La crise du piratage de 7,7 milliards de dollars de DeFi met en lumière les risques non assurés

La recherche de rendement l'emporte sur la protection dans la DeFi — et laisse des milliards de dollars vulnérables aux piratages. Ce qui avait commencé comme la promesse de l'« été DeFi » de 2020 — un système financier sans autorisation, transparent, sans intermédiaires — achemine désormais des dizaines de milliards via des protocoles décentralisés. Mais cette liquidité est étrangement peu assurée. Selon DeFiLlama, les protocoles de prêt non assurés ont perdu 7,7 milliards de dollars à cause d'exploits depuis l'émergence de la DeFi, et seul le mois d'avril 2026 a vu plus de 600 millions de dollars de pertes sécuritaires, avec des incidents majeurs comme les attaques contre Drift et Kelp DAO qui ont dominé le mois. Pourquoi si peu de couverture ? L'assurance DeFi est minuscule par rapport au secteur qu'elle est censée protéger. DeFiLlama répertorie 28 protocoles d'assurance, mais Nexus Mutual — le joueur le plus connu — représente presque l'intégralité des environ 123,5 millions de dollars de TVL du secteur. Cela ne représente que 0,14 % des environ 83 milliards de dollars du marché DeFi. Hugh Karp, fondateur de Nexus Mutual, qualifie cela de barrière majeure à l'adoption massive de la DeFi : « Moins de 2 % de la TVL DeFi sont couverts ou assurés », a-t-il déclaré à CoinDesk. Une partie du défi réside dans l'évolution des risques. Les premiers produits d'assurance évaluaient et couvraient les bogues de contrats intelligents, relativement faciles à auditer. Mais les attaquants exploitent de plus en plus des faiblesses hors ligne — clés privées compromises, phishing et ingénierie sociale — qui sont plus difficiles à quantifier et à tarifer pour les assureurs. « Beaucoup des plus grandes attaques proviennent hors ligne, à cause d'échecs de sécurité opérationnelle », a déclaré Karp. Ces modes d'échec sont difficiles à standardiser et à souscrire, ce qui fait grimper les primes et rend la couverture inabordable pour beaucoup d'utilisateurs. Ponts, garanties et limites de la couverture L'exploitation de Kelp DAO — qui a vidé des centaines de millions en manipulant un pont pour accéder à des actifs ensuite recyclés comme garantie sur des plateformes de prêt comme Aave — met en lumière l'écart entre ce que l'assurance couvre généralement et la manière dont les attaques modernes se déroulent. Karp a noté que « l'échec fondamental du risque pont n'est pas quelque chose qui aurait été couvert ». Même lorsque les polices pourraient s'appliquer, la couverture est souvent indirecte et conditionnelle : les pertes ne sont éligibles que si elles déclenchent des conséquences en aval spécifiques, comme des créances douteuses sur les marchés de prêt causées par des oracles gelés. Pourquoi les utilisateurs évitent l'assurance Pour beaucoup de participants DeFi, le calcul est simple : les rendements comptent plus que la protection. Payer 2 à 3 % en primes d'assurance peut ruiner des stratégies de rendement à faible marge, et la plupart des utilisateurs sont motivés par le rendement. « La plupart des utilisateurs DeFi sont orientés rendement et ne veulent pas sacrifier plusieurs points de pourcentage de retour pour une couverture », a déclaré Dan She, partenaire senior en audit chez CertiK. Faiblesses structurelles du modèle d'assurance Au-delà des préférences des utilisateurs, les fondements de l'assurance DeFi ont toujours été instables. De nombreux protocoles d'assurance ont été construits sur la même infrastructure composable que celle exploitée par les attaquants — accumulant ainsi une exposition contrepartie sur une autre. Une croissance rapide initiale a fait bondir la TVL d'assurance de 3 millions de dollars au début de 2020 à 1,89 milliard de dollars en novembre 2021, avec des acteurs comme Nexus Mutual, Cover Protocol, InsurAce, Tidal Finance et Bridge Mutual en tête. Mais plusieurs ont échoué ou stagné : Cover Protocol a été piraté et a fait faillite, tandis qu'Armor.fi, Bridge Mutual et Tidal ont tous stagné ou disparu entre 2021 et 2024 en raison d'une tokenomie insoutenable, de problèmes de gouvernance et de conflits d'intérêts. Le capital soutenant les pools d'assurance a également été une faiblesse. « Lorsque les exploitations surviennent, le capital soutenant la couverture était souvent exposé aux mêmes risques que les protocoles qu'il couvrait, donc il s'est évaporé précisément au moment où il était le plus nécessaire », a déclaré Matthew Pinnock, COO d'Altura. Gaspard Peduzzi, fondateur de Spectra Finance, ajoute qu'assurer la DeFi avec d'autres protocoles natifs DeFi n'a fait qu'ajouter davantage de risque contrepartie au risque existant. Qui paie quand les choses tournent mal ? Étant donné que la couverture d'assurance est mince et que les pools peuvent être épuisés, les pertes finissent toujours par être supportées par quelqu'un. Karp décrit la séquence typique après un exploit : les modules de sécurité du protocole absorbent les pertes initiales, puis les trésoreries sont sollicitées ; si celles-ci sont insuffisantes, les déposants ordinaires subissent des pertes. « En pratique, lorsqu'il n'y a pas de couverture, le coût retombe disproportionnellement sur les participants les moins expérimentés », a-t-il déclaré. L'industrie s'adapte-t-elle ? Il y a des signes précoces de changement. Certaines équipes expérimentent l'intégration directe de l'assurance dans les produits DeFi plutôt que la vente de polices autonomes. D'autres plaident pour une couverture plus ciblée qui traite des risques spécifiques bien compris. Certains experts suggèrent même d'intégrer des assureurs traditionnels (hors ligne) dans l'espace pour apporter leur expertise en souscription et leur capital non natif à la DeFi. Mais le changement est progressif. Le marché de l'assurance DeFi reste petit non pas parce que la demande est absente, mais parce que le périmètre des risques est complexe et évolutif. La répartition des pertes par méthode d'attaque sur DeFiLlama le souligne : les compromissions de clés privées représentent la part la plus importante des actifs volés, suivies par les attaques par phishing ciblant les portefeuilles multisignatures. Le mot de la fin Alors que les piratages se poursuivent et que les pertes s'accumulent, le marché fait face à un choix stark : accepter l'équilibre actuel entre rendements élevés et faible protection, ou développer des solutions d'assurance plus robustes, peut-être hybrides, capables de couvrir réellement la manière dont la DeFi moderne est attaquée. Si cela ne se produit pas bientôt, les lacunes d'assurance pourraient devenir un frein structurel à la croissance du secteur — et laisser les utilisateurs ordinaires payer la facture.