За пределами APY: отказ от доверия к «чёрному ящику» и переоценка логики безопасности стейкинга ETH

Автор: imToken

За последнее время инциденты с безопасностью в криптовалютной отрасли практически не прекращались (дополнительно читайте «От Binance до PHP2Shell: в эпоху ИИ оборонительные рубежи веб-безопасности требуют переосмысления»).

От потерь десятков миллиардов долларов на торговых площадках до атак на цепочки поставок кошельков и сторонних провайдеров, от уязвимостей смарт-контрактов до краж активов в блокчейне — ряд событий постоянно напоминает нам: в мире криптовалют безопасность активов зависит не только от надежности базового блокчейна, но и от того, кто хранит активы, кто контролирует ключи, а также от количества звеньев доверия во всей сервисной цепи.

Для держателей ETH участие в стейкинге работает по тому же принципу.

В сети Ethereum уже существует относительно зрелый механизм нативного стейкинга, позволяющий пользователям становиться сетевыми валидаторами за счет депозита ETH и получать протокольные награды при обеспечении безопасности сети. Однако по мере развития стейкинга через биржевое опекунство, ликвидный стейкинг и профессиональные услуги узлов возникла проблема, которую часто упускают из виду:

При одинаковом условии владения ETH различные варианты решений могут кардинально отличаться по уровню контроля над активами и границам безопасности.

Если передать ETH третьей стороне, кто именно обладает правом вывода? Если валидатор обслуживается профессиональным провайдером, может ли пользователь по-прежнему самостоятельно контролировать основную сумму? И какие дополнительные потенциальные риски возникают между нативным стейкингом и ликвидным стейкингом?

Ответить на эти вопросы может быть важнее, чем простое сравнение APY различных продуктов стейкинга.

Первая линия защиты безопасности стейкинга: кто владеет правом вывода активов?

Чтобы понять механизмы безопасности ETH-стейкинга, прежде всего необходимо разобраться, кто именно контролирует узлы валидации Ethereum.

Ethereum использует алгоритм консенсуса PoS (proof-of-stake): пользователю достаточно внести не менее 32 ETH в контракт депозита, чтобы активировать ноду валидации, участвовать в вынесении блоков на голосование, проверке транзакций и формировании консенсуса, а также получать награды согласно правилам сети.

Однако один валидатор управляется не одним единственным ключом. В системе стейкинга Ethereum основные права разделены на два типа:

Ключ подписи (Signing Key): используется для повседневной работы узла валидации, включая предложение блоков и проверку доказательств; представляет операционное право участия в сетевом консенсусе. Ключ вывода (Withdrawal Key): определяет право собственности на основную ставку и полученные доходы, устанавливая адрес, на который средства могут быть переведены в конечном итоге (как правило, это адрес кошелька пользователя с самохранением); представляет окончательный контроль над активами.

Разделение обязанностей здесь предельно ясно: ключ подписи отвечает за нормальную работу валидатора, а ключ вывода — за то, кто в итоге заберет деньги. Это означает, что ответственному за эксплуатацию валидатора вовсе не обязательно обладать окончательным контролем над активами.

Понимание этого разделения полномочий позволяет увидеть фундаментальную разницу между кастодиальной и некстодиальной моделями:

В полностью кастодиальном стейкинге оба типа прав обычно сосредоточены в руках платформы. Пользователи вносят ETH на торговую площадку или в кастодиальную организацию, которые одновременно отвечают за работу узла и контролируют вывод средств. На интерфейсе пользователь видит лишь цифру баланса на счетах, а возможность успешного возврата активов напрямую зависит от управления капиталом, правил вывода и финансового состояния самой платформы. В некстодиальной модели происходит физическое разделение этих прав. Пользователь сохраняет контроль над ключом вывода через свой кошелек, тогда как профессиональный провайдер владеет только ключом подписи и занимается ежедневным обслуживанием узла. Даже если провайдер берет на себя сложное обслуживание оборудования и сети, он не сможет вывести основную ставку пользователя, полагаясь лишь на свои операционные права.

Такая изолированная архитектура, при которой «право вывода принадлежит пользователю, а операционные права — провайдеру», имеет ключевую ценность в минимизации границы доверия: пользователю не нужно передавать контроль над основной ставкой и нести в одиночку высокие затраты на обслуживание узлов.

