Le cofondateur d’Openzeppelin, Manuel Aráoz, a déclenché un vaste débat dans l’industrie en affirmant que la finance décentralisée ( DeFi) n’est pas sûre. Des acteurs majeurs du secteur rétorquent que la mise en scène d’Aráoz surestime le risque, soulignant que la sécurité des prêts DeFi s’est améliorée d’environ 98% depuis 2020.
- Points clés :
-
- Les récents commentaires du fondateur d’Openzeppelin, Manuel Aráoz, ont ravivé les craintes concernant la sécurité de la DeFi.
-
- Le PDG de 0G Labs, Heinrich, a relevé une hausse de 98% de la sécurité des prêts depuis 2020, ce qui affaiblit l’idée selon laquelle toute la DeFi serait dangereuse.
-
- Fan de Cysic anticipe une hausse de l’assurance multipliée par cinq d’ici 2029, appelant les régulateurs à cibler l’opsec plutôt que le code d’IA.
Passer du drame aux données
Quand le cofondateur d’Openzeppelin et ancien directeur technologique (CTO) Manuel Aráoz a décrit la finance décentralisée ( DeFi) comme totalement non sûre, cela a secoué une industrie qui subissait déjà une hausse des piratages. En mettant en avant cette vulnérabilité, une analyse récente de la société d’audit de sécurité blockchain Peckshield a révélé que les seuls exploits de protocoles inter-chaînes avaient siphonné 328,6 millions de dollars entre le début de l’année et la mi-mai.
Les alertes virales d’Aráoz ont contraint Openzeppelin à prendre publiquement ses distances avec certains de ses propos, mais ses remarques ont néanmoins réussi à déclencher un débat houleux sur la sécurité de la DeFi. Pourtant, les critiques ont balayé son langage dramatique comme une tentative opportuniste de semer la peur et la panique. D’autres, comme Leo Fan, fondateur de Cysic, estiment que cette mise en scène affaiblit la crédibilité d’un message qui possède un vrai fondement.
« L’enrober dans “quitter tout” transforme un avertissement nécessaire en contenu doom », a déclaré Fan. « Vous n’avez pas besoin de drame pour faire bouger les gens dans cet espace ; vous avez besoin d’un chiffre. »
Le même sentiment est repris par Michael Heinrich, cofondateur et PDG de 0G Labs, qui pointe l’amélioration d’environ 98% de la sécurité des prêts DeFi par rapport à son niveau de référence de 2020. Heinrich souligne aussi la baisse nettement marquée des taux de pertes quotidiens sur les principaux protocoles de prêt, désormais autour de 0,001%, comme autre élément qui remet en cause les propos d’Aráoz selon lesquels “toute la DeFi est non sûre”.
« Dire au grand public de quitter des blue-chips comme Aave et Maker ne correspond pas au tableau réel ajusté du risque », a déclaré Heinrich à Bitcoin.com News.
Pour étayer son argument contre la DeFi, Aráoz a insisté sur le fait que des agents de codage basés sur l’intelligence artificielle (IA) sont devenus extrêmement performants pour analyser des contrats intelligents open source et repérer à la vitesse de la machine des failles complexes exploitables. Selon lui, la menace posée par ces agents est si grande qu’il a conseillé en privé à ses amis et à sa famille de quitter complètement leurs positions dans de grands protocoles DeFi “blue-chip”, bien établis de longue date.
La fin de l’audit statique
Toutefois, Heinrich et Fan soutiennent que l’essor d’attaquants IA “superhumains” ne signifie pas que les défenseurs doivent quitter le navire. Selon eux, cela exige plutôt un changement fondamental dans la façon dont l’industrie aborde la sécurité.
« L’audit ponctuel dans le temps est déjà mort ; les gens n’ont juste pas fait les funérailles », a déclaré Fan. Il a prévenu que tirer uniquement des enseignements des audits vers les bug bounties est la mauvaise leçon. « Vous ne remplacez pas la prévention par la surveillance — vous réduisez l’écart entre les deux. »
Selon Heinrich, s’appuyer sur un audit annuel n’est plus une défense crédible. À la place, l’avenir de la sécurité des contrats intelligents repose sur un pipeline de défense multicouche à la vitesse de la machine, où les audits servent de premier point de contrôle plutôt que d’être un événement unique. Il a décrit une pile de sécurité en quatre couches : des audits assistés par IA avant le déploiement couplés à une revue humaine, une surveillance continue après déploiement, des bug bounties suffisamment financés, et une IA vérifiable du côté du défenseur.
