Prenez 10 000 USDC déposés sur Aave. Le 1er novembre 2026, vers 09 h 45 UTC, le flux de prix public de Nexus Mutual affichait 110 dollars pour un an de couverture sur ce montant. Si le contrat est exploité, blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il faut attendre la fin d’un délai de carence, verser un dépôt de 0,05 ETH, déposer une réclamation, et trois personnes nommées votent dessus. Voilà ce que vend aujourd’hui l’assurance crypto DeFi, et ce qu’il y a de plus utile à comprendre, c’est ce qui se passe entre l’exploit et le paiement.
Peut-on assurer ses cryptos en DeFi ? En partie. On peut acheter une couverture contre quelques risques précis, à un prix qui bouge, pour une taille limitée, auprès d’une mutuelle qui écrit dans sa propre FAQ : « Nexus Mutual cover is not a contract of insurance. » En français : la couverture de Nexus Mutual n’est pas un contrat d’assurance. L’hameçonnage, une clé volée et le « rug pull » des propriétaires d’un protocole sortent tous du texte standard. Aucune garantie publique des dépôts ne se tient derrière.
Un mot pour le lecteur français, car la requête « assurance crypto » renvoie surtout vers l’assurance vie investie en cryptos ou vers la protection offerte par une plateforme. La couverture DeFi dont parle cette leçon n’est ni une assurance vie, ni une garantie bancaire, ni la protection d’une plateforme agréée. C’est autre chose, et le reste du texte explique quoi.
L’écart de taille explique le reste. DefiLlama recense environ 8,9 milliards de dollars perdus par des protocoles DeFi entre 2021 et le 1er novembre 2026. Nexus Mutual, le plus gros nom du secteur, indique que ses membres ont versé plus de 18,5 millions de dollars d’indemnités depuis 2019, à la date d’août 2026. Cela représente environ 0,2 %. Il faut y voir un ordre de grandeur plutôt qu’un taux de couverture, car les deux chiffres n’ont pas le même périmètre et Nexus ne répond que de ce qu’elle a listé et vendu. Le rapport suggère tout de même que l’essentiel des sommes perdues en DeFi n’avait aucune couverture derrière lui.
Cette leçon prolonge le guide sur les grands piratages DeFi et le déroulé de chacun : elle laisse les attaques de côté pour regarder l’argent qui vient après, c’est-à-dire qui paie, qui décide et ce que le texte du contrat refuse. Les risques que la couverture ne touche pas figurent dans la carte des risques de la DeFi.
Assurance crypto DeFi : comment elle fonctionne quand l’assureur est une mutuelle
Une police classique est un contrat : l’assureur doit de l’argent si l’événement garanti survient, et un tribunal peut le contraindre à payer. La plupart des couvertures DeFi sont construites autrement, et le vocabulaire compte. Les acheteurs de ce marché achètent une « couverture » (« cover » en anglais), et le mot est choisi avec soin.
Une décision discrétionnaire, pas une obligation légale
Nexus Mutual se présente comme une mutuelle discrétionnaire : les membres mettent du capital en commun et partagent le risque, et la couverture est un produit proche de l’assurance qui prévoit une faculté de payer, non une obligation légale. Les verbes du contrat disent la même chose. La clause 7.1 des conditions de la couverture de protocole unique s’ouvre sur « Nexus Mutual may pay the Claim Amount » (Nexus Mutual « peut » verser le montant de la réclamation), puis énumère les conditions. Un acheteur refusé peut redéposer avec davantage de preuves, mais rien dans ce texte ne promet un paiement.
Trois rôles : l’acheteur, l’apporteur de capital, le gestionnaire de pool
L’acheteur choisit une ligne de couverture, un montant en ETH, en USDC ou en cbBTC et une durée, puis paie une cotisation. La couverture arrive sous forme de NFT dans son portefeuille, et une réclamation partielle laisse le reste en vigueur.
De l’autre côté se trouve l’apporteur de capital (le « staker »), qui dépose le jeton de la mutuelle, le NXM, dans un pool de staking tenu par un gestionnaire. Celui-ci choisit les lignes que le pool soutient et le prix cible. Nexus indique que la moitié de la cotisation va aux apporteurs qui souscrivent cette couverture, et que l’autre moitié alimente le capital qui se trouve derrière chaque jeton NXM.
