Manuel Aráoz, cofondateur d'Openzeppelin, a suscité un large débat dans l'industrie en qualifiant les finances décentralisées (DeFi) de dangereuses. Les leaders de l'industrie répondent que le cadre adopté par Aráoz exagère le risque, soulignant que la sécurité des prêts DeFi s'est améliorée d'environ 98 % depuis 2020.
Points clés :
- Les récents commentaires de Manuel Aráoz, fondateur d'Openzeppelin, ont ravivé les craintes concernant la sécurité du DeFi.
- Le PDG de 0G Labs, Heinrich, a noté une augmentation de 98 % de la sécurité des prêts depuis 2020, contredisant les affirmations selon lesquelles tout le DeFi est unsafe.
- Fan de Cysic anticipe une augmentation de cinq fois de l'assurance d'ici 2029, exhortant les régulateurs à cibler l'opsec plutôt que le code IA.
Passer du dramatique aux données
Lorsque le cofondateur d'Openzeppelin et ancien directeur technologique (CTO) Manuel Aráoz a caractériséla finance décentralisée ( DeFi) comme entièrement insécurisée, cela a secoué une industrie déjà éprouvée par une augmentation des piratages. Mettant en lumière cette vulnérabilité, une analyse récente de l'entreprise de sécurité blockchain Peckshield a révélé que les exploitations de protocoles cross-chain seules ont drainé 328,6 millions de dollars entre le début de l'année et mi-mai.
Les avertissements virals d'Aráoz ont forcé OpenZeppelin à se distancer publiquement de certaines de ses affirmations, mais ces remarques ont réussi à déclencher un débat intense sur la sécurité du DeFi. Toutefois, les critiques ont rejeté son langage dramatique comme une tentative égoïste de susciter la peur et la panique. D'autres, comme Leo Fan, fondateur de Cysic, estiment que ce cadre nuit à la crédibilité d'un message qui possède un noyau réel.
« Le fait de l’encadrer avec « sortez de tout » transforme un avertissement nécessaire en contenu doomer », a déclaré Fan. « Vous n’avez pas besoin de dramatisme pour mobiliser les gens dans cet espace ; vous avez besoin d’un chiffre. »
Le même sentiment est partagé par Michael Heinrich, cofondateur et PDG de 0G Labs, qui souligne une amélioration d'environ 98 % de la sécurité des prêts DeFi par rapport à sa base de 2020. Heinrich met également en avant les taux de pertes quotidiens nettement réduits sur les principaux protocoles de prêt, désormais autour de 0,001 %, comme un autre facteur qui contredit les propos d'Aráoz selon lesquels « tout le DeFi est unsafe ».
« Dire aux particuliers de quitter les actions phares comme Aave et Maker ne correspond pas à la réalité du profil de risque ajusté », a déclaré Heinrich à Bitcoin.com News.
Dans son argumentaire contre DeFi, Aráoz a affirmé que les agents de programmation basés sur l'intelligence artificielle (IA) sont devenus extrêmement avancés pour analyser les contrats intelligents open-source et identifier des failles complexes exploitables à la vitesse machine. La menace posée par ces agents est si importante qu'il a conseillé en privé ses amis et sa famille de sortir complètement de leurs positions dans les protocoles DeFi majeurs et bien établis.
La mort de l'audit statique
Cependant, Heinrich et Fan affirment que l'essor des attaquants IA surhumains ne signifie pas que les défenseurs doivent abandonner le navire. Au contraire, ils affirment qu'il nécessite un changement fondamental dans la manière dont l'industrie aborde la sécurité.
« L’audit à un instant donné est déjà mort ; les gens n’ont simplement pas organisé les funérailles », a déclaré Fan. Il a averti que passer entièrement des audits aux bug bounties est la mauvaise leçon à tirer. « Vous ne remplacez pas la prévention par la surveillance — vous réduisez l’écart entre les deux. »
Selon Heinrich, s'appuyer sur un audit annuel n'est plus une défense crédible. Au contraire, l'avenir de la sécurité des contrats intelligents repose sur une chaîne de défense multicouche à vitesse machine, où les audits servent de premier point de contrôle plutôt qu'un événement unique. Il a détaillé une pile de sécurité en quatre couches : des audits assistés par l'IA avant le déploiement associés à une revue humaine, une surveillance continue après le déploiement, des récompenses pour la détection de bugs bien financées, et une IA vérifiable du côté de la défense.
