Hva er smartkontraktrisiko ved DEX-handel? Forklaring for investorer

Hva er DEX-handel smartkontraktrisiko?

Desentraliserte børser, forkortet DEX, lar brukere handle kryptovaluta direkte med hverandre uten en sentral mellommann. I stedet for en tradisjonell ordrebok styres handelen av smartkontrakter – selvutførende dataprogrammer som ligger på en blokkjede. Disse kontraktene håndterer alt fra å matche kjøps- og salgsordrer til å forvalte likviditetspooler. Men fordi smartkontrakter er programvare, kan de inneholde feil eller sårbarheter. Det er dette vi kaller smartkontraktrisiko.

Når en investor setter inn penger i en likviditetspool eller gjennomfører en handel på en DEX, stoler de på at koden fungerer som den skal. Hvis en angriper oppdager en svakhet, kan de utnytte den til å tappe poolen for midler, manipulere priser eller forhindre legitime transaksjoner. I motsetning til på en sentralisert børs, der et selskap har ansvar for sikkerheten, er det på en DEX ingen enkeltperson eller organisasjon som kan gripe inn – alt er overlatt til koden.

Risikoen er særlig høy fordi kryptovaluta-transaksjoner er irreversible. Når midlene først er borte, er det svært vanskelig å få dem tilbake. Derfor er det avgjørende for enhver som bruker DEX å forstå hva smartkontraktrisiko innebærer og hvordan den kan håndteres.

Forstå DEX-handel smartkontraktrisiko

For å forstå smartkontraktrisiko må man vite litt om hvordan smartkontrakter fungerer. En smartkontrakt er et sett med instruksjoner som utføres automatisk når bestemte betingelser er oppfylt. For eksempel kan en kontrakt for en likviditetspool inneholde regler for hvordan tokens skal settes inn, tas ut og byttes. Koden er åpen og kan leses av alle, men den er også kompleks og kan inneholde utilsiktede logiske feil.

En vanlig type sårbarhet er re-entrancy-angrep, der en angriper kaller tilbake på en kontrakt før den første transaksjonen er fullført, og dermed tapper den for midler. Et kjent eksempel er DAO-hacket i 2016, som førte til tap av over 60 millioner dollar i ether. Selv om DAO ikke var en DEX, illustrerer hendelsen hvordan en enkel kodefeil kan få katastrofale følger.

Risikoen varierer sterkt mellom ulike DEX. Store, etablerte plattformer som Uniswap og SushiSwap har gjennomgått mange revisjoner og har vært i drift i årevis uten alvorlige hendelser. Mindre eller nyere DEX har ofte mindre gjennomgått kode og kan være mer utsatt. Ifølge en rapport fra 2023 ble over 1,5 milliarder dollar tapt i kryptohack totalt, hvorav en betydelig andel skyldtes smartkontraktfeil på DEX og andre DeFi-protokoller.

Hvordan fungerer DEX-handel smartkontraktrisiko?

Mekanismen bak smartkontraktrisiko kan forklares i flere trinn. Først oppdager en angriper en sårbarhet i en smartkontrakt, for eksempel en feil i hvordan kontrakten håndterer interne balanser eller eksterne kall. Deretter konstruerer angriperen en eller flere transaksjoner som utnytter feilen. Dette kan være en enkel transaksjon eller en kompleks kjede av handlinger, ofte kalt en «flash loan»-attakk.

Når angriperen sender transaksjonen, utføres den på blokkjeden. Fordi smartkontrakten er automatisert, vil den følge instruksjonene slik de er skrevet, selv om resultatet er utilsiktet. For eksempel kan en kontrakt som er ment å begrense uttak til én gang per blokk, i stedet tillate ubegrensede uttak på grunn av en logisk feil. Angriperen kan da tømme hele likviditetspoolen i løpet av sekunder.

En annen variant er «price oracle manipulation», der angriperen manipulerer prisdata som smartkontrakten stoler på, for å få urettferdige bytteforhold. Dette har skjedd flere ganger på DEX som henter priser fra eksterne kilder. I slike tilfeller kan angriperen kjøpe tokens til en kunstig lav pris eller selge dem til en kunstig høy pris, og på den måten stjele fra andre brukere.

Historisk bakgrunn

Historien om smartkontraktrisiko er tett knyttet til utviklingen av Ethereum og desentralisert finans (DeFi). Det første store smellen kom i 2016 med DAO-hacket, som førte til en hard fork av Ethereum. Selv om DAO ikke var en DEX, satte hendelsen søkelys på hvor sårbare smartkontrakter kan være.

I 2020, da DeFi-eksplosjonen tok fart, dukket de første store DEX-hackene opp. I februar 2020 ble bZx-protokollen utsatt for et angrep som utnyttet en feil i lånemekanismen, noe som førte til tap på omtrent 8 millioner dollar. Senere samme år ble Harvest Finance hacket for 24 millioner dollar, og i 2021 mistet SushiSwap omtrent 3 millioner dollar i et MISO-utbudshack.

