Comprendre les coffres DeFi : normes, types et couche de curatique

Évaluer un vault DeFi signifie comprendre ce dont il est composé. Sous une interface de dépôt unique se trouve une pile de composants distincts : un standard de jeton qui gère la comptabilisation des parts, un type de vault qui définit le champ d’action du vault, une couche de curation où un gestionnaire définit les paramètres de risque, et un ensemble de contrôles qui limitent ce que ce gestionnaire est autorisé à modifier.

Cet article définit chaque composant et le vocabulaire associé, afin que tout coffre spécifique puisse être lu plutôt que simplement cru. Il reste neutre sur les implémentations les plus adaptées.

Pour contexte, un coffre-fort est un contrat intelligent qui regroupe les dépôts et les investit dans des stratégies générant des rendements, en délivrant aux déposants un jeton représentant leur part proportionnelle. Les questions suivantes portent sur ce que ce contrat est autorisé à faire, qui en décide, et comment un déposant peut le vérifier.

La plupart des coffres sur le mainnet Ethereum sont construits sur ERC-4626, une norme de coffre tokenisé qui crée une interface uniforme pour les dépôts, les retraits et la comptabilisation des parts.

Les mécanismes sont directs : un utilisateur dépose un actif et reçoit un token de part fungible, parfois appelé token de récépissé, qui représente une réclamation proportionnelle sur l'ensemble des actifs du coffre. Le taux de change entre l'actif et le token de part est défini par le coffre et évolue au fil du temps à mesure que les rendements s'accumulent. Lorsque l'utilisateur sort, il rachète les tokens de part contre le dépôt initial plus les rendements accumulés depuis le dépôt. Le coffre suit donc à la fois le capital de chaque utilisateur et leur part proportionnelle de tous les rendements générés, sans avoir besoin d'enregistrer les positions individuelles.

Avant la standardisation, chaque protocole de coffre mettait en œuvre sa propre logique de dépôt et de retrait, ce qui rendait difficile pour d'autres protocoles de construire au-dessus des positions de coffre. Une interface partagée a changé cela. Les jetons de partage de coffre peuvent servir de garantie sur les marchés de prêt, être échangés sur des plateformes d'échange ou être intégrés dans des produits de niveau supérieur. Cette componibilité est l'un des principaux moteurs de la tendance des produits construits sur les coffres, et elle constitue la base des produits structurés qui reposent désormais sur l'infrastructure des coffres. La standardisation a transformé le coffre d'un produit isolé en bloc de construction.

Le mécanisme de taux de change mérite d'être précisé avec exactitude, car il est une source fréquente de confusion. Une part de caisse ne augmente pas en nombre au fur et à mesure que les rendements s'accumulent. Le nombre de parts détenues par un déposant reste constant, tandis que la quantité d'actif sous-jacent que chaque part peut être rachetée augmente. Une caisse ayant généré des rendements permettra de racheter chaque part pour une quantité supérieure d'actif sous-jacent à celle payée au moment du dépôt. C'est pourquoi deux caisses peuvent afficher des prix de part très différents tout en offrant des rendements futurs similaires : le prix de la part reflète les rendements accumulés depuis son lancement. Un évaluateur lisant le prix d'une part lit l'historique, et le taux qui compte pour un nouveau dépôt doit être évalué séparément.

Une propriété fondamentale d'une caisse bien conçue est son caractère non-custodial. Les déposants conservent la propriété de leurs actifs et peuvent retirer sous réserve de la liquidité disponible et de toute restriction de vitesse de retrait. Aucun intermédiaire ne peut rediriger les fonds.

La propriété est appliquée au niveau du contrat intelligent, ce qui rend la garantie de garde aussi solide que le code sous-jacent. Le niveau de sécurité varie selon les types de coffres. Les coffres simples permettent une sortie immédiate lorsque la liquidité est présente. Les coffres plus complexes peuvent introduire des périodes d'attente ou des retraits échelonnés afin de dénouer les positions proprement. Dans les deux cas, les fonds ne peuvent être restitués qu'au déposant, ce qui garantit la propriété, bien que le délai de liquidité diffère.

C'est le premier point de la pile où les deux principaux types de coffres divergent d'une manière qui compte pour un déposant prévoyant une sortie. Le type plus simple se comporte comme une position de prêt, où la contrainte de retrait dépend du fait que d'autres déposants ont laissé suffisamment de liquidité sur le marché. Le type plus complexe se comporte davantage comme un fonds avec un processus de rachat, où la sortie peut nécessiter le dénouement ordonné des positions détenues sur plusieurs plateformes. Un déposant ayant besoin d'un accès prévisible au capital doit considérer les mécanismes de retrait comme une caractéristique de conception primordiale, et non comme un détail à vérifier ultérieurement.

Il existe deux catégories principales, définies précisément ici.

