IA : le fondateur d’OpenZeppelin déclare que “toute la DeFi est à risque” et conseille d’en sortir

Ce qu’il faut retenir :

• Manuel Aráoz, cofondateur d’OpenZeppelin, la principale firme de sécurité crypto, déclare qu’il considère désormais “toute la DeFi” comme dangereuse et conseille à ses proches de liquider toutes leurs positions.
• Son avertissement inclut les protocoles “blue chip” comme Aave, MakerDAO et Compound, pourtant considérés comme les plus sûrs du secteur.
• En avril, 630 millions de dollars ont été volés sur des protocoles DeFi, le pire mois depuis le hack de Bybit à 1,5 milliard en février 2025. La TVL DeFi a chuté de 14 % depuis mi-avril.

Quand le fondateur de la firme de sécurité la plus respectée de l’écosystème crypto déclare que la DeFi entière est dangereuse, le message mérite d’être entendu. Manuel Aráoz, cofondateur d’OpenZeppelin, le cabinet qui audite les smart contracts des plus grands protocoles du secteur, a publié mardi sur X qu’il conseillait personnellement à ses amis et sa famille de sortir de toutes leurs positions DeFi.

“Les agents de coding sont surhumains pour trouver des failles”

Le diagnostic d’Aráoz est structurel, pas conjoncturel. “Les agents de coding sont surhumains pour trouver des vulnérabilités, et la sécurité des smart contracts est trop asymétrique”, a-t-il écrit. “Les défenseurs doivent corriger chaque bug tandis que les attaquants n’ont besoin que d’un seul exploit pour voler les fonds.”

Cette asymétrie, amplifiée par les progrès de l’intelligence artificielle en cybersécurité offensive (comme l’a démontré le modèle Mythos d’Anthropic), rend la défense des protocoles DeFi structurellement plus difficile que leur attaque. L’avertissement ne cible pas un protocole en particulier : Aráoz inclut explicitement les positions jugées à faible risque dans les protocoles “blue chip” comme Aave, MakerDAO et Compound.

Avril : 630 millions volés, le pire mois depuis Bybit

Les chiffres justifient l’alarme. Près de 630 millions de dollars ont été dérobés sur des protocoles DeFi en avril, le pire mois depuis le hack de Bybit à 1,5 milliard en février 2025. Deux attaques majeures, toutes deux attribuées à des hackers nord-coréens, ont concentré l’essentiel des pertes.

L’exploit de Drift Protocol (285 millions) a résulté d’un schéma d’ingénierie sociale élaboré sur six mois. L’exploit de KelpDAO (293 millions) a ciblé une vulnérabilité dans un pont cross-chain. Au total, 27 cas d’exploits DeFi ont été recensés en avril selon les données de DefiLlama.

Mai n’apporte pas de répit, avec 25 exploits déjà enregistrés, dont le piratage du pont Ethereum de Verus Network pour 11,6 millions et une brèche de 573 200 $ sur Polymarket, possiblement liée à une compromission de clé privée.

Marc Zeller en désaccord

Marc Zeller a répondu à Aráoz en évoquant son désaccord sans filtre :

Quelle remarque débile. Moins de 10 % des problèmes rencontrés l’année dernière dans le domaine de la DeFi sont dus au code source.

Il s’agit principalement de mauvaises configurations de paramètres, d’explosions de garanties et d’une sécurité opérationnelle insuffisante.

La TVL DeFi en chute de 14 %

La confiance des investisseurs se mesure dans les chiffres de la valeur totale verrouillée (TVL) dans les protocoles DeFi, qui a chuté d’environ 14 % depuis mi-avril, passant de 172 milliards à 148 milliards de dollars. Les capitaux fuient les pools de liquidité et les protocoles de prêt au profit d’actifs jugés plus sûrs.

Cette contraction intervient alors que la DeFi affrontait déjà un environnement macroéconomique hostile : taux d’intérêt élevés rendant les rendements DeFi moins attractifs face aux bons du Trésor, et un marché crypto globalement baissier avec le Bitcoin sous les 76 000 $.

Ce qu’il faut surveiller

L’avertissement d’Aráoz pourrait accélérer la fuite des capitaux si d’autres experts de la sécurité partagent son analyse. La question de fond est existentielle pour la DeFi : si les outils d’IA rendent les smart contracts structurellement vulnérables, le modèle même de la finance décentralisée sans intermédiaire est remis en cause.

Les protocoles qui investissent massivement dans les audits, les programmes de bug bounty et la cryptographie post-quantique seront mieux positionnés, mais la course entre attaquants et défenseurs penche actuellement en faveur des premiers. La réponse de l’industrie, probablement des systèmes de surveillance IA défensifs intégrés directement dans les protocoles, déterminera si la DeFi peut survivre à cette nouvelle ère de menaces.