Chaque NXM déposé ouvre une capacité de deux NXM, et c’est ce qui explique le partage d’une perte. La moitié d’une réclamation est payée en détruisant la mise de ceux qui ont souscrit la couverture, l’autre moitié est répartie entre tous les détenteurs de NXM via le pool de capital commun. Ce pool détient de l’ETH, de l’USDC et du cbBTC, et une partie est investie : les membres ont approuvé une allocation de 5 160 ETH vers un coffre Steakhouse sur Morpho, selon le bilan 2025 de Nexus. L’institution qui vous protège contre le risque DeFi porte donc elle-même un peu de risque DeFi.
Qui décide d’une réclamation, et en combien de temps
Les anciens articles expliquent que les détenteurs de NXM votent sur les réclamations. Ce n’est plus vrai depuis novembre 2025. La documentation des réclamations, révisée pour la dernière fois en août 2026, décrit trois époques. Quelques produits désignent un évaluateur dédié (« Designated Claim Assessor ») à la place du comité.
| Période | Qui décidait | Règle |
|---|---|---|
| De 2019 à mars 2023 (V1) | N’importe quel membre déposant du NXM comme évaluateur | Consensus de 70 %, vote de 36 heures |
| De mars 2023 à novembre 2025 (V2) | Les membres déposant du NXM dans le contrat d’évaluation | Majorité pondérée par la mise |
| Depuis novembre 2025 | Comité des réclamations de trois évaluateurs nommés | 2 votes d’acceptation sur 3 suffisent |
Les trois évaluateurs nommés sont Hugh Karp, le fondateur, et Roxana Danila, la directrice technique, tous deux membres du conseil consultatif, plus le responsable des risques, qui se fait appeler BraveNewDeFi. Ceux qui décident sont donc des proches de la mutuelle, et leurs noms sont publics. La FAQ parle encore de membres qui ont le dernier mot, alors que la page des réclamations dit qui détient le vote aujourd’hui.
Le calendrier est court, sans être instantané. Le texte standard impose un délai de carence de 14 jours après l’événement, pendant lequel aucune réclamation ne peut être déposée, et une annexe peut en changer la durée. Il faut ensuite déposer avec 0,05 ETH de dépôt, soit environ 113 dollars au cours de l’ETH de ce matin-là, autour de 2 270 dollars. Une réclamation acceptée rend le dépôt ; une réclamation refusée le garde. Le vote dure jusqu’à 72 heures et se ferme plus tôt quand les trois ont voté, même si la gouvernance peut le prolonger par une nouvelle fenêtre de 72 heures. Une pause de 24 heures suit, durant laquelle le conseil consultatif peut annuler un vote frauduleux. En déposant le premier jour possible et en laissant le vote suivre son cours normal, le premier retrait possible arrive environ 18 jours après l’événement : 14 plus 3 plus 1. Il reste ensuite 30 jours pour retirer. Une réclamation refusée peut être redéposée avec davantage de preuves. Pour Arcadia, plus bas, les réclamations ont été déposées 14 jours après l’exploit et Nexus a annoncé le paiement au 20e jour.
Discrétionnaire ou paramétrique : la différence en deux phrases
Une couverture paramétrique paie quand un seuil mesurable est franchi, sans évaluer la perte réelle de l’assuré, alors qu’une couverture discrétionnaire fait lire les preuves par quelqu’un qui tranche. Nexus se situe plutôt du second côté, même pour des produits qui semblent mécaniques : les conditions de la Crypto Cover contiennent des seuils précis pour un décrochage de stablecoin (« depeg ») ou une perte chez un dépositaire, mais elles disent quand même que la mutuelle « may approve a Claim » (peut approuver une réclamation), et la réclamation passe quand même par une évaluation.
Nexus Mutual en pratique : KYC, prix et historique des réclamations
Adhérer suppose de montrer une pièce d’identité
C’est la première surprise pour un utilisateur de DeFi. Pour acheter une couverture, il faut devenir membre : vérification d’identité avec une pièce officielle et frais d’adhésion de 0,0020 ETH, et une même adresse ne peut adhérer qu’une fois. La liste des pays restreints au 1er novembre 2026 compte 27 juridictions, dont la Chine, l’Inde, le Japon, le Mexique et la Russie ; les États-Unis, le Royaume-Uni, la France et l’Italie n’y figurent pas. On ne peut pas acheter une couverture pour une autre personne, même un conjoint. L’application fonctionne depuis le réseau principal d’Ethereum, même si la couverture peut protéger des positions sur d’autres chaînes EVM.