L’objectif final, a noté Heinrich, est d’intégrer une vérification formelle sur les chemins critiques—via des preuves mathématiques plutôt que des revues subjectives—en parallèle avec des revues continues augmentées par l’IA qui s’exécutent sur des contrats en direct de la même manière que le font les attaquants.
« Les audits ne disparaissent pas », a-t-il dit. « Ils deviennent le premier point de contrôle dans un pipeline de défense à la vitesse de la machine. »
Au-delà des pipelines de sécurité préventive, la discussion sur l’atténuation du risque se tourne inévitablement vers l’assurance, une primitive que Heinrich souligne comme étant encore gravement sous-développée dans l’écosystème crypto. D’après Heinrich, quelques obstacles structurels maintiennent le secteur de l’assurance décentralisée sous contrainte. D’abord, les pools d’assurance immobilisent un capital qui pourrait autrement générer un rendement actif ailleurs dans la DeFi.
Pour illustrer ce point, Heinrich cite le leader du marché Nexus Mutual, qui détient environ 190 millions de dollars face à un marché DeFi plus large dont la valeur totale verrouillée fluctuait entre 40 milliards de dollars et plus de 100 milliards de dollars. Heinrich indique que ce ratio de capital est structurellement faible. Un autre obstacle est de définir ce qui constitue un exploit on-chain, qu’il décrit comme un exercice non trivial.
Malgré ces obstacles, Heinrich soutient que l’imposition d’obligations d’assurance à travers les protocoles est un mauvais levier pour stimuler l’adoption. L’industrie doit plutôt innover au niveau produit.
« Ce qui fait réellement bouger les lignes, ce sont des produits on-chain paramétriques qui versent automatiquement sur la base de signaux vérifiables, et des protocoles qui intègrent l’assurance au produit comme les frais de compensation fonctionnent sur les marchés traditionnels », a déclaré Heinrich.
Réguler les opérations, pas seulement le code
Même si le filet de sécurité actuel est étroit, la demande du marché s’accélère. D’après une prévision de Coinlaw de mars 2026, le marché de l’assurance décentralisée devrait croître d’ici 2029 presque sur une base multipliée par cinq.
« Le capital arrive », a noté Heinrich. « Ce qui manque, c’est la surface produit pour le déployer. »
Le basculement interne de l’industrie vers une défense à la vitesse de la machine et des filets de sécurité automatisés soulève des questions plus larges sur la supervision réglementaire. Alors que les décideurs scrutent de plus en plus la sécurité des actifs numériques, Fan met en garde : les régulateurs risquent de se hyper-concentrer sur les mauvaises menaces, comme la menace de systèmes IA dévoyés.
« L’instinct réglementaire le plus intelligent n’est pas de paniquer spécifiquement à cause des attaquants IA », a déclaré Fan. « C’est de se concentrer sur la couche opérationnelle là où l’argent sort réellement : la garde des clés, la gouvernance par multisig, la sécurité des bridges, et la gestion des incidents. »
Fan soutient qu’en imposant des standards stricts de sécurité opérationnelle sur ces vecteurs précis, les instances de supervision pourraient éliminer la grande majorité des pertes de capitaux observées dans le monde réel. Se concentrer exclusivement sur le code des smart contracts tout en négligeant les opérations au quotidien, prévient-il, revient à « réguler les 10% et rater les 90% ».
En outre, Fan a souligné une primitive technique que les décideurs sous-estiment systématiquement : la cryptographie avancée.
« La preuve cryptographique, comme les preuves à divulgation nulle de connaissance, de ce que du code a été exécuté et qu’il s’est exécuté correctement est une primitive de conformité bien meilleure qu’un rapport PDF d’audit », a déclaré Fan. « Elle est vérifiable par les mathématiques, pas par la confiance. C’est là que je voudrais que l’énergie réglementaire aille. »
