La plupart des guides pour vérifier un protocole DeFi auraient laissé passer Aave le matin du 18 avril 2026. Le protocole portait 26,4 milliards de dollars de dépôts selon le décompte de DefiLlama, offrait une prime de bug bounty allant jusqu’à 5 millions de dollars, et ses propositions de gouvernance passaient par un timelock. À 17 h 35 UTC ce jour-là, un message inter-chaînes falsifié a débloqué 116 500 rsETH, un jeton d’ether restaké émis par Kelp, depuis un contrat de pont qu’Aave n’exploitait pas. L’attaquant a déposé 89 567 de ces jetons sur Aave comme collatéral et emprunté de vrais ethers contre eux.
Au 21 avril, les dépôts affichés par DefiLlama étaient tombés à 16,59 milliards de dollars. Plus d’un tiers était parti en trois jours, et la cause se trouvait hors des contrats d’Aave.
Quelle case manquait donc ? Celle que la plupart des listes de contrôle sautent : ce dont le protocole dépend. Cette leçon propose une grille de 15 points, chacun avec ce qu’blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il faut vérifier, l’endroit où le trouver et le signal d’alerte. Elle l’applique ensuite à Aave comme exemple détaillé. Cet exemple montre une méthode. Ce n’est pas un verdict sur Aave, ni une incitation à l’utiliser ou à l’éviter.
La leçon précédente, notre routine de sécurité pour la DeFi, portait sur votre portefeuille. Celle-ci porte sur le contrat qui se trouve de l’autre côté de votre signature.
Personne ne certifie un protocole comme fiable : la vérification vous revient
Une banque a un superviseur et une garantie des dépôts. Un protocole DeFi n’a ni l’un ni l’autre. Les trois autorités européennes de supervision le disent sans détour dans leur avertissement conjoint de 2025 sur les crypto-actifs (en anglais) : même pour des services régulés au titre de MiCA, vous ne bénéficiez d’aucun mécanisme d’indemnisation. Aux États-Unis, la FDIC range les crypto-actifs parmi les produits qu’elle n’assure pas, même lorsqu’ils sont achetés auprès d’une banque assurée (page en anglais), et la SIPC indique qu’elle ne protège aucun crypto-actif qui ne se qualifie pas comme valeur mobilière au sens de sa loi (page en anglais). Un smart contract n’est de toute façon pas un courtier membre de la SIPC. Un document transmis en avril 2026 au groupe de travail crypto de la SEC par Craig Lewis, professeur émérite de finance à Vanderbilt, avec le soutien financier d’Andreessen Horowitz et donc sans valeur de position de la SEC, affirme qu’il n’existe « généralement ni recours ni filet d’assurance » pour les utilisateurs après une défaillance technique (en anglais).
« Fiable » ne peut donc pas être une étiquette. Un protocole est un ensemble de promesses : le code fait ce qu’il annonce, personne ne peut le modifier dans votre dos, les prix sont justes, l’argent a une vraie source, ce sur quoi il s’appuie tiendra. Chaque promesse se vérifie à un endroit différent, et la cartographie des risques de la DeFi vue plus tôt dans ce parcours montre ce qui casse quand l’une d’elles est rompue. La grille transforme cette carte en routine. Elle réduit vos inconnues. Elle ne les ramène jamais à zéro.
Un rappel sur les arnaques de sortie. Un rug pull, où des initiés vident un projet qu’ils contrôlent, est l’échec que redoutent le plus les débutants, et la grille repère la plupart de ces montages : code non vérifié, clé d’administration unique, aucun délai, rendement payé dans un jeton que l’équipe imprime. Mais plusieurs des plus grosses pertes de la DeFi en 2026 avaient un autre visage. Drift a perdu le contrôle de ses pouvoirs d’administration, le pont de Kelp s’appuyait sur un seul vérificateur, et Resolv a perdu une clé de signature. Les rapports cités ici décrivent des attaques venues de l’extérieur, pas des arnaques de sortie, et les utilisateurs y ont perdu de l’argent tout autant.
Comment vérifier un protocole DeFi avec cinq onglets et environ 20 minutes
Comptez 20 minutes une fois les outils connus, et davantage la première fois. Ouvrez ces cinq onglets et gardez à côté un tableau de 15 lignes :
- La page de DefiLlama consacrée au protocole : staking or liquidity, measured at current market prices. It is the main size metric in DeFi.">TVL par chaîne et par jeton, frais, revenus, lien vers le site officiel.