Ce que coûte une couverture au 1er novembre 2026
Les prix viennent de l’API publique de devis derrière l’application Nexus. Ils sont annuels, pour 10 000 USDC sur 365 jours, payés en USDC, et ils varient avec la capacité et la demande. Le tableau est une lecture unique, vers 09 h 45 UTC. Les montants restent en dollars, comme dans les sources.
| Ligne de couverture | Prix annuel | Prime pour 10 000 USDC |
|---|---|---|
| Uniswap v3 | 0,50 % | 50 dollars |
| Sky USDS Depeg | 0,50 % | 50 dollars |
| Aave v3 | 1,10 % | 110 dollars |
| Coinbase Custody | 1,75 % | 175 dollars |
| Aave v4 | 2,09 % | 209 dollars |
| Binance Custody | 2,47 % | 247 dollars |
| EigenLayer v1 | 3,30 % | 330 dollars |
| Hyperliquid Core | 3,50 % | 350 dollars |
| Curve All Pools | 4,00 % | 400 dollars |
| Spark Lend | 4,00 % | 400 dollars |
Deux détails de la même minute. Un devis sur 90 jours pour Aave v3 est sorti à 0,88 % par an, soit 21,70 dollars pour le trimestre, contre 110 dollars pour l’année entière : la durée change donc le taux. Et l’API a répondu « pas assez de capacité » pour 10 000 USDC sur Lido, Safe et la ligne de depeg du crvUSD de Curve. Le prix monte à mesure qu’un pool se remplit, et quand la capacité s’épuise, il n’y a plus de prix du tout.
Ce qu’elle a payé, et ce qu’elle a refusé
| Événement | Date | Payé (dollars au moment du paiement) |
|---|---|---|
| Piratage de Yearn yDAI | Févr. 2021 | 2 317 776,72 |
| Piratage de TribeDAO / Rari Fuse | Avr. 2022 | 5 089 889,24 |
| Défaillance économique de Perpetual Protocol v1 | Mai 2022 | 377 147,19 |
| Hodlnaut suspend les retraits | Août 2022 | 1 113 211,17 |
| FTX suspend les retraits | Nov. 2022 | 4 924 887,90 |
| BlockFi suspend les retraits | Nov. 2022 | 30 590,64 |
| Exploit d’Euler, couverture de protocole | Mars-avr. 2023 | 2 389 227,88 |
| Exploit d’Euler, Sherlock Excess Cover | 2023 | 1 000 000 |
| Exploit d’Arcadia Finance | Juil. 2025 | 236 486,21 |
| Suites de Stream Finance, six réclamations | Déposées nov.-déc. 2025 | 70 449,95 |
| Exploit de Resolv, coffre Morpho | Déposée avr. 2026 | 3 060,53 |
| Goldfinch (36 692,87 réclamés) | Déposée févr. 2025 | Refusée |
| Beefy (5 141,76 réclamés) | Déposée le 28 août 2026 | Refusée |
Les chiffres viennent de l’historique des réclamations et de la page des réclamations de Nexus, consultés le 1er novembre 2026. Les deux ne concordent pas toujours : les 24 lignes de FTX totalisent 5,24 millions de dollars sur la page des réclamations, contre 4,92 millions dans la documentation. La page recense 216 réclamations, dont 103 acceptées et 113 refusées. Ce partage demande de la prudence, car 68 des refus datent de 2020 et la documentation prévient que des utilisateurs ont testé le système pendant ses deux premières années. En comptant à partir de 2023, on obtient 53 acceptées et neuf refusées.
FTX et Hodlnaut étaient des défaillances de dépositaires : certains des plus gros paiements ont donc bénéficié à des personnes qui avaient perdu leurs fonds chez une entreprise et acheté une couverture pour cela, sans aucun contrat DeFi en jeu.
Euler montre comment un paiement se défait. Neuf réclamations de couverture de protocole ont été payées pour 2 389 227,88 dollars. Les membres qui ont touché une indemnité ont accepté de céder leurs soldes d’eToken et de dToken à la trésorerie de la mutuelle, et quand l’attaquant a rendu des fonds, Nexus a récupéré 99,05 % sur les réclamations libellées en DAI et 32,39 % sur celles libellées en ETH, selon le décompte de cette page. Huit des neuf membres ont dit qu’ils rendraient leur paiement. Un seul, qui avait retiré 199,6 ETH, a dit non. Si un piratage est ensuite en partie annulé, l’argent de la couverture est censé revenir.
