S&P מתחילה להעריך כספות DeFi של 10 מיליארד דולר, ומחקר מראה שהלוואות בזק גרפו 1.2 מיליארד

S&P Global Ratings השיקה ב-4 באוקטובר מסגרת חדשה בשם Vault Risk Assessment, שנועדה להשוות בין כספות הלוואה בעולם ה-DeFi לפי הסיכון שהמשקיעים בהן יספגו הפסד. לפי נתוני S&P שמצטטת CryptoSlate, הפיקדונות בכספות האלה הגיעו בספטמבר לכ-10 מיליארד דולר, לעומת 1.5 מיליארד דולר שנתיים קודם, גידול של כמעט פי 7.

באותו יום דיווחה חברת אבטחת הבלוקצ'יין CertiK על תנועות חשודות בכספת שלא זוהתה בשמה ברשת Base של קוינבייס, אירוע בהיקף של כ-6 מיליון דולר. כמעט במקביל פורסם בכתב העת Journal of Financial Crime מחקר שמכמת לראשונה בצורה שיטתית את הנזק מהתקפות הלוואות בזק: 1.211 מיליארד דולר בין 2020 ל-2024, לפי Decrypt.

מה קרה בכספת ב-Base

לפי CertiK, חוזה מתווך (proxy) שנפרס זה עתה לווה מהכספת כ-1,783 יחידות של aBaswstETH, אסימון שמייצג פיקדון של wstETH ב-Aave, בשווי של כ-6 מיליון דולר. אחר כך הוא פדה את האסימונים דרך Aave וקיבל בתמורה כ-1,783 wstETH, את'ריום במעטפת של סטייקינג.

Aave עצמה לא נפרצה. הכשל ישב בשכבה שבין המפקיד לבין פרוטוקול ההלוואות, בחוזים ובהרשאות של הכספת. CryptoSlate מציינת שזה בדיוק סוג הסיכון שהולך וגדל ככל שכספות הופכות פופולריות. מי שמפקיד בכספת שמשקיעה ב-Aave חשוף ל-Aave, אבל גם לכל מה שהכספת הוסיפה מעליה.

איך עובדת כספת עם אוצר

כספת (vault) היא חוזה חכם שמאגד כספים של משקיעים ומקצה אותם לפי אסטרטגיה מוגדרת מראש. ההחלטות מתקבלות בקוד אוטומטי, או בידי מנהל אנושי שנקרא curator, אוצר. בפועל הוא מחליט לאילו שווקי הלוואות הכסף ילך, באילו בטוחות, ובאיזה ריכוז. המפקיד מקבל אסימון שמייצג את חלקו בקופה ובתשואה.

לפי S&P, המבנים האלה מסוגלים לשחזר פונקציות של קרנות כספיות, קרנות אשראי פרטי, קרנות פרייבט אקוויטי וקרנות גידור, כשהכסף פועל ישירות על הבלוקצ'יין. הגמישות הזאת מוסיפה נקודות כשל. ההפסד יכול לבוא מהחלטת הקצאה של האוצר, מנזילות משיכה חלשה, משינוי בהרשאות של החוזה או מפרצה בכספת עצמה.

מה הדירוג של S&P בודק

המסגרת בוחנת שישה תחומים, לפי CryptoSlate.

הציונים יישאו סיומת "(v)", ו-AAA(v) תהיה קטגוריית הסיכון היחסי הנמוכה ביותר. S&P מדגישה שאין מדובר בדירוג אשראי. הציון לא מעריך את התשואה הצפויה ולא מבטיח החזר של הקרן, והסוכנות מגדירה אותו כחוות דעת צופה פני עתיד על הסיכון היחסי לפגיעה בערך. ההערכה יכולה להשתנות כשהנכסים, החוזים או תנאי הנזילות משתנים, גם אם ההיסטוריה של הכספת על הבלוקצ'יין נקייה. S&P עדיין לא פרסמה ציונים לכספות ספציפיות, ואמרה שהם יגיעו בהודעות עתידיות.

פער הנזילות במספרים: 4.4 מיליון דולר זמינים מתוך 55.9 מיליון

פער נזילות נשמע מופשט עד שרואים דוגמה. CryptoSlate בדקה ב-12 בספטמבר את מאגר ההלוואות של הסטייבלקוין USDT0 ב-Aave ברשת Monad. המאגר הציג תשואה שנתית של 6.10%, אבל מתוך 55.9 מיליון דולר שהופקדו בו, רק כ-4.4 מיליון דולר, כ-7.9%, לא היו מושאלים. מפקיד שהיה מבקש למשוך 5 מיליון דולר באותו רגע היה נתקל בתקרה, אלא אם בינתיים היו מגיעים פיקדונות חדשים או החזרי הלוואות. ב-Aave אפשר למשוך רק את מה שלא הושאל.

