje protokoll har en 99 % årlig överlevnadssannolikhet (1 % förlustsannolikhet), har fyraprotokollstacken en (0,99)^4 = 96,06 % överlevnadssannolikhet (3,94 % förlustsannolikhet). Med varje ytterligare protokolllager ökar den sammansatta risken avsevärt. Kalkylatorn modellerar dessa staplingseffekter och rekommenderar maximalt stapeldjup baserat på individuella protokollriskpoäng. Framväxten av omsättningsprotokoll (EigenLayer, Symbiotic) introducerar en ny riskdimension som det traditionella ramverket måste anpassa sig till. Omstaking tillåter ETH-aktörer att välja att använda ytterligare valideringstjänster (oracle-nätverk, bryggor, sidokedjor) i utbyte mot ytterligare avkastning. Varje ytterligare tjänst introducerar dock ett nytt slashing-villkor: om den omsatta valideraren inte beter sig på någon tjänst som har valts in, kan en del av deras insats minskas. Risken är att korrelerade fel över flera tjänster kan resultera i kaskadskärningar som överskrider spelarens risktolerans. Enbart EigenLayer har över 15 miljarder dollar i omarbetade tillgångar, och den systemiska risken för en korrelerad slashing-händelse som påverkar en betydande del av det kapitalet är ett problem som riskberäknaren måste modellera genom scenarioanalys. DAO-likviditetsrisken representerar en ofta förbisedd dimension för innehavare av styrningstoken. Många DeFi-protokoll upprätthåller statskassor värda hundratals miljoner dollar i sina inhemska styrningstokens. Om protokollet utnyttjas och förtroendet går förlorat, kollapsar styrningstokenpriset, vilket förstör statskassans värde precis när det behövs som mest för att göra användarna hela. Terra/Luna-kollapsen förstörde både stablecoin (UST) och governance-token (LUNA) samtidigt, vilket lämnade inga resurser för användarkompensation. Protokoll som upprätthåller diversifierade statsobligationer (som innehar stablecoins, ETH och andra okorrelerade tillgångar vid sidan av deras inhemska token) får högre försäkringspoäng från kalkylatorn eftersom de faktiskt kan finansiera förluståtervinning. Aaves säkerhetsmodul och MakerDAO:s överskottsbuffert, båda deominerade delvis i icke-inhemska tillgångar, är modeller för ansvarsfull treasury-design.
DeFi Protocol Risk Scoring Benchmarks (2025)
▾
| Riskklass | Poängintervall | Sannolikhet för årlig förlust | Lämplig tilldelning % | Protokollexempel | Försäkringskostnad |
|---|---|---|---|---|---|
| A (lägsta risk) | 85-100 | 0,3-1,0 % | 15-30 % av DeFi-portföljen | Aave V3, MakerDAO, Lido, Uniswap V3 | 0,5-1,5 % APY |
| B (låg-måttlig) | 70-84 | 1,0-3,0 % | 5-15 % | Compound V3, Curve Finance, Convex, Rocket Pool | 1,5-3,0 % APY |
| C (måttlig) | 55-69 | 3,0–8,0 % | 2-5 % | Nyare protokoll med 1+ revisioner, 6+ månader live | 3,0-8,0 % APY |
| D (förhöjd) | 40-54 | 8,0–20,0 % | 1-2 % | Enstaka revision, <6 månaders levnadstid, hög avkastning | 8,0-15,0 % APY |
| F (extrem) | 0-39 | 20,0-100 % | 0-1 % (endast spekulativt) | Oreviderat, anonymt team, enda administratörsnyckel | Inte försäkringsbart |
Vanliga frågor
▾
Vad är skillnaden mellan smart kontraktsrisk och ekonomisk risk?
Smart kontraktsrisk är möjligheten att en bugg i protokollets kod tillåter en angripare att stjäla eller frysa pengar. Det är en teknisk risk som hanteras genom revision, testning och formell verifiering. Ekonomisk risk är möjligheten att protokollets design kan utnyttjas genom marknadsmanipulation, även om koden fungerar precis som avsett. Mango Markets-attacken var en ekonomisk exploatering: angriparen manipulerade MNGO-tokenpriset uppåt genom en tunn marknad, använde det uppblåsta tokenvärdet som säkerhet för att låna 114 miljoner dollar och föll sedan in på lånet när MNGO-priset kraschade tillbaka. Koden fungerade korrekt under hela attacken. Kalkylatorn utvärderar båda typerna av risker separat eftersom de kräver olika begränsningsstrategier.
Hur viktigt är revisionsbyråns anseende?
