Est-ce que les hackers et la réglementation ont ruiné la DeFi ?

Auteur : Gu Yu, ChainCatcher

En avril 2026, une série de désastres sécuritaires a une fois de plus propulsé la DeFi sur le devant de la scène médiatique. Les attaques contre Kelp DAO et Drift Protocol ont entraîné des pertes dépassant 575 millions de dollars, faisant chuter la valeur totale verrouillée (TVL) dans la DeFi d'environ 172 milliards à 148 milliards de dollars, tandis que la TVL du secteur du prêt s'est effondrée de 53 milliards à 40 milliards de dollars.

Ces derniers jours, Manuel Aráoz, cofondateur de la célèbre société d'audit de sécurité OpenZeppelin, a déclaré sans détour sur la plateforme X : « Je pense que toute la DeFi est désormais dangereuse. » Il a même mentionné qu'il avait commencé à conseiller en privé à ses amis et à sa famille de liquider toutes leurs positions DeFi, y compris sur des protocoles comme Aave, MakerDAO et Compound, pourtant reconnus comme des « blue chips » à faible risque.

Bien que ce jugement soit particulièrement sévère, il mérite réflexion. Après tout, OpenZeppelin est depuis longtemps l'un des bâtisseurs les plus importants de l'infrastructure de sécurité dans le monde de la DeFi, ses normes de contrats intelligents et ses outils de sécurité imprégnant le développement de toute l'industrie. Si même ceux qui comprennent le mieux le système de sécurité des contrats intelligents commencent à remettre en question les risques de la DeFi et à se retirer de manière décisive, cela indique sans aucun doute que des problèmes plus profonds font surface.

Au cours des dernières années, chaque fois que la DeFi a connu des revers, il était facile de trouver une raison spécifique. En période de ralentissement du marché, la faute était rejetée sur l'environnement macroéconomique ; lors d'attaques de hackers, on l'attribuait aux vulnérabilités techniques ; lorsque les agences de régulation intervenaient, les problèmes étaient résumés comme une pression politique.

Cependant, si nous élargissons la dimension temporelle, nous constatons un fait de plus en plus clair : la situation difficile à laquelle la DeFi est confrontée aujourd'hui n'est pas causée par une seule attaque, une politique réglementaire spécifique ou un projet défaillant, mais plutôt par le fait que les deux logiques fondamentales sur lesquelles elle a été construite sont simultanément remises en question.

L'une des logiques provient du monde technique, à savoir que le code peut remplacer la confiance. L'autre provient du monde institutionnel, qui stipule que les réseaux ouverts peuvent contourner les contraintes des systèmes financiers traditionnels.

Et les hackers comme les régulateurs ont précisément frappé ces deux piliers.

I. L'évolution profonde de la crise sécuritaire de la DeFi

Depuis dix ans, le paradoxe central dans le domaine de la sécurité DeFi n'a jamais changé. Les chercheurs en sécurité Web3 ont identifié depuis longtemps cette asymétrie fatale : le défenseur doit combler chaque vulnérabilité possible, tandis que l'attaquant n'a besoin de réussir que sur un seul aspect.

En apparence, les méthodes d'attaque ne sont que les suspects habituels : vulnérabilités des ponts inter-chaînes, détournement des permissions multi-signatures, manipulation d'oracles, etc. Cependant, les incidents impliquant Kelp DAO et Drift Protocol révèlent une tendance plus brutale : les vulnérabilités les plus fatales ne résident souvent pas dans le code des contrats intelligents.

Le 18 avril, le protocole de re-staking de liquidité Ethereum Kelp DAO a été attaqué. L'attaquant a exploité une vulnérabilité de configuration dans le DVN (Decentralized Validation Network) du pont inter-chaînes LayerZero, falsifiant des messages inter-chaînes et retirant 116 500 rsETH du pont en quelques heures, soit environ 293 millions de dollars à l'époque.

L'essence de ce désastre est une erreur de configuration, et non un défaut de code. Kelp DAO a choisi une configuration « 1-sur-1 » pour le réseau de validation inter-chaînes de LayerZero : seule la confirmation d'un seul nœud DVN est nécessaire pour que les messages inter-chaînes soient considérés comme légitimes. Lorsque l'attaquant a compromis deux nœuds RPC fournissant des données de validation et a lancé une attaque DDoS, l'ensemble du système de pont est devenu pratiquement inexistant.