- Un explorateur de blocs comme Etherscan, sur le contrat principal : code source vérifié, onglet proxy, propriétaire.
- La documentation du projet et son GitHub : adresses, PDF d’audit, licence.
- Le forum de gouvernance et la file d’attente du timelock : ce qui change, qui le propose.
- Un registre d’incidents : la page des piratages de DefiLlama et le classement de Rekt.
Tout le travail se fait en lecture seule. Vous ne connectez jamais de portefeuille pour contrôler un protocole et vous ne signez rien, et tout site qui vous demande de « vérifier » en signant a échoué au test. Prenez les adresses de contrats dans la documentation ou le dépôt du projet, jamais dans un message sur les réseaux sociaux. Aave, par exemple, tient un carnet d’adresses public sur GitHub, et son entrée pour le Pool sur Ethereum correspond à ce que renvoie le registre de contrats on-chain : 0x87870Bca3F3fD6335C3F4ce8392D69350B4fA4E2, lu le 1er novembre 2026.
Deux règles avant de commencer. Si vous ne trouvez pas une réponse, notez-la en rouge, car une réponse manquante est une information. Et notez la date, car chaque ligne est un instantané qu’un seul vote de gouvernance peut changer.
Les 15 points : quoi vérifier, où, et le signal d’alerte
1. L’équipe : qui répond quand ça casse
Regardez qui construit le protocole, qui le paie et comment le joindre en cas de problème de sécurité. Cherchez des fondateurs identifiés avec un parcours en dehors de ce projet, une entité juridique, un contact sécurité, et les paiements aux prestataires visibles sur le forum de gouvernance. Beaucoup de protocoles sérieux fonctionnent autour d’une DAO qui engage des sociétés : la licence d’Aave V3.7 désigne l’Aave DAO comme concédante, celle d’Aave V4 désigne Aave Labs.
L’anonymat ne prouve rien à lui seul, un nom public non plus. Les contributeurs de Drift ont été approchés en personne : selon Rekt (en anglais), l’opération semble avoir commencé lors d’une conférence à l’automne 2025, des attaquants se faisant passer pour une société de trading et revoyant les contributeurs pendant plusieurs mois.
Méfiez-vous quand personne n’est identifiable et qu’aucun contact sécurité n’existe sur un protocole qui détient de grosses sommes, ou quand les détenteurs de clés changent juste avant un changement de contrôle.
2. Le code : publié, vérifié et identique à celui qui tourne
Trois questions distinctes se cachent ici. Le code source est-il public ? Le contrat déployé est-il vérifié sur l’explorateur, c’est-à-dire que le source publié compile vers le bytecode présent on-chain ? Ce source est-il la version auditée ? Ouvrez l’onglet du contrat, cherchez la mention « vérifié », comparez la version du compilateur et le commit dans le dépôt, et faites de même pour l’implémentation derrière tout proxy.
« Open source » n’est pas synonyme de « vérifiable ». Aave V3.7 est publié sous une Business Source License (en anglais), qui interdit les usages aidant à déplacer des utilisateurs ou des fonds hors de l’écosystème Aave. Vous pouvez lire et vérifier chaque ligne, et pourtant ce n’est pas de l’open source au sens habituel. Pour la sécurité, c’est la vérifiabilité qui compte.
Le signal d’alerte est un contrat ou une implémentation non vérifiés, un code gardé privé, ou un fork dont les modifications ne sont pas documentées.
3. Les audits : qui, quand, quel périmètre, qu’a-t-on corrigé
Inutile de lire chaque page, puisque comment lire un rapport d’audit traite ce sujet. Ici, vous voulez quatre faits par audit : le cabinet, la date, les contrats et le commit couverts, et la correction ou non des constats critiques et élevés. « Reconnu » veut dire non corrigé. Comparez ensuite la date du dernier audit avec celle de la dernière mise à jour. Une bonne pratique ressemble au dépôt d’Aave V4, qui contient des PDF datés de Blackthorn, Trail of Bits et ChainSecurity, plus des rapports de vérification formelle de Certora de mars et avril 2026.
Les audits sont nécessaires et insuffisants. Balancer V2 a perdu environ 128,6 millions de dollars le 3 novembre 2025, selon Check Point (en anglais), à cause d’un arrondi dans les Composable Stable Pools. Certora, qui avait relu ses Stable Pools en 2022, a écrit ensuite que ses propriétés vérifiées « ne contraignaient pas la relation entre swaps individuels ni le comportement des arrondis » (en anglais). Rekt a compté dix-huit audits chez Resolv (en anglais), et la perte est venue d’identifiants de signature volés hors chaîne, que l’audit des contrats ne pouvait pas atteindre.