Arcadia Finance, sur Base, est le petit cas récent. DefiLlama chiffre l’exploit du 15 juillet 2025 à 2,5 millions de dollars, et la presse de l’époque parlait d’environ 3,5 millions. Trois réclamations ont été déposées le 29 juillet et, le 4 août, Nexus a annoncé avoir payé environ 250 000 dollars, surtout sur des couvertures vendues via OpenCover, un distributeur indépendant. La page des réclamations indique 236 486,21 dollars. Entre 7 et 10 % de la perte est revenue par la couverture, bien au-dessus de l’ordre de grandeur de 0,2 % donné en haut de la page.
Les réclamations suivantes montrent ce que signifie concrètement une défaillance de liquidation. Après l’effondrement de Stream Finance fin 2025, le comité a approuvé six réclamations pour 70 449,95 dollars, surtout sur des coffres Beefy qui avaient prêté sur des marchés où la dette irrécouvrable s’est accumulée et où un oracle à taux fixe empêchait les prêteurs de retirer. En avril 2026, il a approuvé 3 060,53 dollars pour un coffre Morpho touché par l’exploit de Resolv, au titre de la disposition sur la défaillance de liquidation, alors que la dette n’était pas encore réalisée ; le demandeur peut rendre la somme s’il est remboursé par ailleurs.
Cette réclamation d’avril est la seule que l’historique indique comme payée en 2026, une année où DefiLlama compte 1,19 milliard de dollars perdus par les protocoles DeFi à ce jour. Aucune réclamation de la page ne nomme Kelp, Drift ni Balancer.
La plus récente est allée dans l’autre sens. La réclamation V2 n° 37, de 5 141,76 dollars, a été déposée le 28 août 2026 sur une Beefy Multi Protocol Cover achetée le 23 juillet. Le demandeur avait des fonds dans deux coffres Curve msETH/WETH via Beefy et a perdu de l’argent après que MetronomeDAO, un protocole situé sous ces coffres, a été vidé par un arbitrage sur des prix d’oracle retardés. Metronome ne figurait pas dans l’annexe de la ligne : le comité a donc jugé que la perte sortait des contrats de Beefy, Curve, Convex et StakeDAO, et l’a refusée.
Un coffre peut échouer par une dépendance, et l’annexe décide quelles dépendances comptent. Le crédit est une autre lacune : une réclamation Goldfinch de 36 692,87 dollars, déposée en février 2025, a été refusée parce que la perte venait d’un défaut sur un prêt non garanti, et que la couverture de protocole ne couvre pas le risque de crédit.
La taille réelle de la mutuelle
Le pool de capital s’élevait à 94,4 millions de dollars sur DefiLlama le 1er novembre 2026. En additionnant les enregistrements publics de couverture ce jour-là, on arrive à environ 75 millions de dollars de couverture active, répartis en 252 couvertures détenues par 87 membres : c’est une approximation tirée d’un calcul sur les données publiques, avec les cours de l’ETH et du BTC du même matin. Face à environ 85 milliards de dollars bloqués dans la DeFi, cela fait environ 0,09 %. Aave v3 donne une comparaison directe : environ 5,45 millions de dollars de couverture active pour 16,35 milliards de dollars de TVL sur Aave, soit 0,03 %.
L’activité de Nexus en 2025, d’après son propre bilan : plus de 5,7 millions de dollars de cotisations et plus de 370 000 dollars d’indemnités. Les indemnités représentaient environ 6,5 % des cotisations, mais ce n’est pas un ratio de sinistralité au sens habituel, car les cotisations sont partagées avec les apporteurs de capital.
Sherlock : de la couverture par staking aux audits et à un petit Shield
Sherlock est le deuxième nom que rencontrent les lecteurs, et beaucoup d’articles décrivent encore un produit qui ne tourne plus. Ses protocoles V1 et V2 sont officiellement abandonnés à compter du 10 septembre 2026. L’avis précise qu’ils sont inactifs côté support depuis 2024 et demande aux utilisateurs de retirer les fonds restants. Les contrats restent déployés, et DefiLlama y montre encore environ 230 000 dollars.
Ce modèle associait un audit à du capital mis en jeu derrière le code audité. DL News a rapporté le 14 avril 2023 que le pool de staking avait vite attiré 30 millions de dollars après son ouverture fin 2021, et que Sherlock avait versé 4,5 millions de dollars pour Euler, laissant environ 2,9 millions de dollars sur son tableau de bord. Le cofondateur Jack Sanford a dit au média : « Payouts like Euler are an existential risk to Sherlock’s survival » (en anglais ; en français, des paiements comme celui d’Euler sont un risque existentiel pour la survie de Sherlock). Selon ces chiffres, un seul paiement a absorbé environ 60 % de ce que le pool détenait alors.
