Blend, XOXNO и SODAX: сравнение lending-пулов

Как устроен lending-пул #

В lending-пул кладут актив, чтобы его занимали другие. Поставщик вносит, например, USDC и получает проценты. Заёмщик вносит залог в другом активе и берёт USDC из того же пула. Встречной сделки между ними нет: все поставщики одного актива делят общий запас и общий доход.

Ставку задаёт утилизация, доля запаса, которая сейчас занята. Чем она выше, тем дороже заём и тем больше получает поставщик. В рынке USDC у SODAX на день снятия занято 83% запаса: заёмщик платит 7.7% годовых, поставщик получает 5.8%. Разница складывается из незанятой части и доли, которую пул удерживает.

Заём всегда меньше залога. Сколько можно занять под залог, задаёт параметр пула, а стоимость залога пул узнаёт у оракула, контракта, который сообщает цены. Если залог дешевеет до порога, позицию ликвидируют: любой может погасить долг и забрать залог со скидкой. Если цена упала быстрее, чем прошла ликвидация, остаётся плохой долг, который залог не покрывает. Его гасят из страхового слоя, если он есть, а иначе делят между поставщиками.

Вывести депозит можно, пока в пуле есть незанятый запас. Когда занято всё, вывод ждёт, пока заёмщики вернут долг или появятся новые депозиты. В обычных условиях до этого доходит редко: с ростом утилизации растёт ставка, заёмщикам становится дорого держать долг, а новых поставщиков привлекает доходность.

Swap-пулы я разбирал в прошлой статье. Lending-пул отличается от них тем, что внесённый актив остаётся тем же: внесли USDC, заберёте USDC с процентами.

Сохранность депозита зависит от четырёх вещей, по ним и идёт сравнение:

• код: контракт, в котором лежит запас, и возможность его заменить;
• параметры: кто решает, что принимается в залог и на каких условиях;
• оракул: неверная цена залога позволяет занять больше, чем он стоит;
• страховой слой: кто платит за плохой долг.

Три пула #

	Blend	SODAX	XOXNO Lending
Где работает пул	Stellar	Sonic, вход из Stellar через мост	Stellar
Основа	собственные контракты, изолированные пулы	контракты Aave v3, судя по их составу	собственные контракты; схема hub и spoke, как в Aave v4
Размер	163 млн $	2.8 млн $, общий для всех сетей; в рынке USDC 0.88 млн $ внесено	0.13 млн $ в Stellar
Контракты развёрнуты	V2: апрель 2025	хранилище на Stellar с апреля 2025	август 2026
Ставка по USDC на день снятия	6.7% в пуле Fixed	5.8%	1.4%
Страховой слой	backstop у каждого пула, сейчас обесценен	нет: отдельного страхового контракта в пуле нет	нет; плохой долг делится между поставщиками

Blend это фабрика пулов: любой может развернуть свой пул со своим набором активов, оракулом и админом. Почти весь объём лежит в пуле Fixed: 151 млн $ в XLM, которые почти никто не занимает, и 55 млн $ в USDC, из которых 43 млн заняты. Размер в таблице посчитан без занятого. Дальше сравниваются два пула Blend, Fixed и YieldBlox, потому что устроены они по-разному.

SODAX держит пул в сети Sonic. Пользователь из Stellar отдаёт токены контракту AssetManager в Stellar, на Sonic выпускается их обёртка, и в пул кладётся она. Вывод идёт в обратном порядке, по сообщению с Sonic.

XOXNO Lending работает в двух сетях, MultiversX и Stellar; здесь речь только о развёртывании в Stellar. Депозиты лежат в одном контракте Pool. Активы в нём разделены на три общих запаса, в терминах протокола hub: Core, RWA и AMM. Вносить залог и занимать можно через один из восьми наборов рынков, в терминах протокола spoke. У каждого набора свои правила: что принимается в залог, что можно занять и на каких условиях. Наборы такие: Blue Chip, Stables & FX, AMM Collateral, Aquarius Ecosystem, Commodities и три для токенизированных облигаций, Etherfuse RWA, Centrifuge RWA и Ondo RWA. Например, в наборе Aquarius Ecosystem залогом служат AQUA и LP-токены Aquarius, а занять можно USDC, XLM, EURC и PYUSD. Так же устроен Aave v4. В репозитории XOXNO Aave не упоминается, код там свой, написан на Rust.

