Pourquoi une checklist avant dépôt compte plus que le choix du bon protocole
La plupart des personnes qui perdent de l'argent en DeFi ne choisissent pas délibérément une arnaque. Elles cliquent sur « approve » sur une interface qui a l'air légitime, déposent dans un pool qui a été audité, et s'en vont en supposant que le smart contract fera ce que la page d'accueil promettait. Le lendemain matin, le protocole est vidé, l'équipe reste silencieuse, et l'utilisateur se retrouve à lire un post-mortem qu'il aurait pu lire la semaine d'avant.
C'est à cela que sert cet article. L'objectif n'est pas de vous aider à trouver la prochaine ferme de rendement x10. L'objectif est de vous faire ralentir à l'écran d'approbation, comme un pilote qui parcourt sa checklist avant le décollage. La plupart des crashes ne sont pas causés par une surprise unique et catastrophique. Ils sont causés par une chaîne de petits éléments que personne n'a vérifiés.
Vous n'avez pas besoin d'être développeur pour utiliser cette checklist. Vous devez être prêt à consacrer quinze minutes à lire la documentation d'un protocole, ses rapports d'audit et ses données on-chain avant de signer une transaction. Si un protocole ne vous fournit pas les informations nécessaires pour remplir cette checklist, c'est en soi la réponse à la question de savoir si vous devez y déposer des fonds.
Les vrais risques avant d'approuver un token
Le risque en DeFi n'est pas abstrait. C'est une liste de modes de défaillance précis qui ont coûté de l'argent réel à de vrais utilisateurs. Avant d'aborder la checklist, voici les catégories de risque que vous vérifiez réellement.
Bugs de smart contracts
Le code fait foi en DeFi, ce qui est une façon polie de dire qu'une faute de frappe dans un smart contract peut permettre à un attaquant de repartir avec chaque dollar du protocole. Les audits réduisent ce risque mais ne l'éliminent pas. Le hack de Cream Finance en 2021, l'exploit du pont Wormhole en 2022 et les incidents liés à BingX en 2024 se sont tous produits sur des contrats qui avaient été audités. Les audits détectent les bugs que l'auditeur a pensé à chercher. Ils ne détectent pas tout.
Manipulation économique et d'oracle
Certains protocoles ne sont pas piratés au sens traditionnel. Le code fonctionne exactement comme écrit, mais le flux de prix sur lequel il s'appuie est manipulé par un trader disposant d'assez de capital, et le protocole verse des fonds sur la base d'un prix qui ne correspond plus à la réalité. Mango Markets a perdu environ 114 millions de dollars en octobre 2022 à cause d'une attaque exactement de ce type, menée en manipulant le marché MNGO-PERP sur la propre plateforme du protocole.
Risque lié aux clés d'administration et à la gouvernance
De nombreux protocoles DeFi donnent à un petit groupe de signataires la capacité de mettre à niveau les contrats, de modifier des paramètres ou de suspendre les retraits. Si ces signataires sont compromis, contraints, ou agissent simplement de bonne foi d'une manière qui nuit aux déposants, vos fonds peuvent être déplacés ou gelés. La question pertinente n'est pas de savoir si un protocole est décentralisé dans l'esprit. C'est de savoir combien d'êtres humains peuvent déplacer votre argent, et de combien de temps d'avance vous disposez avant qu'ils ne le fassent.
Approbations et hygiène du portefeuille
Lorsque vous approuvez un token sur un site comme Uniswap, Aave, Morpho ou Pendle, vous donnez à ce contrat la permission de dépenser ce token depuis votre portefeuille pour toujours, ou jusqu'à ce que vous révoquiez l'approbation. Les anciennes approbations sont une cible de prédilection. En 2025, les escroqueries par empoisonnement d'adresse et vidage d'approbations sont devenues la première catégorie de vols en crypto par volume, dépassant même les piratages de plateformes centralisées. Vous pouvez perdre de l'argent dans un protocole qui n'a jamais été piraté, simplement parce que vous avez approuvé un token il y a deux ans et que vous ne l'avez jamais révoqué.
La checklist de dépôt DeFi en 12 points
Parcourez-les dans l'ordre. Si vous ne pouvez pas répondre oui aux trois premiers, ne vous embêtez pas avec la suite. L'objectif est de repérer la seule chose qui vous ruinerait, pas de noter le protocole sur une courbe.
1. Le contrat est-il audité, et quand ?
Trouvez le rapport d'audit. AAVE, UNI, MORPHO, PENDLE et ENA disposent tous de pages d'audit publiques. Lisez la date, le cabinet et le périmètre. Un audit de 2022 sur un code mis à jour en 2025 n'équivaut pas à un audit récent. S'il n'y a pas d'audit, ou si le seul audit était interne, considérez cela comme un blocage total.
