La crise rsETH a entraîné 200 millions de dollars de créances douteuses dans les livres d'Aave, bien qu'aucune ligne de ses contrats n'ait mal fonctionné.
Le 18 avril, des attaquants que Chainalysis a initialement liés à Lazarus ont compromis l'infrastructure RPC, forcé un basculement vers des nœuds contaminés via une attaque DDoS et injecté des données fausses dans une configuration DVN 1 sur 1 sur le pont rsETH de KelpDAO.
Le message falsifié a libéré environ 116 500 rsETH, et le rapport d'incident d'Aave a confirmé qu'Ethereum avait accepté le nonce 308 alors que l'extrémité source Unichain n'avait jamais dépassé le 307.
L'attaquant a fourni les rsETH compromis à Aave et en a emprunté contre, ce qui a entraîné des créances douteuses et servi de cadre au statu quo actuel de la sécurité dans la DeFi.
Les exploitants ont extrait plus de $635 millions dans 28 incidents en avril, le pire total mensuel depuis plus d'un an. DefiLlama estime le coût cumulatif historique des hacks à 16,5 milliards de dollars, dont 7,7 milliards spécifiquement ciblés sur la DeFi.
Les exploits médiatisés sur Drift et le pont KelpDAO ont fait perdre à la DeFi près de 11 milliards de dollars de valeur totale verrouillée le mois dernier.
Cette contraction s'est produite alors que les rails des stablecoins, les trésors tokenisés et les couches de règlement réglementées gagnaientune traction institutionnelledans les mêmes marchés financiers.
Les exploitants de DeFi ont extrait 635 millions de dollars dans 28 incidents en avril, la pire perte mensuelle du secteur depuis plus d'un an, tandis que les hacks historiques cumulés atteignent 16,5 milliards de dollars.
Comment la DeFi en est arrivée là ?
Mitchell Amador, PDG d'Immunefi, a déclaré à CryptoSlate que la DeFi a historiquement récompensé la croissance, les intégrations, la liquidité et la rapidité plutôt que la maturité en matière de sécurité.
Un protocole qui ajoute un nouvel actif, un pont, un oracle, un adaptateur ou une dépendance externe gagne immédiatement en utilité. Le risque lié à cette intégration ne produit aucun signal visible de prix tant qu'un exploit ne se concrétise pas, car l'absence d'incident reste invisible tant qu'il persiste.
Cette asymétrie a maintenu les cycles d'audit et les pratiques d'isolement secondaires par rapport à la vitesse de déploiement pendant des années, jusqu'à ce qu'avril concentre les conséquences en un seul mois.
Amador a indiqué que les pratiques les plus négligées étaient l'hygiène et la gestion des multisigs, le renforcement de la chaîne d'approvisionnement, la surveillance en temps réel et les procédures de réponse aux urgences.
Trop d'équipes considéraient le multisig comme une solution de sécurité en soi, alors que sa véritable force dépend du nombre de signataires, de leur indépendance, de leur configuration opérationnelle et des processus entourant l'examen des transactions.
Un multisig à seuil bas, une sécurité faible des signataires ou un pont ou un oracle mal surveillé peuvent devenir une exposition systémique parce que les protocoles DeFi sont composables par défaut. Dans ce paysage, le risque circule à travers les intégrations aussi efficacement que la liquidité.
Tandis que cette culture se formait au sein de la DeFi, un modèle différent se construisait en parallèle.
Le PDG de Solstice Finance, Ben Nadareski, a estimé :
“L'écart de production par personne montre ce qui arrive quand on élimine tout ce qui n'est pas la fonction financière centrale. Les équipes qui remporteront cette manche seront celles construites sur la conformité et la sécurité dès le premier jour, prêtes à livrer plus vite qu'une banque ne peut convoquer une réunion à ce sujet.”
La DeFi a construit des rails composables pendant plus d'une décennie avant que Wall Street ne les reconnaisse comme la véritable couche d'infrastructure du prochain système financier.
Le coût de cette position précoce sur le marché était une culture de sécurité calibrée pour la rapidité plutôt que pour la discipline opérationnelle.
Kasper Pawlowski, CTO d'Euler Finance, identifie la dimension de gouvernance de la même défaillance dans son analyse post-incident analyse.
Il a dit :
“La DeFi traite l'évaluation des risques comme une décision unique lors de l'intégration, alors que le risque est en réalité dynamique.”