Куда идёт разница между ставками #

Заёмщик платит больше, чем получает поставщик, по двум причинам. Первая арифметическая: проценты платит только занятая часть запаса, а делятся они на весь запас. Вторая: пул удерживает долю процентов, и у каждого из трёх она уходит в своё место.

Пример на рынке USDC у SODAX. Заёмщики платят 7.7% на 83% запаса, на весь запас это 6.4%. Пул удерживает десятую часть, поставщикам остаётся 5.8%.

	Доля с процентов	Кому	Где записано
Blend Fixed	20%	вкладчикам backstop, через аукцион	bstop_rate в Config пула CAJJ…BXBD
Blend YieldBlox	0%	всё получают поставщики	bstop_rate в Config пула CCCC…GYFS
SODAX	10% у всех активов	в контракт treasury 0x9967…D24a в Sonic	getReserveConfigurationData у 0x775A…82Ed; RESERVE_TREASURY_ADDRESS у aToken актива
XOXNO	10% у USDC, EURC и USDT0, 20% у XLM, 30% у AQUA	на аккаунт GAVW…EEBP, тот же, что владеет Governance	reserve_factor в markets.json; Accumulator в хранилище Controller CAUC…E5JX

У Blend удержанная доля это плата за страховой слой: её получают те, кто первым теряет при плохом долге. Пул копит её в самом активе, в поле backstop_credit резерва. Когда накоплено от 200 $, любой может запустить аукцион: покупатель забирает накопленные проценты и платит токенами backstop, а эти токены зачисляются вкладчикам backstop пула.

После инцидента с Comet аукцион не запускается. Его стартовая цена считается через оценку токена backstop, а она теперь нулевая, и запуск завершается ошибкой. Доля продолжает копиться в пуле: на день снятия в Fixed лежит 78.9 тысячи USDC, которые никому не выплачены.

У XOXNO и SODAX удержанная доля это доход протокола, страхового слоя за ней нет. У XOXNO к нему добавляются часть залога при ликвидации и комиссия за мгновенные займы, 0.09%. Средствами treasury у SODAX распоряжается контракт FeeTreasury 0xf2E2…b3A4 (getFundsAdmin()), а его владелец это обычный адрес с одним ключом.

Кто управляет кодом и параметрами #

Контракт в Soroban может заменить собственный код, если в нём есть функция, которая это делает. Адрес остаётся прежним, все вызовы идут в новый код, а вызвать предыдущую версию по тому же адресу нельзя. Поэтому для депозита важны три вещи: можно ли заменить код, кто это может и сколько времени проходит между решением и исполнением.

У аккаунта Stellar подписанты и пороги записаны в сети. У контракта подписантов нет, у него есть владелец, записанный в хранилище. Проверка сводится к цепочке: владелец контракта, владелец владельца, и так до аккаунта с ключами. Один подписант с весом 1 при нулевых порогах это одиночный ключ; ключ с весом 0 ничего подписать не может.

XOXNO #

Контрактом Pool CBXR…BKXO владеет Controller CAUC…E5JX, им владеет Governance CC44…C2AD, а Governance принадлежит команде.

По документации и ответу разработчика³ управление задумано так:

• Любое изменение проходит через Governance как отложенная операция: её предлагают, она ждёт задержку, после чего исполнить её может кто угодно.
• Заменить код Pool, Controller и самого Governance может предложить только владелец, и ждёт такая операция 7 дней. Остальные изменения ждут 24 часа.
• Владелец это мультисиг.
• Без задержки можно только ужесточать: роль GUARDIAN ставит паузу и закрывает рынки, роль ORACLE сужает допуск цен. Снять паузу или ослабить параметры можно только отложенной операцией.
• Оракул XOXNO CDA3…22JM и swap aggregator CCVE…F3TR в Governance не входят: команда считает их отдельными от основного протокола и хочет менять без задержки, агрегатор ради новых DEX, оракул ради активов, которых нет у Reflector и RedStone. Владеть ими будет тот же мультисиг.

