Hva er stakingprodukt smartkontraktrisiko?

Stakingprodukt smartkontraktrisiko er en betegnelse på den tekniske risikoen knyttet til smartkontraktene som driver stakingprodukter i kryptovaluta. Når du staker krypto, låser du midlene dine i en smartkontrakt – en selvutførende kode på blokkjeden. Denne koden kan inneholde feil, sårbarheter eller logiske brister som ondsinnede aktører kan utnytte, eller som rett og slett fører til at midlene dine blir utilgjengelige.

For norske investorer som utforsker staking som en måte å tjene passiv avkastning på, er det avgjørende å forstå at smartkontraktrisiko er en reell og ofte undervurdert trussel. I motsetning til tradisjonelle bankinnskudd eller fondsinvesteringer, er det ingen statlig innskuddsgaranti som dekker tap som følge av kodefeil. Risikoen ligger i selve programvaren, og den kan være vanskelig å oppdage for vanlige brukere.

Begrepet kombinerer to elementer: stakingproduktet (for eksempel likvide stakingtokens som Lido stETH, eller stakingpooler på en Proof-of-Stake-blokkjede) og smartkontraktrisikoen (sannsynligheten for at koden ikke fungerer som tiltenkt). Det er denne sammensetningen som gjør at investorer må være ekstra på vakt når de velger stakingløsninger.

Forstå stakingprodukt smartkontraktrisiko

For å forstå smartkontraktrisikoen ved stakingprodukter, må du først vite hvordan en smartkontrakt fungerer. En smartkontrakt er en samling kode som kjører på blokkjeden og automatisk utfører avtaler når bestemte betingelser er oppfylt. I et stakingprodukt håndterer kontrakten innskudd, utbetaling av belønninger og eventuell uttak av midler. Hvis koden er skrevet feil, kan en hacker for eksempel manipulere uttaksfunksjonen for å tappe alle midlene.

Risikoen kan deles inn i flere kategorier. For det første er det rene kodefeil, som en manglende sjekk av innsendte parametere. For det andre er det logiske feil i forretningslogikken – for eksempel at kontrakten tillater uventede kombinasjoner av transaksjoner. For det tredje er det avhengighetsrisiko: smartkontrakten kan være avhengig av andre kontrakter eller orakler som selv har sårbarheter.

For norske investorer er det viktig å merke seg at smartkontraktrisiko ikke er det samme som markedsrisiko (prisfall på kryptovalutaen) eller likviditetsrisiko (vanskelig å selge). Det er en ren teknologisk risiko som kan føre til totalt tap av innsatsen, uavhengig av hvordan markedet utvikler seg. Derfor bør du alltid vurdere sikkerheten til smartkontrakten før du investerer.

Hvordan fungerer stakingprodukt smartkontraktrisiko?

Smartkontraktrisiko oppstår i det øyeblikket en utvikler lanserer en kontrakt på blokkjeden. Koden blir umiddelbart offentlig tilgjengelig og kan analyseres av alle. Hvis det finnes en sårbarhet, kan en angriper utnytte den før utviklerne rekker å oppdatere kontrakten. Fordi blokkjeder ofte er uforanderlige, kan en feil føre til permanente tap.

Mekanismen bak risikoen er todelt. For det første kan angriperen direkte utnytte en kodefeil – for eksempel en reentrancy-sårbarhet der kontrakten kaller tilbake til seg selv på en uventet måte. For det andre kan det oppstå såkalt «rug pull» der utviklerne selv har lagt inn en bakdør i kontrakten for å stjele midler. Selv om sistnevnte er mer en svindel enn en teknisk feil, er det fortsatt en risiko knyttet til kontraktens kode.

Risikoen påvirkes også av kompleksiteten til stakingproduktet. Jo flere funksjoner kontrakten har (som likvide stakingtokens, automatisk reinvestering, eller avansert yield farming), desto større er angrepsflaten. En enkel stakingpool med kun innskudd og uttak har færre potensielle feil enn en protokoll som tilbyr flere DeFi-tjenester.

Historisk bakgrunn

Den mest kjente hendelsen som illustrerer smartkontraktrisiko er The DAO-hacket i 2016. The DAO var en desentralisert venturefond-kontrakt på Ethereum som samlet inn over 150 millioner dollar. En angriper utnyttet en reentrancy-sårbarhet og tappet omtrent 3,6 millioner ETH (den gang verdt rundt 60 millioner dollar). Hendelsen førte til en hard fork av Ethereum og skapte Ethereum Classic. Dette var et tidlig varsel om hvor kritisk kodesikkerhet er.

