Jak cena funduszu trafia na blockchain

Dlaczego blockchain potrzebuje oracle

Blockchain to maszyna, którą tysiące komputerów wykonują równo krok w krok, więc każdy z nich musi dojść do tego samego wyniku z tych samych danych wejściowych. Kontrakt, który pytałby stronę internetową o cenę, łamałby tę zasadę, bo dwa komputery pytające w odstępie sekundy mogłyby dostać dwie różne odpowiedzi. Dlatego kontrakty czytają tylko to, co już zostało zapisane na blockchainie.

Oracle to usługa, która wpisuje liczbę spoza blockchaina do kontraktu, z którego mogą ją czytać inne kontrakty. Najbardziej znanym przykładem są Data Feeds Chainlinka: sieć operatorów węzłów uzgadnia cenę i publikuje ją w kontrakcie, a protokoły pożyczkowe czytają ją stamtąd. Oracle przenosi dane. Nie tworzy ich.

Ma to znaczenie, bo kontrakt działa na każdej liczbie, którą dostanie, z tą samą pewnością. Jeśli feed mówi, że token wart 0,86 USD jest wart 1,06 USD, rynek pożyczkowy pożyczy pod 1,06 USD. Dokładnie tak stało się przy upadku Stream Finance, opisanym pod koniec tego rozdziału.

Czym jest NAV i kto go liczy

NAV (net asset value), czyli wartość aktywów netto, to wartość jednej jednostki funduszu: aktywa minus zobowiązania, podzielone przez liczbę jednostek w obiegu. Administrator funduszu to firma, która prowadzi księgi funduszu według zasad rachunkowości funduszy i ustala tę oficjalną liczbę. Dla BUIDL BlackRocka jest to BNY Mellon, który jest też custodianem, czyli przechowuje aktywa.

Securitize, platforma tokenizacyjna stojąca za BUIDL i innymi funduszami, opisuje ten podział pracy wprost w dokumentach złożonych w SEC w 2026 roku: korzysta z dostawców oracle, żeby dostarczać NAV do smart contractów, a sam NAV pochodzi od administratora funduszu albo od transfer agenta, czyli firmy prowadzącej oficjalny rejestr udziałowców. Idealna sieć oracle i tak przeniesie błędną liczbę, jeśli administrator źle ją policzy albo opublikuje z opóźnieniem. Decentralizacja oracle chroni liczbę w drodze i nic nie mówi o tym, jak powstała.

To rozbija też standardowy przepis na oracle. Przy kryptoaktywie dostawca bierze ceny z dziesięciu giełd, odrzuca wartości odstające i publikuje medianę. Fundusz kredytu prywatnego nie ma ceny giełdowej. Ma jedną wycenę od jednego administratora, a dziesięć kopii tej wyceny to jedno źródło skopiowane dziesięć razy.

Dwa kolejne rozróżnienia regularnie łapią analityków. Codzienna publikacja to nie codzienna wycena: kredyt prywatny tradycyjnie wycenia się raz na kwartał, a codzienny feed między tymi wycenami może być interpolacją plus narosłymi odsetkami. Codzienny NAV to też nie codzienna płynność. Fundusz ACRED Apollo ustala NAV codziennie, a mimo to umarza jednostki raz na kwartał i ogranicza każde okno umorzeń do 5% funduszu.

Push, pull i pułapka świeżości

Liczbę można dostarczyć na dwa sposoby i każdy z nich zawodzi inaczej.

Feed typu push zapisuje wartość w kontrakcie, gdzie leży ona do czasu, aż dostawca wpisze nową. Odbiorca wywołuje funkcję w rodzaju latestRoundData() i dostaje wartość plus updatedAt, czyli czas zapisu. Feed typu pull trzyma dane poza blockchainem jako podpisaną paczkę, a kto jej potrzebuje, dołącza ją do własnej transakcji, gdzie kontrakt sprawdza podpisy. Tak działa Pyth.

Feed typu push zapisuje z jednego z dwóch powodów. Heartbeat to maksymalny czas bez zapisu, po którym dostawca wpisuje cenę bez względu na to, co zrobiła. Próg odchylenia (deviation threshold) to wielkość ruchu ceny, która wywołuje wcześniejszy zapis. Odstępy dobiera się do aktywa, co widać na dwóch feedach rezerw opublikowanych przez Spark w lipcu 2026.

Pułapka leży po stronie odbiorcy. Dokumentacja Chainlinka każe aplikacjom samodzielnie sprawdzać updatedAt i przerywać, gdy wartość jest za stara. Nieaktualny feed nie zgłasza błędu. Zwraca starą wartość z prawdziwym, starym znacznikiem czasu, a poznać to może tylko odbiorca, który ten znacznik czyta.

