Workspace Index › Knowledge Notes › S&P Global is buying OpenZeppelin — the library under Jayverse's contracts now belongs to a ratings agency

#61PoC2026-09-18filedone 2026-09-18

S&P Global is buying OpenZeppelin — the library under Jayverse's contracts now belongs to a ratings agency

On 2026-09-17 S&P Global announced an agreement to acquire OpenZeppelin, founded 2015, whose Contracts library underpins more than $37 trillion in cumulative value transferred, including most of the largest stablecoins and tokenized funds, and whose team has run more than 900 security engagements. Terms are undisclosed and S&P says the deal is not material to its results. OpenZeppelin keeps its name as a business unit; CEO Demian Brener reports to Yann Le Pallec, President of S&P Global Ratings, which is the sentence that says what this is. S&P's stated purpose is "the next generation of onchain security assessments, benchmarks", and it already publishes stablecoin stability assessments, issued the first credit rating of a DeFi protocol (Sky, August 2025), and tokenized its iBoxx Treasuries index with Kaiko. The library itself does not change: OpenZeppelin states every released version stays MIT-licensed and cannot be withdrawn. What changes is the relationship. The organisation that ships patches to the code under your contracts is now part of the organisation whose business is grading you.

For Jayverse this is the most direct item of the week. Three of our contract repos import OpenZeppelin: jayverse-token and jayverse-personas pin Contracts v5.1.0 as a git submodule, and Verex inherits v4.7.0 from 2022 through the Polymarket ctf-exchange submodule, two majors behind. Nothing about that is riskier today than yesterday, and the file's own caution is right: MIT code is not recalled, and vendoring a copy is worse, because OpenZeppelin ships vulnerability patches and isolation from them is exposure. The practical moves are small and specific: keep the submodule pins exact and reviewed, subscribe to the release feed, count the money-moving code paths that touch the library (about seven files, with ERC20, Ownable, and ERC721 as the imports), and decide how Verex's 4.7.0 gets upgraded when ctf-exchange does not. The strategic reading follows the 09-16 line: Clarity failed, so rules do not arrive as law, they arrive as contracts and ratings. "Assessments and benchmarks" need comparable fields, and the three things this month kept asking for, a permission table, a total-supply invariant, and dated parameters, are exactly what a benchmark would score. Status on 2026-09-18: agreement signed, closing conditions pending, no date; methodology for any onchain benchmark unpublished.

Why

A ratings agency sells a comparable opinion about risk to people who cannot read the underlying. In bonds that opinion is about the issuer's ability to pay; in tokenized finance the issuer can be solvent and the instrument can still fail because a contract has a bug, which is the gap S&P names. Buying the auditor that wrote most of the code is the shortest route to an opinion about code: OpenZeppelin knows which patterns are safe because it published them, and it has 900 engagements' worth of what goes wrong. The obvious tension is that the same house now writes the standard, audits against it, and rates the result. S&P will say the business unit is separate; that is the standard sentence and it is also what the rating agencies said about issuer-paid ratings before 2008. Whether it holds is a question of published methodology, not of intent.

For a builder the interesting consequence is not the conflict but the comparability. A rating exists to be compared, and comparison forces fields. Once an onchain benchmark exists, "does the protocol have a pause, who holds it, is the total-supply invariant enforced, when were the parameters last set" stop being design hygiene and become a score that a treasury desk reads before it deposits. That is the mechanism by which rules arrive without a law, and it is faster than legislation because a bank can require a rating tomorrow.

How it works

The deal

Fact	Value	Source
Announced	2026-09-17	S&P Global press release
Target	OpenZeppelin, founded 2015; Contracts library, security assessments, secure development	S&P, OpenZeppelin
Scale claimed	more than $37 trillion in cumulative value transferred over Contracts; 900+ security engagements, 10,000+ vulnerabilities surfaced	S&P, CoinDesk
Terms	undisclosed; "not expected to have a material impact" on S&P results	S&P
Structure	separate business unit under the OpenZeppelin name; Brener reports to Le Pallec, President, S&P Global Ratings	S&P
Purpose	"next generation of onchain security assessments, benchmarks"	S&P
Library	remains open source, MIT, on GitHub; released versions cannot be withdrawn	OpenZeppelin
Advisers	Jefferies and Clifford Chance for S&P; FT Partners and Cooley for OpenZeppelin	S&P
Close	subject to closing conditions, no date	S&P

