S&P Global закрыла сделку с OpenZeppelin и ставит на риск кода

S&P Global завершила покупку OpenZeppelin — компании по безопасности, которая стоит за самой популярной библиотекой кода смарт-контрактов Ethereum, сообщил рейтинговый и аналитический гигант в пресс-релизе в понедельник. Сделку впервые объявили 17 сентября; финансовые условия не раскрываются, и, по словам S&P, существенно на её результаты она не повлияет.

Факты

• OpenZeppelin, основанная в 2015 году, говорит, что провела более 900 аудитов безопасности и нашла более 10 000 уязвимостей ещё до запуска кода.
• На открытой библиотеке OpenZeppelin Contracts, согласно релизу, держатся переводы на сумму более $38 трлн, в том числе многих крупнейших стейблкоинов и токенизированных фондов.
• Компания остаётся отдельным подразделением под собственным названием во главе с основателем Демианом Бренером, который подчиняется Янну Ле Паллеку, президенту S&P Global Ratings.
• Бренер обещает, что библиотека Contracts останется «открытой, бесплатной и публично поддерживаемой».

Наш взгляд: рейтинги встретились с риском кода

Самое интересное — куда попала OpenZeppelin: в рейтинговое подразделение, а не в технологическое. Годами кредитный рейтинг токенизированного фонда или стейблкоина много говорил об активах и почти ничего — о смарт-контрактах, которые их двигают. Большинство крупных потерь в DeFi, от взломов мостов до rug pull, произошли из-за кода и управления ключами, а не из-за плохого обеспечения. Оценка этого «слоя технологического риска» под брендом S&P может стать пунктом, который банки будут проверять, прежде чем браться за ончейн-продукты, — как сегодня кредитные рейтинги.

Следить стоит за двумя вещами. Во-первых, останется ли бесплатная библиотека действительно нейтральной теперь, когда её разработчик принадлежит крупному игроку; обещание дано прямо, и разработчики будут напоминать о нём S&P. Во-вторых, не создадут ли аудиты под рейтинговым брендом нового конфликта интересов, ведь эмитенты уже платят за рейтинги. Для пользователей DeFi за ночь ничего не изменится: аудит снижает риск, но никогда его не убирает, как подчёркивает наш гайд по DeFi.