2. Existe-t-il un programme de bug bounty actif, et de quel montant ?
Un protocole qui a été audité mais ne rémunère pas les hackers éthiques pour continuer à chercher vous dit que l'équipe ne prend pas au sérieux la sécurité continue. Immunefi a versé plus de 100 millions de dollars de bug bounties depuis 2020. Vérifiez le montant. Une bounty d'un million de dollars est sensiblement différente d'une bounty de 100 000 dollars. Les bounties plus élevées attirent de meilleurs chercheurs.
3. Qui détient les clés d'administration, et combien y en a-t-il ?
Consultez la documentation du protocole ou son forum de gouvernance. Trouvez l'adresse du multisig qui contrôle les mises à jour. Comptez les signataires. Un multisig 3 sur 5 est sensiblement différent d'un 2 sur 5, lui-même sensiblement différent d'une simple EOA contrôlée par une seule personne. AAVE utilise un multisig 6 sur 9 avec un timelock de 24 heures. C'est le genre de détail que vous voulez voir écrit noir sur blanc.
4. Quelle est la durée du timelock sur les mises à jour ?
Un timelock est un délai entre le moment où une action administrative est mise en file d'attente et celui où elle s'exécute. Un timelock de 24 heures laisse à la communauté le temps de réagir et de sortir si une modification malveillante est proposée. Un timelock d'une heure, ou l'absence de timelock, signifie que vous ne découvrirez une modification qu'après que vos fonds aient disparu.
5. Quel oracle le protocole utilise-t-il, et comment est-il sécurisé ?
Chainlink est la réponse la plus fréquente, et c'est généralement un bon choix. Mais tous les protocoles n'utilisent pas Chainlink, et tous les flux Chainlink ne sont pas aussi liquides. Cherchez une documentation explicite des flux lus par le protocole et de ce qui se passe si un flux se fige ou renvoie un prix obsolète. L'attaquant de Mango Markets a exploité l'absence de vérifications de fraîcheur des prix. Ce détail était dans la documentation. Presque personne ne l'a lu.
6. La liquidité principale du protocole est-elle réellement profonde, ou seulement la TVL ?
La valeur totale verrouillée est le chiffre en gros titre. Il indique combien est déposé, pas combien vous pouvez retirer en cas de panique. Un marché de prêt avec 500 millions de dollars de TVL peut n'avoir que 20 millions de dollars de collateral réellement liquidable. Lors du dépeg de l'USDC de mars 2023, plusieurs protocoles semblaient en bonne santé sur le graphique de TVL et se sont révélés fonctionnellement insolvables pendant des heures. Vérifiez la liquidité disponible, pas seulement les dépôts.
7. Y a-t-il eu des incidents par le passé, et comment ont-ils été gérés ?
Tout protocole majeur a connu au moins un moment critique. La question intéressante est ce qui s'est passé ensuite. L'équipe a-t-elle publié un post-mortem dans les 48 heures ? A-t-elle remboursé les utilisateurs ? A-t-elle corrigé la cause racine ? Les protocoles qui ont été piratés et se sont remis de manière transparente sont souvent plus sûrs que les protocoles qui n'ont jamais été testés du tout, car le test de résistance était réel.
8. Les smart contracts sont-ils upgradables, et par quel mécanisme ?
Les contrats upgradables peuvent être améliorés, ce qui est bien. Ils peuvent aussi être modifiés silencieusement, ce qui est mauvais. Recherchez le pattern de proxy utilisé, qui peut le mettre à niveau, et si la mise à niveau est encadrée par le timelock et le multisig des points 3 et 4. Si un contrat n'est pas upgradable, c'est aussi une information utile, car cela signifie qu'aucun administrateur ne peut changer les règles sous vos pieds.
9. Quelle est exactement l'approbation de token que vous allez signer ?
La plupart des wallets affichent le montant de l'approbation. Certains frontends DeFi demandent par défaut une approbation illimitée. Une approbation illimitée est pratique, mais elle signifie qu'un futur bug dans le protocole, ou un clone de l'interface du protocole, peut vider ce token de votre wallet à tout moment dans le futur. Définissez un montant précis quand vous le pouvez, et révoquez les approbations que vous n'utilisez pas activement.
10. Êtes-vous sur la bonne URL, et l'adresse du contrat est-elle vérifiée ?
Les sites de phishing copient les interfaces pixel par pixel. Vérifiez l'URL caractère par caractère. Ouvrez le protocole depuis un favori, pas depuis un résultat de recherche ou un lien Twitter. Vérifiez l'adresse du contrat sur la documentation officielle du protocole avant d'approuver. Les escrocs ont passé des années à acheter des annonces Google qui ressemblaient à Aave et Uniswap.
11. Le rendement vient-il réellement de quelque chose de concret ?
15 % d'APY est un chiffre. D'où vient-il ? Frais de prêt ? Pénalités de liquidation ? Émissions de tokens ? Si le protocole vous paie avec son propre token de gouvernance, vous êtes payé en quelque chose que l'équipe peut imprimer davantage. Le rendement dans Pendle, par exemple, provient de sources de rendement spécifiques clairement détaillées dans l'UI. Si un protocole ne peut pas expliquer son rendement en une phrase, considérez ce rendement comme du marketing.