Oracle sprzed 225 dni

4 września 2026 o 11:08 UTC odczytałem na Ethereum osiem kontraktów oracle z NAV i stopami. Sześć z nich to kontrakty LlamaGuard z danymi o NAV i ryzyku tokenizowanych funduszy, a dwa to feedy stóp Pendle. Wszystkie osiem używa standardowego interfejsu Chainlinka, więc od strony odbiorcy wyglądają dokładnie jak feed Chainlinka.

Większość miała rytm dzienny. Feedy JAAA i JTRSY zapisano 3,8 godziny wcześniej, a USYC i USTB około 21 godzin wcześniej, co pasuje do zapisu w każdy dzień roboczy.

Dwa odstawały. Feed USCC, dla funduszu crypto carry Superstate, ostatni raz zapisano 22 stycznia 2026, 225 dni przed moim odczytem, i zwracał starą wartość bez żadnego błędu. Kontrakt ACRED, który odczytałem, nie został zapisany nigdy i zwracał zero. Zero jest gorsze od złej wartości: nieaktualna cena źle wymiarowuje pożyczkę, a zero może jednym ruchem zlikwidować całą pozycję.

Za standardowym interfejsem WRITER_ROLE, który publikuje wartości w trzech z tych kontraktów (USCC, USYC i ACRED), należał do jednego kontraktu proxy, a role administracyjne miały EOA, czyli adresy kontrolowane pojedynczymi kluczami prywatnymi. Siedem z ośmiu kontraktów zwróciło maxPriceDeviation = 0, a komentarz w kodzie mówi, że zero wyłącza kontrolę ograniczającą, jak daleko nowa wartość może skoczyć. Na USCC to wywołanie się nie powiodło, więc jego ustawienie jest nieznane.

Zero w ACRED ma prawdopodobnie niewinne wyjaśnienie. RedStone publikuje swój feed ACRED pod innymi adresami na Ethereum i Polygonie, więc kontrakt, który odczytałem, był najpewniej nieużywany. Mój odczyt mierzył też stan, a nie użycie: nie ustaliłem, czy jakikolwiek działający rynek wycenia zabezpieczenie z tych ośmiu adresów.

Czterech dostawców, cztery konstrukcje

Większość danych o RWA przenosi czterech dostawców, a każdy zbudował swoją sieć wokół innego problemu.

Chainlink to zasiedziały gracz. Jego Data Feeds używają Off-Chain Reporting: węzły wymieniają obserwacje poza blockchainem, jeden węzeł składa raport, kworum go współpodpisuje, a jedna transakcja na blockchainie publikuje medianę. Data Streams to jego produkt typu pull do handlu o niskich opóźnieniach. Dla RWA Chainlink sprzedaje SmartData, rodzinę trzech feedów: Proof of Reserve, NAVLink dla NAV funduszy i SmartAUM dla aktywów pod zarządzaniem. Securitize przyjęło NAVLink do wyceny swoich funduszy jako zabezpieczenia na Aave Horizon, a VBILL VanEcka był jednym z pierwszych aktywów.

Pyth specjalizuje się w szybkich cenach rynkowych. Ponad 120 instytucji, w tym Cboe, Coinbase i Virtu, publikuje własne ceny na dedykowany blockchain Pytha, Pythnet, który łączy je w jedną cenę z przedziałem ufności. Most Wormhole przekazuje te ceny na inne blockchainy, a aktualizację może opublikować każdy, kiedy potrzebuje jej transakcja. Pyth wchodzi w akcje, ETF-y i surowce, a w lipcu 2024 zbudował z Ondo feed dla USDY. Nie jest specjalistą od NAV.

Chronicle to oracle, który MakerDAO zbudował w 2017 roku dla poprzednika DAI. Wydzielono go jako Chronicle Labs i we wrześniu 2023 otwarto dla projektów z zewnątrz. Jego konstrukcja Scribe agreguje wiele podpisów w jeden, więc dodanie kolejnych sygnatariuszy prawie nie podnosi kosztu gazu przy aktualizacji. W RWA Chronicle weryfikuje aktywa, a nie ceny handlowe: feed Proof of Asset Chronicle obejmuje BUIDL od marca 2026, a Superstate wybrało Verified Asset Oracle Chronicle dla USTB, funduszu, który uruchomiło i nadal tokenizuje, a którym dziś zarządza Invesco.

RedStone to dostawca, który zaszedł najdalej w NAV funduszy, i dostaje osobną sekcję.

RedStone i problem jednego źródła

Węzły RedStone podpisują paczki danych poza blockchainem, a te same podpisane paczki mogą dotrzeć na dwa sposoby. W modelu pull użytkownik dołącza je do transakcji. W modelu push relayerzy bez uprawnień publikują je w adapterze na blockchainie, gdy zadziała heartbeat albo próg odchylenia. RedStone traktuje oba modele jako równorzędne i twierdzi, że jako jedyny dostawca oferuje oba na wielu blockchainach.