La configuration DVN 1 sur 1 qui a permis l'exploit de KelpDAO existait en production depuis des années. Kelp affirme qu'elle était la configuration LayerZero par défaut expédiée et revue lors de plusieurs réunions d'intégration, tandis que LayerZero affirme que Kelp l'a rétrogradée.
Quelle que soit la version exacte, cette configuration est restée non signalée à travers toutes les intégrations avec chaque protocole aval. LayerZero a interdit depuis la configuration à l'échelle du protocole, reconnaissant que permettre à sa DVN d'agir comme seul vérificateur pour les transactions à haute valeur était une erreur.
| Étape | Ce qui s'est passé | Pourquoi cela importait |
|---|---|---|
| Infrastructure RPC compromise | Les attaquants ont compromis l'infrastructure RPC liée à la configuration du pont rsETH | L'attaque a débuté en dehors des contrats intelligents centraux, montrant comment l'infrastructure hors chaîne peut devenir la porte d'entrée |
| DDoS a forcé le basculement | Le trafic a été dirigé vers des nœuds contaminés grâce à un basculement forcé | Cela a permis aux attaquants de contrôler l'environnement de données vu par le vérificateur du pont |
| Données fausses injectées dans la DVN 1 sur 1 | Les nœuds contaminés ont alimenté en données fausses une configuration DVN à vérificateur unique | Une configuration à vérificateur unique signifiait qu'il n'y avait pas de contrôle indépendant pour arrêter le message falsifié |
| Message de pont falsifié accepté | Le message falsifié a libéré environ 116 500 rsETH | La fausse garantie a été effectivement mise en circulation |
| Fausse rsETH fournie à Aave | L'attaquant a déposé des rsETH compromis dans Aave comme garantie | Aave a traité l'actif comme valide et a autorisé l'emprunt contre celui-ci |
| L'emprunt a créé des créances douteuses | L'attaquant a emprunté d'autres actifs et a laissé Aave avec environ 200 millions de dollars de créances douteuses | Les pertes dues à une défaillance du pont se sont propagées au marché du prêt et ont été socialisées dans toute la pool |
Le point le plus important est qu'un paramètre critique de sécurité des ponts a été normalisé dans toute la chaîne de dépendance jusqu'à ce qu'un exploit de 292 millions de dollars le mette à jour.
Pawlowski a argumenté :
“La machinerie opérationnelle que la DeFi a construite — gouvernance DAO, prestataires externes de services de risque et cycles de revue mensuels — ne suit pas la vitesse à laquelle évolue la surface de risque sous-jacente. Dans beaucoup de cas, les personnes qui effectuent les revues ne sont pas structurellement indépendantes des actifs qu'elles examinent.”
Ce conflit structurel a produit la défaillance spécifique de gouvernance que Pawlowski a analysée. La proposition de récupération de la trésorerie de 25 000 ETH d'Aave a été rédigée par TokenLogic, un prestataire payant d'Aave qui cite publiquement Kelp comme client et exploite une plateforme de délégation d'Aave.
À titre de référence, TokenLogic est la même entreprise qui vote sur ses propres propositions. Le même jour où Aave a étendu rsETH à un ratio prêt-valeur de 93% en eMode, SparkLend a complètement déprécié l'actif, associant cette mesure à un nettoyage routinier des positions sous-utilisées.
Trois mois plus tard, ce nettoyage routinier était la seule séparation entre les déposants de Spark et les créances douteuses que porte désormais Aave.
Le jugement indépendant de risque d'un protocole a surpassé l'appareil complet de conseil en risque d'un autre. La machinerie de revue de la DeFi a généré de pires résultats qu'un seul gestionnaire d'actifs faisant de l'hygiène de portefeuille.
Que signifie « ici »
Avant l'exploit, Aave était le plus grand protocole DeFi en termes de valeur totale verrouillée, avec plus de 26 milliards de dollars de dépôts.
Pawlowski a noté :
“Aave était la référence. Si Aave peut supporter plus de 200 millions de dollars de créances douteuses issues d'un exploit sur un pont d'un autre protocole, le marché doit recalibrer ce que signifie réellement « sûr » dans le prêt DeFi.”
