Aave Labs представила многослойный план безопасности для V4 после аудиторской программы на $1,5 млн

Aave Labs опубликовала подробный план обеспечения безопасности следующей версии крупнейшего DeFi-протокола кредитования, описав годовой процесс аудита и верификации для Aave V4 и пообещав распространить эти практики на все будущие разработки.

В посте на форуме управления, опубликованном на этой неделе, компания описала работу над V4 как «безопасностно-ориентированную архитектуру», где защита смарт-контрактов закладывается на самых ранних этапах проектирования, а не воспринимается лишь как финальный аудит перед запуском.

Программа объединила формальную верификацию, ручные аудиты, инвариантное тестирование, фаззинг и публичный конкурс по безопасности, что в сумме составило примерно 345 дней проверки силами внутренних команд, внешних аудиторов и независимых исследователей.

Работа финансировалась за счёт бюджета на безопасность в размере 1,5 млн долларов США, одобренного Aave DAO, согласно предоставленной информации.

Ключевые обязательства

Aave Labs отметила, что этот опыт позволил сформулировать пять долгосрочных обязательств по обеспечению безопасности для будущего развития протокола.

Интеграция формальной верификации на начальных этапах разработки, поддержание многоуровневых методик безопасности, сочетающих различные техники аудита, проведение непрерывной верификации во время разработки, запуск постоянной программы вознаграждений за уязвимости и развитие системы сканирования смарт-контрактов с использованием ИИ — все это объявлено ключевыми направлениями в будущем.

Особенно важную роль в процессе V4 сыграла именно формальная верификация, отметили в компании. Компания Certora работала совместно с разработчиками Aave уже на этапе проектирования, помогая формировать архитектуру и выявлять уязвимости ещё до начала аудитов.

Помимо формальной верификации, протокол прошёл несколько раундов ручного аудита с участием компаний ChainSecurity, Trail of Bits и Blackthorn, а также независимых исследователей в области безопасности. Для тестирования поведения основных компонентов — таких как учёт ликвидности, логика ликвидации и модели процентных ставок — был создан отдельный набор инвариантных тестов, использующих фаззинг.

Исходный код протокола также подвергся шестинедельному публичному конкурсу по безопасности, который проходил на Sherlock с декабря 2025 по январь 2026 года. Более 900 подтверждённых участников подали свыше 950 находок в ходе конкурса, однако программа не выявила критических или высокоопасных уязвимостей.

В Aave Labs отметили, что сама кодовая база V4 была намеренно сделана более компактной и модульной по сравнению с предыдущей версией — благодаря редизайну по архитектуре «центр-сателлит», что позволило проводить более таргетированные аудиты и упростить анализ безопасности.

В модели безопасности V4 также учтена обратная связь от провайдеров рисковых услуг и интеграторов, строящих приложения на базе кредитного протокола. Благодаря этому угроза-модель была расширена и теперь включает не только прямые пользовательские действия, но и предположения о безопасности интегрируемых систем, зависящих от ликвидности Aave.

Конфликт внутри Aave DAO

Раскрытие информации о безопасности от Aave Labs происходит на фоне внутренней турбулентности в экосистеме Aave. За последние месяцы внутри комьюнити усилились споры по поводу распределения финансирования, выбранного курса развития протокола и роли ключевых участников.

В начале этого года компания BGD Labs — давний технический контрибьютор, ответственный за значительную часть инфраструктуры протокола, — объявила о завершении работы над Aave спустя примерно четыре года сотрудничества.

Буквально недавно основатель ACI Марк Зеллер сообщил, что инициатива Aave Chan Initiative, ещё один крупный участник управления, планирует покинуть протокол в июле на фоне нарастания противоречий между контрибьюторами.

Эти события последовали за жаркими дебатами по предложению "Aave will win", в котором были обозначены изменения в распределении доходов и широкие планы по предстоящему обновлению V4. Предложение прошло голосование по тесту мнения с поддержкой 52,6%, что продемонстрировало наличие разногласий в DAO относительно дальнейшего направления развития протокола.

Aave остаётся крупнейшим ончейн-протоколом кредитования и входит в число лидеров по ежемесячным сборам комиссий в DeFi, по данным The Block.