Les deux noms se rejoignent ici. Sherlock avait acheté sa propre couverture d’excédent auprès de Nexus, et Nexus a payé 1 million de dollars à ce titre. Une première réclamation a été refusée parce qu’elle ignorait une franchise de 500 000 dollars prévue au contrat ; une réclamation corrigée est passée.
Aujourd’hui, Sherlock vend du travail de sécurité : audits collaboratifs, un « Audit Engine » assisté par IA et des programmes de bug bounty. Sa documentation classe les concours d’audit comme abandonnés, remplacés par ce moteur. Pour juger ses rapports, la méthode se trouve dans le guide pour lire un rapport d’audit. Ce qui reste de la couverture est Sherlock Shield, proposé à certains codes qualifiés après un audit, et pas à tous. C’est un versement lié aux conclusions de l’audit, de 500 000 dollars pour un résultat propre jusqu’à 1 000 dollars à partir de 30 points, et les conditions ajoutent que Sherlock ne garantit ni le paiement ni la disponibilité des fonds (« Sherlock does not guarantee payment or the availability of funds »). La documentation décrit des conditions convenues avec l’équipe auditée, et non un produit qu’un détenteur de jeton pourrait acheter.
Le reste du secteur : projets discrets et filets de sécurité des protocoles
La catégorie « assurance » de DefiLlama, lue le 1er novembre 2026, place Nexus en premier et Firelight en deuxième, avec environ 65 millions de dollars. Firelight a démarré comme un coffre de staking de XRP dont la seconde phase annoncée doit faire adosser une couverture DeFi à cette mise. Derrière, la liste s’amenuise : Unslashed environ 3,4 millions de dollars, Sherlock 0,23 million, InsurAce 0,14 million, Neptune Mutual zéro, entre autres. Un chiffre de TVL dit combien d’argent dort dans des contrats et rien de plus sur le fait qu’une équipe réponde encore aux réclamations : un lecteur devrait donc vérifier que l’un d’eux vend bien une couverture aujourd’hui.
L’autre forme d’assurance DeFi est intégrée à un protocole, et l’acheteur n’est pas vous. Umbrella, chez Aave, demande aux utilisateurs de déposer des actifs qui peuvent être détruits automatiquement pour compenser une dette irrécouvrable, après un premier montant de perte pris en charge par la DAO. Sa limite est dans sa conception : chaque déploiement protège un seul actif sur un seul réseau. L’ancien module stkAAVE doit perdre sa capacité de « slashing » quand Umbrella aura atteint une taille suffisante. Ces apporteurs de capital sont des souscripteurs à tous égards, sauf le nom.
Ce que la couverture ne couvre pas
Qui compare des assurances DeFi doit lire le texte du contrat plutôt que le titre de la ligne. Voici la couverture de protocole unique standard, clause par clause. Elle paie pour un bug de contrat intelligent qui permet d’utiliser le protocole d’une façon imprévue, et pour un événement économique soudain et généralisé causé par une panne d’oracle, une manipulation d’oracle, une défaillance de liquidation ou une prise de contrôle de la gouvernance.
Exclusions et franchise dans le texte standard
| Clause | Perte due à | Payée ? |
|---|---|---|
| 10.1 | Failles hors EVM, sauf si l’annexe en dispose autrement | Non |
| 10.2 | Hameçonnage, clés volées, logiciel malveillant, ou tout cas où le protocole continue à agir comme prévu | Non |
| 10.4 | Événements antérieurs à la période de couverture, ou postérieurs à une divulgation publique de bug ou à un avertissement | Non |
| 10.5 | Variations de prix du marché, hors panne ou manipulation d’oracle | Non |
| 10.6 | Décrochage d’un actif que le protocole génère lui-même | Non |
| 10.7 | Propriétaires ou contrôleurs qui prennent les fonds dans le cadre de leurs permissions (un rug pull), quel que soit le détenteur de leurs clés | Non |
| 10.8 | Erreurs d’interface ou de site web, quand le protocole continue à agir comme prévu | Non |
| 10.9 | Défaillance des composants utilisés pour faire passer des actifs d’une chaîne à l’autre | Non |
| 10.11 | Usage par l’équipe de commandes d’administration, comme la mise en pause, qui entraîne une perte | Non |
| Définitions | Premiers 5 % du montant couvert (la franchise), sauf si l’annexe diffère | Non |
Il faut lire ce tableau en pensant à une perte réelle. Si vous signez une transaction de drainer, la clause 10.2 s’applique, et le guide sur la conduite à tenir après un vol est l’endroit où aller. Si une équipe vide un pool avec des pouvoirs qu’elle a toujours eus, la clause 10.7 s’applique, et c’est le scénario du rug pull. La clause sur les passerelles compte aussi : parmi les plus grosses pertes DeFi de 2026, l’une est partie d’une route de passerelle.
