Évaluer les risques de la DeFi

Avant qu’un fonds, une trésorerie, un dépositaire ou une banque n’interagisse avec un protocole DeFi, quelqu’un doit répondre à une question simple : comment pourrions-nous perdre de l’argent ici, et à hauteur de combien ? Cette leçon transforme les mécanismes des quatre leçons précédentes en une évaluation structurée, en s’appuyant sur des incidents réels pour montrer à quoi ressemble chaque risque lorsqu’il se concrétise.

Risque lié aux contrats intelligents et portée réelle des audits

Le risque le plus direct est un bogue dans le code. Un audit est un examen, limité dans le temps, d’une version précise du code (identifiée par un hachage de commit) réalisé par une société externe et qui donne lieu à un rapport répertoriant les constatations selon leur gravité et indiquant si elles ont été corrigées. Il s’agit d’un élément de preuve utile, et non d’une garantie. Les audits ne détectent pas certains bogues subtils d’arithmétique ou d’interaction, ne couvrent pas le code déployé après l’examen et portent rarement sur le comportement du protocole lorsqu’il est combiné à d’autres.

Deux incidents survenus en 2025 l’illustrent :

• Cetus (Sui, 22 mai 2025) : un attaquant a exploité une vérification de dépassement de capacité défectueuse dans une bibliothèque mathématique utilisée par la plateforme d’échange décentralisée (DEX) pour créer d’énormes positions de liquidité avec presque aucun jeton, empochant environ 223 millions de dollars. Les validateurs de Sui ont ensuite bloqué environ 162 millions de dollars des fonds volés sur la chaîne, ce qui a limité les pertes, mais a aussi montré que les validateurs d’un réseau présenté comme décentralisé pouvaient se coordonner pour geler des actifs.
• Balancer V2 (3 novembre 2025) : une erreur d’arrondi dans la logique de mise à l’échelle de ses pools stables composables, combinée à des échanges groupés, a permis à un attaquant de retirer environ 128 millions de dollars sur plusieurs chaînes, à partir de code qui avait été audité à plusieurs reprises et fonctionnait depuis des années.

Des éléments de preuve plus solides résultent d’une combinaison de facteurs : plusieurs audits indépendants du code déployé, la vérification formelle d’invariants critiques, un programme de récompenses pour la découverte de bogues significatif, une période de fonctionnement en production avec une valeur importante en jeu, une surveillance en temps réel et la possibilité de mettre le protocole en pause en cas d’urgence — un pouvoir d’administration qui doit lui-même être évalué.

Manipulation des oracles et manipulation économique

Un attaquant capable de modifier le prix lu par un protocole peut emprunter en s’appuyant sur des garanties surévaluées ou déclencher des liquidations injustifiées. Les mesures de protection sont bien connues : utiliser uniquement les prix de marchés profonds, agréger les données de plusieurs sources, recourir à des moyennes pondérées dans le temps, limiter l’amplitude des variations de prix par mise à jour et imposer des plafonds d’offre aux actifs peu liquides. L’examen doit recenser chaque oracle utilisé par le protocole, le marché échantillonné par chacun et ce qui se passe si l’un d’eux cesse de fournir des mises à jour. Le cas de Mango Markets présenté dans la leçon Prêts, emprunts et liquidations en est l’exemple de référence.

Le risque lié à la conception économique est plus vaste : le protocole fonctionne exactement comme prévu par le code, mais les incitations échouent. Parmi les exemples, citons les jetons de récompense qui ne permettent de maintenir les rendements que tant que de nouveaux capitaux arrivent, les garanties dont la valeur dépend du protocole lui-même (réflexivité), l’écart entre la liquidité immédiate promise aux déposants et les actifs illiquides qui la sous-tendent, ainsi que l’effet de levier récursif qui transforme un faible mouvement de prix en cascade de liquidations. L’effondrement du stablecoin algorithmique UST en 2022, abordé dans la leçon Les stablecoins dans l’infrastructure des marchés, en est l’exemple le plus important.

Gouvernance, clés d’administration et possibilité de mise à niveau

La plupart des protocoles ne sont pas immuables. Ils utilisent des contrats proxy qui permettent à un administrateur de remplacer le code derrière une adresse fixe, et disposent de fonctions privilégiées permettant d’ajouter des actifs, de modifier des paramètres, de définir des oracles ou de mettre le protocole en pause. Dans le pire des cas, la personne qui détient ces pouvoirs peut tout prendre. L’évaluation doit établir :

• Quelles fonctions sont privilégiées et qui peut les appeler : une seule clé, un portefeuille multisignature (avec quel seuil et quels signataires) ou la gouvernance par jetons.
• Si les modifications passent par un délai de verrouillage, c’est-à-dire un délai obligatoire qui permet aux utilisateurs de prendre connaissance d’une modification et de sortir avant son entrée en vigueur.
• Si les pouvoirs d’urgence (par exemple ceux d’un conseil de sécurité) permettent de contourner le délai de verrouillage, et dans quelle mesure ils sont strictement limités.

