Spark plonge dans le cadre de sécurité multicouche et de gestion des risques

Analyse approfondie de la couche multiple de protection et du système de gestion des risques de l'écosystème Spark.

Écrit par Sam MacPherson, cofondateur de Phoenix Labs et contributeur principal de Spark

Compilé : Luffy, Foresight News

Spark a connu un développement rapide et continue d'ajouter de nouvelles fonctionnalités de sécurité. Nous pensons qu'il est temps de publier un aperçu complet des fonctionnalités de gestion des risques de Spark.

Spark Savings est un ensemble de coffres d'épargne non custody qui permettent aux utilisateurs de déposer des stablecoins tels que USDT, USDC, USDS pour générer des revenus sur chaîne.

Tous les dépôts en dollars de Spark Savings sont garantis 1:1 par USDS. Spark Savings bénéficie du même rang de priorité que USDS, et chaque dépôt est garanti par l'ensemble des réserves financières de Sky.

Mécanisme de tampon de perte multicouche

USDS et les produits Spark Savings ont mis en place un système de protection contre les risques en six niveaux, qui lutte progressivement contre le risque de perte d'actifs :

Niveau 1 : capital de risque subordonné interne (niveau de base). Le capital de risque subordonné constitue le premier fonds de buffer dans le système d'allocation des ressources, destiné à absorber les pertes d'investissement. Chaque unité opérationnelle de base doit constituer, dans le trésor, un capital subordonné en fonction du ratio de position pondéré par le risque, afin de servir de première ligne de défense contre les pertes. Actuellement, les réserves de capital Spark sont suffisantes, avec un fonds de capital propre en stablecoins dépassant 35 millions de dollars américains.

Deuxième niveau, capital de risque subordonné externe. Les unités opérationnelles peuvent emprunter et prêter entre entités un capital de risque subordonné supplémentaire, ayant le même rang de remboursement que le capital subordonné interne propre, afin de couvrir ensemble les pertes générées par les actifs alloués et les expositions au risque.

Niveau trois : capital de risque externe avancé (srUSDS, bientôt disponible). Les utilisateurs peuvent injecter des USDS dans le protocole principal de Sky via le contrat intelligent srUSDS, en tant que capital de risque avancé. Ces fonds ne prennent en charge les pertes ultérieures qu'après épuisement total du capital subordonné.

Niveau 4 : réserve de surplus (capital de risque interne avancé). La réserve de surplus du protocole Sky, composée des frais de stabilité et des pénalités de liquidation accumulés à long terme par le protocole, est utilisée pour couvrir les créances douteuses après épuisement du capital subordonné.

Cinquième niveau, réserve globale de surplus. Si les fonds d'une réserve unique sont épuisés, le protocole activera la réserve globale de surplus Sky pour transférer les fonds de réserve secondaires natifs d'autres unités opérationnelles de l'écosystème afin de faire face à des événements de pertes extrêmes.

Niveau 6 : mécanisme de garantie des jetons. Lorsque tous les capitaux de risque ci-dessus sont épuisés, Sky émettra des jetons SKY pour compléter le capital du protocole et couvrir les créances douteuses restantes.

Lorsque tous les capitaux de risque secondaires et les mécanismes de garantie des jetons sont épuisés, tous les détenteurs d'USDS (y compris les coffres Spark Savings entièrement garanties en USDS) répartiront proportionnellement les pertes restantes.

L'architecture multicouche de garantie des capitaux de l'écosystème Sky réduit considérablement la probabilité de perte pour les utilisateurs de Spark Savings. Avec l'ensemble des fonds de protection réunis, le produit Spark Savings dispose d'une réserve de résilience au risque de plusieurs centaines de millions de dollars américains.

Garantie de liquidité

Spark Savings dispose d'une liquidité instantanée de pointe pour répondre aux besoins de dépôt et de retrait de fonds institutionnels. Le coffre Spark Savings en USDT dispose toujours d'un fonds tampon de 400 millions d'USDT pour les rachats instantanés ; le coffre USDC s'appuie sur le module d'échange de stablecoins Sky pour gérer des demandes de rachat de plusieurs milliards de dollars américains.

Le contrat de caisse d'épargne réserve des fonds liquides de plusieurs millions de dollars pour permettre des paiements instantanés sur chaîne. Pour les retraits de grande taille, la plateforme utilise un mécanisme asynchrone d'intention de liquidité : les utilisateurs peuvent soumettre sans restriction une demande de rachat pour tout montant, et les liquidations rapides sont effectuées via la plateforme de liquidité Spark ; la plupart des retraits de grande taille sont finalisés en moins d'une minute.