Le modèle de prêt poolé n'est aussi solide que sa garantie acceptée la plus faible, et lorsque cette garantie tombe, toute la pool partagée absorbe le dommage. L'exposition touche tous les déposants du marché plus large, allant bien au-delà de la cave qui abritait la position.
| Protocole | Décision sur rsETH | Posture de risque | Résultat |
|---|---|---|---|
| Aave | A étendu rsETH à un ratio prêt-valeur de 93% en eMode | Onboarding et traitement des garanties plus agressifs | A fini exposé à l'actif compromis et porte désormais des créances douteuses |
| SparkLend | A déprécié rsETH dans le cadre d'un nettoyage routinier des positions sous-utilisées | Portefeuille et hygiène de listing plus conservateurs | A évité l'exposition qui a ensuite frappé Aave |
Pawlowski a souligné que la réalité structurelle avait été « atténuée par des années de marketing « éprouvé au combat » et « blue-chip ». »
Amador a élargi la carte des expositions au-delà des mécanismes de KelpDAO. La surface d'attaque dans la DeFi couvre désormais la gouvernance, les signataires, les rôles privilégiés, les intégrations, les ponts, les oracles, les arrangements de garde et tout système externe dont dépend un protocole.
La supposition opérationnelle la plus dangereuse qu'une équipe puisse avoir est que les contrats intelligents audités égalent un protocole sûr. La propre recherche d'Immunefi montre que les pertes de la DeFi ont chuté jusqu'à 80% ces dernières années, parce que le secteur a durci son code et que les attaquants se sont adaptés.
Amador a ajouté qu'ils étudient désormais toute la chaîne de risque pour identifier les points les plus faibles, et ces points sont désormais hors chaîne, adjacents à la gouvernance ou enfouis dans des piles de dépendances qu'aucun audit unique ne couvre.
Pour les institutions, avril a imposé une remise à zéro spécifique. Amador a décrit la liste de contrôle actuelle : comment les clés administratives sont gérées, qui peut suspendre les marchés, quelles sont les dépendances, à quoi ressemble le processus de réponse aux incidents et à quelle vitesse une menace peut être contenue.
Pawlowski a fait le même constat du côté capital, affirmant que les institutions continueront à entrer dans le crédit sur chaîne parce que la demande pour des marchés tokenisés, un règlement transparent et une infrastructure financière programmable est réelle.
Toutefois, les investisseurs institutionnels se tourneront vers des marchés isolés, des caves autorisées ou curatées, un onboarding plus strict des actifs, une meilleure assurance, une surveillance continue et des contrôles d'urgence formalisés.
Les exploitants de DeFi ont extrait 635 millions de dollars dans 28 incidents en avril, la pire perte mensuelle du secteur depuis plus d'un an, tandis que les hacks historiques cumulés atteignent 16,5 milliards de dollars.
Aave Horizon, un marché autorisé pour les titres tokenisés et les RWA lancé en août 2025, a atteint plus de 440 millions de dollars de dépôts.
Le écosystème de caves de Morpho a ajouté ARCHITECT, le premier gestionnaire d'investissement agréé par FINMA à curer les caves à grande échelle, et Flowdesk a lancé une cave institutionnelle AUSD en mars 2026, utilisant des actions tokenisées comme garantie.
Une enquête d'EY-Parthenon et Coinbase en 2026 a révélé que 73% des répondants institutionnels prévoient d'augmenter leurs allocations d'actifs numériques cette année, mais 81% préfèrent des véhicules enregistrés. Le capital se déplace sur chaîne via des structures curatées, gouvernées et conscientes de la conformité.
L'alternative réglementée accélère de l'autre côté de cette même préférence.
La Loi GENIUS a créé le premier cadre fédéral pour les stablecoins américains, avec une obligation de réserve à 100%, aucune réhypothècation et des normes de garde que Nadareski a qualifiées « d'assez simples pour être approuvées par un service de conformité ».
Une enquête de Goldman Sachs a révélé que 35% des investisseurs institutionnels citent l'incertitude réglementaire comme leur principal frein, et 71% disent qu'ils augmenteraient leur exposition dès que la clarté serait atteinte.
Nadareski a déclaré : « Le socle est en place, le capital attend. » La Loi CLARITY, qui définirait les normes juridictionnelles et de garde pour les actifs numériques, y compris les titres tokenisés, attend d'être examinée par le Comité des banques du Sénat au 14 mai.
Lorsque celle-ci sera adoptée, Nadareski a argué que « le dernier point sur la plupart des listes de contrôle institutionnelles sera coché. L'attente prendra fin. » La DeFi concurrence le capital institutionnel face à un cadre réglementaire presque complet.
