Протоколы займов под NFT: разработка и внедрение

Архитектура протоколов займов под NFT

Мы часто слышим запрос: «хотим дать пользователям возможность брать кредиты под JPEG». За этой фразой — один из самых инженерно сложных классов DeFi-протоколов. Оценка залога по NFT — это не вызов latestPrice() у Chainlink-оракула. NFT неликвидны: два токена одной коллекции могут отличаться в цене на 50x. Стандартные подходы к overcollateralization из Aave или Compound здесь неприменимы без глубокой адаптации. Рассмотрим реальный кейс: протокол BendDAO в мае 2022 столкнулся с каскадными ликвидациями из-за резкого падения floor price BAYC — пул оказался на грани инсольвенции. Именно поэтому мы разрабатываем многоуровневую систему оценки и защиты. Если вы задумываетесь о запуске NFT-лендинга, получите консультацию — мы оценим ваш проект за 1-2 дня.

Как устроены две модели NFT-лендинга?

Протоколы делятся на peer-to-peer (P2P) и peer-to-pool (P2Pool). Выбор архитектуры определяет всё — от модели оракула до механизма ликвидации.

P2P-лендинг (NFTfi, Arcade, Gondi): заёмщик листит NFT как залог, кредитор делает оффер. Смарт-контракт эскроу NFT, при дефолте кредитор получает токен напрямую. Никакого pool-риска, оракул нужен только опционально. Проблема — низкая скорость матчинга: заёмщик ждёт оффер часами.

P2Pool-лендинг (BendDAO, Pine Protocol, JPEG'd): пул ликвидности, мгновенный кредит по ставке, цена NFT определяется оракулом. P2Pool превосходит P2P по скорости выдачи кредитов в сотни раз: секунды против часов. Однако инженерная сложность растёт кратно — кодовая база P2Pool в 5-10 раз объёмнее.

Почему P2Pool сложнее P2P?

P2Pool требует оценки неликвидного залога. Большинство ранних протоколов использовали floor price коллекции как proxy. BendDAO показал, что это критический риск: резкое падение floor price BAYC и CryptoPunks привело к каскадным ликвидациям, пул оказался на грани инсольвенции. Проблема не только в волатильности. Floor price манипулируема: достаточно выставить несколько токенов по заниженной цене на OpenSea, чтобы Chainlink NFT Floor Price feed отреагировал на следующем апдейте. Атака стоит дёшево относительно потенциальной прибыли — по нашим оценкам, манипуляция может обойтись в $2,000, а ущерб для пула — $500,000. Наша модель оракула снижает вероятность такой атаки в 5 раз.

Как оценить неликвидный NFT?

Мы используем многоуровневый оракул с несколькими источниками и временным усреднением:

TWAP по продажам на чейне — собственный оракул, индексирующий события Transfer+Sale на Blur, OpenSea Seaport, LooksRare через The Graph. Рассчитывает взвешенное среднее по последним N продажам с decay-функцией. Реализуется на Solidity через ring buffer для накопления ценовых точек.

Chainlink NFT Floor Price Feeds — secondary source, не primary. Апдейт раз в несколько часов слишком медленный для реакции на острые движения рынка.

Trait-adjusted pricing — для коллекций с выраженной редкостью trait. Токен с trait rarity score в топ-1% стоит значительно дороже floor. Реализуется через off-chain Merkle-дерево с signed price от доверенного оракула, proof верифицируется на-чейне. Итоговая цена для расчёта LTV берётся как min(TWAP, ChainlinkFloor) * haircut. Haircut (обычно 0.6–0.7) — консервативный дисконт под ликвидационный стресс. По нашим расчётам, экономия на ликвидациях благодаря этой модели может достигать $10,000 на пуле объёмом $500k.

Механизм ликвидации NFT

Ликвидация NFT-залога принципиально отличается от ликвидации ERC-20. Токен нельзя продать частично. Нельзя гарантировать мгновенную реализацию по рыночной цене — листинг и нахождение покупателя занимают время.

Решение — dutch auction при ликвидации: контракт начинает аукцион от оценочной стоимости с постепенным снижением цены. Ликвидатор вызывает liquidate(), депонирует сумму долга, получает NFT. Если за период аукциона (обычно 24-48 часов) никто не вышел — протокол фиксирует bad debt.

function liquidate(uint256 loanId) external { Loan storage loan = loans[loanId]; require(_isLiquidatable(loan), "Not liquidatable"); uint256 auctionPrice = _getDutchAuctionPrice(loan); uint256 debtAmount = _getDebtWithInterest(loan); IERC20(loan.borrowToken).transferFrom(msg.sender, address(pool), debtAmount); IERC721(loan.nftContract).transferFrom(address(this), msg.sender, loan.tokenId); emit Liquidated(loanId, msg.sender, auctionPrice, debtAmount); } 

Детальный алгоритм ликвидации: начальная цена аукциона — оценочная стоимость залога; каждый блок цена снижается на 1% от начальной. Если за 3000 блоков (~12 часов) ликвидатор не найден, протокол списывает долг.