Transparence et notation tierce

Les produits Spark Savings divulguent intégralement les actifs sous-jacents et les stratégies de configuration ; les données en temps réel sont consultables via les canaux officiels : tableau de bord Spark, tableau de bord des données de l'écosystème Sky, client officiel Spark.

En parallèle, Spark a obtenu une évaluation spécifique de Credora, agence indépendante de notation de risque leader dans le domaine cryptographique ; le lien vers le rapport est désormais disponible dans l’application, et le contenu complet peut être consulté sur le site officiel de Credoraici.

Réponse aux incidents

En cas de risque potentiel pour le coffre-fort d'épargne, Spark peut activer le mode de récupération et suspendre temporairement les retraits afin de garantir l'égalité des droits de tous les utilisateurs et d'éviter tout risque de ruée.

Plan de mise à niveau futur

Nous travaillons activement à développer davantage d'améliorations et de fonctionnalités pour renforcer encore la sécurité du coffre Spark Savings, notamment :

Spark et Sky mettent en œuvre le mécanisme de « first-loss capital vaults » ; les utilisateurs peuvent fournir des fonds pour couvrir les pertes du protocole en échange de rendements plus élevés. Ce mécanisme augmentera considérablement la taille des fonds de première perte dédiés et renforcera la protection des utilisateurs de dépôts d'épargne Spark.

Spark lancera la fonction de retrait sans autorisation, garantissant que les utilisateurs de dépôts d'épargne pourront retirer leurs actifs à tout moment ; même dans le cas où l'infrastructure de Spark serait inaccessibile, les droits des utilisateurs à retirer leurs actifs resteront intacts.

En outre, l'équipe travaille activement à établir des partenariats avec les principaux établissements financiers traditionnels pour promouvoir davantage de collaborations en matière d'évaluation des risques institutionnels et de notation de crédit, corroborant ainsi continuellement le fait que le coffre-fort d'épargne Spark répond aux normes de sécurité et de gestion des risques les plus élevées.

SparkLend est un marché monétaire décentralisé de l'écosystème Spark. Contrairement aux protocoles similaires, il adopte depuis longtemps une stratégie opérationnelle conservatrice : restriction stricte de la gamme d'actifs garantis, utilisation d'un mécanisme de tarification multi-oracles, fixation de plafonds d'intérêt stricts et ajout d'une protection en capital de première perte. L'événement de risque rsETH démontre pleinement que ces piliers de gestion des risques ne fonctionnent pas de manière indépendante, mais sont interconnectés. Cette conception garantit qu'en cas de défaillance d'un seul élément (oracles, émetteur d'actifs, système de liquidation, liquidité du marché), aucune réaction en chaîne ni aucun impayé ne se produira.

Architecture de gestion des risques actuelle

Portée des actifs en garantie restreinte

SparkLend a délibérément simplifié la gamme d'actifs acceptés en garantie. Le modèle de prêt efficace pour l'ETH ne prend en charge que le wstETH et le rETH ; le modèle de prêt efficace pour le BTC sera entièrement retiré. Ce plan a été publié sur la communauté Sky, avec un ajustement des paramètres prévu le 4 juin et un liquidation forcée des positions résiduelles prévue le 8 juin. Les expositions au risque liées à ces activités sont actuellement faibles, avec uniquement un emprunteur principal détenteur d'environ 1,6 million de dollars et quelques positions de petite taille. La désactivation de cette fonctionnalité respectera le calendrier annoncé, sans ajustement temporaire précipité des paramètres.

Contrôle strict des hypothèques répétées

Les actifs collatéraux déposés dans le pool de réserve de SparkLend resteront dans le pool et ne seront pas réaffectés à des stratégies externes.

Mécanisme de limite

Tous les transferts de fonds inter-modules sur SparkLend sont soumis à des limites de quota définies au niveau des contrats intelligents, couvrant toutes les opérations, y compris les dépôts, les retraits, les ponts cross-chain et les échanges de stablecoins. Sur cette base, le système de configuration des fonds Spark impose des plafonds de dette et des intervalles de stockage spécifiques à chaque marché de prêt-emprunt. Un seul déposant ou un événement à risque extrême ne peut pas vider les fonds du protocole dans un seul bloc ; les limites de quota verrouillent également la quantité maximale de fonds à risque pouvant être canalisée sur un seul canal par unité de temps.

