Le samedi 18 avril 2026, un message inter-chaînes falsifié a fait libérer 116 500 rsETH, un jeton d’ether en restaking, depuis un contrat de pont sur Ethereum au profit d’un attaquant. Sur cette route, le pont ne comptait qu’un seul vérificateur. L’attaquant a déposé 89 567 de ces jetons sur Aave et emprunté 82 650 WETH contre eux. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il a laissé un trou que le rapport d’incident corédigé par des prestataires d’Aave a chiffré, dans ses modèles, entre 124 et 230 millions de dollars. Le code d’Aave, lui, n’a jamais failli : le rapport indique que les contrats intelligents du protocole n’ont été compromis à aucun moment pendant l’événement.
Un seul incident, et au moins quatre sortes de risques DeFi à la fois : un pont qui a accepté un faux message, un jeton qui valait moins que ne le disait son flux de prix, un prêteur exposé à la défaillance d’un tiers, et des déposants liés à un vérificateur qu’ils n’avaient jamais cherché à connaître. Le lecteur qui ne se demande que « le protocole a-t-il été audité ? » n’aurait rien vu venir.
La carte qui suit compte sept familles de risques, chacune avec un cas daté et ce que vous pouvez vérifier avant de déposer. La leçon sur la construction et le suivi d’un portefeuille DeFi classait les positions par niveaux de risque ; celle-ci ouvre ces niveaux un par un.
La DeFi est-elle sûre ? Une réponse honnête avant la carte
Non, pas au sens où un dépôt bancaire est sûr. La DeFi n’offre aucune garantie des dépôts, personne pour annuler une transaction à votre place et aucun service d’assistance tenu de vous répondre. Ce n’est pas non plus un casino : de grands protocoles fonctionnent depuis des années, et les pertes se concentrent sur des faiblesses identifiables, dont beaucoup peuvent être vérifiées à l’avance. Une partie du risque se réduit. Une autre non.
La bonne question sur les risques de la DeFi est donc plus étroite : de quelle façon cette position précise peut-elle échouer, et le verrais-je venir ? Les escroqueries forment un sujet à part : un rug pull, où l’équipe elle-même empoche l’argent, est une fraude délibérée que le reste de cette carte ne décrit pas, et le guide pour éviter les arnaques crypto le traite.
Ce que disent les chiffres de pertes, et ce qu’ils laissent de côté
La base publique des piratages de DefiLlama, consultée le 1er novembre 2026, est le recensement gratuit le plus détaillé. Le tableau ci-dessous ne garde que les cibles DeFi (protocoles, chaînes, pools de liquidité, jetons et quelques catégories mineures) et écarte les plateformes d’échange centralisées, les portefeuilles individuels et les entrées non classées. Ce tri est celui de Coindaro, pas celui de DefiLlama, et la base est révisée au fil du temps. Les montants sont valorisés au moment de l’événement et ne déduisent pas les fonds restitués plus tard.
| Année | Pertes DeFi (millions de dollars) | Incidents DeFi | Dont piratages de ponts (millions de dollars) |
|---|---|---|---|
| 2021 | 2 468 | 118 | 656 |
| 2022 | 2 884 | 168 | 1 906 |
| 2023 | 848 | 165 | 301 |
| 2024 | 814 | 195 | 37 |
| 2025 | 768 | 129 | 38 |
| 2026 (au 1er novembre) | 1 676 | 296 | 753 |
La colonne des ponts compte tous les piratages que DefiLlama classe comme piratages de ponts. Seule l’année 2021 en voit une partie, environ 8 millions de dollars, tomber hors du filtre DeFi retenu ici.
Les pertes ont reculé de plus des deux tiers depuis le pic de 2022 et sont restées autour de 800 millions de dollars pendant trois ans. Puis 2026 a rompu la série : dix mois suffisent pour dépasser le double du chiffre de 2025. Quatre événements en forment l’essentiel : Liquid Network (320 millions), Drift (295 millions), Kelp (293 millions) et Tectonic (124 millions). Les ponts, qui passaient pour un problème ancien en 2024 et 2025, reviennent à 753 millions.