L'objectif ultime, a noté Heinrich, est d'intégrer la vérification formelle sur les chemins critiques — en utilisant des preuves mathématiques plutôt que des examens subjectifs — accompagnée de revues continues augmentées par l'IA effectuées contre les contrats en direct, de la même manière que les attaquants opèrent.
« Les audits ne disparaissent pas », a-t-il dit. « Ils deviennent le premier point de contrôle dans une chaîne de défense à vitesse machine. »
Au-delà des pipelines de sécurité préventifs, la discussion sur l'atténuation des risques tourne inévitablement vers l'assurance, un mécanisme que Heinrich note reste gravement sous-développé dans l'écosystème crypto. Selon Heinrich, quelques obstacles structurels limitent le secteur de l'assurance décentralisée. Tout d'abord, les pools d'assurance bloquent des capitaux qui pourraient autrement générer un rendement actif ailleurs dans le DeFi.
Pour illustrer ce point, Heinrich cite le leader du marché Nexus Mutual, qui détient environ 190 millions de dollars contre un marché DeFi plus vaste dont la valeur totale verrouillée a fluctué entre 40 milliards et plus de 100 milliards de dollars. Heinrich souligne que ce ratio de capital est structurellement faible. Un autre obstacle consiste à définir ce qui constitue une exploitation sur chaîne, qu'il décrit comme un exercice non trivial.
Malgré ces obstacles, Heinrich affirme que l’imposition de mandats d’assurance à travers les protocoles n’est pas le bon outil pour stimuler l’adoption. Au lieu de cela, l’industrie doit innover au niveau des produits.
« Ce qui a vraiment un impact, ce sont les produits paramétriques sur chaîne qui paient automatiquement en fonction de signaux vérifiables, et les protocoles qui intègrent une assurance dans le produit, comme les frais de compensation dans les marchés traditionnels », a déclaré Heinrich.
Réguler les opérations, pas seulement le code
Bien que le filet de sécurité actuel soit étroit, la demande du marché s'accélère. Selon une prévision de mars 2026 de Coinlaw, le marché de l'assurance décentralisée devrait croître près de cinq fois d'ici 2029.
« Le capital arrive », a noté Heinrich. « Ce qui manque, c’est la surface produit pour le déployer. »
Le changement interne de l'industrie vers des défenses à vitesse machine et des filets de sécurité automatisés soulève des questions plus larges sur la supervision réglementaire. Alors que les décideurs politiques examinent de plus en plus la sécurité des actifs numériques, Fan met en garde contre le risque pour les régulateurs de se concentrer excessivement sur les mauvaises menaces, telles que le spectre des systèmes d'IA déviants.
« L’instinct réglementaire le plus avisé n’est pas de paniquer face aux attaquants IA en particulier », a déclaré Fan. « C’est de se concentrer sur la couche opérationnelle où l’argent quitte réellement : la gestion des clés, la gouvernance multisig, la sécurité des ponts et la réponse aux incidents. »
Un fan affirme qu'en imposant des normes strictes de sécurité opérationnelle sur ces vecteurs spécifiques, les organismes de surveillance pourraient éliminer la grande majorité des pertes de capital réelles. Il a averti que se concentrer exclusivement sur le code des contrats intelligents tout en négligeant les opérations quotidiennes revient à « réguler les 10 % et manquer les 90 % ».
De plus, Fan a souligné une primitive technique que les décideurs sous-estiment constamment : la cryptographie avancée.
« Une preuve cryptographique, comme les preuves à divulgation nulle de connaissance, du code exécuté et de son bon fonctionnement est un outil de conformité bien supérieur à un rapport d’audit au format PDF », a déclaré Fan. « Elle est vérifiable par les mathématiques, et non par la confiance. C’est là que je voudrais que l’énergie réglementaire soit dirigée. »