12 marca 2025 Securitize ogłosiło RedStone swoim głównym partnerem oracle. 1 lipca 2025 obie firmy przedstawiły TSSO, Trusted Single Source Oracle. Przyjmuje on do wiadomości, że fundusz ma jedno źródło, i zamiast udawać agregację sprawia, że to źródło da się zweryfikować. Każda aktualizacja NAV zawiera identyfikator aktywa, cenę, znacznik czasu, numer kolejny oraz hash i podpis poprzedniego rekordu, więc każda luka albo zmiana w łańcuchu aktualizacji wychodzi na jaw. Klucz trzymany w cold storage podpisuje pierwsze i duże zmiany, a osobny klucz może publikować drobne, rutynowe aktualizacje w wąskim przedziale.

Drugi produkt zajmuje się tym, co dzieje się po cenie. Rynki pożyczkowe likwidują w sekundy, a umorzenie jednostek funduszu może trwać, jak pisze sam RedStone, od 30 do 180 dni. RedStone Settle, uruchomiony 28 kwietnia 2026, wystawia zagrożoną pozycję RWA na aukcję wśród solverów zweryfikowanych w KYC. Zwycięzca spłaca pożyczkodawcę w jednej atomowej transakcji, a potem czeka na zwykłe umorzenie w funduszu i zarabia na dyskoncie. RedStone nie ujawnił żadnego wolumenu rozliczeń.

Proof of reserve odpowiada na węższe pytanie

NAV mówi, ile jest warta jednostka. Proof of reserve mówi, czy zabezpieczenie w ogóle istnieje, i stoi obok dwóch starszych kontroli.

Atestacja to sprawdzenie przez firmę audytorską jednego twierdzenia emitenta w jednym momencie, zakończone podpisanym raportem. Rezerwy USDC są atestowane co miesiąc. Audyt to opinia o pełnym sprawozdaniu finansowym za okres, łącznie z kontrolą wewnętrzną. Fundusz BUIDL co roku audytuje PwC. Atestacja nic nie mówi o dniu przed ani po, ani o tym, czy aktywa nie zostały zastawione gdzie indziej.

Proof of reserve zamienia ten miesięczny obraz w strumień: oracle publikuje stan rezerw na blockchainie, a kontrakt może wstrzymać mint, czyli emisję nowych tokenów, gdy rezerw brakuje. Dokumentacja Chainlinka wprost nazywa ograniczenie. Gdy listę adresów rezerw podaje sam emitent, feed potwierdza, że te adresy trzymają środki, ale nie to, że emitent jest ich właścicielem. Sprawdzenie, jak dany feed buduje listę adresów, należy do każdej analizy produktu.

Skąd biorą się awarie oracle

Większość strat przypisywanych oracle nie miała nic wspólnego z siecią węzłów. Trzy udokumentowane przypadki zawodzą w trzech różnych miejscach.

W przypadku Stream rynek pożyczkowy wyceniał xUSD na 1,06 USD, podczas gdy rynek płacił około 0,86 USD, bo wartość pochodziła z zaszytej na sztywno ceny albo z NAV raportowanego przez sam protokół, a nie z feedu. Strata Moonwell wzięła się ze źle skonfigurowanego feedu na Base, bez udziału atakującego.

Tectonic na blockchainie Cronos to najostrzejsza lekcja dla zabezpieczeń RWA. Atakujący podbił token TONIC mniej więcej stukrotnie w 20 minut w płytkiej puli, wniósł go jako zabezpieczenie i pożyczył pod niego. RedStone, którego feed był używany, stwierdził, że oracle poprawnie podał cenę z puli, a podanie ceny i ocena, czy bezpiecznie pod nią pożyczać, to dwie różne prace. Tokenizowany fundusz z płytkim rynkiem wtórnym niesie to samo ryzyko.

Czwarty rodzaj awarii nie ma jeszcze incydentu: wartość, która się starzeje, choć nikt niczego nie atakuje, jak feed USCC.

Co obserwować dalej

• Kontrole świeżości na rynkach pożyczkowych: protokoły, które odrzucają nieaktualny NAV, czytając updatedAt, zamykają lukę zmierzoną w tym rozdziale, a ich parametry ryzyka pokazują, czy to robią.
• Feedy NAV typu pull: żaden dostawca jeszcze ich nie oferuje, a taki feed pozwoliłby pożyczkobiorcy przynieść podpisany, aktualny NAV zamiast polegać na zapisanej wartości.
• Wolumen Settle: pierwsze ujawnione liczby rozliczeń pokażą, czy natychmiastowa likwidacja zabezpieczeń RWA działa poza opisami samego RedStone.
• Częstotliwość wyceny kredytu prywatnego: ujawnianie, jak często fundusz kredytowy jest wyceniany, a nie tylko publikowany, decyduje, ile jest wart codzienny feed NAV.
• Proof of reserve ze zweryfikowanymi adresami: feedy, które dowodzą własności portfeli rezerw, usunęłyby lukę samodzielnego raportowania, którą dokumentuje Chainlink.