Signal d’alerte : un badge « audité » sans PDF, un seul audit par un cabinet inconnu, un audit d’une autre version, ou des constats critiques restés ouverts.
4. Bug bounty et surveillance : quelqu’un est-il payé pour trouver la faille avant les autres
Une prime donne à un chercheur compétent une raison légale de signaler une faille au lieu de l’exploiter. Trouvez le programme sur Immunefi, Sherlock ou une plateforme équivalente, puis lisez le périmètre en vigueur et le paiement maximal. La page sécurité d’Aave (en anglais) indiquait, au 1er novembre 2026, jusqu’à 5 millions de dollars sur Immunefi depuis octobre 2023 et jusqu’à 3,5 millions sur Sherlock pour V4 depuis mai 2026. Comparez le paiement maximal avec ce qu’un voleur pourrait emporter : la prime de Resolv était de 500 000 dollars. Demandez aussi si quelqu’un surveille les contrats en temps réel et répète les situations d’urgence.
L’absence de prime sur un grand protocole est un signal d’alerte, tout comme un paiement maximal trop faible pour rivaliser avec ce que la faille rapporterait à son découvreur s’il l’exploitait.
5. La TVL : combien, et quelle concentration
Ce que mesure la TVL, ce sont les dépôts, pas la sécurité, et comment mesurer la TVL en DeFi en explique les pièges. Servez-vous-en pour la taille et la concentration. Sur DefiLlama, découpez-la par chaîne et par jeton, puis regardez-la en jetons autant qu’en dollars, car une hausse de prix gonfle le chiffre en dollars. Vérifiez aussi le taux d’utilisation des pools de prêt : à 100 %, les déposants ne peuvent pas retirer tant que quelqu’un ne rembourse pas. Le WETH sur Aave a atteint ce niveau en quelques heures après l’exploit de Kelp, selon Galaxy Research (en anglais).
Chez Aave, la TVL globale montre l’amplitude que peut atteindre ce chiffre. Les valeurs ci-dessous viennent de la série de DefiLlama telle qu’affichée le 1er novembre 2026, qu’elle peut réviser.
| Date | TVL d’Aave, toutes versions (milliards de dollars) | Remarque |
|---|---|---|
| 7 octobre 2025 | 45,81 | Sommet de la série |
| 18 avril 2026 | 26,40 | Jour de l’exploit de Kelp |
| 19 avril 2026 | 21,97 | |
| 20 avril 2026 | 17,95 | Deux jours après, environ 8,45 milliards partis |
| 21 avril 2026 | 16,59 | |
| 1er juillet 2026 | 12,17 | |
| 1er octobre 2026 | 19,17 | |
| 1er novembre 2026 | 16,34 | Date de ce contrôle |
Signaux d’alerte : un seul actif ou un seul déposant qui représente l’essentiel de la TVL, une TVL qui a doublé en quelques jours, ou un pool proche de l’utilisation maximale.
6. D’où vient la TVL : des dépôts qui restent, de l’argent de passage
Des dépôts qui restent parce que le produit est utile se comportent autrement que des dépôts loués avec des récompenses. Le rendement réel et le rendement subventionné sont traités ailleurs dans le parcours : il suffit donc de lire la répartition. Sur la page des rendements de DefiLlama, chaque pool affiche un APY de base, payé par les emprunteurs ou les traders, et un APY de récompense, payé en jetons. Au 1er novembre 2026, le pool USDC d’Aave V3 sur Ethereum affichait 3,91 % de base et aucune récompense. Le RLUSD sur le marché Horizon affichait 1,63 % de base et 3,95 % de récompense : l’essentiel de ce rendement était donc une incitation. Demandez-vous ensuite ce qui soutient le rendement de base.
Stream Finance a répondu trop tard à cette question. Tard le 3 novembre 2025, la plateforme a annoncé qu’un gérant de fonds externe avait perdu environ 93 millions de dollars d’actifs d’utilisateurs, et a suspendu retraits et dépôts, a rapporté Decrypt (en anglais). Son jeton xUSD est passé de 1 dollar à environ 0,50 selon PeckShield, puis à 0,26 sur CoinGecko. Le rendement reposait sur quelqu’un qui opérait hors chaîne.