S&P's path into onchain risk

Stablecoin stability assessments since 2023; the first DeFi protocol credit rating (Sky) in August 2025; a digital-asset index suite and a tokenized iBoxx Treasuries index with Kaiko in March 2026; a strategic investment in Kaiko this month; and now the company whose code the rated instruments run on. Each step moves the opinion one layer down: from reserves, to protocol, to index, to the contract itself.

What is under Jayverse today

Repo	How OpenZeppelin arrives	Version	Imports
jayverse-token	git submodule `contracts/lib/openzeppelin-contracts`	v5.1.0	ERC20, IERC20, Ownable
jayverse-personas	git submodule	v5.1.0	ERC721, ERC721URIStorage, ERC2981, Ownable
verex (packages/contracts)	nested through the Polymarket `ctf-exchange` submodule	v4.7.0 (2022-09)	whatever ctf-exchange uses
jayverse-defi, rails, wallet	no OpenZeppelin import found

A submodule commit is an exact pin, which is the right state. The gap is Verex: it does not choose its OpenZeppelin version, ctf-exchange does, and ctf-exchange is a fork we do not control. One CI workflow exists across the repos, and it does freeze the lockfile.

Where it lands in Jayverse

Keep the pins, read the release feed. Both v5.1.0 submodules are exact. Subscribe to OpenZeppelin Contracts releases and security advisories, and treat a bump as a reviewed PR, never an automatic merge. The alice-tech note's 30-minute checklist is the right size.
Decide Verex's upgrade path. v4.7.0 is two majors behind. Either pin a newer OpenZeppelin alongside ctf-exchange for our own contracts, or accept the inherited version explicitly and write down why. Not deciding is the only wrong option.
Build the fields a benchmark will ask for. Permission table with three columns, total-supply invariant with a stop, dated parameters. These were design hygiene on 09-16; after this deal they are the likely shape of a score.
Separate "code is safe" from "supply chain is safe". The dependency item that follows this one is the mechanism; this item is the relationship change. Nothing in the code moved on 2026-09-17.

Verified and unverified

Verified on 2026-09-18: the S&P press release (date, target, $37 trillion and 900+ figures, purpose wording, reporting line, undisclosed terms, non-material impact, advisers, closing conditions); OpenZeppelin's post (MIT, cannot be withdrawn, services unchanged, Brener and Le Pallec quotes); CoinDesk (10,000+ vulnerabilities, S&P's Sky rating, Kaiko investment and index work); the Jayverse dependency table from the repos on this machine (submodule package.json versions and Solidity imports). Not verified: whether any S&P onchain benchmark methodology exists yet; the deal's expected close; how ctf-exchange upstream handles its OpenZeppelin version. From the alice-tech note of 2026-09-18: the framing "audits become ratings" and the checklist; both used as reasoning, not as fact.

Sources: S&P Global — Announces agreement to acquire OpenZeppelin, 2026-09-17 · OpenZeppelin — S&P Global enters agreement to acquire OpenZeppelin · CoinDesk — Ratings giant S&P Global acquires OpenZeppelin in tokenized-finance risk push · Decrypt — S&P Global moves deeper into crypto with OpenZeppelin deal

Key expressions

Words and phrases from this page worth keeping, with the Korean meaning and the sentence they come from.