Un earn vault est un coffre à un seul protocole. Un utilisateur dépose un actif, généralement une stablecoin, et le coffre le répartit sur des marchés isolés au sein d’un seul protocole de prêt. Chaque marché dispose de son propre type de garantie, de son ratio prêt/valeur et de son taux d’intérêt. Le retrait fonctionne comme dans tout marché de prêt : si la liquidité est disponible, l’utilisateur sort. Les earn vaults sont la conception moderne la plus simple et la plus largement adoptée, et elles offrent les garanties non-custodiales les plus fortes, car les pouvoirs du gestionnaire sont strictement limités par le protocole.

Un vault multi-stratégie opère à travers plusieurs protocoles, et dans certains cas, à travers plusieurs chaînes. Il accepte un seul actif et le déploie simultanément dans plusieurs stratégies, en rééquilibrant en fonction du rendement, du risque et des conditions de liquidité. Son champ d’action et sa flexibilité dépassent ceux d’un vault de rendement, tout comme sa complexité. Un seul vault multi-stratégie peut à la fois exécuter une boucle d’effet de levier, fournir de la liquidité sur un market maker automatisé et détenir une opération de basis. Les retraits peuvent impliquer des périodes de blocage, car la clôture propre des positions prend du temps.

Les deux catégories partagent une étiquette courante et diffèrent par leur mécanique et leur risque. Un lecteur évaluant un produit doit aller au-delà de l'étiquette pour examiner l'architecture, la composition de la stratégie et les contrôles de risque.

La distinction est cruciale pour l'évaluation, car les deux catégories échouent de manière différente et exigent des niveaux de diligence différents :

• Le risque d'un coffre de rendement est largement lisible à partir de ses paramètres, car le pouvoir discrétionnaire du gestionnaire est limité par ce que le protocole autorise.

• Le risque d'un coffre à stratégie multiple dépend des décisions continues du gestionnaire, qui ne peuvent pas être entièrement déduites à partir d'un ensemble de paramètres capturé à un instant donné.

Un lecteur qui applique une diligence à un coffre-fort de rendement multistratégie ne comprendra qu'une partie des risques qu'il prend, car la partie la plus importante est celle qui change avec le temps.

Un earn vault comporte deux couches. La couche de base est le protocole de prêt, qui gère les marchés individuels et leurs paires d'actifs de dépôt et de garantie. La couche du vault est située au-dessus et est conçue par une entité appelée curateur.

Le curateur ne détient pas les fonds ni ne les déplace à sa guise. Il définit plutôt les paramètres qui régissent la manière dont les dépôts entrent dans les marchés ci-dessous, et le contrat applique ces paramètres.

Les paramètres du curateur principal sont les suivants :

• Sélection de la garantie : les actifs acceptés par un marché. Cette décision définit le profil de risque du coffre plus que tout autre paramètre, car la qualité et la liquidité de la garantie déterminent ce qui se passe lorsqu'une position doit être liquidée. Elle est définie au niveau du contrat, afin que seul un collateral vérifié puisse être utilisé par le coffre.

• Ratios maximaux de prêt sur valeur : le montant qu'un emprunteur peut retirer contre une garantie. Des ratios plus élevés augmentent l'efficacité du capital et le risque qu'un mouvement de prix pousse une position en dette irrécupérable.

• Seuils de liquidation : Le point auquel une position devient liquidable, qui peut être défini séparément de la limite d'emprunt pour créer une marge entre l'emprunt et la liquidation.

• Plafonds de fourniture et d’emprunt : Limites sur la part du capital du coffre qui peut être exposée à un seul type de garantie, contenant les dommages causés par la défaillance d’un seul actif.

• Modèles de taux d'intérêt : le coût de l'emprunt à différents niveaux d'utilisation, qui détermine à la fois le rendement généré par le coffre-fort et la liquidité disponible pour les retraits.

• Configuration Oracle : le flux de prix qui détermine la valeur des collatéraux pour tous les calculs de liquidation. Sur certains protocoles, ce choix est fixé une fois le marché créé, donc il ne peut pas être corrigé ultérieurement sans migration vers un nouveau marché.

Pour un utilisateur qui prête une stablecoin, il s'agit d'un point d'entrée accessible. L'utilisateur dépose des fonds dans le coffre, et le coffre répartit les fonds sur les marchés selon les paramètres définis par le curateur. Ces paramètres sont généralement transparents et accessibles à tous, et leurs modifications sont généralement verrouillées dans le temps, ce qui permet à l'utilisateur de vérifier le coffre plutôt que de lui faire confiance.

Ces paramètres interagissent plutôt que de fonctionner de manière isolée. Un ratio prêt/valeur généreux associé à une garantie peu échangée et un modèle de taux d'intérêt agressif génère un risque différent de celui que suggérerait chacun de ces paramètres pris séparément. C'est pourquoi le rôle du curateur est plus proche de la construction d'un portefeuille que de la simple saisie d'un formulaire. Les paramètres définissent un système, et le comportement de ce système sous stress est ce qui est réellement conçu, que le curateur le présente ainsi ou non. Évaluer une caisse signifie donc évaluer la combinaison des paramètres, et non chaque paramètre individuellement.