Ces montants sont bruts, et Tectonic montre l’écart possible avec le bilan final. Le post-mortem de Cronos, rapporté par The Block, compte 120,4 millions de dollars empruntés le 30 août 2026, puis un retour en arrière de toute la chaîne qui a effacé 1 h 54 d’historique. Environ 9,19 millions de dollars avaient déjà quitté Cronos et n’ont pas été récupérés.
Pour situer l’échelle, 1,7 milliard de dollars représente environ 2 % des 85,1 milliards de dollars de valeur totale verrouillée (staking or liquidity, measured at current market prices. It is the main size metric in DeFi.">TVL) affichés par DefiLlama le 1er novembre 2026. Le calcul est approximatif, puisque la TVL bouge chaque jour et que les pertes frappent quelques pools, jamais uniformément. Sur une position perdante, le taux est proche de 100 %, autrement dit tout.
D’autres décomptes utilisent d’autres périmètres, et il ne faut jamais les additionner. Chainalysis a compté plus de 3,4 milliards de dollars volés dans l’ensemble des cryptoactifs de janvier à début décembre 2025, plateformes d’échange comprises, dont 1,5 milliard pour le seul Bybit et au moins 2,02 milliards attribués à des groupes nord-coréens. Elle observe aussi que les pertes par piratage restent bien en dessous de leur ancien niveau alors que la TVL de la DeFi s’est redressée.
Ces tableaux sous-estiment les risques DeFi sur un point : ils recensent des vols. Un stablecoin qui perd sa parité, un gérant de fonds qui perd de l’argent hors chaîne ou une règle qui change n’y figurent pas, et ce sont pourtant trois des sept familles ci-dessous.
Risque de contrat : le code fait ce qu’il dit, pas ce que vous aviez supposé
Un contrat intelligent exécute ses règles sans exception. Si une règle est fausse, le résultat faux est définitif. C’est le risque auquel on pense en premier, et sa forme a changé.
Réentrance et contrôle d’accès, les bugs d’hier
La réentrance, où un contrat est rappelé avant d’avoir mis à jour son solde, est le grand classique : The DAO y a succombé en 2016. En valeur, elle est aujourd’hui secondaire. DefiLlama recense quatre incidents de réentrance en 2025 pour 44,6 millions de dollars, dont l’essentiel pour GMX V1 le 9 juillet 2025 (42 millions, dont 40 millions restitués d’après DefiLlama à la suite d’un accord sur une prime de bug), et deux en 2026 pour presque rien. Les erreurs de contrôle d’accès, où une fonction censée être réservée peut être appelée par n’importe qui, restent fréquentes.
Erreurs d’arrondi et de comptabilité, le bug moderne
Le 3 novembre 2025, vers 07 h 40 UTC, les Composable Stable Pools de Balancer V2 ont été attaqués. OpenZeppelin chiffre la perte à plus de 120 millions de dollars sur Balancer et ses forks ; DefiLlama inscrit 128 millions pour Balancer V2. La cause tient en une phrase : une fonction de mise à l’échelle arrondissait toujours vers le bas, quel que soit le sens de l’échange. En usage normal, la différence se réduit à de la poussière. L’attaquant a poussé les pools vers de très faibles soldes et répété de nombreux petits échanges jusqu’à ce que la poussière devienne de l’argent réel.
OpenZeppelin avait examiné des versions antérieures de Balancer V2 en 2021, et indique que le code vulnérable est arrivé après son audit : ses audits précédents, dit-elle, ne couvraient aucun des pools présentant ce vecteur d’attaque. Un audit décrit une version du code à une date donnée. Il ne dit rien de ce qui a été ajouté ensuite. DefiLlama range ce cas dans la comptabilité des jetons et des parts, avec Cetus sur Sui dans la même famille : environ 223 millions de dollars perdus à cause d’un bug de dépassement d’entier le 22 mai 2025, dont 162 millions ont été gelés sur le réseau.