Expression	뜻 · 쓰이는 자리
treasury desk	자금 운용 데스크 · 은행·기업 안에서 현금과 국채를 굴리며 어디에 예치할지 결정하는 부서. "a score that a treasury desk reads before it deposits"
read the underlying	기초자산(원본)을 직접 읽어 판단하다 · underlying은 명사로 '그 아래 있는 것'. 등급이 필요한 이유를 말할 때. "people who cannot read the underlying"
the shortest route to	~에 이르는 가장 빠른 길 · 인수나 결정의 동기를 한 줄로 설명할 때. "the shortest route to an opinion about code"
900 engagements' worth of	900건어치의 · N's worth of = 그만큼의 분량. "900 engagements' worth of what goes wrong"
the same house	같은 회사(기관) · 금융에서 house는 회사·중개사를 뜻함. 이해충돌을 지적할 때. "the same house now writes the standard, audits against it"
whether it holds	그것이 유지되는지(성립하는지) · hold는 약속·주장·가정이 깨지지 않고 버틴다는 뜻. "Whether it holds is a question of published methodology"
design hygiene	설계 위생(기본적인 좋은 습관) · 규칙은 아니지만 당연히 지키는 관행. "stop being design hygiene and become a score"
material impact	(실적에) 중대한 영향 · 회계·공시 용어. non-material은 '중요하지 않은'. "not expected to have a material impact"
reporting line	보고 라인(누가 누구에게 보고하나) · 인수 후 조직도를 말할 때. "Brener reports to Le Pallec"
closing conditions	거래 종결 조건 · M&A에서 딜이 완료되기 위한 선행 조건. "subject to closing conditions, no date"
moves the opinion one layer down	의견(평가)을 한 층 아래로 내린다 · 평가 대상이 더 깊은 층으로 옮겨감을 그림처럼 말하는 표현. "Each step moves the opinion one layer down"
two majors behind	메이저 버전 두 개 뒤처진 · 의존성 버전을 말할 때 major를 명사로 쓴다. "v4.7.0 is two majors behind"
FT Partners	핀테크 전문 M&A 자문사(Financial Technology Partners) · Financial Times와 무관, 이번 인수에서 OpenZeppelin 측 재무자문을 맡음. "FT Partners and Cooley for OpenZeppelin"
Kaiko	크립토 시장 데이터 제공업체 · S&P가 iBoxx 국채 인덱스를 토큰화하며 협력하고 전략적 투자까지 한 데이터 기업. "a tokenized iBoxx Treasuries index with Kaiko"
Sky	DeFi 프로토콜(구 MakerDAO 계열) · S&P가 2025년 8월 최초로 신용등급을 매긴 DeFi 프로토콜. "the first credit rating of a DeFi protocol (Sky, August 2025)"
iBoxx	Markit/S&P의 채권 인덱스 브랜드 · 이번에 Kaiko와 함께 토큰화된 국채 인덱스 상품명. "tokenized its iBoxx Treasuries index with Kaiko"
ctf-exchange	Polymarket의 조건부토큰(CTF) 거래 컨트랙트 · Verex가 구버전 OpenZeppelin을 상속받는 원인이 되는 외부 서브모듈. "through the Polymarket ctf-exchange submodule"

← All Knowledge Notes · Workspace Index · Top ↑

S&P Global이 OpenZeppelin을 인수한다 — Jayverse 컨트랙트 아래 라이브러리의 주인이 신용평가사가 됐다

2026-09-17 S&P Global이 OpenZeppelin 인수 합의를 발표했습니다. 2015년 설립, Contracts 라이브러리가 누적 37조 달러 이상의 이전 가치를 뒷받침하고, 최대 스테이블코인과 토큰화 펀드 대부분이 그 위에 있으며, 900건 이상의 보안 감사를 수행한 회사입니다. 금액은 비공개이고 S&P는 실적에 미치는 영향이 크지 않다고 밝혔습니다. OpenZeppelin은 이름을 유지한 사업부로 남고, CEO Demian Brener는 S&P Global Ratings 사장 Yann Le Pallec에게 보고합니다. 이것이 무엇인지를 말해주는 문장입니다. S&P의 명시된 목적은 "차세대 온체인 보안 평가·벤치마크"이고, 이미 스테이블코인 안정성 평가를 발표하고, DeFi 프로토콜 첫 신용등급(Sky, 2025년 8월)을 매기고, Kaiko와 iBoxx 국채 지수를 토큰화했습니다. 라이브러리 자체는 바뀌지 않습니다. OpenZeppelin은 모든 릴리스 버전이 MIT 라이선스로 남고 회수될 수 없다고 밝혔습니다. 바뀐 것은 관계입니다. 당신 컨트랙트 아래 코드에 패치를 내는 조직이 이제 당신을 평가하는 것이 사업인 조직의 일부입니다.