L’incident de Drift du 1er avril 2026 sur Solana montre comment ces contrôles peuvent échouer conjointement. Pendant plusieurs semaines, des attaquants ont eu recours à l’ingénierie sociale pour convaincre des membres du conseil de sécurité de Drift de signer des transactions à l’avance, en utilisant une fonctionnalité de Solana (les nonces durables) qui permet d’exécuter ultérieurement des transactions signées. Quelques jours avant l’attaque, le conseil était passé à un portefeuille multisignature 2 sur 5 et avait supprimé son délai de verrouillage. Les transactions pré-signées ont inscrit comme garantie approuvée un jeton sans valeur créé par les attaquants et relevé les limites de retrait ; les attaquants l’ont déposé à un prix artificiel et ont retiré environ 285 millions de dollars en quelques minutes. Des sociétés d’analyse de la chaîne de blocs telles que TRM Labs et Elliptic ont estimé que des pirates informatiques nord-coréens en étaient probablement responsables. Aucun bogue de code n’est entré en jeu. Les contrôles de gouvernance et de signature présentés dans les leçons Niveaux de portefeuille, politiques de transaction et processus de signature et Attaques et modes de défaillance de la gouvernance s’appliquent directement.

Risque lié aux ponts

Les ponts concentrent la valeur derrière une seule étape de vérification, comme l’explique la leçon Les éléments constitutifs de la DeFi, et leurs défaillances dominent la liste des pertes les plus importantes.

Les enseignements sont cohérents : comptez les vérificateurs et les signataires indépendants, vérifiez que leurs clés sont véritablement séparées (les cinq clés de Ronin étaient réparties entre seulement deux organisations), confirmez que les autorisations sont révoquées lorsqu’elles ne sont plus nécessaires et considérez que tout jeton ponté présente, en plus du risque lié à l’actif, celui du pont.

Exposition aux sanctions et aux risques de non-conformité

Les pools DeFi sont ouverts à tous, y compris aux personnes faisant l’objet de sanctions. Des enquêteurs ont établi des liens entre des groupes nord-coréens et les attaques contre Ronin, Drift et Kelp DAO, et les fonds volés transitent souvent par des pools de plateformes d’échange décentralisées, des ponts et des mélangeurs. Pour une entreprise réglementée, cela crée des risques qui n’existent pas sur une plateforme soumise à un contrôle préalable :

• Recevoir des fonds dont la trace remonte à une adresse figurant sur la liste des ressortissants spécialement désignés (SDN) de l’OFAC ou à des produits d’exploits connus.
• Fournir des liquidités à un pool utilisé pour blanchir des actifs volés, ou détenir des jetons qu’un protocole gèle par la suite.
• Utiliser une interface ou un protocole visé par des sanctions ou des mesures d’application de la loi ; le cas des sanctions contre Tornado Cash est abordé dans la leçon Intégrité des marchés, sanctions et mesures d’application de la loi.

Les mesures de contrôle comprennent le filtrage des contreparties et des pools à l’aide d’outils d’analyse de la chaîne de blocs avant et après chaque interaction, les listes d’autorisation d’adresses de portefeuille, la documentation de l’acceptation du risque pour chaque protocole et les processus liés à la Travel Rule décrits dans la leçon Normes du GAFI et Travel Rule lorsque des transferts impliquent des prestataires de services sur actifs virtuels.

Cadre de notation

Pour comparer des protocoles, une méthode pratique consiste à attribuer à chaque catégorie de risque une note de 1 (solide) à 5 (faible), à pondérer les catégories et à fixer des limites d’exposition en fonction du résultat. Voici une structure type :

Les notes pondérées doivent être combinées à des limites strictes qu’aucune note ne peut écarter (par exemple, ne jamais utiliser un protocole dont la clé d’administration est un compte externe détenu par une seule entité, ou dont les mises à niveau ne sont soumises à aucun délai de verrouillage), à des limites de concentration par protocole et par chaîne, ainsi qu’à des déclencheurs de surveillance qui imposent un examen : une proposition de gouvernance visant à modifier les pouvoirs d’administration, une sortie soudaine de TVL, la perte de parité d’un jeton utilisé comme garantie ou un exploit visant un protocole dont il dépend. Une note n’est qu’un instantané ; le risque lié à la DeFi évolue à chaque mise à niveau et à chaque vote.

Points clés pour l’examen : ce qu’un audit couvre et pourquoi du code audité peut tout de même être exploité (Cetus, mai 2025 ; Balancer V2, novembre 2025) ; les mesures de protection contre la manipulation des oracles et le risque lié à la conception économique ; les contrats proxy, les clés d’administration, les seuils de signatures multiples et les délais de verrouillage, ainsi que la manière dont l’attaque contre Drift (avril 2026) a combiné ingénierie sociale, transactions pré-signées et suppression d’un délai de verrouillage ; les causes fondamentales des exploits des ponts Ronin, Wormhole et Kelp DAO ; l’exposition aux sanctions résultant des interactions avec des pools ouverts ; et la manière d’élaborer un cadre de notation pondérée assorti de limites strictes et de déclencheurs de surveillance.