Oracles et flash loans en un paragraphe
Beaucoup de protocoles dépendent d’un prix venu de l’extérieur du contrat. La façon dont les oracles sont construits et attaqués a sa propre leçon ; en bref, un contrat qui lit un marché étroit peut recevoir un faux prix. Un flash loan permet à n’importe qui d’emprunter des sommes énormes le temps d’une transaction, ce qui rend ces attaques bon marché. La catégorie oracles de DefiLlama montre beaucoup d’incidents pour de petites sommes : 18 pour 33 millions de dollars en 2025 et 42 pour 75 millions depuis janvier 2026. Tectonic se situe près de la frontière. DefiLlama le classe comme une attaque par donation, tandis que le récit de The Block commence par l’attaquant qui fait monter le jeton TONIC, peu échangé, qui servait de garantie.
Ce que vous pouvez vérifier
Comparez le commit et le périmètre de l’audit avec le code réellement déployé, regardez depuis combien de temps ce code détient de l’argent réel sans incident, voyez s’il peut être mis à jour et par qui, et cherchez un programme de prime aux bugs actif. La lecture d’un rapport d’audit fait l’objet d’une leçon complète plus loin dans ce parcours.
Risque économique : quand la garantie ne vaut pas ce qu’on croit
Ici, rien n’est piraté. Les contrats fonctionnent comme prévu, et les chiffres sur lesquels ils s’appuient se révèlent faux.
Décrochage et dette irrécouvrable : Aave après Kelp
L’épisode rsETH est le cas récent le plus net. Le rapport d’incident du 20 avril 2026, rédigé par les prestataires d’Aave, décrit deux scénarios. Si les pertes étaient partagées à parts égales entre tous les rsETH, le jeton vaudrait environ 15 % de moins et Aave porterait environ 123,7 millions de dollars de dette irrécouvrable (bad debt). Si elles ne tombaient que sur les rsETH détenus sur des réseaux de couche 2, le chiffre monterait à environ 230,1 millions, sans effet sur Ethereum Core mais avec un manque de 71 % en WETH sur Mantle. La perte du déposant dépendait donc d’une décision prise par une autre équipe au sujet d’un autre jeton.
Le plan de financement montre jusqu’où le problème s’est étendu. Une proposition publiée sur le forum d’Aave le 24 avril chiffrait le manque derrière le rsETH à environ 120 015 ETH après le gel décidé par Kelp, et un écart résiduel d’environ 75 081 ETH une fois les récupérations attendues déduites. Pour le combler, le plan citait des dons (14 570 ETH à ce moment), une ligne de crédit pouvant aller jusqu’à 30 000 ETH de la part de Mantle et une demande de 25 000 ETH à la trésorerie d’Aave. Le même texte prévenait que ses chiffres du scénario central « are not guaranteed » (ne sont pas garantis) et que la voie pour rembourser les utilisateurs était « not risk-free » (non dénuée de risque). Le 12 mai, rapportait The Block, l’opération « DeFi United » avait réuni plus de 300 millions de dollars en ETH et Kelp comptait rouvrir les retraits. Les pairs sont venus au secours ici. Rien ne les y obligeait.
Stream Finance et xUSD, novembre 2025
Tard le 3 novembre 2025, Stream Finance a annoncé qu’un gérant de fonds externe avait déclaré une perte d’environ 93 millions de dollars, et elle a suspendu dépôts et retraits. xUSD, son jeton de rendement, est tombé à environ 26 cents en un jour, soit une baisse de 77 % selon Decrypt. Le groupe de recherche Yields and More a repéré près de 285 millions de dollars d’exposition directe en dette chez des prêteurs. Une évaluation publiée sur le forum d’Arbitrum le 7 novembre décrit une ruée sur les rachats, environ 15 millions de dollars de dette irrécouvrable en xUSD sur Silo et des marchés de prêt où les montants empruntés dépassaient la valeur de la garantie en xUSD. Stream a engagé le cabinet Perkins Coie ; les rapports disponibles n’établissent pas comment la perte est survenue.