SODAX #

Три владельца Safe это обычные адреса, модулей у Safe нет. Таймлока нет ни в Sonic, ни в Stellar: владельцами записаны сам Safe и сам аккаунт, без контракта задержки между ними, так что две подписи исполняют замену кода сразу. Одиночных ключей на замене кода нет. Роль pool admin, кроме Safe, держат ещё два контракта: GhoSteward, которым владеет тот же Safe, и 0x243b…d18e, служебный контракт настройки рынков; кто может его вызвать, я не выяснил. Ролей risk admin и asset listing admin не держит никто (события RoleGranted у ACLManager). Что может Hub Manager, из документации узнать нельзя.

Депозит из Stellar попадает в пул через мост, и у моста свои ключи.

Сообщение с Sonic принимается по подписям валидаторов, так что подделать его может тот, кто контролирует оба ключа. Состав валидаторов и порог меняет админ контракта (функции update_validators, set_validators_threshold), тот же мультисиг 2 из 3. USDC и XLM эти лимиты не ограничивают.

Запас USDC у каждой сети свой, и между сетями он не перераспределяется. На день снятия вывести в Stellar можно было около 1.5 тысячи USDC при 148 тысячах свободных в пуле; большая сумма выводится в другую сеть или частями.

Blend #

В развёрнутых контрактах пула, backstop, фабрики и эмиттера нет функции замены кода, и в исходниках нет вызова, который её выполняет. Хеши wasm пула, backstop CAQQ…3IM7 и фабрики CDSY…4QSU в сети равны файлам релиза v2.0.0. Оба пула работают на том же wasm, с которым были созданы.

Вместо владельца кода у каждого пула есть админ с ограниченными правами. Он может менять параметры активов и добавлять новые, но только через очередь с задержкой 7 дней. Может остановить займы или займы вместе с депозитами; вывод и погашение при этом остаются. Забрать средства или изменить код админ не может.

Это подход без доверия: условия, на которых внесён депозит, не зависят ни от чьего ключа. В Fixed нет и админа, так что правила пула те же, что в день его создания.

Оракулы #

Цена залога определяет, сколько под него можно занять. Тот, кто управляет ценой, может вывести деньги из пула, не трогая его код, поэтому оракул сравнивается отдельно.

У XOXNO для основных активов цена сверяется по двум источникам, и это сильнее, чем один источник у Blend; так настроены не все активы, и состав источников я брал из конфигурации в репозитории, с сетью не сверял. Собственный оракул XOXNO и swap aggregator в цепочку Governance не входят: ими владеет тот же аккаунт напрямую. По словам разработчика, так и останется: после аудита они перейдут под общий мультисиг, но без задержки. Собственный оракул при этом задуман как дополнительный источник для активов, которых нет у Reflector и RedStone; сейчас через него идёт цена AQUA.

У Blend адрес оракула записан в конфигурации пула при создании, и функции его сменить нет. Адаптер тоже не даёт заменить источник уже заведённого актива: add_asset отклоняет повторное добавление, а функций удаления и замены в нём нет. Остаётся сам Reflector. Обоими его контрактами, CAFJ…4DLN и CALI…LE6M, управляют аккаунты с семью подписантами и порогом 4. У контрактов есть функция update_contract, код меняли трижды. Так что замороженный пул Fixed всё же зависит от одного изменяемого контракта, источника цен.

Исходники, аудиты, документация #

Документация XOXNO сама говорит, что владельцев и задержку надо проверять в сети, и называет нынешнюю задержку временной. У SODAX об управлении в публичной документации нет ничего: кто держит ключи Safe, узнать из неё нельзя.

