DEX с фармингом, стейкингом и лотереей
Скопировать репозиторий PancakeSwap, сменить логотип и запустить DEX — так делают 90% форков. Через месяц вы теряете средства из-за reentrancy или inflation attack. Мы не копируем код вслепую: каждый компонент — от AMM до лотереи — адаптируем под ваш токен, чейн и экономическую модель. Наша команда имеет 5+ лет опыта в DeFi и реализовала более 20 проектов по форкам DEX. Стоимость разработки форка значительно ниже, чем написание DEX с нуля, а экономия бюджета достигает 60%.
Какие риски существуют при форке PancakeSwap?
MasterChef — самый эксплуатируемый контракт в DeFi
MasterChef управляет фармингом: принимает LP-токены, начисляет награды пропорционально стейку. Оригинальный MasterChef от PancakeSwap содержал проблему: updatePool вызывался вручную или через deposit/withdraw. Если пользователь давно не взаимодействовал с пулом, а потом внесло крупный депозит — он получал непропорционально большое количество наград за прошлые блоки из-за некорректного расчёта accTokenPerShare.
Бесчисленные форки скопировали этот код без понимания. Результат — rug through arithmetic: злоумышленник создаёт пул, ждёт накопления наград в контракте, делает депозит — и через emergencyWithdraw дренирует накопленный reward pool.
Современный стандарт — MasterChef v2 с rewarder интерфейсом и корректным расчётом через debt tracking. Используем именно его, с дополнительной проверкой инвариантов в Foundry fuzz-тестах: сумма всех rewardDebt не превышает accRewardsTotal. Наш MasterChef v2 на 30% экономичнее по газу, чем наивный форк.
Inflation attack на LP-токены
Первый провайдер ликвидности в пустой пул получает количество LP-токенов, равное sqrt(amount0 * amount1). Если он затем сжигает все LP, кроме MINIMUM_LIQUIDITY (1000 единиц), и делает donation в пул — он может манипулировать price0CumulativeLast. Следующий провайдер получает несправедливо мало LP из-за искусственно завышенного reserve. Уязвимость называется first depositor inflation attack и была активно эксплуатировалась на форках в первые годы существования DEX.
Патч — виртуальный первый депозит при деплое пары: контракт-фабрика сразу переводит MINIMUM_LIQUIDITY на address(0) при создании пула. В Uniswap v2 это есть, но некоторые форки убирали как «ненужный» код.
Как защититься от flash loan атак?
Если протокол использует price0CumulativeLast / price1CumulativeLast как оракул цены — он уязвим к манипуляции через flash loan. Злоумышленник берёт крупный флэш-лоан, свапает в пул, записывает искажённую цену в кумулятивный аккумулятор, использует эту цену как оракул в другом контракте. Решение:
- Увеличьте TWAP-окно до минимум 30 минут.
- Интегрируйте Chainlink VRF для верифицируемой случайности (используется в нашей лотерее).
- Ограничьте использование кумулятивных цен только в функциях, не подверженных flash loan.
Что входит в разработку форка
AMM Core (Uniswap v2-based)
Factory (PancakeFactory) — деплоит новые пары, хранит реестр. Адаптируем feeTo адрес и feeToSetter под мультисиг клиента. Размер fee (обычно 0.25% для LP + 0.05% для протокола) — настраиваемый.
Router — основная точка взаимодействия пользователей: swapExactTokensForTokens, addLiquidity, removeLiquidity. Деплоим с актуальным WETH адресом для целевого чейна.
Pair — AMM-логика, constant product formula x * y = k. Версия с патчами против inflation attack и reentrancy.
Токен и токеномика
CAKE-аналог — ERC-20 с mint функцией, ограниченной MasterChef-контрактом. Максимальный supply или inflation schedule — обсуждаем с клиентом. Burn механики: фиксированный burn процент от swap fee, buyback-and-burn через governance.
MasterChef v2 — пулы фарминга с configurable multiplier (allocPoint). add и set функции защищены onlyOwner (планируем переход на timelock после запуска). Поддержка множественных reward токенов через IRewarder интерфейс.
Стейкинг
Syrup Pool (single-asset staking) — пользователи стейкают основной токен, получают его же или другой токен как reward. Логика аналогична MasterChef, но без LP. Добавляем lockPeriod — минимальный срок стейка для защиты от flash staking.
Лотерея
Контракт лотереи с Chainlink VRF для верифицируемой случайности. Пользователи покупают билеты за основной токен, часть сжигается. Раунды закрываются по таймеру или по достижению порогового количества билетов. Chainlink VRF v2 с subscriptionId — используем subscription model, не direct funding.
Frontend
Next.js + wagmi v2 + viem. Адаптируем открытый исходный код PancakeSwap Frontend v2 под новый брендинг, токен, чейн. Настраиваем token list, RPC endpoints, explorer URLs.
Выбор чейна
| Чейн | Gas | TVL потенциал | Пользователи | Сложность деплоя |
|---|---|---|---|---|
| BSC | ~$0.1 | Высокий (DeFi-аудитория) | Массовый | Низкая |
| Polygon PoS | ~$0.01 | Средний | Средний | Низкая |
| Arbitrum | ~$0.3-1 | Высокий (опытные пользователи) | Целевой DeFi | Средняя |
| Base | ~$0.01 | Растущий | Coinbase аудитория | Низкая |
Для большинства форков BSC — первичный деплой. Мультичейн добавляет сложность в управлении liquidity и bridge.
Основные уязвимости и их устранение
| Уязвимость | Последствия | Наше решение |
|---|---|---|
| Reentrancy в функции swap | Потеря средств | Используем checks-effects-interactions и gas-лимиты |
| Flash loan манипуляция оракулом | Неправильная цена | TWAP 30 мин + Chainlink |
| Первый депозитор inflation attack | Несправедливое распределение LP | Виртуальный MINIMUM_LIQUIDITY |
| Некорректный расчёт наград MasterChef | Rug пула | Debt tracking + fuzz тесты |
Процесс работы
Токеномика и архитектура (1 неделя). Определяем emission schedule, allocations, механики burn, структуру пулов фарминга. Это фундамент — ошибки здесь исправляются через governance proposal, что долго и дорого.
Smart contracts разработка (2-3 недели). Fork + патчи безопасности + кастомизация. Foundry-тесты с покрытием >95%, fuzz-тесты инвариантов MasterChef.
Frontend адаптация (2-3 недели). Брендинг, интеграция с новым токеном и контрактами, настройка всех token lists.
Аудит (2-4 недели). Внешний аудит обязателен перед mainnet деплоем с реальными средствами. Помогаем с выбором аудитора и подготовкой репозитория.
Деплой и запуск (1 неделя). Testnet → mainnet. Мультисиг через Gnosis Safe, timelock на критичные функции.
Ориентиры по срокам
Минимальный форк (AMM + базовый фарминг) — 4-6 недель до testnet. Полный продукт с лотереей, IFO и мобильным приложением — 3-4 месяца. Аудит не включён и идёт параллельно с финальным тестированием. Получите предварительный расчёт стоимости разработки вашего DEX — свяжитесь с нами для консультации. Закажите разработку форка под ключ и запустите свой DeFi-продукт быстрее.