Un jeton nommé comme un dollar et coté comme un dollar avait derrière lui un fonds hors chaîne. La leçon pour un déposant : demander ce qui garantit le jeton, à quelle vitesse il peut être racheté, et quelle part d’un marché repose sur un seul émetteur.
Spirales de liquidation et financement
Une garantie qui baisse déclenche des ventes forcées, qui font baisser les prix et déclenchent de nouvelles ventes. Le fonctionnement des liquidations et la formation des cascades sont traités en détail, y compris le Jeudi noir et octobre 2025. Le financement en est le cousin discret : les stratégies qui gagnent les taux de financement des contrats perpétuels perdent ce revenu, ou se mettent à payer, quand le taux devient négatif.
Vous pouvez vérifier ce qui garantit un jeton, le degré de concentration de sa garantie, les plafonds qu’un marché applique et les réserves placées devant les déposants.
Risque de gouvernance : qui détient les votes ou les clés détient la trésorerie
Un protocole que l’on peut modifier peut être modifié de travers. Les jetons de gouvernance et leur capture expliquent la mécanique politique. Les trois cas ci-dessous ont coûté de l’argent réel.
Un pouvoir de vote acheté pour un instant : Beanstalk, 2022
Le 17 avril 2022, un attaquant a emprunté environ un milliard de dollars en stablecoins par des flash loans, obtenu un pouvoir de vote et fait adopter une proposition malveillante par une fonction d’urgence, avec plus de 78 % des voix, au-dessus du seuil des deux tiers. CertiK situe la perte à environ 182 millions de dollars, et le gain de l’attaquant à environ 76 millions dans son résumé. Le pouvoir de vote pouvait être emprunté et utilisé dans une seule transaction : l’attaquant n’a jamais eu besoin de détenir une part.
Un quorum bas et aucun délai : BonkDAO, juillet 2026
Le cas récent n’a nécessité aucun flash loan. D’après Halborn, une proposition déposée le 30 juin 2026 et présentée comme une récompense pour les votants contenait une clause envoyant 4,43 billions de BONK de la trésorerie à l’attaquant (4,43 mille milliards d’unités). Le quorum était d’environ 1 % de l’offre. L’attaquant a dépensé environ 4,4 millions de dollars en jetons pour l’atteindre, a contrôlé environ 99,9 % des votes exprimés, six autres portefeuilles seulement ayant participé, et le transfert s’est exécuté dès la clôture du vote faute de timelock. DefiLlama date l’événement du 6 juillet et l’évalue à 20 millions de dollars.
Clés et pouvoirs d’administration : Drift, avril 2026
L’une des trois plus grosses pertes DeFi de 2026 n’a impliqué aucun bug de contrat. Le 1er avril 2026, la plateforme de contrats perpétuels Drift, sur Solana, a perdu au moins 270 millions de dollars selon un premier décompte de CoinDesk, et 295 millions selon DefiLlama. Le Conseil de sécurité de Drift, un multisig, exigeait deux approbations sur cinq. Les durable nonces de Solana laissent une transaction signée rester valable jusqu’à ce que quelqu’un la soumette, et l’attaquant avait réuni deux approbations pré-signées, que Drift a qualifiées d’approbations de transactions non autorisées ou présentées de façon trompeuse. Environ une minute après un retrait de test légitime, l’attaquant les a soumises.
Un rapport d’incident de Nexus Mutual ajoute qu’une migration du conseil le 27 mars avait laissé une configuration sans aucun timelock, ce qui supprimait le délai pendant lequel quelqu’un aurait pu réagir. Drift a indiqué le 3 juin que Mandiant a attribué l’attaque avec certitude à UNC6862, un groupe de menace nord-coréen. Aucun audit du code n’aurait rien montré de tout cela.
