Le fondateur d'OpenZeppelin met en garde contre le manque de sécurité de l'ensemble de la DeFi face aux failles de sécurité

Avertissements concernant finance décentralisée ne sont pas un phénomène nouveau. Les failles de contrats intelligents, les défaillances de ponts, les attaques visant la gouvernance et les campagnes de hameçonnage accompagnent le secteur depuis ses débuts. Les investisseurs ont largement admis que des rendements plus élevés s’accompagnent souvent d’un risque technique accru. Ce qui distingue la dernière mise en garde de Manuel Aráoz, ce n’est pas seulement sa gravité, mais la raison qui la sous-tend.

Le cofondateur d’OpenZeppelin, dont la société a contribué à établir bon nombre des normes de sécurité utilisées sur Ethereum et dans la DeFi, a déclaré en mai qu’il considérait désormais “ l’ensemble de la DeFi ” comme dangereux et qu’il avait conseillé en privé à ses amis et à sa famille de se retirer même de protocoles importants et bien établis tels qu’Aave, MakerDAO et Compound. Son argument n’est pas que les développeurs soient devenus moins prudents. Il estime plutôt que l’intelligence artificielle a fondamentalement bouleversé l’économie de la sécurité logicielle. Selon Aráoz, les agents de codage sont désormais “ surhumains ” lorsqu’il s’agit de détecter des vulnérabilités, tandis que les défenseurs sont toujours confrontés à la tâche impossible d’éliminer toutes les failles critiques avant que les attaquants n’en trouvent une.

Cela mérite qu'on s'y attarde, car cela remet en cause l'un des postulats sur lesquels repose la DeFi : celui selon lequel la sécurité s'améliore progressivement à mesure que les protocoles gagnent en maturité.

L'équation de la sécurité a changé

La sécurité logicielle traditionnelle a toujours été asymétrique. Les développeurs doivent identifier et corriger toutes les vulnérabilités importantes avant la mise en production. Il suffit d'une seule faille à un pirate pour agir.

Jusqu'à récemment, l'identification de ces faiblesses exigeait une expertise très pointue, du temps et des ressources. L'IA change la donne.

Les modèles de codage modernes permettent d'analyser de vastes bases de code, de comparer des implémentations, d'identifier des chemins logiques inhabituels et de générer des hypothèses d'exploitation bien plus rapidement qu'un chercheur travaillant seul. Bien qu'ils ne soient pas parfaits, ils réduisent le coût de la recherche de vulnérabilités.

Pour la DeFi, cela pose un problème particulier, car les contrats intelligents sont publics par nature. Chaque protocole publie le code qui sécurise des milliards de dollars d’actifs. La transparence a toujours été présentée comme l’un des atouts de la blockchain, car tout le monde peut inspecter les contrats. Mais la transparence est à double tranchant. Cette même ouverture qui permet aux auditeurs d’examiner le code offre également aux systèmes d’IA, de plus en plus performants, un accès illimité pour l’analyser.

C'est cette asymétrie qui, selon Aráoz, est devenue bien plus difficile à surmonter.

Les audits ne suffisent plus

Depuis des années, le secteur s'appuie largement sur les audits comme principal indicateur de fiabilité.

Un protocole permettrait d'annoncer le financement, de publier un rapport d'audit, de lancer un programme de prime aux bogues et de rassurer les utilisateurs en leur indiquant que plusieurs sociétés de sécurité ont examiné les contrats.

Ces mesures restent importantes. Elles permettent d'éliminer les erreurs manifestes et d'améliorer la qualité du code. Mais il ne faut pas les confondre avec des garanties.

Un audit rend compte de l'état du code à un moment donné. Il ne peut pas anticiper toutes les interactions avec les futurs protocoles, toutes les décisions de gouvernance, toutes les conditions de marché ni tous les vecteurs d'attaque innovants susceptibles d'apparaître quelques mois plus tard.

Le problème se complique encore davantage lorsque les protocoles sont étroitement interconnectés. Les applications DeFi modernes fonctionnent rarement de manière isolée. Les protocoles de prêt sont reliés à des systèmes de staking liquide, qui interagissent à leur tour avec des ponts, des oracles, des réservoirs de liquidités, des systèmes de messagerie inter-chaînes et des cadres de gouvernance. Chaque dépendance supplémentaire élargit la surface d'attaque.

La sécurité devient donc une propriété de l'écosystème plutôt que celle d'un protocole isolé.

La complexité est devenue le véritable ennemi

La DeFi a connu un tel succès parce qu'elle est modulable. Les développeurs peuvent combiner des protocoles existants pour créer de nouveaux produits financiers sans avoir à demander d'autorisation.

Cette modularité a accéléré l'innovation. Elle a également accru la complexité systémique.

Chaque intégration repose sur des hypothèses. Chaque oracle dépend de données externes. Chaque passerelle repose sur un autre modèle de sécurité. Chaque mise à niveau de la gouvernance engendre un nouveau risque opérationnel. Chaque couche de liquidité crée un nouveau point de défaillance potentiel.

Il en résulte que de nombreuses failles exploitées aujourd'hui ne proviennent pas de simples erreurs de programmation. Elles découlent d'interactions inattendues entre des systèmes par ailleurs bien conçus.

Les recherches universitaires sur les attaques visant la DeFi sont parvenues à des conclusions similaires. L'analyse de centaines d'incidents réels montre que les vulnérabilités vont bien au-delà des erreurs de codage et englobent notamment la manipulation des oracles, les faiblesses de gouvernance, les interactions sans autorisation et les défauts de conception économique.

