Comprendre le staking ETH : Qui contrôle vos fonds ?

Écrit par imToken

Après avoir staké 32 ETH dans un validateur, cet argent est-il encore considéré comme « à vous » ?

Aujourd'hui, où les produits de Staking pullulent, c'est une question qui semble extrêmement basique, mais qui est souvent implicitement ignorée par tout le monde.

Par le passé, les gens choisissaient des programmes de staking en les comparant avec une loupe : quelle plateforme offrait 0,2 % d'APR en plus ? Les frais étaient-ils de 5 % ou de 10 % ? La réinvestissement automatique était-il possible ? À quel moment pouvait-on retirer ?

Mais aujourd'hui, où le taux de rendement de référence mondial a été réduit à moins de 3 %, les minuscules écarts de rendement affichés entre les différentes plateformes ne sont plus pertinents ; un autre problème, longtemps caché sous l'interface produit, est bien plus important :

Qui contrôle votre ETH une fois qu’il est mis en staking ?

Comprendre la staking non-custodiale repose sur la saisie d'une conception très subtile mise en œuvre par Ethereum au niveau de la couche de consensus.

Exécuter un validateur ne repose jamais uniquement sur une seule clé ; il divise les autorisations en deux parties distinctes au niveau du protocole.

Un type est la Signing Key, c’est-à-dire la clé privée de vérification des signatures.

Cette clé est spécifiquement utilisée pour « travailler » ; elle est en ligne 24 heures sur 24 pour participer aux attestations, proposer des blocs et accomplir diverses tâches de consensus. Elle doit être directement connectée à un serveur et constamment en ligne. Celui qui détient cette clé est responsable de l'exécution de cette machine.

Mais il ne peut être utilisé que pour prouver que vous respectez consciencieusement le mécanisme de consensus : même si vous signez dix mille fois avec cette clé, il est impossible de mobiliser le capital initial. De plus, si le nœud se déconnecte ou commet une double signature, Ethereum sanctionne les gains ou le capital de ce validateur.

L'autre catégorie est les Withdrawal Credentials, c'est-à-dire les droits de contrôle de retrait pointés par les credentials de retrait.

C'est véritablement le « mot de passe de retrait », inscrit de manière immuable sur la chaîne de balises au moment où la mise en gage prend effet, déterminant où les ETH mis en gage et les gains générés pourront être retirés.

Cette clé peut parfaitement reposer en toute tranquillité dans votre portefeuille froid ou votre phrase de rétablissement, sans jamais avoir besoin d’être connectée à Internet.

En réalité, la position officielle d'Ethereum sur les deux est très claire : la clé de signature de validation est une permission « chaude » qui doit rester en ligne, tandis que le certificat de retrait représente une permission « froide » au niveau de la propriété des fonds.

Cela signifie qu'un tiers peut parfaitement exécuter le validateur pour l'utilisateur sans pour autant posséder les ETH de cet utilisateur.

C’est pourquoi des solutions de staking non-custodiales comme imToken fonctionnent — les fournisseurs de nœuds (comme InfStones) possèdent la clé de signature, chargée de la maintenance des centres de données, de la protection contre les attaques réseau et de la disponibilité 24/7 ; cela détermine la fluidité du fonctionnement du nœud et le montant des récompenses de bloc, mais même en examinant tout le code, ils ne trouvent aucune ligne permettant de retirer les fonds stakés.

Même après la mise à niveau d’Ethereum et l’introduction de l’EIP-7002 (sortie déclenchée par le niveau d’exécution), ce cercle de contrôle est devenu encore plus extrême.

Auparavant, si l'opérateur de nœud disparaissait ou refusait de coopérer, bien que l'argent ne puisse pas être volé, les utilisateurs devaient souvent attendre que l'opérateur diffuse un message de sortie à l'aide de la clé de signature, les plaçant dans une position passive. Avec l'EIP-7002, tant que vos informations de retrait (0x01 / 0x02) sont en votre possession, vous pouvez utiliser votre portefeuille imToken pour envoyer directement une commande au niveau d'exécution, forçant ainsi l'arrêt du validateur et son inscription en file d'attente pour un remboursement.

Autrement dit, même si un jour le fournisseur de nœuds disparaît complètement, vos fonds ne seront pas bloqués sur la chaîne.

