S&P Global закрила угоду з OpenZeppelin і ставить на ризик коду

S&P Global завершила купівлю OpenZeppelin — компанії з безпеки, яка стоїть за найпопулярнішою бібліотекою коду смартконтрактів Ethereum, повідомив рейтинговий і аналітичний гігант у пресрелізі в понеділок. Угоду вперше оголосили 17 вересня; фінансові умови не розкриваються, і, за словами S&P, суттєво на її результати вона не вплине.

Факти

• OpenZeppelin, заснована 2015 року, каже, що провела понад 900 аудитів безпеки і виявила понад 10 000 вразливостей ще до запуску коду.
• На відкритій бібліотеці OpenZeppelin Contracts, згідно з релізом, тримаються перекази на понад $38 трлн, зокрема багатьох найбільших стейблкоїнів і токенізованих фондів.
• Компанія лишається окремим підрозділом під власною назвою на чолі із засновником Деміаном Бренером, який підпорядковується Янну Ле Паллеку, президенту S&P Global Ratings.
• Бренер обіцяє, що бібліотека Contracts лишиться «відкритою, безплатною й публічно підтримуваною».

Наш погляд: рейтинги зустрілися з ризиком коду

Найцікавіше — куди потрапила OpenZeppelin: у рейтинговий підрозділ, а не в технологічний. Роками кредитний рейтинг токенізованого фонду чи стейблкоїна багато казав про активи і майже нічого — про смартконтракти, що їх рухають. Більшість великих втрат у DeFi, від зламів мостів до rug pull, сталися через код і керування ключами, а не через погане забезпечення. Оцінка цього «шару технологічного ризику» під брендом S&P може стати пунктом, який банки перевірятимуть, перш ніж братися за ончейн-продукти, — як сьогодні кредитні рейтинги.

Варто стежити за двома речами. По-перше, чи справді безплатна бібліотека лишиться нейтральною тепер, коли її розробник належить великому гравцю; обіцянку дано прямо, і розробники нагадуватимуть про неї S&P. По-друге, чи не створять аудити під рейтинговим брендом нового конфлікту інтересів, адже емітенти вже платять за рейтинги. Для користувачів DeFi за ніч нічого не зміниться: аудит знижує ризик, але ніколи його не прибирає, як наголошує наш гайд про DeFi.