Comment la DeFi se relance
Pawlowski a nommé la liste complète des outils de récupération de la DeFi : gouvernance combinée à une isolation adéquate du marché, surveillance automatisée et assistée par IA des risques, verrous temporels sélectifs sur les paramètres qui le justifient, interrupteurs de circuit, KYC lorsque requis par la réglementation, séquencement spécifique à l'application et constructeurs de blocs conscients des politiques.
Il a ajouté :
“Ce qui manquait, c'était la volonté de les utiliser, car chacun [de ces outils] implique un compromis par rapport à la version maximaliste de la décentralisation sur laquelle l'industrie s'est vendue.”
Abandonner cette position marketing est le point de départ, mais ce n'est pas facile.
Pawlowski a noté que « l'industrie crypto a passé des années à prétendre qu'elle pouvait tout avoir », comme la décentralisation complète, la résistance à la censure, la sécurité de niveau institutionnel et l'accessibilité au détail, sans compromis.
C'est « cette illusion qui a créé les conditions pour ces exploits. » Une facilité de crédit institutionnelle réglementée sur chaîne est un produit différent d'un marché de prêt au détail sans permission, et gouverner les deux selon la même orthodoxie a créé les conditions qui ont permis aux listings agressifs de rsETH de passer la gouvernance tandis que les paramètres structurels de sécurité des ponts restaient non signalés pendant des années.
Pawlowski estime que la correction structurelle nécessite de mettre fin « aux conflits qui permettent aux listings agressifs de passer à travers des votes de gouvernance à faible participation par des prestataires ayant des relations commerciales des deux côtés de l'échange. »
La taille indépendante de SparkLend, par rapport à l'expansion eMode d'Aave le même jour, prouve que des philosophies de risque différentes donnent des résultats différents.
La DeFi doit institutionnaliser cette distinction, construire des structures de gouvernance autour d'elle et rendre explicites les compromis pour chaque utilisateur et institution évaluant le protocole.
La prescription opérationnelle d'Amador s'attaque au même problème depuis la couche d'exécution.
La DeFi doit professionnaliser la sécurité de la même manière qu'elle a professionnalisé les incitations à la liquidité via des audits continus, des programmes de primes de bugs en direct, une vérification formelle lorsque approprié, des conseils de sécurité indépendants, des seuils de multisig plus élevés, une gestion des clés supportée par du matériel, une surveillance en temps réel, des manuels publics de réponse aux incidents et des revues obligatoires des risques pour chaque intégration majeure.
Les interrupteurs de circuit et les mécanismes d'isolement doivent être conçus pour que les pertes causées par un actif, un adaptateur ou une dépendance compromis restent limitées au marché affecté.
La référence pour évaluer les protocoles devrait s'étendre pour inclure la posture de sécurité aux côtés du rendement et de la valeur totale verrouillée : qui l'a audité, quelle est la taille active de la prime, comment les clés administratives sont gérées, quelles sont les dépendances, ce que couvre la procédure d'urgence et à quelle vitesse une menace peut être contenue.
Les utilisateurs et les institutions devraient pouvoir comparer les protocoles selon ces dimensions comme ils comparent les taux APR.
| Capacité | Pourquoi elle importe | À quoi cela ressemble en pratique |
|---|---|---|
| Isolation du marché | Empêche qu'un actif ou une dépendance compromis contamine une pool partagée | Marchés isolés, caves curatées, conception à pertes limitées |
| Indépendance de la gouvernance | Réduit les conflits dans l'onboarding des actifs et les décisions de risque | Conseils de risque indépendants, revue externe, structures de vote à moindre conflit |
| Surveillance en temps réel | Aide à détecter les défaillances rapides avant que les pertes ne se propagent | Surveillance en direct, surveillance assistée par IA, suivi des dépendances |
| Contrôles d'urgence | Donne aux protocoles un moyen de contenir rapidement les incidents | Interrupteurs de circuit, verrous temporaires, fonctions de pause, conseils d'urgence |
| Gestion des clés plus robuste | Réduit le risque lié aux clés administratives et aux signataires | Seuils de multisig plus élevés, clés supportées par du matériel, meilleure hygiène des signataires |
| Revue continue de la sécurité | Maintient l'évaluation des risques dynamique plutôt qu'une fois | Revues obligatoires pour les grandes intégrations, audits récurrents, vérification formelle lorsque approprié |
| Préparation à la réponse aux incidents | Améliore la containment et la récupération en cas de panne | Manuels publics de réponse, gardiens de récupération, procédures de récupération prédéfinies |
| Transparence en matière de sécurité | Permet aux utilisateurs et aux institutions de comparer les protocoles au-delà du rendement | Divulgation claire des audits, taille des primes, dépendances, contrôles administratifs et plans de réponse |
Une réforme est déjà en cours, puisque KelpDAO a commencé à migrer rsETH vers Chainlink CCIP, LayerZero a interdit les configurations de vérificateur 1 sur 1 à l'échelle du protocole, et la Proposition 477 d'Aave a autorisé la liquidation des positions de l'attaquant, avec les actifs récupérés redirigés vers un multisig Recovery Guardian.