Конечно, некстодиальность не означает полного отсутствия рисков. Ключ подписи по-прежнему влияет на ежедневную производительность валидатора: утечка ключа, двойная подпись или критические простои могут привести к санкциям со стороны протокола.

Следовательно, первый шаг при оценке любого решения стейкинга — проверка строгого разделения прав вывода и операционных прав, а также уверенность в том, что пользователь действительно держит ключ к возврату активов в своих руках.

Как нативный протокол Ethereum защищает стейкированные активы?

Разобравшись с контролем ключей, возникает другой важный вопрос: почему прямое участие в нативном стейкинге Ethereum предлагает более надежную структуру безопасности по сравнению с различными продуктами деривативного стейкинга от третьих лиц?

Секрет в том, что нативный стейкинг ETH напрямую базируется на базовом протоколе консенсуса Ethereum без добавления промежуточных уровней.

При участии в нативном стейкинге ETH напрямую попадает в официальную систему валидаторов Ethereum, а распределение доходов и наложение штрафов за нарушения выполняются автоматически на уровне кода протокола. Не требуется привлекать пулы ликвидности третьих лиц для сбора активов и не нужно выпускать деривативные токены (например, LST) для косвенной репрезентации прав стейкинга, что изначально устраняет комплексные риски смарт-контрактов сторонних протоколов, кросс-цепного управления и деанкоринга производных инструментов.

На данный момент сам протокол Ethereum посредством трех механизмов установил четкие границы безопасности и выхода внутри нативной экосистемы.

Во-первых, протокол регулирует поведение валидаторов через систему вознаграждений и наказаний. Валидатор должен оставаться онлайн и направлять предложения блоков и доказательства в соответствии с требованиями. Сбои узла или длительное отсутствие могут привести к потере наград и штрафным вычетам из баланса. Более серьезные нарушения, например подпись конфликтующих блоков, могут запустить механику Slashing (конфискации), при части стейкированных ETH сжигается, а сам валидатор принудительно исключается из сети. Цель данной системы — обязать участников нести ответственность наряду с получением дохода, гарантируя, что любые попытки подрыва сетевого консенсуса будут сопровождаться реальными экономическими потерями.

Во-вторых, права вывода и права эксплуатации валидатора могут функционировать независимо. Это крайне важная конструкция нативного стейкинга для безопасности активов: даже при компрометации ключа подписи валидатора, пока ключ вывода находится в безопасности у пользователя, злоумышленник не сможет просто забрать основную ставку. После обновления Pectra Ethereum дополнительно усовершенствовала этот механизм, позволив адресам вывода напрямую инициировать процесс выхода валидатора без полной зависимости от его ключа подписи, что предоставляет некстодиальным пользователям нижний уровень защиты для принудительного изъятия средств в экстремальных ситуациях.

Наконец, выход из нативного стейкинга также подчиняется правилам протокола. Нативный стейкинг поддерживает снятие наград и полный возврат ставки, однако процесс не происходит мгновенно, как обычный перевод кошелька. После инициации выхода валидатор попадает в общую очередь исключения согласно правилам протокола (время ожидания зависит от общего числа одновременных выходов в сети). Лишь после завершения операции основная ставка и оставшиеся награды автоматически поступят на привязанный адрес вывода (дополнительно читайте «Почему при участии в нативном стейкинге Ethereum сейчас нужно сначала месяц ждать в очереди?»).

С этой точки зрения ценность нативного стейкинга заключается не только в получении наград в ETH, но и в предоставлении гарантий клиринга на базовом уровне с полностью прозрачными правилами, верифицируемыми в блокчейне, не требующими посредничества централизованных институций для выплат.

Сравнительный разбор основных моделей: куда именно распределяются риски?

Если совместить контроль над ключами и зависимость от протокола, то четыре основные категории предложений стейкинга ETH на рынке в действительности размещают риски в разные корзины.