Le 1er avril, l'un des plus grands DEX de contrats perpétuels de l'écosystème Solana, Drift Protocol, a été attaqué, entraînant une perte de 285 millions de dollars, ce qui en fait le plus grand incident d'attaque DeFi de 2026 à ce jour et le deuxième plus grand cas de piratage de l'histoire de Solana.

Il ne s'agissait pas non plus d'une vulnérabilité de contrat intelligent. L'attaquant a utilisé l'ingénierie sociale pour compromettre au moins deux des trois signataires du portefeuille multi-signature, les forçant à pré-signer des transactions malveillantes en utilisant la fonction de nonce durable de Solana. Une fois que l'attaquant a obtenu les privilèges administratifs, il a terminé le vol des fonds en moins de 12 minutes.

La racine de l'attaque réside dans un échec complet de la sécurité opérationnelle (OpSec) : configuration inappropriée du portefeuille multi-signature, angles morts dans la gestion des clés et une ligne de défense contre l'ingénierie sociale pratiquement inexistante.

Ces deux incidents révèlent l'évolution profonde de la crise sécuritaire de la DeFi : les points de rupture des attaques se déplacent systématiquement des vulnérabilités traditionnelles du code des contrats intelligents vers les couches de configuration et les couches humaines/OpSec.

Manuel Aráoz a souligné le cœur du problème : « La sécurité des contrats intelligents est essentiellement un jeu extrêmement asymétrique : les défenseurs doivent corriger toutes les vulnérabilités, tandis que les attaquants n'ont besoin d'en trouver qu'une seule pour voler des fonds. » Alors que l'IA commence à améliorer de façon exponentielle l'efficacité des attaques, cette asymétrie devient rapidement déséquilibrée.

Les agents de codage IA peuvent compresser en quelques minutes des problèmes qui nécessitaient auparavant des semaines de travail pour les meilleures équipes de hackers éthiques, générant même de manière autonome des scripts d'attaque basés sur le code de protocole disponible publiquement. En tant que l'une des sociétés d'audit de sécurité les plus courantes du secteur, le jugement pessimiste du cofondateur sert de signal : l'industrie de la sécurité elle-même prend conscience que le cadre de défense existant fait face à une défaillance systémique.

II. La propagation continue de la pression réglementaire

À mesure que la crise sécuritaire s'aggrave, les forces réglementaires exercent également une pression continue sur les dimensions on-chain et off-chain.

Le 26 mai, le gouvernement britannique a placé l'échange de cryptomonnaies HTX sur sa liste de sanctions contre la Russie, marquant la première fois qu'il utilise le règlement 17A pour imposer des sanctions à un échange de cryptomonnaies. Le Royaume-Uni a accusé HTX d'avoir traité 3 300 milliards de dollars de transactions en 2025, fournissant prétendument des services financiers au réseau de paiement sanctionné A7 et à l'échange russe Garantex.

La réaction en chaîne déclenchée par les sanctions s'est rapidement propagée. Comme plusieurs sociétés AML majeures ont classé l'adresse d'échange de HTX comme adresse à haut risque, de nombreux échanges utilisant son système AML ont renforcé leurs contrôles sur les transactions liées aux adresses associées à HTX, entraînant de nombreux problèmes pour les utilisateurs de HTX lors du retrait d'actifs vers d'autres échanges.

L'incident HTX révèle un dilemme plus profond : dans un paysage géopolitique complexe, une seule sanction initiée par les régulateurs peut déclencher un effet de chaîne croissant on-chain, affectant finalement les fonds d'innombrables utilisateurs ordinaires. Un utilisateur de HTX peut être totalement innocent dans la détention d'actifs, mais en raison des risques de conformité potentiels de la plateforme, il peut se heurter au « pare-feu » de l'ensemble du système AML lors de tentatives de retrait vers d'autres échanges, entraînant le gel ou le retard indéfini des fonds.