C'est pourquoi se contenter d'exiger “ davantage d'audits ” ne constitue plus une réponse suffisante.

L'IA pourrait profiter en premier lieu aux pirates

Chaque avancée technologique offre de nouvelles possibilités tant aux défenseurs qu'aux attaquants.

Les entreprises de sécurité ont déjà recours à l'IA pour améliorer la révision du code, automatiser les tests et faciliter la recherche de vulnérabilités. Les développeurs de protocoles expérimentent de plus en plus la vérification et la surveillance assistées par l'IA.

Mais ce sont souvent les attaquants qui en tirent profit en premier, car ils agissent avec moins de contraintes.

Un audit de sécurité rigoureux doit réduire au minimum les faux positifs, consigner les résultats, coordonner la communication des informations et éviter de perturber les systèmes de production. Les pirates, quant à eux, n’ont aucune de ces obligations. Ils peuvent lancer des milliers d’analyses automatisées, ignorer les tentatives infructueuses et exploiter immédiatement les failles détectées.

D'un point de vue économique, l'attaque est donc la stratégie la plus avantageuse.

Cela ne signifie pas pour autant que l'IA compromet inévitablement la sécurité de la DeFi. Cela signifie simplement que les mesures de sécurité doivent évoluer plus rapidement qu'elles ne l'ont fait jusqu'à présent.

La confiance dépendra des activités opérationnelles, et non du marketing

Si l'analyse d'Aráoz s'avère globalement juste, les projets DeFi devront se démarquer autrement.

Le marketing axé sur les audits, la TVL et les incitations sous forme de jetons perdra de son pouvoir de persuasion face à la résilience opérationnelle.

Les investisseurs institutionnels et les utilisateurs avertis sont susceptibles de poser des questions différentes.

En combien de temps peut-on identifier les vulnérabilités ?

Peut-on suspendre des contrats en toute sécurité ?

Comment les mises à niveau de la gouvernance sont-elles gérées ?

Quels sont les dispositifs de suivi mis en place après le déploiement ?

Comment les dépendances sont-elles mappées ?

Quelle part de la valeur peut être exposée avant que les mécanismes d'urgence ne se déclenchent ?

À quelle fréquence les modèles de menaces sont-ils mis à jour ?

Ces questions portent moins sur l'existence du risque que sur la capacité à le gérer.

Cette évolution reflète les tendances générales en matière de cybersécurité. Les organisations admettent de plus en plus que des failles de sécurité peuvent se produire. L'avantage concurrentiel réside désormais dans la détection, le confinement et la reprise après sinistre, plutôt que dans l'illusion d'une prévention parfaite.

Cela signifie-t-il que la DeFi est finie ?

Probablement pas.

L'histoire montre que les technologies majeures gagnent souvent en sécurité à la suite d'échecs répétés plutôt qu'avant ceux-ci. Internet, le cloud computing et les services bancaires en ligne ont tous connu des périodes où les attaquants prenaient systématiquement le dessus sur les défenseurs avant que les normes de sécurité ne soient au point.

La différence réside dans le fait que les pertes financières dans la DeFi sont immédiates, publiques et généralement irréversibles.

Cela exerce une pression bien plus forte en faveur d'une amélioration de l'architecture de sécurité.

L'IA pourrait, à terme, renforcer la DeFi si elle s'avérait être un outil défensif plus efficace qu'offensif. La vérification automatisée du code, la surveillance continue, la vérification formelle assistée par l'IA et la détection d'anomalies en temps réel sont autant d'éléments susceptibles d'améliorer la résilience des protocoles.

La question est de savoir si ces améliorations pourront être mises en place assez rapidement.

Ce que les investisseurs doivent retenir

L'avertissement d'Aráoz ne doit pas être interprété comme un appel à abandonner toutes les applications basées sur la blockchain.

Il convient de considérer cela comme un rappel : le statut de “ valeur sûre ” n'est pas synonyme de faible risque.

La taille du protocole n'élimine pas les risques liés aux contrats intelligents.

Les audits passés n'éliminent pas les vulnérabilités futures.

La réputation n'empêche pas les erreurs opérationnelles.

Tout rendement s'accompagne toujours d'une source de risque correspondante.

Les investisseurs doivent donc accorder autant d'importance à la sécurité qu'aux rendements.

Les questions relatives à la gouvernance, à la gestion de trésorerie, aux processus de mise à niveau, aux contrats d'assurance, à la cartographie des dépendances et à la gestion des incidents méritent au moins autant d'attention que les taux de rendement annuels.

Le prochain avantage concurrentiel

Pendant plusieurs années, les projets DeFi se sont principalement démarqués par leur capacité d'innovation.

À l'époque, ils se faisaient concurrence sur la liquidité. Aujourd'hui, ils se font de plus en plus concurrence sur la sécurité. La prochaine étape pourrait être la sécurité continue plutôt que la sécurité ponctuelle.

Les protocoles capables de démontrer une surveillance assistée par l’IA, des contrôles opérationnels transparents, des capacités de réaction rapide, une vérification indépendante et une gestion prudente des expositions sont susceptibles d’attirer davantage de capitaux à long terme que ceux qui reposent principalement sur des incitations. La déclaration d’Aráoz est délibérément provocatrice, mais elle soulève une question stratégique sérieuse. Si l’IA permet aux attaquants de découvrir des vulnérabilités à la vitesse d’une machine, la DeFi peut-elle continuer à s’appuyer sur des pratiques de sécurité conçues pour la vitesse humaine ? Cette question est susceptible d’influencer la prochaine phase de la finance décentralisée bien davantage que le prochain lancement de token ou la prochaine opportunité de rendement.