Le produit peut être plus étroit encore. L’annexe d’Aave v3 précise que la couverture s’applique exclusivement aux dépôts d’actifs crypto (« exclusively applies to deposits of crypto assets ») dans les marchés listés, ce qui laisse de côté la position d’un emprunteur. Pour les événements de type oracle ou liquidation, la perte retenue est celle de n’importe quelle période de deux heures.
Conditions de paiement : preuve, délais et récupérations
Au moment du dépôt, il faut être membre avec le KYC terminé, hors de la liste des pays restreints, et pouvoir fournir une preuve cryptographique qui vous relie au compte touché. La réclamation doit venir après le délai de carence et pendant la période de couverture ou le délai de grâce de 35 jours qui la suit. Selon les conditions de la Crypto Cover, le délai de grâce est de 120 jours pour la garde par un dépositaire, et une réclamation de depeg doit arriver dans les 30 jours après que le seuil est atteint. Les pertes sont calculées au moment où elles ont eu lieu, déduction faite des remboursements, avec les cours de CoinGecko ou d’un autre site de prix réputé.
Après un paiement, le membre dispose de 20 jours pour céder ses droits à un éventuel remboursement, et de cinq jours pour rendre ce qu’il recevrait plus tard. On ne peut pas toucher la couverture et un dispositif d’indemnisation pour les mêmes dollars.
Capacité et risque propre du fournisseur
La capacité est la limite que le titre d’une ligne ne dit pas. Au 1er novembre 2026, Aave v3 avait environ 8,4 millions de dollars de marge et Uniswap v3 environ 8,8 millions, et ces chiffres ne s’additionnent pas, car le même NXM déposé soutient plusieurs lignes. Le capital minimum requis de Nexus est égal à la couverture active divisée par un facteur de levier de 4,8, soit environ 15,7 millions de dollars sur les chiffres du 1er novembre : le pool vaut donc à peu près six fois ce plancher.
Une marge confortable une année ordinaire dit peu de chose d’une année où les pertes sont corrélées. Si un même bug frappait une dépendance partagée par plusieurs protocoles couverts, les réclamations arriveraient ensemble et retomberaient en même temps sur les apporteurs de capital et sur le pool. Le pool peut perdre de l’argent sur ses propres placements, et les contrats de la mutuelle sont du code qui peut lui aussi défaillir. Rien ne dit que cela arrivera ; c’est la raison de compter le fournisseur parmi ses risques.
Couvertures de depeg et de garde : des seuils sévères
Le depeg est le meilleur exemple d’un titre qui promet plus que le texte. L’annexe Sky USDS, pour le dollar de Sky, ne paie que si le jeton se négocie à plus de 10 % sous sa référence pendant sept jours consécutifs, et il faut l’avoir détenu au moins 72 heures avant l’événement. On transfère le jeton décroché à Nexus avant que la réclamation passe à l’évaluation ; si elle est acceptée, on reçoit 0,975 par jeton, et si elle est refusée, on récupère le jeton. Une baisse à 95 cents pendant trois jours ne paie rien, pas plus qu’une chute de deux jours à 70 cents suivie d’un rebond. Un seuil de sept jours est écrit pour l’effondrement durable d’un stablecoin, pas pour une frayeur.
Pour la garde par un dépositaire, la forme est la même. Selon les conditions de la Crypto Cover, elle répond si le dépositaire est victime d’un crime et annonce que tous les utilisateurs doivent supporter une perte de 10 % ou plus, ou s’il impose sans préavis un gel complet des retraits qui dure 100 jours ou plus. Sur la voie du gel, le délai de carence est lui-même de 100 jours : un gel de 99 jours reste donc hors du champ.