Avant de déposer, cherchez qui peut mettre à jour les contrats, quel est le seuil du multisig, combien de temps les actions d’administration attendent, si une procédure d’urgence contourne ce délai, à quel point le quorum est bas et à quel point le jeton est concentré.
Risque de pont : un message qui ment
Les ponts et la liquidité inter-chaînes ont leur propre leçon. Pour cette carte, une idée suffit : un jeton sur une seconde chaîne est une créance, et sa valeur dépend de celui qui vérifie que l’actif correspondant est bien verrouillé sur la première. Si cette vérification ment, des jetons sans contrepartie apparaissent, et ils ressemblent en tout point aux vrais.
Kelp est le cas d’école. LayerZero a déclaré le 19 avril 2026 que la configuration de Kelp reposait sur un seul DVN, LayerZero Labs étant le seul vérificateur (« 1-of-1 DVN setup »), que des attaquants avaient compromis deux nœuds RPC dont son vérificateur dépendait, puis qu’une attaque par déni de service l’avait forcé à s’y rabattre. Elle a désigné le groupe Lazarus comme auteur probable, une attribution qui reste à démontrer devant un tribunal, et dit avoir recommandé plusieurs vérificateurs. Kelp a répondu le 20 avril que cette configuration correspondait au réglage par défaut documenté par LayerZero, que LayerZero avait jugé approprié. LayerZero a déclaré à CoinDesk que Kelp avait « deployed multiDVN and then manually downgraded to a 1/1 », c’est-à-dire déployé plusieurs vérificateurs avant de repasser manuellement à un seul. Le 8 mai, LayerZero a reconnu une erreur : avoir laissé son DVN agir comme DVN unique pour des transactions de grande valeur, tout en maintenant que les développeurs répondent de leurs propres paramètres de sécurité. Qui porte la faute reste contesté. Un déposant sur un marché WETH d’Aave portait ce paramètre sans l’avoir jamais choisi.
Le risque de pont couvre aussi le logiciel qui se trouve sous une fédération. Le 6 septembre 2026 à 13 h 53 UTC, un attaquant a exploité un bug de la sidechain Liquid, que fait tourner une fédération. L’évaluation publiée par Blockstream décrit un cache de preuves vérifiées dont la clé était construite sans séparateurs entre les champs : une transaction forgée correspondait donc à une entrée antérieure et sautait la vraie vérification. Environ 4 000 L-BTC ont été créés sans aucun bitcoin derrière, et la fédération a libéré 3 996 BTC d’une réserve d’environ 4 205. L’attaquant en a rendu 3 400 le lendemain. Blockstream écrit dans cette évaluation qu’environ 602 BTC restent en suspens. DefiLlama valorise l’événement à 320 millions de dollars.
Les classiques du tableau de DefiLlama relèvent de la même famille : Ronin (23 mars 2022, 624 millions de dollars, clés de validateurs), Binance Bridge (6 octobre 2022, 570 millions, bug d’un vérificateur de preuves), Wormhole (2 février 2022, 326 millions, faille dans la vérification des signatures ; Jump Crypto a remplacé les 120 000 ETH) et Nomad (1er août 2022, 190 millions, preuves forgées). Leurs histoires relèvent d’une leçon ultérieure sur les piratages.
Vous pouvez vérifier combien de vérificateurs indépendants un pont utilise, qui les exploite, si la réserve de l’actif enveloppé (wrapped) est publique, et quelle part de votre position dépend de ce seul jeton.
Risque de contrepartie : qui est vraiment de l’autre côté
La DeFi se vend comme la suppression de l’intermédiaire. Souvent, elle ne fait que le déplacer hors de vue : vers le coffre (vault) qui prend l’autre côté d’une transaction, le fonds qui exécute une stratégie ou l’entité juridique qui détient un actif du monde réel.