Siden den gang har det vært en rekke store hendelser. I 2022 ble stakingprotokollen Harmony Horizon Bridge hacket for 100 millioner dollar på grunn av en sårbarhet i multisignatur-logikken. Samme år tapte brukere av Solanas stakingpooler midler etter et angrep på Wormhole broen. I 2023 ble Curve Finance utsatt for et angrep på grunn av en feil i Vyper-kompilatoren, noe som påvirket flere stakingpooler.

For norske investorer er det relevant at Finanstilsynet flere ganger har advart mot risikoen ved kryptoinvesteringer, inkludert smartkontraktrisiko. I 2023 publiserte de en rapport som påpekte at mange stakingprodukter mangler tilstrekkelig sikkerhetsgjennomgang. Samtidig har norske kryptoselskaper som Firi og NBX forsøkt å tilby tryggere stakingløsninger, men de er likevel avhengige av tredjeparts smartkontrakter.

Praktisk eksempel

Tenk deg at du som norsk investor ønsker å stake 10 000 NOK i en populær likvid stakingprotokoll. Du kjøper en token som representerer din andel i stakingpoolen, for eksempel stETH fra Lido. Smartkontrakten bak stETH er kompleks: den håndterer innskudd, utbetaling av stakingbelønninger, og muligheten for å handle tokenen på desentraliserte børser.

En dag oppdager en hacker en sårbarhet i kontraktens uttaksfunksjon. Ved å sende en spesiallaget transaksjon kan han få kontrakten til å tro at han har satt inn mer enn han faktisk har, og deretter ta ut langt flere tokens enn sin andel. Angrepet tømmer poolen for 50 millioner dollar i verdi. Din andel på 10 000 NOK blir verdiløs fordi det ikke er midler igjen i kontrakten.

Dette eksempelet viser at selv veletablerte protokoller med flere audits kan ha skjulte feil. Lido selv har blitt grundig revidert, men ingen audit kan garantere 100 % sikkerhet. Derfor er det lurt å spre risikoen ved å bruke flere ulike stakingprotokoller, og kun investere et beløp du har råd til å tape.

Fordeler og ulemper

Fordelene med stakingprodukter er høyere avkastning enn tradisjonelle spareprodukter, muligheten til å bidra til nettverkssikkerhet, og i noen tilfeller likviditet gjennom likvide stakingtokens. For norske investorer kan staking også være skattemessig gunstig dersom gevinstene realiseres over tid, men skattereglene er kompliserte.

Ulempene er derimot betydelige. Smartkontraktrisiko er den mest alvorlige, men det er også risiko for lav likviditet i mindre protokoller, prisvolatilitet på selve kryptovalutaen, og regulatorisk usikkerhet. I tillegg kan staking kreve teknisk kunnskap om lommebøker, transaksjonsgebyrer og nettverksavgifter.

En annen ulempe er at du mister kontrollen over midlene dine mens de er låst i kontrakten. Hvis smartkontrakten fryser eller blir angrepet, kan du ikke gjøre noe for å redde dem. Derfor bør du alltid vurdere om den potensielle avkastningen står i forhold til risikoen.

Vanlige misforståelser

En svært utbredt misforståelse er at en smartkontrakt som har blitt revidert av et anerkjent selskap er trygg. Realiteten er at audits kun reduserer risikoen, de eliminerer den ikke. Flere store protokoller har blitt hacket kort tid etter å ha bestått grundige revisjoner. Eksempler inkluderer bZx-protokollen i 2020 og Harvest Finance i 2020.

En annen misforståelse er at staking er risikofritt fordi man «låser» pengene og får belønninger. Mange tror at det er som en bankkonto med høy rente, men de glemmer at både prisen på kryptovalutaen og smartkontrakten kan svikte. I verste fall kan du tape hele innskuddet.

En tredje misforståelse er at offentlig kode er ensbetydende med sikkerhet. Åpen kildekode gjør det riktignok mulig for alle å inspisere koden, men det betyr ikke at noen faktisk har gjort det grundig. Mange protokoller har kode som er så kompleks at selv erfarne utviklere overser sårbarheter.

Oppsummering

Stakingprodukt smartkontraktrisiko er en reell og alvorlig trussel for alle som staker krypto. Risikoen ligger i koden som styrer innskudd og uttak, og kan føre til totalt tap av midler. For å redusere risikoen bør du velge veletablerte protokoller med flere uavhengige audits, en aktiv utviklergruppe og en åpen feilrapporteringskultur.

Det er også lurt å diversifisere på tvers av flere stakingprodukter og aldri sette inn mer enn du har råd til å tape. Husk at høy avkastning ofte kommer med høy risiko, og at smartkontraktrisiko er en av de vanskeligste risikoene å vurdere for en vanlig investor. Ved å holde deg oppdatert på sikkerhetshendelser og forstå det grunnleggende om smartkontrakter, kan du ta mer informerte beslutninger.