Ты держишь деньги в пуле ликвидности одного протокола. Он работает, комиссии капают, всё стабильно. Потом появляется новый протокол — код тот же, интерфейс почти тот же, только вывеска другая — и предлагает вдвое больше доходности за то же самое действие. Через неделю у старого протокола осталась половина ликвидности. Через две — четверть. Никто ничего не взломал. Ликвидность просто встала и ушла, потому что её никто и не приковывал.
Это называется vampire attack — вампирская атака. Термин звучит как маркетинговая метафора, но описывает механику предельно точно: новый протокол не строит спрос с нуля, он высасывает уже накопленную ликвидность из конкурента, форкнув его код и подперев переход токенами.
Механика: почему это вообще возможно
DeFi — это открытый исходный код. Любой может скопировать смарт-контракты Uniswap, Compound или любого другого протокола за день, задеплоить копию и назвать её иначе. Копирование бесплатно, а сама ликвидность — нет: она принадлежит тысячам пользователей, которые вложили её туда, где увидели лучшую доходность в моменте.
Вот в чём суть атаки. Атакующий не просто форкает код — он строит мост перехода, контракт-мигратор, который принимает LP-токены (расписки о доле в пуле) того самого протокола-жертвы напрямую. Тебе не нужно выводить ликвидность из старого пула, платить газ, менять токены обратно и заводить их в новый пул — ты просто стейкаешь свои существующие LP-токены в контракте атакующего и сразу начинаешь получать его собственный токен как награду. Трение убрано почти полностью. А награда — щедрая, потому что новый токен ещё ничего не стоит эмитенту: он печатается из воздуха.
Через оговорённое время (иногда пару недель) мигратор одним действием — на заранее объявленном блоке — забирает всю накопленную ликвидность из застейканных LP-токенов и физически переносит её в собственные пулы атакующего. В этот момент старый протокол теряет ликвидность не постепенно, а обвалом, за один блок.
Кейс, который дал явлению имя: SushiSwap против Uniswap
Классика жанра случилась в августе-сентябре 2020 года. Uniswap на тот момент был крупнейшей децентрализованной биржей, без собственного токена управления, просто общественное благо с открытым кодом. Аноним под псевдонимом Chef Nomi форкнул код Uniswap, добавил токен SUSHI как награду за стейкинг и запустил SushiSwap.
Механизм был ровно тот, что описан выше: пользователи стейкали свои Uniswap LP-токены в контракте SushiSwap и фармили SUSHI, при этом сама ликвидность физически ещё оставалась в пулах Uniswap. Доходность в SUSHI была настолько высокой, что за пару недель в контракт мигратора затекло, по разным оценкам, от 800 миллионов до более миллиарда долларов ликвидности — заметная часть всего Uniswap. Затем на объявленном блоке контракт исполнил миграцию разом, и вся эта ликвидность физически переехала в пулы SushiSwap.
История получила драматичное продолжение: Chef Nomi почти сразу продал свою основательскую долю SUSHI за эфир на несколько миллионов долларов, цена токена обвалилась, сообщество запаниковало, контроль над проектом временно перешёл к Сэму Бэнкману-Фриду (тогда главе FTX), и лишь после публичного давления Chef Nomi вернул выведенные средства в казну проекта. SushiSwap выжил и остаётся заметным игроком до сих пор — но история его рождения навсегда осталась учебником по вампирским атакам.
А Uniswap ответил не через месяцы дискуссий, а через собственный ход: в сентябре 2020-го он выпустил токен UNI и раздал его всем прошлым пользователям протокола ретроактивным airdrop'ом — шаг, который многие в индустрии прямо связывают с давлением, которое создал форк-конкурент. Атака не убила жертву, но заставила её измениться быстрее, чем она планировала.
Наёмный капитал: у ликвидности нет памяти
Наша запись. В системе Маат Рен — это имя, назвать которое значит получить власть над сущностью. Вампирская атака работает именно на этом принципе: атакующий не создаёт новую ценность, он присваивает себе то, что уже накоплено под чужим именем, просто предложив более громкое имя доходности. Ликвидность здесь — не Ба, не осознанная воля: у неё нет верности, нет памяти о том, где она заработала прошлую прибыль. Она течёт туда, где число больше, и утекает в тот же миг, как число становится меньше в другом месте. Это не порок конкретных людей — это честная физика капитала без привязки к смыслу.
Отсюда и вывод, который стоит держать в голове каждый раз, когда видишь заголовок «доходность 400% APY»: за такой цифрой почти всегда стоит эмиссия нового токена, а не реальный экономический доход. Проект печатает свой токен и раздаёт его как приманку, потому что печатать дешевле, чем зарабатывать. Ты не получаешь долю прибыли протокола — ты получаешь долю его будущей инфляции, выраженную в токене, чья цена держится ровно до тех пор, пока приходят новые вкладчики.
Что это значит для тебя, если ты держишь ликвидность
Если ты фармишь доходность в DeFi, три вещи стоит проверять до, а не после того, как ликвидность утекла у тебя из-под носа:
- Откуда берётся доходность. Комиссии от реальных сделок пользователей — это одно, эмиссия нового токена — совсем другое. Первое устойчиво в разумных пределах, второе почти всегда разбавляет тебя же самого по мере роста предложения токена.
- Кто держит ключи от контракта-мигратора. Если новый протокол принимает твои LP-токены напрямую, узнай, кто может дёрнуть рычаг миграции и на каких условиях — это концентрация власти, замаскированная под удобство.
- Насколько молод код. Форк за неделю означает форк без месяцев аудита боевыми условиями. Более высокая доходность форка часто — это именно премия за непроверенный риск, а не бесплатный обед.
Сама по себе вампирская атака — не преступление и не взлом. Это конкуренция, доведённая до логического предела в среде, где копирование бесплатно, а лояльность капитала равна нулю. Она не крадёт у протокола-жертвы ничего, что тебе не принадлежало — она перетягивает то, что и так было твоим, просто твоим решением, принятым за секунды под давлением цифры на экране. Единственная защита, которая работает всегда, — это спрашивать, откуда берётся доходность, прежде чем в неё заходить, а не после того, как её источник иссяк.