La Phase II de cette proposition couvre la combustion de l'excès de rsETH sur Arbitrum, la restauration du soutien du pont, la réouverture des retraits et l'indemnisation des utilisateurs touchés.
Le Conseil de sécurité d'Arbitrum a gelé séparément 30 766 ETH liés aux fonds aval de l'attaquant.
Cette récupération a nécessité des conseils d'urgence, des votes DAO, des multisigs et des procédures judiciaires, constituant une pile de gestion de crise tirée du playbook de la finance institutionnelle, déployée dans un système qui se décrit lui-même comme sans permission.
La DeFi recourt à ces outils lorsque les pertes deviennent suffisamment importantes, et les protocoles peuvent les intégrer à l'avance ou les reconstruire pendant une crise.
Le cas de la composable de la DeFi
Nadareski a identifié le prix spécifique en jeu pour les institutions choisissant entre la DeFi et les alternatives réglementées.
Les responsables de la conformité veulent des interrupteurs de circuit, des verrous temporaires et des normes de garde correspondant à leurs manuels existants, et Wall Street construit cet enveloppe depuis des années.
Nadareski a dit :
“Les banques qui avanceront le plus vite seront celles qui cesseront de vouloir tout construire en interne. Monter un règlement sur chaîne avec des équipes héritées vous place en 2028 si tout va bien. La stratégie qui se déploiera cette année consiste à associer une distribution et des relations clients établies à des équipes qui ont déjà les rails construits.”
La composable est l'argument le plus fort de la DeFi pour conserver les rails qu'elle a construits. Un seul protocole qui exécute une transaction, gère les garanties, canalise la liquidité et règle automatiquement une transaction en quelques secondes représente une capacité que la finance traditionnelle ne peut reproduire qu'en reconstruisant depuis le début.
La composable fonctionne comme argument institutionnel uniquement si les défaillances restent locales. Une fois qu'un vérificateur de pont, un vote de gouvernance ou un oracle compromis peut transmettre des pertes à grande échelle dans les pools de liquidités partagées, la composable agit comme une infrastructure de contagion.
Amador a noté :
“Faire confiance au code ne suffit pas lorsque les protocoles dépendent de ponts, de multisigs, de processus de gouvernance ou d'actifs externes. La nouvelle norme doit être : supposer que chaque couche peut échouer, et concevoir des systèmes tels que la défaillance d'une seule couche ne se propage pas à tout le marché.”
Pawlowski a présenté les changements nécessaires comme « grandir », décrivant un secteur qui doit accepter et publier des compromis explicites, construire des structures de gouvernance véritablement indépendantes et faire de la sécurité une caractéristique de produit que les utilisateurs et les institutions peuvent évaluer et comparer.
La DeFi a construit l'infrastructure composable que les marchés tokenisés sont en train d'adopter. Les rails des stablecoins, les primitives de prêt et les mécanismes de liquidité nés dans la DeFi sans permission sont regroupés dans des produits que Wall Street expédie sous couvert réglementaire.
Si la DeFi développe la maturité opérationnelle nécessaire pour correspondre à son architecture technique, la composable reste la seule capacité hors de portée des enveloppes réglementées. Si la DeFi échoue à développer cette maturité, Wall Street capture la couche des stablecoins et de la tokenisation et, avec elle, l'argument selon lequel la finance ouverte composable manquait de la discipline opérationnelle exigée par les capitaux sérieux.
La publication Après les 16,5 milliards de dollars d'exploits, la DeFi est maintenant forcée vers les contrôles qu'elle avait autrefois résistés est apparue en premier sur CryptoSlate.