Инциденты и текущее состояние #

22 февраля 2026 из пула YieldBlox в Blend вывели больше 10 млн долларов. Код Blend при этом не меняли и не взламывали. Атакующий поднял цену USTRY на неликвидном рынке примерно в сто раз, с 1.06 до 107 долларов, оракул принял эту цену, и под залог стоимостью меньше 200 тысяч долларов были заняты около 1 млн USDC и 61 млн XLM¹. Причиной разборы называют настройку пула: актив с неликвидным рынком был принят в залог по цене с DEX. Пул Fixed с замороженными параметрами этот случай не затронул.

25 августа 2026 пострадал Comet CAS3…VEAM, пул BLND-USDC, токен которого Blend использует как обеспечение backstop². Comet в Blend не входит: это отдельный AMM со взвешенными пулами, код которого перенесён на Soroban с Balancer V1, протокола из сети Ethereum. Ошибка появилась при переносе. Функция обмена не проверяла, что входной и выходной токен различаются; при обмене токена на самого себя запись о его запасе сохранялась дважды, вторая затирала первую, и учёт пула расходился с балансом. Разницу можно было забрать через ввод и вывод ликвидности. В исходном Balancer V1 такой обмен безвреден, потому что обе записи указывают на одну ячейку хранилища. Атакующий вывел 717 519 USDC, остаток, около 190 тысяч USDC и 23 млн BLND, забрали тем же способом участники сообщества, чтобы вернуть. Для атаки использовались мгновенные займы из пула Fixed, сами пулы Blend уязвимости не содержали.

Токен backstop после этого не держит стоимость, поэтому backstop возвращает нулевую оценку (вызов pool_data отдаёт blnd 0 и usdc 0), пулы не проходят порог обеспечения и стоят в статусе On-Ice: новые займы отключены, вывод и погашение работают. Первого слоя защиты от плохого долга нет, и если плохой долг возникнет, он будет разделён между поставщиками пула.

Исправить это нельзя по той же причине, по которой Blend не требует доверия. Comet нельзя ни обновить, ни остановить, потому что аккаунт его админа заблокирован, а заменить токен backstop в Blend V2 нельзя. По словам Script3, команды, которая развивает Blend, V2 со временем будет свёрнут, и обсуждается V3.

У SODAX публичных инцидентов я поиском не нашёл. У XOXNO в Stellar их тоже нет, но это мало о чём говорит: развёртыванию на день снятия пять недель, в пуле 0.13 млн $, и протокол ещё толком не запустился.

Сводная таблица #

	Blend Fixed	SODAX	Blend YieldBlox	XOXNO
Размер	163 млн $	2.8 млн $ по всем сетям	0.15 млн $	0.13 млн $
Ставка по USDC	6.7%	5.8%	8.6%	1.4%
Доля пула с процентов по USDC	20%, в backstop	10%, в treasury	0%	10%, владельцу
Замена кода пула	невозможна	2 из 3, сразу; вход через мост на двух валидаторах	невозможна	по плану мультисиг и 7 дней; до конца аудита один ключ и 1 минута
Смена параметров	невозможна	2 из 3, сразу	голосование, около 2 недель	по плану мультисиг и 24 часа; до конца аудита один ключ и 1 минута
Оракул	заморожен, один источник; сам Reflector под мультисигом 4 из 7	один источник, Pyth; меняет Safe 2 из 3, сразу	один источник; заведённые активы не меняются	два источника; свой оракул у владельца, без задержки
Исходники сверяются с сетью	да	публичных не нашёл	да	да
Инциденты	backstop обесценен в августе 2026, On-Ice	не нашёл	10 млн $ в феврале 2026; backstop обесценен, On-Ice	нет, но пул работает пять недель

Доверие в этих пулах устроено по-разному. В Blend Fixed доверять никому не нужно: правила заданы кодом и не меняются, но и исправить ничего нельзя. В YieldBlox доверие перенесено на голосование и на мультисиг, который управляет оракулом. В SODAX вкладчик доверяет двум ключам из трёх и двум валидаторам моста, в XOXNO мультисигу команды с задержкой в 7 дней, а до конца аудита одному ключу.

Итог #