Revisionsföretagens rykte är en meningsfull signal men inte en garanti för säkerhet. Tier 1-företag (Trail of Bits, OpenZeppelin, Consensys Diligence) har den djupaste expertisen, de mest rigorösa metoderna och de högsta standarderna för rapportering. Protokoll som granskats av Tier 1-företag har historiskt sett upplevt färre och mindre allvarliga utnyttjande. Men även Tier 1-revisioner missar sårbarheter: Euler Finance granskades av flera välrenommerade företag innan dess exploatering på 197 miljoner dollar. Det mest tillförlitliga tillvägagångssättet är flera revisioner från olika företag (varje företag har olika expertis och kan fånga sårbarheter som andra missar), i kombination med pågående program för buggstöd som stimulerar kontinuerlig säkerhetsgranskning av samhället.
Ska jag undvika protokoll utan försäkringsskydd?
Inte nödvändigtvis, men avsaknaden av tillgängliga försäkringar bör öka riskvikten i din bedömning. Om Nexus Mutual inte erbjuder täckning för ett protokoll kan det tyda på att försäkringsgaranterna (som är erfarna DeFi-riskbedömare) anser att protokollet är för riskabelt för att försäkra till någon rimlig premie. Alternativt kan det helt enkelt betyda att protokollet är för litet eller för nytt för försäkringsleverantörer att utvärdera. Om du sätter in i ett oförsäkrat protokoll bör du minska din tilldelning proportionellt för att ta hänsyn till bristen på förluståtervinningsmekanism. En rimlig heuristik: behandla insättningen som om du skulle kunna förlora hela beloppet, och sätt bara in ett belopp som du är beredd att förlora helt.
Hur visar sig förvaltningsrisk i praktiken?
Styrningsrisk har flera uttryck. Skadliga förvaltningsförslag kan modifiera protokollparametrar för att gynna angriparen (till exempel lägga till en värdelös token som säkerhet med en belåningsgrad på 100 %, låna mot den och betalningsanmärkningar). Governance capture inträffar när en angripare skaffar tillräckligt med styrningstokens för att skicka förslag utan gemenskapskonsensus. Timelock-bypass-missbruk har inträffat när nödfunktioner tillåter styrningsåtgärder utan den normala fördröjningen. Exploateringen av Beanstalk Farms (182 miljoner USD) var en förvaltningsattack: angriparen tog ett snabblån för att skaffa tillräckligt med ledningskraft för att skicka ett skadligt förslag inom en enda transaktion, vilket dränerade protokollets statskassan. Protokoll med längre tidslås, högre kvorumkrav och vårdnadshavare är mer motståndskraftiga mot förvaltningsattacker.
Vilken TVL-nivå indikerar ett relativt säkert protokoll?
Det finns ingen absolut TVL-tröskel som garanterar säkerhet, men protokoll med över 1 miljard USD i TVL som har varit stabila i över 12 månader har en stark meritlista för att överleva marknadsstress (björnmarknader, konkurrentlanseringar, osäkerhet i regelverket). Protokoll i intervallet $100 miljoner till $1 miljard har etablerats men kan sakna stridstestning som kommer med extrem TVL. Protokoll under 100 miljoner dollar bör behandlas med stor försiktighet, särskilt om TVL minskar. TVL bör dock alltid utvärderas tillsammans med andra riskdimensioner. Ett protokoll på 500 miljoner dollar med en enda administratörsnyckel och ingen revision är mycket mer riskabelt än ett protokoll på 50 miljoner dollar med flera nivå 1-revisioner och decentraliserad styrning.
Hur ofta ska jag omvärdera ett protokolls risk?
Riskbedömningar bör ses över minst kvartalsvis och omedelbart efter någon av dessa triggerhändelser: en betydande protokolluppgradering eller parameterändring, en säkerhetsincident vid protokollet eller vid vilket protokoll det beror på, en större förändring av TVL (ökning eller minskning med 30 % eller mer), en förändring av förvaltningsstrukturen eller administratörsnyckelinnehavare, utgången eller icke-förnyelsen av en ändring av försäkringsskyddet eller konfigurationen, DeFi-ekosystemet utvecklas snabbt, och ett protokoll som fick bra poäng för sex månader sedan kan ha försämrats genom kodändringar, teamavgångar eller framväxande konkurrenstryck. Ställ in kalenderpåminnelser för periodiska granskningar och upprätthåll ett varningssystem för utlösande händelser.
Är det säkrare att använda protokoll på Ethereums huvudnät jämfört med Layer 2s?
Ethereum mainnet ger den högsta säkerheten för det underliggande blockkedjelagret, men protokollsäkerheten beror på protokollets egna smarta kontrakt, inte bara kedjan. Ett osäkert protokoll på Ethereum mainnet är mer riskfyllt än ett välreviderat protokoll på Arbitrum. L2-distributioner introducerar dock ytterligare riskdimensioner: L2-sequencern kan teoretiskt censurera transaktioner (förhindra likvidationer eller uttag), L2-bryggan som säkerställer tillgångar över kedjan kan utnyttjas och L2-specifika funktioner (olika gasmekaniker, utförandenyanser) kan skapa oväntade smarta kontraktbeteenden. Kalkylatorn lägger till en liten riskpremie för L2-installationer för att ta hänsyn till dessa ytterligare risklager.