12. Avez-vous révoqué les anciennes approbations au cours des 30 derniers jours ?
Ouvrez revoke.cash, connectez votre wallet, et regardez ce qui est encore approuvé. Tout ce que vous n'utilisez pas activement est une invitation permanente pour le prochain exploit à tout vider. La révocation est gratuite. Ne pas révoquer a coûté aux utilisateurs des sommes à huit chiffres. Faites-en une habitude mensuelle.
Ce que la checklist aurait permis d'attraper dans de vrais exploits
Il est facile de lire une liste de risques et de supposer qu'ils sont théoriques. Ils ne le sont pas. Voici ce qu'une version rigoureuse de cette checklist aurait fait remonter pour certains des plus grands incidents DeFi des trois dernières années.
Mango Markets, octobre 2022
Avraham Eisenberg a manipulé le marché MNGO-PERP sur Mango en gonflant le prix du token MNGO avec son propre capital, puis en empruntant contre la valeur gonflée. Le protocole a fonctionné comme prévu. L'oracle a fonctionné comme prévu. La conception économique n'avait pas prévu qu'un attaquant unique disposant d'assez de capital puisse pousser le prix suffisamment loin pour vider le pool de prêt. Un utilisateur lisant la documentation aurait vu que l'oracle MNGO utilisait comme source un marché on-chain peu liquide. Le point 5 de la checklist, source et liquidité de l'oracle, l'aurait signalé.
Pools de Curve Finance, juillet 2023
Plusieurs pools de Curve ont été vidés à cause d'une vulnérabilité dans le compilateur Vyper utilisé pour les déployer. Les pools affectés avaient été audités. Le bug se trouvait dans la version du compilateur, pas dans la logique du protocole. Un utilisateur vérifiant le point 1 et découvrant que le rapport d'audit mentionnait une version spécifique du compilateur aurait au moins su chercher ensuite les divulgations liées au compilateur. La réponse de Curve, remboursement intégral des pools affectés et post-mortem public en quelques jours, est aussi un point de données utile pour le point 7.
Vaults Steakhouse Morpho, 2024
Les marchés de prêt Morpho-Blue, y compris les vaults curatoriaux gérés par Steakhouse Financial, ont fait l'objet d'un examen minutieux en 2024 car leur conception est véritablement inédite. Un utilisateur appliquant cette checklist aurait trouvé des audits publics par Spearbit et Trail of Bits, un bug bounty Immunefi actif, un chemin de mise à niveau contrôlé par multisig, et une documentation d'oracle détaillée. C'est exactement à quoi ressemble une revue de pré-dépôt saine. Le fait que rien n'ait été exploité n'est pas une coïncidence.
Comment utiliser cette checklist en pratique
Une checklist ne fonctionne que si vous l'utilisez vraiment. Voici le workflow pratique pour un premier dépôt sur un protocole comme AAVE, MORPHO, PENDLE ou ENA.
Commencez par ouvrir la documentation du protocole, pas l'application. Trouvez la page d'audit, la page de sécurité et le forum de gouvernance. Confirmez les signataires du multisig et le timelock sur un explorateur de blocs comme Etherscan. Vérifiez la configuration de l'oracle et les adresses de contrat avec lesquelles vous allez interagir. Allez ensuite sur l'application, définissez un montant d'approbation de token précis au lieu d'illimité, déposez d'abord un petit montant test, et confirmez que vous pouvez le retirer avant de monter en taille.
Programmez un rappel mensuel pour revisiter le protocole. Vérifiez les nouveaux audits, les nouvelles propositions de gouvernance, les nouveaux incidents, et révoquez les approbations que vous n'utilisez pas activement. L'espace DeFi évolue vite, et un protocole sûr en mars peut devenir risqué en avril si un changement de paramètre a été proposé et adopté sans que vous le remarquiez.
Si à un moment de ce processus vous ne trouvez pas l'information dont vous avez besoin, considérez cela en soi comme un risque. Les protocoles qui dissimulent leur modèle de sécurité ne sont pas plus sûrs que ceux qui le publient. Ils sont simplement moins vérifiables, et non vérifiable n'est pas un bon endroit pour placer votre argent.
Devancez le risque DeFi avec le bon signal d'actualité
Le risque DeFi évolue vite, et l'actualité autour aussi. Suivre manuellement les mises à jour d'audit, les propositions de gouvernance et les changements d'oracle à travers AAVE, UNI, MORPHO, PENDLE et ENA est une bataille perdue, car les signaux d'alerte sont dispersés entre posts de forum, votes de gouvernance et divulgations de sécurité. Zippfeed fait remonter les titres des protocoles DeFi avec un score de sentiment (bullish, neutral ou bearish) et une note d'importance, pour que vous puissiez repérer un changement risqué avant votre prochain dépôt ou réclamation de rendement.