Pricing avec triple oracles

L'évaluation des actifs agrège les données de trois sources d'oracles : RedStone, Chainlink et Chronicle. Lorsque les trois sources retournent des prix valides et non expirés, la valeur médiane est utilisée ; lorsqu'au moins deux sources fournissent des données valides, la moyenne des deux est prise ; une solution de secours avec une seule source est également prévue. Ce mécanisme empêche toute manipulation ou défaillance d'un oracle unique de perturber incorrectement l'évaluation des actifs de SparkLend.

Oracle de déclenchement de circuit breaker pour actifs ancrés

Pour les actifs garantis utilisant un taux fixe / une tarification ancrée (wstETH, rETH, weETH, cbBTC, WBTC, LBTC), l'oracle de ratio d'ancrage compare en continu le prix du marché secondaire de l'actif avec la valeur sous-jacente. Dès qu'un écart de prix dépasse le seuil prédéfini pour un actif unique, le mécanisme de coupure arrête les nouveaux emprunts sur SparkLend, empêchant les utilisateurs de garantir des actifs endommagés à un prix comptable déformé et d'extraire de manière malveillante des passifs de qualité.

Injection programmatique de liquidité

Le tampon de liquidité de SparkLend n'est pas un réservoir statique. La couche de liquidité Spark ajuste automatiquement les flux de USDS, USDC et USDT vers et depuis le marché de prêt en fonction des taux d'emprunt cibles, du taux d'utilisation des fonds et des niveaux d'inventaire interplateformes. Lorsque le taux d'utilisation des fonds de SparkLend augmente, la couche de liquidité réapprovisionne automatiquement les fonds inactifs pour garantir le bon déroulement des retraits et des liquidations ; si le marché externe offre des rendements ajustés au risque plus avantageux, les capitaux inactifs sont réalloués de manière ordonnée. C'est là la logique fondamentale de Spark en tant que plus grand déposant de son propre marché de prêt : la liquidité s'ajuste dynamiquement à la demande, et non uniquement par la gestion du taux d'utilisation des fonds.

Directions futures de mise à jour

Continuer l'examen des risques liés aux garanties

L'équipe effectue un examen approfondi des actifs garants de SparkLend, couvrant les risques individuels des actifs, les risques liés aux émetteurs, les mécanismes de garde, les sources de données oracles, la liquidité sur le marché secondaire et les chaînes de rachat. Ce travail sera ensuite intégré à un mécanisme de révision permanente afin d'assurer une surveillance continue et un ajustement dynamique des risques liés aux actifs garants en fonction des évolutions du marché.

Mise à niveau du mécanisme d'oracle

L'équipe développe une architecture d'oracle en gradation : dans les scénarios standards, le prix est déterminé par un taux fixe ou de référence, et bascule automatiquement vers un modèle de tarification basé sur le marché uniquement en cas d'écart prolongé et persistant. L'objectif de cette mise à jour est de conserver les capacités de protection existantes contre les plongées brutales et les pics de prix, tout en permettant au protocole de répondre plus rapidement et de manière automatisée aux risques de désancrage à long terme, afin d'assurer un déclenchement ordonné des liquidations et d'éviter l'accumulation continue de créances douteuses en raison de retards de prix. Le nouveau mécanisme complétera le système de coupure existant, sans le remplacer : l'oracle gérera la réponse automatique aux anomalies du marché en conditions normales, tandis que le mécanisme de coupure restera en place comme interrupteur de sécurité ultime en cas de défaillance extrême.

Itération rapide des paramètres du marché

Actuellement, la plupart des ajustements de paramètres de SparkLend nécessitent le déploiement complet du processus de vote de gouvernance, entraînant des retards de plusieurs jours. Ce modèle convient aux ajustements réguliers en régime stationnaire, mais il est peu réactif face aux événements de type « cygne noir ». L'équipe prévoit de déléguer aux administrateurs de risque des pouvoirs limités pour ajuster certains paramètres de gestion des risques : des opérations telles que la réduction des taux de garantie, le resserrement des plafonds de dépôt ou l'ajustement du modèle d'intérêt pourront être effectuées en quelques heures, tandis que le pouvoir décisionnel final restera aux systèmes de gouvernance Spark et Sky.

Les marchés de prêt agrégés offrent une meilleure expérience utilisateur, mais présentent des limites naturelles. Pour les actifs garants aux caractéristiques de risque spécifiques, Spark construit des marchés de prêt isolés sur la base de Morpho.