Soyez prudent, et comptez-le comme un signal d’alerte, quand un rendement ne se rattache à aucuns frais, quand un gérant hors chaîne ne publie rien, ou quand la TVL baisse chaque fois que les récompenses diminuent.
7. Les émissions : qui est payé en jetons fraîchement créés
Les émissions sont des jetons créés selon un calendrier et distribués aux utilisateurs, à l’équipe ou aux investisseurs. Lisez la page de tokenomics et les onglets déblocages et émissions de DefiLlama : quelle part de l’offre reste à venir, qui la reçoit, quand, et si les récompenses paient une TVL qui partirait sans elles. Les incitations sont normales au début de la vie d’un protocole. La chronologie de DefiLlama pour Aave marque des programmes de récompenses lancés sur Avalanche et Optimism en 2022. Ce qui compte, c’est de savoir si le protocole tient debout sans elles.
Un signal d’alerte ici : un APY au-dessus d’environ 20 % payé surtout dans le jeton du protocole, de gros déblocages pour l’équipe ou les investisseurs dans les mois qui viennent, ou aucune utilité annoncée pour le jeton. Les 20 % sont une heuristique, pas une règle.
8. Frais et revenus : le protocole gagne-t-il quelque chose
Les frais sont ce que paient les utilisateurs. Le revenu est la part du protocole, le reste allant aux déposants ou aux fournisseurs de liquidité. Comparez les deux avec ce que le protocole dépense en incitations. DefiLlama affichait pour Aave 636,2 millions de dollars de frais et 90,1 millions de revenus sur les 12 mois jusqu’au 1er novembre 2026, et 38,4 millions et 5,03 millions sur les 30 derniers jours. Des chiffres de cet ordre signifient de vrais emprunteurs qui paient de vrais intérêts. Ils ne disent rien de la solvabilité, et les frais peuvent diminuer avec la TVL.
Considérez comme un signal d’alerte l’absence totale de frais, un « revenu » qui n’est que de l’émission de jetons, ou des incitations très supérieures aux frais pendant longtemps.
9. Les clés d’administration : qui peut déplacer ou modifier
C’est la ligne qui récompense l’effort. Trouvez le propriétaire ou l’administrateur des contrats principaux : l’onglet de lecture de l’explorateur affiche owner() ou l’administrateur du rôle. Classez ensuite l’adresse. Un portefeuille ordinaire signifie une seule clé. Un multisig impose de vérifier le seuil et les signataires, et l’interface Safe montre les deux. Un exécuteur de gouvernance signifie que les changements passent par des votes.
Sur Aave, le propriétaire du PoolAddressesProvider d’Ethereum, lu le 1er novembre 2026, est 0x5300A1a15135EA4dc7aD5a167152C01EFc9b192A, un contrat que le carnet d’adresses présente comme l’exécuteur de niveau 1 de Governance V3. Aucun portefeuille unique ne détient ce rôle. Les pouvoirs d’urgence se trouvent ailleurs : la page d’Aave décrit un Governance Guardian 5 sur 9 capable d’annuler des propositions et un Protocol Guardian 4 sur 7 pour les urgences. Vous pouvez tester ces affirmations vous-même. Les contrats Safe lus on-chain le 1er novembre 2026 renvoient ces mêmes seuils : 5 propriétaires sur 9 pour le Governance Guardian, et 4 sur 7 pour le Safe qui détient le rôle d’administrateur d’urgence sur le marché Ethereum. Le Protocol Guardian a commencé à geler les marchés rsETH vers 19 h UTC le 18 avril, d’après le rapport d’incident d’Aave (en anglais), moins de 90 minutes après le siphonnage. Ces pouvoirs jouent dans les deux sens : ils limitent les dégâts, et ils sont de la centralisation.
Drift montre l’autre extrémité. BlockSec et Hypernative (en anglais) décrivent un conseil de sécurité 2 sur 5 sans timelock au moment de l’attaque, après une migration le 27 mars 2026. Le 1er avril, des transactions présignées utilisant les durable nonces de Solana ont remis le contrôle de l’administration, et environ 285 millions de dollars sont partis, selon BlockSec. DefiLlama en recense 295 millions et Elliptic 286 millions (en anglais). Drift a estimé avec une confiance moyenne à élevée, et avec une aide extérieure, que les acteurs du piratage de Radiant en 2024 étaient responsables ; Elliptic rattache l’attaque à la Corée du Nord. Ce sont des attributions, pas des constats judiciaires.