Jayverse에는 이번 주 가장 직접적인 항목입니다. 우리 컨트랙트 레포 셋이 OpenZeppelin을 임포트합니다. jayverse-token과 jayverse-personas는 Contracts v5.1.0을 git 서브모듈로 핀하고, Verex는 Polymarket ctf-exchange 서브모듈을 통해 2022년의 v4.7.0을 물려받아 메이저 두 개 뒤에 있습니다. 그중 어떤 것도 어제보다 오늘 더 위험하지 않고, 파일의 주의가 맞습니다. MIT 코드는 회수되지 않고, 복사본을 벤더링하는 것은 더 나쁩니다. OpenZeppelin은 취약점 패치를 내는 라이브러리라 그로부터의 격리가 곧 노출이기 때문입니다. 실질적 조치는 작고 구체적입니다. 서브모듈 핀을 정확하게 유지하고 리뷰하기, 릴리스 피드 구독, 라이브러리를 건드리는 돈 움직이는 코드 경로 세기(약 일곱 파일, 임포트는 ERC20·Ownable·ERC721), 그리고 ctf-exchange가 올리지 않을 때 Verex의 4.7.0을 어떻게 올릴지 결정하기. 전략적 독법은 09-16의 문장을 따릅니다. Clarity가 부결됐으니 규칙은 법으로 오지 않고 계약서와 등급으로 옵니다. "평가와 벤치마크"는 비교 가능한 항목을 요구하고, 이달 계속 요구된 세 가지, 권한 표, 총량 불변식, 날짜 붙은 파라미터가 정확히 벤치마크가 점수 매길 것들입니다. 2026-09-18 기준 상태: 합의 서명, 종결 조건 대기, 날짜 없음; 온체인 벤치마크 방법론 미공개.

왜

신용평가사는 기초를 읽을 수 없는 사람들에게 리스크에 대한 비교 가능한 의견을 팝니다. 채권에서 그 의견은 발행자의 지급 능력에 대한 것이고, 토큰화 금융에서는 발행자가 건전해도 컨트랙트 버그로 상품이 실패할 수 있으며, 그것이 S&P가 지목한 공백입니다. 코드 대부분을 쓴 감사 회사를 사는 것은 코드에 대한 의견으로 가는 가장 짧은 길입니다. OpenZeppelin은 어떤 패턴이 안전한지 알고 있습니다, 자기가 발표했으니까요. 그리고 900건의 감사만큼 무엇이 잘못되는지 알고 있습니다. 명백한 긴장은 같은 집이 이제 표준을 쓰고, 그에 대해 감사하고, 결과를 평가한다는 것입니다. S&P는 사업부가 분리됐다고 말할 것입니다. 그것은 표준 문구이고, 2008년 이전 발행자 지불 등급에 대해 평가사들이 했던 말이기도 합니다. 유지되는가는 의도가 아니라 공개된 방법론의 문제입니다.

빌더에게 흥미로운 결과는 이해충돌이 아니라 비교 가능성입니다. 등급은 비교되기 위해 존재하고, 비교는 항목을 강제합니다. 온체인 벤치마크가 생기면 "프로토콜에 일시정지가 있는가, 누가 갖는가, 총량 불변식이 강제되는가, 파라미터는 언제 마지막으로 정했는가"가 설계 위생이기를 멈추고 자금 데스크가 예치 전에 읽는 점수가 됩니다. 그것이 법 없이 규칙이 도착하는 메커니즘이고, 은행은 내일 등급을 요구할 수 있으니 입법보다 빠릅니다.

