👌 Vault в DeFi — это просто код или скрытый управляющий?

▶️Снаружи многие ваулты выглядят одинаково: пользователь вносит USDC или ETH, а протокол обещает доходность. Но разница может быть принципиальной. В одном случае деньги работают по заранее заданным правилам смарт-контракта. В другом — команда или менеджер решает, куда направить средства, может менять стратегию и даже ограничивать вывод.

🟡Xerberus изучили 104 ваулта по 32 критериям безопасности и управления. Они проверяли, может ли менеджер менять стратегию без предупреждения, есть ли ограничения на его действия, обязательная задержка перед изменениями и возможность выйти до смены правил. Также оценивалось, способен ли оператор фактически контролировать деньги пользователя: остановить вывод, влиять на погашения, вести учёт вне блокчейна или сосредоточить ключевые права у одной стороны.

🟣Авторы выделили четыре условных типа ваултов. Полностью программные ваулты работают по неизменяемому коду: оператор не может вручную перенаправить средства, а пользователь может выйти самостоятельно. Пример из исследования — Spark Savings USDC, который прошёл около 94% доступных проверок риска, связанного с управляющим.

🟡Во втором типе стратегией управляет команда, но её полномочия ограничены контрактами, лимитами и защитами. Например, Gauntlet USDC Prime прошёл около 75% проверок. Здесь всё ещё нужно доверять менеджеру, но его возможности действовать в одностороннем порядке ограничены.

🔵В третьем типе ваулт зависит от менеджера: оператор может менять стратегию без окна для выхода, ограничивать погашения или использовать непрозрачный учёт. В такой модели пользователь сильнее зависит от решений третьей стороны.

🟣Есть и четвёртый, более редкий тип: менеджер не может свободно менять торговую стратегию, но при этом всё ещё способен удерживать средства пользователей.

✔️Главная мысль проста: доходность ваулта — это не только APY, но и вопрос контроля. Если команда может в любой момент изменить аллокацию или заблокировать вывод, это ближе к передаче средств управляющему, чем к использованию нейтрального DeFi-кода.

▶️Перед депозитом стоит проверить, кто и как меняет стратегию, есть ли обязательная задержка и время на выход перед изменениями, может ли кто-то остановить вывод средств, существует ли независимый on-chain способ закрыть позицию, проверяются ли учёт и состав активов в блокчейне, а также кто контролирует админ-ключи и аварийные функции.

Оценка Xerberus не является юридическим заключением и отражает состояние контрактов на момент проверки, в основном в июне и июле 2026 года. Кроме того, ваулт может выглядеть полностью автоматическим, но внутри использовать другой ваулт, которым вручную управляет команда. Поэтому при анализе важно проследить всю цепочку, куда в итоге направляются средства пользователя.

📚Крипто-Wiki: инструменты DeFi | статьи, обзоры, инструкции | DefiLearn закрытая группа