Dans un multi-strategy vault, le rôle équivalent est celui du stratège, qui décide quelles stratégies le vault met en œuvre et comment les pondérer. Le stratège dispose d'une plus grande discrétion qu'un curateur, car la surface est plus large : plusieurs protocoles, plusieurs types de positions et parfois plusieurs chaînes. Selon la conception du contrat, de nombreux vaults permettent d'ajouter, de supprimer ou de réajuster les stratégies en fonction des évolutions du marché, dans des structures prédéfinies. Plus la discrétion est large, plus le déposant dépend du jugement et du processus du stratège plutôt que d'un ensemble fixe de paramètres contraints.

Le large pouvoir discrétionnaire modifie ce que le déposant évalue. Avec un vault de rendement, le déposant peut évaluer une configuration largement fixe. Avec un vault multi-stratégie, le déposant évalue un processus de prise de décision et les personnes ou systèmes qui le gèrent, car la configuration évoluera dans le temps. Les questions passent de quelle est l'allocation actuelle à comment les décisions d'allocation sont prises, quelles contraintes les lient, et à quelle vitesse le vault peut quitter une stratégie qui ne fonctionne plus. Ce sont des questions sur la gouvernance et le processus, et elles ne peuvent pas être répondues par une simple capture d'écran des actifs du vault.

L'architecture des rôles au sein d'un coffre sélectionné est généralement multicouche. Un fournisseur de plateforme fournit le protocole sous-jacent, un fournisseur d'infrastructure et de comptabilité gère la comptabilité et les rapports sur les parts, et un fournisseur de stratégie conçoit l'allocation. Séparer ces fonctions signifie qu'aucune partie unique ne contrôle l'ensemble du système, ce qui limite les dommages que l'une d'entre elles peut causer.

Deux autres mécanismes limitent directement le pouvoir de curation. Un gardien, parfois appelé sentinel, surveille les marchés en temps réel et peut suspendre les opérations si une exploitation ou une activité anormale est détectée. Ce rôle est souvent assuré par un service de sécurité tiers, tel qu'Hypernative. Le gardien ne détient aucune allocation ni pouvoir de modification des paramètres. Il ne peut que geler le système comme mesure de protection. Cette séparation offre un contrôle contre les attaques externes et les erreurs des curateurs, car la partie capable d'arrêter le système n'est pas celle qui le gère.

Un timelock régit les modifications des paramètres. Étant donné que les curateurs ont l'autorité de modifier les paramètres, la plupart des protocoles exigent que les modifications importantes passent par un délai, généralement de plusieurs jours, avant de prendre effet. Cela permet aux déposants d'être avertis à l'avance et de retirer leurs fonds au préalable s'ils ne sont pas d'accord avec la modification. Associé à la fonctionnalité de pause d'urgence, le timelock équilibre le besoin des curateurs en flexibilité opérationnelle avec le besoin des déposants en prévisibilité, transparence et possibilité de sortie.

La séparation devient pertinente précisément lorsque quelque chose ne va pas. Un gardien qui peut geler mais ne peut pas allouer ne peut pas être utilisé pour extraire de la valeur, uniquement pour la protéger, ce qui explique pourquoi le pouvoir de gel peut en toute sécurité être confié à un tiers. Un timelock qui retarde les changements offre aux déposants la seule chose qu’un produit opaque ne propose jamais : du temps pour réagir avant qu’un changement ne prenne effet. Aucun de ces mécanismes ne empêche un curateur de prendre une mauvaise décision. Les deux garantissent qu’une mauvaise décision devient visible et que les déposants ont un moyen de sortir avant qu’elle ne les lie. La conception suppose que les curateurs sont fallibles et construit la protection des déposants autour de cette hypothèse.

La pile se lit proprement du bas vers le haut. Le protocole de prêt détient des marchés isolés. La couche de coffre-fort, conçue par un curateur ou un stratège, répartit les fonds parmi ces marchés dans des paramètres définis. Un gardien surveille les défaillances et peut geler le système. Un délai ralentit les changements afin que les déposants puissent réagir. Les jetons de partage émis par le coffre-fort peuvent être composés pour créer des produits construits à un niveau supérieur.

Chaque couche est un endroit où une décision est prise et un risque est assumé. Lire un coffre-fort signifie identifier où se situe chaque risque, plutôt que de traiter le dépôt comme un produit unique et indifférencié. Un déposant qui peut nommer le standard de jeton, le type de coffre-fort, les paramètres du curateur, le gardien et le timelock d’un coffre-fort donné sait ce qu’il détient. Un déposant qui ne peut pas les nommer se fie uniquement à l’étiquette, ce que ce marché a montré à plusieurs reprises comme étant peu fiable.

À propos de cet article : Cet article s'appuie sur les données et l'analyse du rapport de recherche de Sentora, The Vault Economy: Architecture, Risk, and the Rise of Professional Curation in DeFi. Consultez le rapport complet pour obtenir les chiffres, sources et détails complets.