동작 방식

거래

사실	값	출처
발표	2026-09-17	S&P Global 보도자료
대상	OpenZeppelin, 2015년 설립; Contracts 라이브러리, 보안 평가, 안전한 개발 서비스	S&P, OpenZeppelin
주장된 규모	Contracts 위로 누적 37조 달러 이상 이전; 보안 감사 900건 이상, 취약점 1만 건 이상 발견	S&P, CoinDesk
조건	비공개; S&P 실적에 "중대한 영향 없을 것"	S&P
구조	OpenZeppelin 이름의 별도 사업부; Brener가 S&P Global Ratings 사장 Le Pallec에게 보고	S&P
목적	"차세대 온체인 보안 평가·벤치마크"	S&P
라이브러리	오픈소스·MIT·GitHub 유지; 릴리스된 버전은 회수 불가	OpenZeppelin
자문	S&P는 Jefferies와 Clifford Chance; OpenZeppelin은 FT Partners와 Cooley	S&P
종결	종결 조건 대상, 날짜 없음	S&P

S&P의 온체인 리스크 진입 경로

2023년부터 스테이블코인 안정성 평가; 2025년 8월 첫 DeFi 프로토콜 신용등급(Sky); 2026년 3월 Kaiko와 디지털자산 지수 스위트와 토큰화 iBoxx 국채 지수; 이달 Kaiko 전략 투자; 그리고 이제 평가 대상 상품이 돌아가는 코드를 만든 회사. 각 단계가 의견을 한 층 아래로 옮깁니다. 준비금에서 프로토콜로, 지수로, 컨트랙트 자체로.

오늘 Jayverse 아래에 있는 것

레포	OpenZeppelin이 들어오는 경로	버전	임포트
jayverse-token	git 서브모듈 `contracts/lib/openzeppelin-contracts`	v5.1.0	ERC20, IERC20, Ownable
jayverse-personas	git 서브모듈	v5.1.0	ERC721, ERC721URIStorage, ERC2981, Ownable
verex (packages/contracts)	Polymarket `ctf-exchange` 서브모듈을 통해 중첩	v4.7.0 (2022-09)	ctf-exchange가 쓰는 것
jayverse-defi, rails, wallet	OpenZeppelin 임포트 없음

서브모듈 커밋은 정확한 핀이고, 그것이 맞는 상태입니다. 공백은 Verex입니다. 자기 OpenZeppelin 버전을 스스로 고르지 않고 ctf-exchange가 고르며, ctf-exchange는 우리가 통제하지 않는 포크입니다. 레포 전체에 CI 워크플로가 하나 있고, 그것은 락파일을 고정합니다.

Jayverse에서의 위치

핀은 유지하고, 릴리스 피드를 읽는다. v5.1.0 서브모듈 둘은 정확합니다. OpenZeppelin Contracts 릴리스와 보안 권고를 구독하고, 버전 올림은 리뷰되는 PR로 취급하며 자동 머지는 절대 하지 않습니다. alice-tech 노트의 30분 체크리스트가 맞는 크기입니다.
Verex의 업그레이드 경로를 결정한다. v4.7.0은 메이저 두 개 뒤입니다. 우리 컨트랙트용으로 ctf-exchange 옆에 더 새 OpenZeppelin을 핀하거나, 물려받은 버전을 명시적으로 받아들이고 이유를 적습니다. 결정하지 않는 것만이 틀린 선택입니다.
벤치마크가 물을 항목을 만든다. 세 열의 권한 표, 멈춤이 있는 총량 불변식, 날짜 붙은 파라미터. 09-16에는 설계 위생이었고, 이 거래 뒤에는 점수의 유력한 형태입니다.
"코드가 안전"과 "공급망이 안전"을 분리한다. 이 항목 다음의 의존성 항목이 메커니즘이고, 이 항목은 관계의 변화입니다. 2026-09-17에 코드는 아무것도 움직이지 않았습니다.

확인된 것과 미확인

2026-09-18에 확인한 것: S&P 보도자료(날짜, 대상, 37조 달러와 900건 수치, 목적 문구, 보고 라인, 비공개 조건, 비중대 영향, 자문, 종결 조건); OpenZeppelin 포스트(MIT, 회수 불가, 서비스 불변, Brener와 Le Pallec 인용); CoinDesk(취약점 1만 건 이상, S&P의 Sky 등급, Kaiko 투자와 지수 작업); 이 머신의 레포에서 확인한 Jayverse 의존성 표(서브모듈 package.json 버전과 Solidity 임포트). 미확인: S&P 온체인 벤치마크 방법론이 존재하는지; 예상 종결 시점; ctf-exchange 업스트림이 OpenZeppelin 버전을 어떻게 다루는지. 2026-09-18 alice-tech 노트에서: "감사가 등급이 된다"는 프레임과 체크리스트. 둘 다 사실이 아니라 추론으로 사용.