התשואה הגבוהה והנזילות הנמוכה הולכות כאן יחד. כשמפקידים עוזבים והלוואות נשארות, אחוז הניצול של המאגר עולה, ועקומת הריבית של Aave מעלה את התשואה למי שנשאר. ריבית שעולה יכולה לשקף ביקוש חזק להלוואות, ויכולה לשקף קופת מזומנים שמתרוקנת.

הלוואות בזק: 72 התקפות, 1.211 מיליארד דולר

הלוואת בזק (flash loan) היא הלוואה בלי בטוחה, בתנאי שהיא מוחזרת בתוך אותה עסקה על הבלוקצ'יין. אם ההחזר לא מתבצע, כל העסקה מתבטלת כאילו לא הייתה. לשימוש לגיטימי זה כלי לארביטראז' ולמחזור חובות. לתוקף זה מקור להון עצום לכמה שניות, מספיק כדי להזיז מחיר במאגר דליל או לנצל באג.

המחקר של פרופ' טים הול מאוניברסיטת וינצ'סטר ורמו שטיגר, לשעבר שותף בחברת מודיעין הסיכונים השווייצית SyntiFi, זיהה 72 התקפות של הלוואות בזק בין פברואר 2020 ליולי 2024, מתוך 254 התקפות מוצלחות על DeFi בתקופה. כלל ההתקפות גרמו להפסדים של 6.568 מיליארד דולר, והלוואות הבזק אחראיות ל-18.44% מהם. יותר מ-80% מההפסדים האלה נרשמו באת'ריום.

החוקרים חילקו את ההתקפות לשתי משפחות. הראשונה מתמרנת את מקורות המחיר (אורקלים), והשנייה מנצלת פגמים בלוגיקה של הפרוטוקול. ניצולי לוגיקה נדירים יותר אבל יקרים יותר, ומשקלם עלה ככל שפרוטוקולים תיקנו את חולשות המחיר. ארבעה סוגים אחראים ליותר מ-81% מההפסדים: התקפות אורקל, ניצול של פונקציית donate, התקפות reentrancy והתקפת הממשל הבודדת.

נציג של פלטפורמה שנפגעה, שהתראיין לחוקרים בעילום שם, סיפר שהבאג עבר את הצוות שלו ו"כמה מבקרים" ונשאר על הבלוקצ'יין יותר משנה לפני שנוצל. החוקרים מתארים את ההתקפות כאיום משמעותי ובלתי צפוי, אבל "לא קיומי". רק בתקופה אחת של חצי שנה ההפסדים עלו על 0.5% מהסכום שנלווה בהלוואות בזק, והשימוש בהן המשיך לגדול.

הלוואה על ביטקוין ב-Aave: המרווח עשוי לרדת ל-4.7%

סיכון שלישי נוגע ללווים ולא למפקידים. לפי CryptoSlate, הצעה של ספקית ניהול הסיכונים LlamaRisk תאפשר למשתמשי Aave V3 ב-Ethereum Core ללוות עד 81 סנט על כל דולר של WBTC או cbBTC, שני ייצוגים של ביטקוין על את'ריום, לעומת 73 סנט היום. סף החיסול יעלה מ-78% ל-85%. בזמן הדיווח התוצאה של הצבעת Snapshot והיישום עדיין לא אומתו, כך שמדובר בפרמטרים מוצעים.

דוגמה בשקלים מראה את ההשפעה. נניח שהפקדתם ביטקוין בשווי 100,000 ש"ח ולוויתם את המקסימום.

ביטקוין זז 4.7% ביום לא שגרתי. LlamaRisk מבססת את ההצעה על נתוני שנה, מאוגוסט 2025 עד אוגוסט 2026, שלפיהם חיסולים משמעותיים נסגרו בדרך כלל בתוך דקות. CryptoSlate מעירה שהנתונים נאספו תחת הפרמטרים הקיימים, ולא מוכיחים איך ההגדרות החדשות יתנהגו בתנודה קיצונית הבאה.

רשימת בדיקה לפני הפקדה בכספת או לקיחת הלוואה ב-DeFi

בפרוטוקול מבוזר אין מוקד שירות שמחזיר כסף אחרי פרצה, ולכן הבדיקה נופלת על המפקיד. הטבלה מרכזת את מה שעולה מהאירועים של השבוע.

כדאי לפזר בין כמה כספות ולא לרכז הכול בתשואה הגבוהה ביותר. בצד המס, רווח ממכירת מטבעות חייב במס רווח הון של 25% ומדווח בטופס 1399, ובנקים ישראליים מבקשים לא פעם תיעוד של מקור הכספים כשמזומנים שמקורם בקריפטו מגיעים לחשבון. שמירת היסטוריית עסקאות מסודרת מכל פרוטוקול חוסכת עבודה בהמשך. פירוט במדריך המס על קריפטו בישראל, ולמי שרק מתחיל, המדריך לקניית ביטקוין בישראל.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות או ייעוץ מס. פעילות ב-DeFi כרוכה בסיכון לאובדן מלא של הכספים, ולפני כל החלטה מומלץ להיוועץ באיש מקצוע מוסמך.