Comme point de repère, le cadre DeFiScan (version 1.2 de mars 2025, sur le GitHub du projet, en anglais), une grille de décentralisation qui reprend les étapes de L2BEAT pour noter la chaîne sous-jacente, demande pour un conseil de sécurité au moins 7 signataires, un seuil d’au moins 51 %, au moins 50 % de personnes extérieures et des signataires annoncés publiquement.
Arrêtez-vous et regardez de plus près en cas de portefeuille unique comme administrateur, de seuil bas, de signataires tous internes ou anonymes, ou des mêmes personnes capables de mettre à jour et de créer des jetons.
10. Timelock et gardiens : combien de temps avant qu’un changement s’applique
Un timelock impose un délai entre l’approbation et l’exécution. Il ne vous protège que si vous pouvez voir le changement en attente et partir à temps : le chiffre utile est donc le délai mesuré à votre propre sortie, c’est-à-dire la fréquence de vos vérifications, la vitesse à laquelle vous pouvez retirer, et ce qui se passe si le pool est à 100 % d’utilisation. Lisez le délai dans la documentation et confirmez-le sur le contrat du timelock. Examinez ensuite la file d’attente, sur le forum de gouvernance ou avec un outil comme Tally, et demandez si quelqu’un peut le contourner.
La page sécurité d’Aave donne 1 jour pour les propositions de niveau 1 et 7 jours pour les changements de gouvernance de niveau 2. Le critère plus strict de DeFiScan juge la fenêtre de sortie à risque élevé lorsque des mises à jour pourraient prendre les fonds des utilisateurs et que la fenêtre est inférieure à 7 jours. L’appliquer à un protocole demande de la prudence, car cela dépend de ce que chaque niveau peut toucher.
Ce qui doit vous inquiéter : aucun timelock, un délai plus court que votre temps de réaction, ou un timelock retiré peu avant un changement sensible.
11. La mise à jour du code : les règles peuvent-elles être réécrites
La plupart des grands protocoles reposent sur des proxys : vous déposez à une adresse fixe dont la logique peut être remplacée. Sur l’explorateur, l’onglet « Read as Proxy » montre l’implémentation actuelle. Demandez qui peut la remplacer, à quelle vitesse, et ce qu’un remplacement pourrait toucher. Un code immuable supprime ce risque et supprime aussi la possibilité de corriger un bug : aucune des deux réponses n’est gratuite.
Le Pool d’Aave sur Ethereum est un proxy : le 1er novembre 2026, son emplacement d’implémentation pointait vers 0x728a138a4823392c2efa55e028d434f526fe03cf, et son bytecode désigne le PoolAddressesProvider comme administrateur du proxy, ce qui ramène à l’exécuteur de gouvernance du point 9. DeFiScan note cette dimension à risque élevé lorsque des mises à jour pourraient provoquer un vol ou une perte des fonds des utilisateurs, question à laquelle tout pool modifiable doit répondre. La suivante est de savoir si le point 10 vous laisse le temps.
Une mise à jour décidée par une seule clé est le signal d’alerte classique, de même que l’absence totale de délai, une nouvelle implémentation non vérifiée avant sa mise en service, ou une fonction capable de créer des jetons ou de vider les fonds à volonté.
12. Les oracles : d’où vient le prix
Un marché de prêt liquide selon ce que dit son flux de prix. Le fonctionnement est expliqué dans notre leçon sur les oracles DeFi : ici, il suffit de l’identifier. Quel oracle sert pour chaque actif important ? Est-ce un flux décentralisé, un prix moyen pondéré dans le temps ou une source gérée par l’équipe ? Existe-t-il un contrôle de fraîcheur et une solution de repli ? Un nouvel actif peut-il être listé avec un flux sur mesure, et en combien de temps ?
Le contrat AaveOracle d’Aave (en anglais) précise « Use of Chainlink Aggregators as first source of price » (usage des agrégateurs Chainlink comme première source de prix), avec un oracle de repli que la gouvernance peut définir. Pourtant, la configuration des flux peut défaillir sans aucune attaque. En mars 2026, un décalage entre deux paramètres du plafond de prix CAPO d’Aave a laissé le proof of stake coin with a protocol that stakes it for you and issues a transferable token (such as Lido stETH or rETH) representing the deposit plus rewards, which you can use or sell while the coins stay staked.">wstETH environ 2,85 % sous son taux de marché, et 34 comptes ont été liquidés pour environ 10 938 wstETH, selon la proposition de remboursement du forum d’Aave (en anglais).