출처: S&P Global — Announces agreement to acquire OpenZeppelin, 2026-09-17 · OpenZeppelin — S&P Global enters agreement to acquire OpenZeppelin · CoinDesk — Ratings giant S&P Global acquires OpenZeppelin in tokenized-finance risk push · Decrypt — S&P Global moves deeper into crypto with OpenZeppelin deal

핵심 표현

이 페이지의 영어 본문에서 배울 만한 단어와 표현, 뜻과 나온 자리.

Expression	뜻 · 쓰이는 자리
treasury desk	자금 운용 데스크 · 은행·기업 안에서 현금과 국채를 굴리며 어디에 예치할지 결정하는 부서. "a score that a treasury desk reads before it deposits"
read the underlying	기초자산(원본)을 직접 읽어 판단하다 · underlying은 명사로 '그 아래 있는 것'. 등급이 필요한 이유를 말할 때. "people who cannot read the underlying"
the shortest route to	~에 이르는 가장 빠른 길 · 인수나 결정의 동기를 한 줄로 설명할 때. "the shortest route to an opinion about code"
900 engagements' worth of	900건어치의 · N's worth of = 그만큼의 분량. "900 engagements' worth of what goes wrong"
the same house	같은 회사(기관) · 금융에서 house는 회사·중개사를 뜻함. 이해충돌을 지적할 때. "the same house now writes the standard, audits against it"
whether it holds	그것이 유지되는지(성립하는지) · hold는 약속·주장·가정이 깨지지 않고 버틴다는 뜻. "Whether it holds is a question of published methodology"
design hygiene	설계 위생(기본적인 좋은 습관) · 규칙은 아니지만 당연히 지키는 관행. "stop being design hygiene and become a score"
material impact	(실적에) 중대한 영향 · 회계·공시 용어. non-material은 '중요하지 않은'. "not expected to have a material impact"
reporting line	보고 라인(누가 누구에게 보고하나) · 인수 후 조직도를 말할 때. "Brener reports to Le Pallec"
closing conditions	거래 종결 조건 · M&A에서 딜이 완료되기 위한 선행 조건. "subject to closing conditions, no date"
moves the opinion one layer down	의견(평가)을 한 층 아래로 내린다 · 평가 대상이 더 깊은 층으로 옮겨감을 그림처럼 말하는 표현. "Each step moves the opinion one layer down"
two majors behind	메이저 버전 두 개 뒤처진 · 의존성 버전을 말할 때 major를 명사로 쓴다. "v4.7.0 is two majors behind"
FT Partners	핀테크 전문 M&A 자문사(Financial Technology Partners) · Financial Times와 무관, 이번 인수에서 OpenZeppelin 측 재무자문을 맡음. "FT Partners and Cooley for OpenZeppelin"
Kaiko	크립토 시장 데이터 제공업체 · S&P가 iBoxx 국채 인덱스를 토큰화하며 협력하고 전략적 투자까지 한 데이터 기업. "a tokenized iBoxx Treasuries index with Kaiko"
Sky	DeFi 프로토콜(구 MakerDAO 계열) · S&P가 2025년 8월 최초로 신용등급을 매긴 DeFi 프로토콜. "the first credit rating of a DeFi protocol (Sky, August 2025)"
iBoxx	Markit/S&P의 채권 인덱스 브랜드 · 이번에 Kaiko와 함께 토큰화된 국채 인덱스 상품명. "tokenized its iBoxx Treasuries index with Kaiko"
ctf-exchange	Polymarket의 조건부토큰(CTF) 거래 컨트랙트 · Verex가 구버전 OpenZeppelin을 상속받는 원인이 되는 외부 서브모듈. "through the Polymarket ctf-exchange submodule"

← 전체 기술 노트 · 워크스페이스 인덱스 · 맨 위 ↑