C’est en réalité là que réside l’essentiel du « non-custodial » : tout le processus de staking implique un tiers, mais la personne chargée d’effectuer les tâches ne possède pas en même temps le pouvoir de retirer les fonds.

En poursuivant l'analyse sur cette ligne, on découvre qu'un simple dépôt d'ETH implique en réalité au moins quatre acteurs.

C'est l'utilisateur, le portefeuille, le fournisseur de nœuds et le protocole Ethereum lui-même, mais ils n'ont pas les mêmes autorisations.

D'abord, l'utilisateur.

Dans une architecture véritablement non-custodiale, les utilisateurs conservent le contrôle le plus important sur leurs fonds.

Avec le staking ETH non custody d'imToken, les utilisateurs détiennent les droits de retrait, et le fournisseur de services ne peut pas transférer les actifs stakés sur son propre compte sans autorisation. L'état du validateur peut également être consulté directement sur la chaîne.

Cela diffère fondamentalement de la compréhension courante selon laquelle « on confie ses cryptomonnaies à quelqu'un d'autre pour gestion ». Bien que l'ETH ne soit plus simplement en solde dans le portefeuille de l'utilisateur, mais qu'il soit entré dans le contrat de dépôt d'Ethereum et devienne un solde de validateur, il ne devient pas pour autant un actif des nœuds concernés.

Le nœud que vous maintenez est un Validator ; vous contrôlez ses permissions d'opération, pas les droits de retrait d'actifs.

Ensuite, le portefeuille.

Le portefeuille agit davantage comme une interface de gestion des autorisations utilisateur que comme le propriétaire des actifs mis en gage.

Il aide les utilisateurs à lancer des mises en gage, à gérer des adresses, à signer des opérations, à consulter l'état des validateurs et les revenus, mais tant que la couche sous-jacente respecte toujours le modèle non custodial, le fournisseur de portefeuille n'obtient pas automatiquement l'autorisation de retirer les actifs des utilisateurs simplement en fournissant cette interface.

Ainsi, « staker via un portefeuille » et « déposer des ETH dans ce portefeuille » sont deux concepts totalement différents ; ce qui détermine réellement la nature, c’est toujours la configuration des clés sous-jacentes et des crédits de retrait.

Le troisième rôle est le fournisseur de nœuds.

C'est la partie la plus souvent mal comprise dans le staking non custodial : puisque les utilisateurs ne font pas fonctionner leur machine 24 heures sur 24, quelqu'un doit quand même maintenir le validateur.

Les fournisseurs de nœuds sont responsables de l'exécution du client, de son maintien en ligne, de l'accomplissement des tâches de validation et de la conservation de la Signing Key utilisée pour ces opérations, ce qui signifie qu'ils restent cruciaux : en cas de pannes fréquentes, les utilisateurs perdent une partie des récompenses qui leur étaient dues ; en cas de violation grave, un risque de Slashing existe.

Ainsi, « non-custodial » ne signifie jamais « sans risque de service », mais ce risque est principalement limité à la qualité et aux rendements des validateurs, et non à la capacité du service à transférer vos 32 ETH.

Le dernier rôle est celui du protocole Ethereum lui-même.

Ce niveau est souvent le plus négligé : une fois que l'ETH est entré dans un validateur, aucune partie ne peut effectuer de virement à tout moment, comme avec un solde de portefeuille classique.

Il doit respecter les règles établies de manière unifiée par Ethereum, telles que le moment où il peut être activé, le moment où il peut être retiré, si un classement d'attente est nécessaire pour le retrait, quelles actions du validateur entraînent des pénalités, et à quel moment exactement le retrait est finalisé — tout cela est déterminé par le protocole.

Il en va de même pour le 0x02 Compounding Validator lancé après Pectra, qui permet à l'équilibre effectif du validateur d'augmenter au-delà de la limite traditionnelle de 32 ETH jusqu'à un maximum de 2048 ETH, permettant aux récompenses de continuer à être composées, tandis que les retraits et les sorties restent régi par le protocole.

Une fois ce cadre mis en place, la différence avec des solutions de staking liquide comme Lido devient très claire.

Après avoir déposé ETH sur Lido, l'utilisateur reçoit du stETH, qui reste entièrement la propriété de l'utilisateur et peut être transféré, échangé ou utilisé dans d'autres protocoles DeFi.

C'est également la plus grande valeur du Liquid Staking, qui libère la liquidité initialement verrouillée dans les validateurs.