Signal d’alerte : le prix spot d’un pool DEX peu profond utilisé comme oracle, un flux que l’équipe contrôle, ou un nouveau collatéral listé avec un flux non contrôlé. Les attaquants de Drift ont créé un marché pour un jeton sans valeur appelé CVT, valorisé par un oracle qu’ils avaient construit et contrôlé pendant trois semaines, selon Rekt.
13. Les dépendances : le collatéral, le pont et le service que vous n’avez pas choisi
C’est la ligne par laquelle est passée la perte d’avril 2026. Listez les cinq plus gros actifs du protocole et, pour chacun, notez qui l’émet, ce qui le garantit, comment il arrive sur cette chaîne, qui vérifie ce pont et quel oracle le valorise. Pour un déploiement sur une couche 2, ajoutez le pont propre à la chaîne. Les services hors chaîne comptent aussi : signataires, clés dans le cloud, gérant de fonds, fournisseur de risque.
Le pont rsETH de Kelp fonctionnait sur LayerZero avec un seul vérificateur, LayerZero Labs lui-même, et les deux camps se disputent depuis sur ce choix. La première déclaration de LayerZero disait : « Malgré ces recommandations, KelpDAO a choisi d’utiliser une configuration DVN 1/1 » (en anglais). Kelp a répondu le 20 avril que cette configuration était la valeur par défaut documentée par LayerZero lui-même. Le directeur général de LayerZero a rejeté cette version des valeurs par défaut début mai. Puis, le 8 mai, l’entreprise a reconnu : « nous avons commis une erreur en laissant notre DVN agir comme un DVN 1/1 pour des transactions de grande valeur » (en anglais). Pour votre propre grille, l’enseignement est plus modeste que la querelle : le nombre de vérificateurs d’un pont est un réglage, demandez donc lequel. LayerZero attribue l’attaque au groupe Lazarus de Corée du Nord, ce qui est sa thèse et non un constat judiciaire.
Aave n’avait aucune prise sur tout cela, et pourtant il en a porté les conséquences. Son rapport du 20 avril estimait la dette irrécouvrable à 123,7 millions de dollars si les pertes étaient réparties sur tous les rsETH, et à 230,1 millions si elles retombaient sur les détenteurs de couche 2, en ajoutant que l’issue « dépend de décisions extérieures au contrôle d’Aave » (en anglais). Un effort de sauvetage baptisé DeFi United, soutenu notamment par Lido, EtherFi, Mantle et l’Aave DAO, a annoncé 320 millions de dollars de dons et de prêts au 29 avril (en anglais). Kelp a envoyé la dernière tranche de rsETH au contrat du pont fin mai, ce qui a rétabli la couverture, a rapporté ForkLog (en anglais), qui cite une dette irrécouvrable de 190 millions de dollars.
Sur cette ligne, surveillez un collatéral principal qui est un reçu enveloppé ou transféré par pont avec un seul vérificateur, un stablecoin garanti par des prêts à un seul gérant, ou un jeton qu’on ne peut pas vendre en quantité sans faire bouger son prix.
14. L’historique d’incidents : ce qui s’est passé et comment ils se sont comportés
Un dossier vierge peut signifier du bon travail comme une vie courte. Un incident bien géré peut en dire davantage. Cherchez dans le catalogue des piratages DeFi de ce parcours et dans la liste de DefiLlama, dont les entrées donnent date, montant, technique et fonds restitués. Lisez ensuite le post-mortem du projet lui-même. Était-il rapide et précis ? Les utilisateurs ont-ils été remboursés, et avec quel argent ? Qu’est-ce qui a changé ensuite ?
Le dossier d’Aave, au 1er novembre 2026, montre l’éventail. DefiLlama recense un exploit de 56 000 dollars en août 2024 ; le rapport d’Aave Labs (en anglais) décrit une faille dans des contrats périphériques reposant sur Paraswap, chiffre le butin à environ 95 000 dollars sur l’ensemble des réseaux et précise qu’aucun fonds d’utilisateur n’a été perdu. DefiLlama recense l’épisode CAPO à 862 000 dollars et marque ce montant comme restitué, tandis que la proposition du forum demandait environ 513 ETH de la trésorerie pour rembourser les utilisateurs. Une vente à découvert ratée sur le CRV a laissé environ 1,6 million de dollars de dette irrécouvrable en novembre 2022, d’après la proposition de Llama et Gauntlet pour la rembourser (en anglais). Pour Kelp, Cointelegraph a rapporté le 7 mai 2026 que les positions de l’attaquant avaient été liquidées sans recourir à Umbrella, le filet de sécurité d’Aave contre l’insolvabilité (en anglais). Kelp a dit en mai qu’il déplaçait le rsETH vers le CCIP de Chainlink.