Coffres de liquidité sur contrats perpétuels : Hyperliquid et JELLY
Le 26 mars 2025, une grosse position vendeuse sur le jeton JELLYJELLY a été liquidée sur le coffre HLP d’Hyperliquid alors que le prix montait, exposant les déposants à une perte potentielle d’environ 12 millions de dollars. Les validateurs ont voté pour retirer le contrat de la cote et l’ont réglé à 0,0095 dollar, le prix auquel la position vendeuse avait été ouverte. Le HLP a fini environ 700 000 dollars dans le vert, et la Hyper Foundation a annoncé qu’elle rembourserait la plupart des utilisateurs, à l’exclusion des adresses signalées. HYPE a perdu jusqu’à 22 % ce jour-là. Les déposants ont échappé à la perte parce que les validateurs ont pris le pas sur le marché, et cette décision a fait polémique. Si vous détenez une part d’un coffre, vous êtes la contrepartie de sa pire opération, et les règles peuvent changer pendant que vous y êtes.
Actifs du monde réel et gérants hors chaîne
Un fonds de bons du Trésor tokenisé ne détient pas ses actifs sur la chaîne. Votre jeton est une créance sur un émetteur ou sur un véhicule ad hoc (SPV), et, à travers lui, sur un conservateur et sur un ensemble de conditions de rachat. Des émetteurs comme Securitize et Ondo Finance se trouvent à ce point de la chaîne, et leurs conditions fixent qui peut racheter, et quand. Un contrat intelligent ne peut rien imposer de tout cela si l’entité juridique fait défaut ou refuse. Stream, plus haut, est la version « gérant hors chaîne » du même risque.
Vérifiez qui détient les actifs, sous quelle juridiction, quels sont les conditions de rachat et les délais de préavis, et qui exécute la stratégie derrière un rendement.
Risque utilisateur : vous pouvez signer ce qu’aucun pirate ne pourrait atteindre
L’auto-conservation déplace la dernière ligne de défense sur votre propre écran.
L’hameçonnage de signature vient en premier. Un site de drainer vous demande d’approuver une transaction qui remet vos jetons. Scam Sniffer a compté 83,85 millions de dollars perdus en 2025, en baisse de 83 % par rapport aux 494 millions de 2024, pour 106 106 victimes, soit environ 790 dollars chacune (calcul simple). Elle suit les drainers de sites d’hameçonnage sur les chaînes EVM et laisse de côté les autres méthodes. Des attaquants ont aussi commencé à exploiter les fonctions de compte d’EIP-7702 peu après la mise à jour Pectra d’Ethereum.
Les approbations illimitées viennent en deuxième. Beaucoup d’applications demandent à pouvoir dépenser n’importe quel montant d’un jeton, pour toujours, parce que cela évite une transaction plus tard. L’approbation survit à votre visite. Si ce contrat est exploité par la suite, ou si l’approbation a été donnée à un contrat malveillant, les jetons peuvent quitter votre portefeuille sans nouvelle signature. Limiter et révoquer ses approbations relève de la leçon sur la routine de sécurité, plus loin dans ce parcours.
L’empoisonnement d’adresse vient en troisième. Le 3 mai 2024, un détenteur a envoyé 1 155 WBTC, environ 68 millions de dollars, à une adresse trompeuse. L’attaquant avait copié les six premiers et les six derniers caractères de la vraie adresse et glissé une fausse transaction dans l’historique de la victime, en comptant sur le fait que personne ne lit le milieu d’une chaîne de 42 caractères. Le 10 mai, l’attaquant a renvoyé environ 22 960 ETH, soit 65,7 millions de dollars et plus de 96 % de la valeur initiale en dollars, selon Cointelegraph. C’est le résultat d’une négociation, et personne ne devrait compter dessus.