Kelp et Aave en 2026 : qui paie quand le trou est grand
Le 18 avril 2026, un message falsifié sur la route de passerelle de Kelp a libéré environ 116 500 rsETH, une perte de 293 millions de dollars selon le décompte de DefiLlama, comme le raconte la leçon sur les piratages. L’essentiel est parti directement vers Aave comme collatéral. La question de la couverture est de savoir ce qui se tenait entre ce trou et les déposants, et le rapport d’incident d’Aave du 20 avril l’expose :
| Élément | Chiffre au 20 avril 2026 |
|---|---|
| rsETH déposés sur Aave | 89 567 (environ 221 millions de dollars) |
| Dette irrécouvrable, pertes réparties sur tous les rsETH | Environ 123,7 millions de dollars (scénario) |
| Dette irrécouvrable, pertes sur les seuls rsETH des L2 | Environ 230,1 millions de dollars (scénario) |
| Module Umbrella WETH | Environ 54 millions de dollars, dont la plus grande part avait entamé un délai de retrait de 20 jours |
| Trésorerie de la DAO Aave | Environ 181 millions de dollars |
Le filet conçu pour cette mission était deux à quatre fois plus petit que ces scénarios, et il protège un seul actif sur un seul réseau. Selon Cointelegraph, le 7 mai, Umbrella n’a pas été utilisé. DeFi United, une coalition menée par Aave, a levé plus de 300 millions de dollars en ETH, d’après The Block le 12 mai. Une proposition de gouvernance du 9 mai chiffrait à 106 993 les rsETH récupérés, et indiquait que les quelque 5 211 rsETH vendus par l’attaquant sur des plateformes devaient être couverts par l’ETH engagé par la coalition.
Ce sont les faits datés à la mi-mai 2026. Une collecte entre protocoles a comblé un trou que le filet fondé sur la mise n’a pas touché, et aucune règle n’oblige personne à la recommencer.
Coût et probabilité : ce que dit vraiment le prix
Un exemple chiffré avec les prix du 1er novembre
Voici un exemple avec des avoirs fictifs et des devis réels du 1er novembre 2026. C’est de l’arithmétique, qui ne dit rien sur ce que quelqu’un devrait acheter.
- Un lecteur a 10 000 USDC déposés sur Aave v3 et paie 110 dollars pour un an de couverture sur ce montant.
- Après la franchise de 5 %, soit 500 dollars, une perte totale couverte paie au plus 9 500 dollars, et une perte de 400 dollars ne paie rien.
- Probabilité d’équilibre : 110 divisé par 9 500 donne environ 1,16 %. En dessous de cette chance annuelle de perte totale couverte, la prime coûte plus cher que l’indemnité espérée.
- Le taux de dépôt d’USDC sur Aave, sur Ethereum, était d’environ 3,91 % ce matin-là selon DefiLlama, soit 391 dollars par an. La couverture en absorbe environ 28 %, ce qui laisse environ 2,8 %. Les frais d’adhésion uniques, environ 4,50 dollars à ce cours de l’ETH, s’y ajoutent.
Le même lecteur détient 10 000 USDS avec une couverture de depeg à 50 dollars. Le seuil d’équilibre affiché est de 50 divisé par 9 750, soit environ 0,51 %. Cela flatte le produit, car dans une réclamation on remet le jeton. Si l’USDS valait 80 cents au bout de sept jours, le gain de la couverture serait de 17,5 cents par jeton, soit 1 750 dollars sur la position, et le seuil d’équilibre monterait à environ 2,9 % par an.
Ensemble, les deux couvertures coûtent 160 dollars par an sur 20 000, soit 0,8 % du montant. Une personne peut malgré tout payer plus que la valeur espérée pour une perte qu’elle ne pourrait pas absorber, comme un ménage assure sa maison. C’est une façon de poser le choix, pas une réponse. La taille compte aussi : un ordre de 10 millions de dollars sur Aave v3 aurait dépassé les 8,4 millions de marge de ce matin-là.
Ce que dit l’historique, et pourquoi ce n’est pas une probabilité
Voici le relevé de DefiLlama pour les protocoles DeFi, additionné le 1er novembre 2026. Le jeu de données est révisé de temps en temps.
| Année | Incidents | Total perdu (millions de dollars) | Incidents de 10 millions de dollars ou plus |
|---|---|---|---|
| 2021 | 116 | 2 466 | 35 |
| 2022 | 141 | 2 852 | 24 |
| 2023 | 148 | 818 | 8 |
| 2024 | 160 | 796 | 13 |
| 2025 | 119 | 757 | 9 |
| 2026 au 1er nov. | 232 | 1 188 | 14 |
La tentation est de diviser. En 2025, il y a eu neuf incidents de 10 millions de dollars ou plus, et le 1er novembre 2026 DefiLlama liste 203 protocoles avec 100 millions de dollars ou plus de TVL, plateformes centralisées et chaînes exclues, ce qui donne environ 4,4 %. Ce chiffre est faux comme probabilité : les incidents touchent des protocoles de toutes tailles, les deux dates diffèrent, un même protocole peut être touché deux fois, et un incident signifie rarement une perte totale pour chaque déposant.