Решения от бирж и кустодиальных организаций обычно имеют самый низкий порог входа, поддерживают микро-стейкинг и предлагают опыт, схожий с традиционным финансовым планированием, избавляя пользователей от сложных технических процедур. Одновременно с этим контроль над основной ставкой полностью передается платформе. Даже если базовые ETH в итоге попадают в официальный контракт стейкинга Ethereum, пользователь все равно несет кредитные риски платформы, риски внутреннего риск-менеджмента и ограничения на вывод средств в периоды экстремальной рыночной конъюнктуры.

Возьмем для примера протоколы ликвидного стейкинга вроде Lido: внесши ETH, пользователи получают LST (токены ликвидного стейкинга), такие как stETH, обозначающие право на долю в стейкинге, что удобно для повторного генерирования прибыли в DeFi или мгновенной реализации на вторичном рынке. Главный плюс таких решений — снижение барьера входа и сохранение возможности участвовать в DeFi и других приложениях непосредственно в период стейкинга, однако уровень риска резко возрастает. Владение LST не равносильно контролю над правом вывода валидатора, а представляет собой долговую расписку на базе смарт-контракта. Помимо базового риска конфискации на узлах, пользователи дополнительно сталкиваются с уязвимостями смарт-контрактов, рисками управления протоколом, а также риском дисконта (деанкоринга) LST на вторичном рынке и банковскими паниками при отзыве в стрессовых условиях, что исторически уже неоднократно происходило с LST.

Некстодиальный нативный стейкинг призван разрешить именно противоречие между автономией активов и эксплуатацией узлов. Пользователи участвуют в сети через нативный механизм Ethereum, сохраняя контроль над ключом вывода, тогда как профессиональные провайдеры занимаются работой, мониторингом и обслуживанием валидаторов. Такой подход освобождает пользователей от дополнительного риска деанкоринга токенов ликвидного стейкинга и снижает влияние дополнительных рисков смарт-контрактов пулов стейкинга и их управленческих структур.

Если пользователи располагают достаточным количеством ETH и техническими компетенциями, они могут настроить узел самостоятельно. В этом варианте ключ подписи, ключ вывода и оборудование узла контролируются исключительно ими самими, без опоры на сторонних провайдеров. Но это не означает абсолютной минимизации рисков: сбои аппаратного обеспечения, обрывы связи, ошибки конфигурации клиента, некорректное резервное копирование ключей или даже двойные подписи способны нанести ущерб доходности или спровоцировать конфискацию. Следовательно, для обычных пользователей без опыта долгосрочной эксплуатации узлов техническая сложность и затраты на поддержку остаются серьезным барьером.

Сохраните контроль в своих руках: долгосрочная ценность некстодиальной модели

Подводя итог, различные модели стейкинга закрывают потребности инвесторов с разным объемом капитала и толерантностью к риску. Для тех, кому важен абсолютный контроль над главной суммой, но не хочется тратить силы на самостоятельное обслуживание серверов, некстодиальный нативный стейкинг явно выступает наиболее релевантным решением по безопасности.

Именно эта идея лежит в основе архитектуры некстодиального предложения ETH-стейкинга от imToken: принципиально важно оставлять ключ вывода в личном кошельке пользователя, а задачу обеспечения высокой доступности и эксплуатации узла делегировать профессиональной инфраструктуре.

На практике данное решение предусматривает две конфигурации узлов с процентокапитализацией и с автоматическим выводом, предоставляя пользователям гибкость в выборе стратегии управления капиталом.

Разумеется, выбор некстодиальной модели не дает права быть человеком, который просто отстраняется от дел. Поскольку конечный контроль над активами полностью остается за вами, пользователь обязан соблюдать персональные меры безопасности: надежно хранить офлайн-бэкапы сид-фразы кошелька, тщательно проверять адреса вывода перед инициацией стейкинга, а также четко понимать механику очередей выхода в протоколе Ethereum, тарифы обслуживания и возможные правила базовой конфискации.

По мере того как все больше ETH переходит в долгосрочные доходные системы, как держателям нам стоит задуматься не столько о размере ожидаемой доходности, сколько о следующем: если какой-либо внешний сервисный сегмент попадет в экстремальную ситуацию, сохраню ли я в итоге решающее право вернуть свою ставку?

Сохранение финального контроля над активами за собой и поручение специализированных задач профессионалам. Возможно, именно это является главным достоинством безопасности некстодиального нативного стейкинга.