La taille ne protège personne. DefiLlama classe le vol subi par la plateforme Bybit le 21 février 2025 comme de l’hameçonnage de signataires : des signataires professionnels ont approuvé une transaction qui n’était pas celle qu’ils croyaient approuver. Chainalysis chiffre les compromissions de portefeuilles personnels à 713 millions de dollars en 2025, soit 20 % de la valeur volée, contre environ 1,5 milliard et 44 % en 2024. Moins de dollars, mais 158 000 vols recensés et au moins 80 000 victimes.
Les vérifications sont ennuyeuses et elles marchent : lire ce que le portefeuille dit que vous signez, comparer les adresses en entier, ne jamais en copier une depuis votre historique, envoyer d’abord un petit montant test et passer en revue vos approbations.
Risque réglementaire : la loi bouge, et la protection ne vous a jamais suivi ici
Les filets de sécurité de la finance ordinaire ne s’appliquent pas. La FDIC, l’assureur américain des dépôts bancaires, précise que l’assurance des dépôts ne s’applique pas aux cryptoactifs. Interrogé sur le point de savoir si la SIPC protège les cryptoactifs qui ne sont pas des titres, détenus chez un courtier membre, le personnel de la SEC répond par la négative. La couverture de la SIPC vise les titres confiés à un courtier membre, ce qu’une position dans un contrat DeFi n’est pas. Au Royaume-Uni, l’autorité financière (FCA) déclare que les cryptoactifs ne sont pas protégés par le FSCS, le fonds britannique de compensation. Ces trois textes sont étrangers, mais ils décrivent le même principe pour un déposant de protocole : aucune garantie publique n’est là derrière lui.
Les règles changent aussi, et l’Union européenne en est l’exemple en cours. Le considérant 22 de MiCA dit que les services fournis de manière entièrement décentralisée, sans aucun intermédiaire (« fully decentralised manner without any intermediary » dans le texte anglais), devraient rester hors de son champ, et l’ABE et l’ESMA ont relevé en janvier 2025 que le règlement ne précise pas comment lire ce « fully decentralised ». Dans sa réponse à la Commission du 30 septembre 2026, l’ESMA met en garde contre le « decentralisation washing », estime que l’exemption doit être aussi étroite que possible et propose un service réglementé de « gatekeeper » pour les entreprises qui donnent à leurs clients accès à la DeFi. Il s’agit d’une proposition, pas d’une loi. Si elle était adoptée, elle jouerait sur les entreprises autorisées à vous donner accès à la DeFi et sur ce qu’elles devraient vous communiquer.
En France, l’AMF s’était déjà penchée sur la question dans un document de discussion sur la finance décentralisée publié le 19 juin 2023, qui range parmi les risques la liquidité, la valorisation, la manipulation des prix, le glissement de valeur et l’effet de levier. Côté impôt, la flat tax de 31,4 % s’applique aux plus-values de 2026 sur cessions d’actifs numériques, d’après les questions-réponses de impots.gouv.fr du 17 juillet 2026, mais le traitement fiscal des opérations propres à la DeFi n’est pas tranché de façon claire : le guide de la fiscalité crypto en France fait le point sur ce qui est établi.
Les sanctions peuvent jouer dans les deux sens. Le Trésor américain a sanctionné Tornado Cash en août 2022 et, le 21 mars 2025, il a annoncé lever ces sanctions économiques en invoquant son pouvoir discrétionnaire. Les tribunaux peuvent aussi atteindre des fonds : The Block rapportait en mai 2026 que l’ether gelé après le vol de Kelp pouvait aller à Aave mais ne pouvait être ni vendu ni déplacé sans l’accord du tribunal, en raison d’une ordonnance de blocage demandée par des plaignants titulaires de jugements pour terrorisme contre la Corée du Nord. Une leçon ultérieure de ce parcours couvre en détail MiCA, la SEC, la CFTC et les affaires judiciaires américaines.