Le modèle d'emprunt isolé permet une tarification fine des risques et l'élimination des catégories de collatéraux dont le rapport risque-rendement n'est pas équilibré. En outre, tous les emprunts sur chaîne hors Ethereum utilisent uniformément une architecture de marché isolé. Ce modèle s'intègre parfaitement à l'écosystème des échanges et des fournisseurs de services financiers, sans nécessiter de déploiement ni de maintenance indépendants de l'infrastructure sous-jacente.

Plan de mise à niveau futur

Spark prévoit de prioriser le déploiement de marchés de prêt éprouvés intégrant plusieurs oracles et capables de résister aux pannes uniques ; l'interface client sera enrichie d'une nouvelle entrée permettant aux utilisateurs de participer directement, via l'application Spark, à des activités de prêt sur d'autres chaînes publiques.

La couche de liquidité Spark, en tant que centre de gestion non custodiale des fonds, optimise l'allocation des capitaux dans les scénarios DeFi, CeFi et financiers traditionnels, et fonctionne de manière stable depuis son lancement le 11 novembre 2024.

L'objectif principal de la conception de SLL est d'assurer que le flux de fonds reste entièrement contrôlable, prévisible et soumis à des contraintes de limite, dans tous les environnements de marché, y compris les conditions extrêmes.

Les fonctionnalités de sécurité principales de SLL consistent à ce que toutes les plateformes partenaires soient préalablement approuvées par la gouvernance Spark et ajoutées à une liste blanche, avec toutes les opérations de fonds strictement limitées par des plafonds. Les portefeuilles automatisés ne peuvent effectuer des transferts de fonds que dans la limite de la liste blanche prédéfinie et conformément aux règles de plafond établies.

Ce mécanisme de contrainte empêche les retraits désordonnés et rapides des fonds en période de marché tendu, prévient l'épuisement des fonds sur une seule plateforme et élimine à la source la transmission de risques chaînés entre marchés, corrigeant ainsi les défauts fondamentaux révélés par les événements récents de l'industrie.

La menace pour SLL est que les portefeuilles automatisés puissent être entièrement compromis sans présenter de risque substantiel pour le protocole. Dans cette hypothèse extrême, les fonds restent limités aux canaux de collaboration et aux montants de circulation prédéfinis, éliminant ainsi toute exposition systémique infinie provenant d’un seul module.

Plan de mise à niveau futur

Cette approche ne se limite pas à la conception, mais s'étend également à la gestion proactive des risques et aux décisions d'allocation des ressources :

Spark a mis fin à plusieurs activités de marchés à haut risque et continue de réduire activement son périmètre d'actifs, en accord avec la tendance à l'intégration du paysage des rendements du secteur.

Spark supprimera définitivement les autorisations de liste blanche pour tous les marchés Aave depuis SLL. Après l'événement rsETH, les fonds concernés ont été entièrement retirés, et ce canal de dépôt secondaire sera fermé de manière permanente.

L'équipe introduira un outil automatisé de gestion des risques basé sur l'intelligence artificielle pour surveiller en temps réel les anomalies de risque dans l'écosystème DeFi entier et exécuter automatiquement des opérations de défense standardisées.

Actuellement, deux ponts cross-chain sont en fonctionnement dans les écosystèmes Sky et Spark.

SkyLink : Pont cross-chain officiel de gouvernance et d'actifs Sky

SkyLink assure la connexion entre le mécanisme de gouvernance de Sky et l'USDS cross-chain. Le module de gouvernance utilise une architecture de validation multi-nœuds 4/7, offrant une haute décentralisation et une protection par redondance ; le module de transfert d'actifs utilise une validation double-nœuds 2/2. SkyLink a été déployé sur les chaînes Solana et Avalanche. L'infrastructure est mature et stable, et l'équipe renforce continuellement les mesures de sécurité pour faire face aux attaques ciblées de plus en plus complexes.

L'équipe collaborera avec les développeurs de LayerZero pour augmenter le nombre de nœuds de vérification cross-chain et surpasser l'architecture de vérification 2/2 actuelle.

Spark Governance Cross-Chain Bridge (Avalanche)

Spark repose sur un pont cross-chain de gouvernance développé en interne par LayerZero pour soutenir les activités Spark Savings USDC sur Avalanche. Actuellement en mode de vérification 2/2, un upgrade d'architecture est prévu dans les prochaines semaines pour atteindre la norme de signature multisig 4/7 de SkyLink. Ce pont cross-chain ne dispose pas de fonctionnalité de transfert de jetons associée, et le montant des fonds exposés est extrêmement faible, d'environ 2 millions de dollars.