En fait, l'incident HTX n'est que la partie émergée de l'iceberg de la pression réglementaire. Ce qui contraint réellement l'innovation DeFi à un niveau plus profond, c'est la qualification juridique des modèles commerciaux sous-jacents des protocoles par les agences de régulation.

Au cours des deux dernières années, la SEC américaine a lancé des enquêtes sur des protocoles DeFi « blue chip » tels que Compound, Uniswap et Curve, se concentrant sur la question de savoir si les jetons de gouvernance constituent des titres non enregistrés. Des coups plus directs proviennent du secteur des jetons à rendement : les mesures d'application de la SEC contre des produits comme Gemini Earn indiquent que tant qu'un protocole verse aux utilisateurs des intérêts passifs basés sur des dépôts, il est facilement classé comme un contrat d'investissement, déclenchant des obligations d'enregistrement et de divulgation en vertu de la loi sur les valeurs mobilières.

Cette ambiguïté juridique et cet environnement sous haute pression étouffent directement les directions les plus imaginatives de l'innovation DeFi : du minage de liquidité aux produits de rendement structurés, les développeurs doivent constamment se demander si leurs modèles économiques de jetons franchissent les lignes rouges réglementaires.

Dans un sens, la nature « sans permission » que la DeFi soulignait initialement évolue progressivement vers une autre forme de « système de permission ». Cette « permission » ne vient pas d'une entreprise ou d'un protocole spécifique, mais de chaque maillon de la chaîne de conformité réglementaire : listes AML, moteurs de contrôle des risques des échanges, juridiction à longue portée des lois sur les valeurs mobilières, et ainsi de suite.

III. La DeFi entre dans une phase réaliste

En regardant les hauts et les bas de la DeFi au cours des dernières années, les dilemmes de sécurité et les pressions réglementaires de la DeFi n'existent pas indépendamment. L'absence d'un cadre réglementaire clair rend difficile l'établissement d'un consensus sectoriel sur les normes de sécurité ; la fréquence des incidents de sécurité, à son tour, fournit la justification la plus directe pour que les agences de régulation mondiales renforcent l'application des lois ; et l'accélération de l'asymétrie sécuritaire à l'ère de l'IA, combinée à des seuils de conformité progressivement plus stricts, s'entremêlent finalement pour pousser d'innombrables utilisateurs ordinaires au centre de la tempête.

Essentiellement, les limites de l'audit de sécurité et la rigidité de la conformité réglementaire érodent continuellement les deux hypothèses fondamentales sur lesquelles repose la DeFi : « le code est la loi » et « la liberté sans permission ».

Aujourd'hui, les utilisateurs supportent des risques techniques plus élevés que dans la finance traditionnelle, sans pour autant gagner plus de liberté que dans la finance traditionnelle. C'est précisément pourquoi de nombreux acteurs du marché sont confus. Ils constatent que la DeFi n'est ni aussi sûre que les banques, ni aussi totalement ouverte que promis initialement.

Lorsqu'un système perd simultanément ses primes de sécurité et ses primes de liberté, sa logique de croissance sera naturellement remise en question. Par conséquent, la question n'est peut-être pas : « Les hackers et les régulateurs ont-ils détruit la DeFi ? »

Plus précisément, les hackers et les régulateurs ont simplement forcé l'industrie à faire face à la réalité. Les hackers ont fait réaliser aux gens que le code ne crée pas intrinsèquement la confiance ; les régulateurs ont fait prendre conscience aux gens que le monde on-chain n'a jamais fonctionné comme un univers parallèle détaché du monde réel.

Cela ne signifie pas l'échec de la DeFi. Au contraire, cela signifie que cette expérience passe d'une phase idéaliste à une phase réaliste.

La DeFi n'est pas détruite par les hackers ou les régulateurs. Elle est redéfinie par les lois de survie façonnées par les deux : l'avenir de la DeFi doit soit s'orienter vers une auto-régulation sectorielle et des cadres de conformité plus stricts, en acceptant de compromettre les principes de décentralisation ; soit perdre progressivement la confiance du marché face au déséquilibre constant entre attaque et défense, menant à une marginalisation à long terme.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.