Vérifiez où l’interface web opère, si une entité autorisée se tient derrière ce que vous utilisez, et comment l’administration fiscale traite l’opération. Un statut flou est un risque en soi.
Les risques DeFi en un tableau
| Risque | Ce qui casse | Exemple daté | Ce que vous pouvez vérifier |
|---|---|---|---|
| Contrat | Une règle du code est fausse ou incomplète | Balancer V2, 3 novembre 2025 : plus de 120 millions de dollars | Périmètre de l’audit face au code déployé, ancienneté du code, prime aux bugs |
| Économique | Une garantie ou un stablecoin vaut moins que prévu | Aave après Kelp, avril 2026 : 123,7 à 230,1 millions de dollars modélisés ; xUSD, novembre 2025 | Ce qui garantit le jeton, concentration, plafonds, réserves |
| Gouvernance et clés | Un vote ou un petit groupe de signataires déplace les fonds | Drift, 1er avril 2026 : 270 à 295 millions de dollars ; BonkDAO, juillet 2026 : 20 millions | Droits de mise à jour, seuil du multisig, timelock, quorum, procédures d’urgence |
| Pont | Le message qui crée ou libère des fonds est faux | Kelp, 18 avril 2026 : environ 293 millions de dollars ; Liquid, 6 septembre 2026 : 320 millions | Nombre et indépendance des vérificateurs, réserves publiques |
| Contrepartie | La partie derrière le produit fait défaut ou change les règles | Hyperliquid HLP, 26 mars 2025 : 12 millions de dollars exposés ; Stream, novembre 2025 : 93 millions | Qui détient les actifs, conservation, conditions de rachat |
| Utilisateur | Vous approuvez ou envoyez la mauvaise chose | Empoisonnement d’adresse, 3 mai 2024 : 68 millions de dollars ; hameçonnage de signature en 2025 : 83,85 millions | Ce que vous signez, adresses complètes, approbations |
| Réglementaire | Les règles changent, ou la protection n’a jamais existé | Proposition de l’ESMA, 30 septembre 2026 ; sanctions contre Tornado Cash, 2022 à 2025 | Où l’interface web opère, entités autorisées, traitement fiscal |
Comment les risques s’empilent : une position fictive, donnée en exemple
Prenons une position fictive, à titre d’illustration seulement et non comme suggestion. Quelqu’un dépose 10 000 dollars d’un stablecoin à rendement dans un coffre de prêt sur un réseau de couche 2. Le coffre prête contre un jeton d’ether en restaking transféré depuis Ethereum par un pont, et un curateur choisit ses marchés.
- Le coffre, le marché de prêt et le stablecoin ont chacun leur propre code, soit trois jeux de risque de contrat.
- La parité du stablecoin et la garantie du jeton en restaking sont des risques économiques, tout comme l’éventuel oracle qui les valorise.
- Le curateur, ainsi que les administrateurs et les détenteurs de jetons de chaque protocole, peuvent modifier des paramètres, ce qui fait du risque de gouvernance plusieurs fois.
- Le jeton transféré par pont dépend d’un ensemble de vérificateurs que le déposant n’a probablement jamais cherché à connaître.
- Celui qui exécute la stratégie du stablecoin et détient ses réserves est une contrepartie.
- Le déposant a signé des approbations sur une interface web, ce qui relève du risque utilisateur.
- L’interface web, l’émetteur et le curateur relèvent chacun d’un système juridique susceptible de changer.
Tout cela doit tenir en même temps, et une seule défaillance peut atteindre les 10 000 dollars. Le cas rsETH s’est joué ainsi en avril 2026, quand des déposants de marchés WETH se sont retrouvés exposés à un réglage de pont sur le jeton d’une autre équipe.
La même liste peut se dresser pour n’importe quelle position réelle, à côté des niveaux de risque de la leçon sur le portefeuille. La leçon suivante approfondit un risque situé entre le code et les marchés : la MEV, et la façon de protéger une transaction contre elle.