Signaux d’alerte : un post-mortem qui n’est jamais venu, des utilisateurs laissés impayés dans le silence, ou la même catégorie de bug deux fois.
15. Exposition juridique et du front-end : le site, le domaine et la loi
Le contrat peut être sain alors que le site ne l’est pas. DefiLlama recense Matcha, le 25 janvier 2026, 13,43 millions de dollars, comme une compromission du front-end, et CoW Swap, le 14 avril 2026, 1,2 million, comme un détournement de DNS. Vérifiez si l’interface a des solutions de secours : DeFiScan note à risque élevé une interface unique sans secours et à risque faible plusieurs interfaces indépendantes. La page d’Aave mentionne DNSSEC, la Content Security Policy, la Subresource Integrity et des déploiements IPFS de chaque version de l’interface. Utilisez un favori, et prenez le lien sur DefiLlama.
Vient ensuite la couche juridique : qui publie le site, ce que disent les conditions, quels pays sont bloqués, et si un régulateur a cité le projet ou le domaine dans une mise en garde. En France, l’AMF a publié le 19 juin 2023 un document de réflexion sur la finance décentralisée (communiqué en anglais), qui expose une réflexion préliminaire et défend une approche progressive et proportionnée fondée sur le principe « même activité, même risque, même réglementation ». La responsabilité des développeurs et des DAO fera l’objet d’une leçon ultérieure sur la réglementation de la DeFi. Pour l’instant, notez simplement s’il existe une entité identifiée.
Derniers signaux d’alerte : aucune condition d’utilisation, aucune entité, un site unique sans moyen d’accéder aux contrats autrement, ou une mise en garde d’un régulateur sur le nom.
La grille appliquée à Aave : un exemple détaillé, daté du 1er novembre 2026
Voici à quoi ressemblaient les 15 lignes pour un protocole, un jour donné. Aave figure ici parce que ses données sont publiques et riches, et parce que l’épisode d’avril met la méthode à l’épreuve. La troisième colonne n’est pas une note : elle indique ce qu’un lecteur devrait encore faire. Lorsqu’un chiffre vient de la page sécurité d’Aave elle-même, il est déclaré par le protocole.
| Point | Constat, 1er novembre 2026 | À peser encore |
|---|---|---|
| 1 Équipe | DAO avec prestataires ; Aave DAO et Aave Labs désignés comme concédants | Qui est payé, et rotation |
| 2 Code | Public, sous Business Source License ; l’adresse du Pool correspond on-chain | Comparer le commit au code déployé |
| 3 Audits | Plus de 65 audits et revues (décompte d’Aave) ; rapports datés de V4 dans le dépôt | Les actifs tiers sont hors du code audité |
| 4 Prime | Jusqu’à 5 M$ sur Immunefi, jusqu’à 3,5 M$ sur Sherlock pour V4 | Paiement face aux sommes en jeu |
| 5 TVL | 16,34 Md$ au total ; V3 15,33 Md$, dont 12,74 Md$ sur Ethereum ; weETH, WBTC, wstETH et cbBTC pèsent 68 % de V3 | Concentration dans des jetons-reçus |
| 6 Source | USDC 3,91 % de base, sans récompense ; RLUSD sur Horizon 1,63 % de base, 3,95 % de récompense | Dépôts partis vite en avril |
| 7 Émissions | Programmes de récompenses dans son histoire ; quelques récompenses aujourd’hui | Quels pools en dépendent |
| 8 Frais | 636,2 M$ de frais, 90,1 M$ de revenus sur 12 mois | Tendance avec la TVL |
| 9 Administration | Contrat exécuteur de gouvernance ; gardiens 5 sur 9 et 4 sur 7, confirmés on-chain | Les gardiens peuvent agir vite |
| 10 Timelock | 1 jour niveau 1, 7 jours niveau 2 | 1 jour suffit-il pour votre sortie ? |
| 11 Mises à jour | Proxy ; la chaîne d’administration mène à la gouvernance | Lire les propositions qui touchent la logique |
| 12 Oracles | Chainlink d’abord, repli défini par la gouvernance ; couche de plafond CAPO | Erreur de paramètre de mars 2026 |
| 13 Dépendances | Les principaux actifs sont émis par d’autres protocoles ; rsETH encore 5 % de la TVL de V3 | Avril 2026 est passé par là |