I 2022 og 2023 fortsatte angrepene, men mange protokoller har også blitt sikrere. Likevel viser tallene at risikoen er reell. Ifølge Chainalysis ble det i 2022 stjålet over 3,8 milliarder dollar i kryptohack, hvorav DeFi-protokoller (inkludert DEX) sto for en stor andel. En tabell over de største DEX-relaterte hendelsene kan gi et bilde:

Praktisk eksempel

La oss ta et norsk eksempel. Kari Nordmann har 200 000 kroner hun ønsker å sette i arbeid i kryptomarkedet. Hun finner en ny DEX som tilbyr svært høy avkastning på en likviditetspool med et populært tokenpar. Hun leser ikke den tekniske dokumentasjonen, men ser at flere andre norske investorer har fått gode resultater.

Uten at Kari vet det, inneholder smartkontrakten en sårbarhet kalt «skjult funksjon». En utvikler har lagt inn en bakdør som lar ham eller henne tømme poolen for alle midler. En dag aktiverer angriperen bakdøren, og hele poolen – inkludert Karis 200 000 kroner – blir overført til angriperens lommebok. Fordi transaksjonen er irreversible, får Kari aldri pengene tilbake.

Hva kunne Kari ha gjort annerledes? Hun kunne ha sjekket om smartkontrakten var revidert av et anerkjent sikkerhetsfirma som Trail of Bits eller OpenZeppelin. Hun kunne også ha startet med et mindre beløp for å teste plattformen. I tillegg kunne hun ha brukt en DEX med lang driftshistorie og et stort fellesskap, der koden er grundig gjennomgått.

Fordeler og ulemper

Det er viktig å veie fordelene ved DEX-handel opp mot risikoen. Fordelene er blant annet full kontroll over egne midler (du trenger ikke overlate dem til en tredjepart), ingen KYC-krav, global tilgjengelighet og muligheten til å handle et bredt spekter av tokens. DEX gir også åpenhet, siden all kode er synlig på blokkjeden.

Ulempene er betydelige. Smartkontraktrisiko er den mest alvorlige, men det finnes også risiko som impermanent loss (midlertidig tap ved å tilby likviditet), lav likviditet på mindre DEX som kan føre til høy glidning (slippage), og risiko for at prosjektet blir forlatt av utviklerne. I tillegg er det ingen kundestøtte som kan hjelpe ved feil.

Sammenlignet med sentraliserte børser som Binance eller Coinbase, har DEX lavere brukervennlighet og høyere ansvar på brukeren. Sentraliserte børser har ofte forsikringsordninger og bedre sikkerhet mot smartkontraktfeil (fordi de ikke bruker smartkontrakter på samme måte), men de har i stedet risiko for hacks av selve børsen og manglende kontroll over egne midler.

Vanlige misforståelser

En utbredt misforståelse er at DEX er helt trygge fordi de er desentraliserte. Desentralisering gir visse fordeler, men det betyr ikke at koden er feilfri. Tvert imot – uten en sentral aktør som kan gripe inn, er det desto viktigere at koden er perfekt.

En annen misforståelse er at alle DEX har samme sikkerhetsnivå. I virkeligheten varierer kvaliteten på koden enormt. Uniswap v3 har blitt revidert flere ganger og har en lang merittliste, mens en helt ny DEX på en mindre blokkjede kan ha minimal testing. Investorer bør alltid sjekke revisjonshistorikk og utviklerteamets rykte.

Noen tror også at hvis en DEX blir hacket, vil fellesskapet eller utviklerne kompensere tapene. Dette skjer i noen tilfeller – for eksempel returnerte Poly Network hackeren midlene i 2021 – men det er unntaket, ikke regelen. De fleste ganger er midlene tapt for godt.

Oppsummering

Smartkontraktrisiko er en iboende del av handel på desentraliserte børser. Som investor må du være klar over at koden som styrer handelen kan inneholde feil, og at konsekvensene kan være tap av hele investeringen. For å redusere risikoen bør du bruke veletablerte DEX med grundig revidert kode, starte med små beløp, og alltid gjøre din egen due diligence.

Husk at høy avkastning ofte kommer med høy risiko. Hvis en DEX lover ekstraordinære gevinster, er det ofte et tegn på at risikoen er tilsvarende høy. Ved å forstå smartkontraktrisiko og ta enkle forholdsregler kan du likevel dra nytte av fordelene med desentralisert handel på en tryggere måte.

Til syvende og sist handler det om å balansere mulighetene med en realistisk vurdering av farene. Kunnskap er det beste verktøyet for å navigere i dette landskapet.