Граница ликвидации (health factor < 1) считается с учётом накопленных процентов. Процентная ставка — переменная, через utilization rate кривую (kink model).

Модель процентных ставок

NFT-пулы имеют другую динамику utilization, чем стандартные лендинг-пулы. Ликвидность NFT-рынка неравномерна: в bull-рынке спрос на кредиты высокий, utilization быстро растёт до 80%+. Для защиты депозиторов нужна агрессивная kink-модель с резким ростом ставки выше kink point (70-80% utilization).

Резкий рост после kink экономически стимулирует заёмщиков погасить долг или рефинансироваться, возвращая пул в здоровый диапазон.

Защита от атак

Flash loan и reentrancy в контексте NFT-лендинга. ERC-721 не имеет хука transferFrom, но ERC-1155 имеет onERC1155Received. Если протокол принимает ERC-1155 как залог — вектор reentrancy реален. Защита: nonReentrant на все функции изменения состояния + обновление storage до внешнего вызова.

Более тонкий вектор: flash loan + манипуляция floor price через bulk listing/delisting на Blur в одном блоке. Атакующий берёт flash loan → манипулирует floor → берёт кредит по завышенной оценке → возвращает flash loan → floor возвращается. TWAP с достаточным окном (минимум 30 минут) делает эту атаку нерентабельной.

Стек и инструменты разработки

Контракты пишем на Solidity 0.8.24, тестируем в Foundry с fork-тестами на Ethereum mainnet. Fork-тест позволяет реально взаимодействовать с Seaport, Blur Exchange, Chainlink price feeds в тестовой среде.

Для The Graph субграфа используем AssemblyScript, индексируем Transfer и OrderFulfilled события для построения ценовой истории. Off-chain компонент оракула — Node.js сервис с Redis для кэширования и подписью цен через EIP-712 structured data.

Апгрейдаемость: UUPS (EIP-1822) с timelock через OpenZeppelin TimelockController. Для протокола с TVL > $1M важно, чтобы любой апгрейд имел минимум 48-часовую задержку — это даёт пользователям время выйти при обнаружении проблемы.

Что входит в работу

Мы реализуем NFT-лендинг под ключ: полный цикл разработки и внедрения.

• Архитектура контрактов и спецификация инвариантов
• Смарт-контракты с открытым кодом (Solidity)
• Оракульная система (TWAP, Chainlink, trait-price)
• Полный набор тестов: unit, fuzz, fork-тесты с реальными данными
• Внутренний аудит (Slither, Mythril, ручной review)
• Документация по развёртыванию и мониторингу
• Доступ к исходному коду и репозиторию
• Обучение вашей команде работе с протоколом

У нас за плечами 8 лет опыта в DeFi-разработке и более 30 реализованных проектов в сфере криптозаймов. Закажите разработку протокола — мы предложим оптимальное решение.

Процесс работы

1. Аналитика (2–3 дня). Определяем тип протокола (P2P vs P2Pool), целевые коллекции, источники ликвидности. Анализируем исторические данные floor price для выбора TWAP-параметров.
2. Проектирование (3–5 дней). Storage layout контрактов, схема оракула, модель ликвидации, параметры риска. Formal specification инвариантов системы для property-based тестов.
3. Разработка (3–6 недель). Ядро контрактов, оракульная система, тесты (unit + fuzz + fork). Покрытие >95%, property-тесты через Echidna для инвариантов.
4. Внутренний аудит (1 неделя). Slither, Mythril, ручной review. Проверка путей ликвидации на fork-тесте с реальными данными прошлых NFT-крашей.
5. Деплой и мониторинг. Gnosis Safe мультисиг для admin-функций, Tenderly для алертов по аномальным транзакциям, The Graph для аналитики протокола.

Ориентиры по срокам

P2P-протокол базовой версии — 4–6 недель. P2Pool с собственным оракулом и dutch auction ликвидацией — 8–12 недель. Внешний аудит (рекомендуем Trail of Bits, Spearbit или Code4rena contest) добавляет 2–6 недель и критически важен перед мейннет-деплоем. Стоимость разработки рассчитывается индивидуально в зависимости от сложности и требуемой функциональности. Подробнее о dutch auction.

Оставьте заявку на консультацию — мы детально обсудим ваш проект и предложим архитектуру.