| 14 Historique | Dette CRV 2022, exploit périphérique 2024, remboursement d’oracle et manque rsETH 2026 | Lire chaque post-mortem |
| 15 Front-end, juridique | DNSSEC, déploiements IPFS, SOC 2 Type II d’Aave Labs de mars 2026 (page d’Aave) | Exposition juridique non évaluée ici |
Trois choses ressortent. Les 12 premières lignes prennent l’essentiel des 20 minutes et donnent beaucoup de documentation. La ligne 5 laisse deviner la ligne 13 : sur les 15,33 milliards de dollars de V3, 3,55 milliards sont du weETH, 2,45 milliards du wstETH et 0,78 milliard du rsETH, chacun étant une créance sur un autre protocole. Et le rsETH est toujours là, ce qu’un lecteur ne supposerait pas forcément après avril. Savoir si ce mélange convient à quelqu’un est un jugement sur le risque, et ce tableau ne le porte pas.
Un avis extérieur sert de recoupement. La revue par DeFiScan du marché Core d’Aave V3 sur Ethereum (en anglais), datée du 7 mai 2025, l’a placé à l’étape 0, la première de ses trois étapes, avec des scores de risque élevés pour la mise à jour, l’autonomie et la fenêtre de sortie. C’est un jugement sur la seule décentralisation : le cadre précise qu’il n’évalue pas le risque des smart contracts. La revue précède aussi l’épisode d’avril 2026 : lisez-la comme une donnée datée parmi d’autres.
Noter sans se tromper soi-même
Cette grille est le cadre éditorial de Coindaro, pas une norme du secteur, et elle n’a volontairement pas de note de passage. Additionner des points laisserait une bonne prime de bug bounty compenser une mauvaise clé d’administration. Classez plutôt les constats par poids.
Certains constats peuvent raisonnablement mettre fin à l’examen : un code non vérifié, un seul portefeuille capable de mettre à jour instantanément, un rendement qui ne se rattache à rien. D’autres sont des questions de taille : un timelock court sous une vraie gouvernance, un collatéral concentré, un protocole jeune. Une inconnue compte comme un rouge tant que vous ne l’avez pas levée. Et une ligne verte ne décrit que le jour où vous l’avez vérifiée : refaites donc l’examen quand la gouvernance change quelque chose d’important ou quand la TVL bouge fortement.
La part à mettre en jeu relève de votre décision, et ceci n’est pas un conseil sur ce point. Le principe est simple : une exposition doit être de celles que vous pourriez perdre entièrement sans dommage, car même un protocole mature peut bloquer des dépôts pendant des jours, comme l’ont montré les pools WETH d’Aave à 100 % d’utilisation en avril. L’assurance DeFi peut couvrir une partie de ce risque, dans les limites que cette leçon expose.
Ce que la grille ne peut pas vous dire
Elle ne voit pas un bug que personne n’a trouvé. La faille de Balancer se cachait dans un code qui avait été relu et vérifié formellement. Elle ne voit pas l’intérieur de l’ordinateur d’un signataire, comme l’ont montré Resolv et Drift. Elle ne voit les dépendances que d’un niveau, alors que la défaillance peut se trouver deux niveaux plus loin : Aave dépendait du rsETH, le rsETH d’un pont, le pont d’un seul vérificateur, et ce vérificateur de nœuds RPC que les attaquants ont empoisonnés, selon LayerZero.
Elle dit aussi peu de chose du comportement des autres déposants. D’après les chiffres de Galaxy, près de 5,4 milliards de dollars d’ETH et de WETH ont quitté Aave au matin du 19 avril, plus vite que n’importe quel processus de gouvernance. Un protocole sain peut tout de même vous enfermer pendant des jours si tout le monde se précipite vers la sortie en même temps.
Gardez donc un plan de sortie avec la grille : sachez comment vous retireriez vos fonds, ce que vous feriez si un pool atteignait 100 % d’utilisation, et ce qui vous ferait partir. La prochaine leçon du parcours DeFi aborde ce que dit le droit sur tout cela.