Mais en parallèle, la structure de contrôle de l'ETH sous-jacent a également changé.

Lido regroupe les ETH de nombreux utilisateurs, puis les répartit via le protocole à différents opérateurs de nœuds pour créer et gérer des validateurs. Les informations de retrait de ces validateurs ne sont pas les adresses Ethereum individuelles de chaque utilisateur de stETH, mais sont définies de manière centralisée par le protocole Lido. Le processus de retrait sous-jacent est réalisé conjointement par les contrats intelligents du protocole, les oracles et les opérateurs de nœuds.

Ainsi, les utilisateurs détiennent les droits de mise en gage représentés par le stETH, et non les informations de retrait d'un « validateur exclusivement à eux ».

Lorsqu'un utilisateur souhaite retirer des ETH du protocole, il doit soumettre son stETH à la file d'attente de retrait de Lido, attendre que le protocole termine le processus de retrait et la préparation des fonds, puis récupérer les ETH. Lido génère un NFT représentant le droit de retrait pour cette demande ; l'utilisateur ne pourra récupérer les ETH sous-jacents qu'une fois la demande traitée.

Cependant, bien qu'il semble que les utilisateurs conservent toujours leurs stETH et que le protocole fonctionne via des contrats intelligents, sans qu'aucune entité centralisée ne puisse saisir arbitrairement les actifs des utilisateurs, il présente des limites de confiance différentes de celles du staking natif non custody où chaque utilisateur possède directement son propre validateur et adresse de retrait.

Cela a permis de réduire le seuil d'entrée, d'améliorer la liquidité et d'assurer une grande componibilité de stETH dans DeFi ;

Ce dernier sacrifie une partie de la liquidité et nécessite au moins 32 ETH, mais simplifie directement la relation de contrôle des fonds du validateur sous-jacent.

En résumé, le Liquid Staking ressemble davantage à la détention d'un « certificat d'actif mis en gage » négociable, tandis que le staking natif non custodial est plus proche de posséder un Validator véritablement personnel, en externalisant uniquement son exploitation quotidienne.

Il n'y a pas de supériorité absolue entre les deux.

Pour les utilisateurs n'ayant que quelques ETH, souhaitant trader à tout moment ou participer au DeFi, les actifs de staking liquide comme stETH sont nettement plus pratiques.

Mais si un utilisateur détient à long terme 32 ETH, 64 ETH ou plus, sans avoir de forte demande de liquidité, l'écart de rendement n'est pas suffisamment important pour déterminer le choix ; dans ce cas, la considération de sécurité concernant « qui contrôle les actifs » prendra un poids bien plus important.

Étant donné que les rendements du Staking varient quotidiennement, l'APR diminue ou augmente en fonction du volume total staké sur le réseau, et les tarifs peuvent également être ajustés.

Après tout, vers où les credentials de retrait pointent, qui peut retirer le capital principal, et si la coopération d’un tiers est nécessaire en cas de situation extrême, déterminent la structure de confiance la plus fondamentale de l’ensemble du produit.

Cela pourrait également être un changement souvent négligé après la maturité progressive du staking ETH :

Lorsque les rendements et les expériences des différents produits deviennent de plus en plus similaires, ce qui créera réellement la différence sera probablement une question la plus fondamentale : qui détient vraiment mon ETH ?

Il n'y a pas de bonnes ou de mauvaises choix absolus.

Si vous ne possédez que deux ou trois ETH, ou si vous aimez jouer avec les prêts en boucle dans les Lego DeFi, alors les tokens de staking liquide comme stETH constituent un choix plus pragmatique, tant en termes d'efficacité des fonds que de seuil d'entrée.

Mais si votre objectif est d’accumuler un fonds de position centrale à moyen ou long terme sur le réseau Ethereum, que ce soit 32 ou plus, la situation change complètement : lorsque la différence de rendement net entre les différents produits ne représente plus que quelques millièmes, voire quelques points de base, il n’est plus rentable de supporter les coûts et les risques de gouvernance associés à des appels de contrat prolongés pour ces revenus minimes.

Dans l'industrie des cryptomonnaies, on dit souvent « Not your keys, not your coins. »

Mais dans le contexte du staking, il faudrait peut-être ajouter une demi-phrse : « Not your withdrawal credentials, not your native stake. »