Personne ne publie de chance annuelle de perte propre pour un protocole donné. Un devis de 1,10 % sur Aave v3 et de 4 % sur Curve All Pools est ce qui ressemble le plus à un avis du marché, et il dépend de l’appétit des apporteurs de capital et de la capacité disponible autant que du risque. La ligne de Curve couvre de nombreux pools : les deux prix ne se comparent donc pas à périmètre égal.
Statut juridique : aucune garantie des dépôts derrière la couverture DeFi
Deux questions différentes se mélangent quand on demande si l’assurance DeFi est sûre en droit. La première porte sur les filets de sécurité publics, et la réponse est non, sans exception, pour une perte en DeFi.
- France : le FGDR indique que le bitcoin et les autres cryptomonnaies sont exclus de la garantie des dépôts, plafonnée à 100 000 euros par client et par établissement (page en anglais).
- Union européenne : l’avertissement conjoint de l’ABE, de l’AEMF et de l’AEAPP du 6 octobre 2025 dit que les protections de MiCA sont moins étendues que pour les produits traditionnels, et que l’on ne bénéficie pas de dispositifs d’indemnisation (« you will not benefit from compensation schemes »). Le texte est en anglais.
- États-Unis : la fiche de la FDIC indique que l’assurance des dépôts ne s’applique pas aux cryptoactifs et ne protège ni contre la défaillance d’entités non bancaires, ni contre le vol ou la fraude.
- États-Unis : une FAQ du personnel de la SEC de mai 2025, revue en février 2026, dit que la protection de la SIPC porte sur les créances de titres, et répond non pour les cryptoactifs qui ne sont pas des titres, détenus chez un courtier-négociateur membre.
- Royaume-Uni : la FCA avertit que l’on n’aura généralement pas accès au Financial Ombudsman Service et que l’on ne sera pas protégé par le FSCS si une société crypto cesse son activité. Une page du FSCS de 2023 dit la même chose des plateformes qui échangent ou détiennent des cryptos.
La seconde question porte sur la couverture elle-même. Son statut repose sur les mots déjà cités : pas un contrat d’assurance, et une faculté de payer. Le forum de Nexus ajoute un détail venu du marché professionnel. Une proposition du 21 août 2025 affirme que les régulateurs n’accorderont aucun crédit aux assureurs traditionnels pour une couverture achetée sur Nexus (« regulators won’t give any credit to traditional insurance companies »), et propose une licence optionnelle pour les pools de staking afin de les atteindre. La place de la DeFi sous MiCA et le droit américain est le sujet d’une leçon ultérieure de ce cours.
Questions à se poser avant de payer une couverture
Ces questions viennent des sections qui précèdent. Elles ne plaident ni pour l’achat ni contre.
- Quel texte et quelle annexe s’appliquent exactement, et couvrent-ils un déposant, un emprunteur ou un fournisseur de liquidité ?
- La perte que je redoute figure-t-elle dans les événements couverts, ou dans la clause 10 ?
- La passerelle, l’interface, le jeton enveloppé ou le protocole sous-jacent de mon parcours sortiraient-ils du champ de l’annexe ?
- Quelle est la franchise, et que paie une perte totale une fois celle-ci déduite ?
- Y a-t-il de la capacité pour mon montant et ma durée aujourd’hui ?
- Puis-je passer le KYC depuis mon pays, avec l’adresse qui détient la position ou une adresse que je peux y rattacher ?
- Pourrais-je attendre 14 jours de délai de carence plus le vote sans cet argent, et risquer un dépôt de 0,05 ETH sur une réclamation qui sera peut-être refusée ?
- Pour une couverture de depeg ou de garde, quel seuil faut-il atteindre, et pendant combien de temps ?
- Si le pool du fournisseur est touché par le même événement, qu’y a-t-il derrière ma réclamation ?
La prochaine leçon du cours traite ce que aucune couverture ne paie : une routine de sécurité personnelle contre l’hameçonnage, les approbations et les clés.