Vanliga misstag att undvika
▾
- !Det farligaste misstaget i DeFi riskbedömning är att likställa hög TVL med säkerhet. Även om TVL är en input till riskpoängen, garanterar det inte säkerhet. Terra/Luna hade över 20 miljarder dollar i TVL innan det kollapsade till nära noll. Euler Finance-protokollet hade 2 miljarder dollar i TVL när det utnyttjades för 197 miljoner dollar. Mango Markets hade 100 miljoner dollar i TVL när det manipulerades för 114 miljoner dollar. Hög TVL visar att många människor litar på protokollet, men flockbeteende eliminerar inte sårbarheter i smarta kontrakt, ekonomiska designbrister eller förvaltningsrisker. Kalkylatorn väger TVL till endast 20 % av den totala poängen och använder logaritmisk skalning för att förhindra att extrema TVL-värden dominerar bedömningen. Ett protokoll med 10 miljarder USD i TVL men ingen revision ger lägre poäng än ett protokoll med 100 miljoner USD i TVL och två nivå 1-revisioner.
- !Ett andra kritiskt fel är att ignorera komponerbarhetsrisken, som uppstår från sammankopplingen mellan DeFi-protokoll. Ett protokoll kan ha utmärkt intern säkerhet men är beroende av ett annat protokoll som är sårbart. Om protokoll A använder protokoll B:s token som säkerhet och protokoll B utnyttjas (som får dess tokenpris att krascha), upplever protokoll A kaskadförluster även om dess egna smarta kontrakt är säkra. Terra/Luna-kollapsen visade detta i stor skala: dussintals protokoll som accepterade UST som säkerhet drabbades av förluster när UST tog bort kopplingen. Kalkylatorn utvärderar sammansättningsrisk genom att identifiera protokollets externa beroenden (vilka tokens det accepterar som säkerhet, vilka orakel det använder, vilka överbryggar det förlitar sig på) och poängsätt riskprofilen för varje beroende. Ett protokoll som uteslutande använder ETH och USDC som säkerhet har lägre sammansättningsrisk än ett som accepterar dussintals exotiska tokens.
- !Ett tredje vanligt misstag är att förankra historiska revisionsresultat utan att beakta att protokollen ändras ofta. Många DeFi-protokoll kan uppgraderas genom proxykontrakt, vilket innebär att koden som granskades kanske inte är den kod som körs för närvarande. Om ett protokoll granskades 2022 men har implementerat 15 uppgraderingar sedan dess, ger revisionen betydligt mindre säkerhet än om koden har varit oförändrad. Kalkylatorn straffar uppgraderingsbara protokoll som har modifierats sedan deras senaste granskning och belönar protokoll som antingen granskas på nytt efter varje betydande uppgradering eller använder oföränderliga (icke uppgraderingsbara) kontrakt. Aaves praxis att beställa en ny granskning för varje versionsuppgradering är en bästa praxis som räknaren känner igen med ett högre revisionspoäng.
Proffstips
Innan du gör en insättning i något DeFi-protokoll, utför en 5-minuters riskkontroll: (1) verifiera att det finns minst en revision från ett erkänt företag genom att kontrollera protokollets dokumentation, (2) bekräfta att TVL har varit stabilt eller vuxit i minst 3 månader på DefiLlama, (3) kontrollera Rekt-databasen för eventuella tidigare incidenter som involverar protokollets administratörsstruktur, (4) granska blockkedjan för administratörsstrukturen, (4) timelocks och multi-sigs), och (5) kontrollera om försäkringsskydd är tillgängligt på Nexus Mutual. Om någon av dessa fem kontroller misslyckas, minska din planerade tilldelning med minst 50 % eller undvik protokollet helt tills bristen är åtgärdad.
Visste du?
Rekt-poängtavlan, som spårar de största DeFi-operationerna i historien, visar att de 10 bästa incidenterna enbart står för över 3 miljarder dollar i förluster. Anmärkningsvärt är att den vanligaste grundorsaken inte är sofistikerade nolldagars utnyttjande utan snarare välkända sårbarhetsklasser: återinträdesattacker (upptäcktes 2016 med DAO-hacket), orakelmanipulation (en känd risk sedan 2020) och åtkomstkontrollmisslyckanden (kompromisser med adminnyckeln). Detta tyder på att DeFi-branschen har ett inlärningsproblem snarare än ett tekniskt problem: nya protokoll upprepar fortfarande misstag som äldre protokoll redan har identifierat och mildrat.
Regional Guides
▾
🇺🇸 US▾
🇬🇧 UK▾
🇪🇺 EU▾
Referenser
- ›Rekt News - DeFi Exploit Leaderboard
- ›DefiLlama - Protokoll TVL och riskdata
- ›DeFi Safety - Protokollsäkerhetsrecensioner
Få mattetips varje vecka
Gå med 12 000+ prenumeranter som får räknartips varje vecka.