Manuel Aráoz, cofondateur d'OpenZeppelin, a déclaré qu'il croit désormais que « toute la DeFi est unsafe » et a personnellement conseillé à ses proches de sortir de toute position DeFi. Son raisonnement : les agents de codage IA atteignent une capacité surhumaine dans la découverte de vulnérabilités, et la sécurité des smart contracts est intrinsèquement asymétrique — un seul bug anéantit le protocole, le rapport d'audit devient sans objet.
Pourquoi c'est important
La citation frappe fort à cause de qui la prononce. OpenZeppelin n'est pas un critique旁观旁观旁观旁观旁观旁观旁观 dans les tribunes — c'est l'un des cabinets de sécurité les plus respectés du secteur, avec des clients d'audit incluant Aave, Compound, MakerDAO, Uniswap et Coinbase. Quand un cofondateur du cabinet qui a contribué à certifier ces protocoles comme sûrs dit publiquement au grand public de quitter le secteur, cela recadre tout le modèle mental « audité = sûr » sur lequel le marché s'est appuyé pendant des années.
La lecture de second ordre concerne la surface de menace IA. Aráoz présente la découverte de vulnérabilités assistée par LLM comme un saut quantique dans la capacité des attaquants — les mêmes outils qui permettent à une équipe de cinq personnes de livrer plus vite permettent aussi à un acteur hostile de trouver une classe d'exploit qu'aucun auditeur humain n'a couverte. Les exploits de smart contracts ne sont pas des pertes probabilistes ; ce sont des événements de perte totale. L'asymétrie qu'il pointe est entre le coût d'un audit et la valeur en risque que l'audit est censé protéger.
Impact sur le marché
Attendez-vous à voir cette citation ressurgir dans les commentaires réglementaires et la tarification des assurances — les assureurs DeFi, les trésors de protocole et les prestataires de custody devront tous revoir leurs hypothèses sur ce qu'un audit OpenZeppelin justifie réellement en termes de prix. La lecture honnête pour les utilisateurs n'est pas « la DeFi est finie » ; c'est que l'écart entre « audité » et « sûr » est plus large que ce que le marketing laissait entendre, et que cet écart se creuse à mesure que les attaquants IA deviennent moins chers.
Questions fréquemment posées
-
Qui est Manuel Aráoz et pourquoi son avertissement sur la DeFi a-t-il du poids ?
Manuel Aráoz est un cofondateur d'OpenZeppelin, l'un des cabinets de sécurité smart contract les plus respectés de la crypto. Les clients d'audit d'OpenZeppelin incluent Aave, Compound, MakerDAO, Uniswap et Coinbase, donc un avertissement d'un cofondateur indiquant que « toute la DeFi est unsafe » vient de l'intérieur…
-
Quelle est la menace de vulnérabilité IA que pointe Aráoz ?
Aráoz soutient que les agents de codage IA atteignent une capacité surhumaine pour trouver des vulnérabilités de smart contracts. Les mêmes outils LLM qui aident les équipes de protocoles à livrer plus vite permettent aussi aux attaquants de faire émerger des classes d'exploits plus rapidement que ce que les auditeurs…
-
Pourquoi la sécurité des smart contracts est-elle décrite comme « asymétrique » ?
L'asymétrie se situe entre le coût d'un audit et la valeur en risque que l'audit est censé protéger. Un protocole peut sécuriser des dizaines de millions de TVL, mais un seul bug manqué peut le drainer entièrement — donc le downside d'un audit incomplet est total, tandis que l'upside pour l'attaquant est la piscine…
-
Cela signifie-t-il que les protocoles DeFi audités sont réellement unsafe ?
La façon dont Aráoz pose le problème, c'est que l'écart entre « audité » et « sûr » est plus large que ce que le marketing a laissé entendre, et se creuse à mesure que les attaquants pilotés par IA deviennent moins chers. Cela ne signifie pas que chaque protocole audité est exploitable aujourd'hui, mais cela argue que…
-
Comment cet avertissement pourrait-il affecter la tarification de l'assurance et du custody DeFi ?
Attendez-vous à ce que les assureurs DeFi, les trésors de protocole et les prestataires de custody revoient ce qu'un audit OpenZeppelin justifie réellement en termes de tarification. Si l'industrie de l'audit elle-même signale que les attaquants assistés par IA dépassent les auditeurs humains, les primes de couverture…
CoinTelegraph
Lookonchain
CryptoSlate
TheBlock
Crypto News
CoinDesk