Attaques d’oracles RWA : quand les prix tokenisés dérapent

Qu’est-ce qu’un oracle RWA et pourquoi est-ce important?

Un oracle RWA est un flux de prix pour un token dont la valeur est ancrée à quelque chose d’off-chain: un bon du Trésor américain à courte échéance, une obligation d’entreprise, une note de crédit privé, un dépôt rémunéré ou même une ligne de crédit fractionnée adossée à la valeur nette d’un logement. Contrairement à BTC ou ETH, où des dizaines de plateformes à fort volume négocient chaque seconde, ces références se négocient dans des lieux que DeFi ne peut pas observer directement. Un émetteur centralisé déclare une valeur, un diffuseur signe un message, une blockchain règle le résultat. Cette étape de traduction est l’oracle, et c’est la plus grande hypothèse de confiance dans tout protocole d’actifs du monde réel tokenisés.

Pour les développeurs DeFi et les analystes du risque, la question pratique n’est pas de savoir si les oracles sont décentralisés au sens philosophique. Elle est de savoir si le prix on-chain correspond au prix qu’un vrai vendeur pourrait obtenir, dans une fourchette serrée, en quelques minutes. La plupart des oracles RWA publient une NAV, valeur liquidative, au plus quelques fois par jour, tandis que quelques conceptions plus récentes publient plus fréquemment des cotations mark-to-market. L’écart entre ces deux chiffres est l’endroit où se logent la plupart des attaques.

C’est important parce qu’une fois qu’un bon du Trésor ou une note de crédit tokenisé est accepté comme collatéral, des centaines de millions de dollars de prêts, de perps et de marchés de rendement peuvent s’y référer. Une erreur de 10 points de base sur une position de 500 M$ représente 500 k$ de pouvoir d’emprunt mal valorisé. Une erreur de 1% pendant une crise de liquidité peut liquider des emprunteurs qui sont parfaitement solvables en réalité. Les dégâts ne sont pas théoriques; ils ont le même rayon d’impact que toute défaillance d’oracle DeFi, simplement plus difficile à repérer parce que l’actif sous-jacent ne se négocie pas 24/7 sur un carnet d’ordres public.

Où se cache réellement le mensonge du prix: les quatre modes de défaillance

Les oracles d’actifs du monde réel échouent de quatre façons récurrentes. Les comprendre est le seul moyen d’évaluer un bon du Trésor tokenisé, un stable rémunéré comme OUSG ou USDY, un produit de crédit tokenisé tel que FIGR_HELOC, ou un produit de trésorerie enveloppé comme BUIDL.

Cotations obsolètes et diffuseurs lents

Le mode de défaillance le plus ennuyeux est celui qui cause le plus de dégâts. Les taux des bons du Trésor, les valorisations de crédit privé et les marques de produits structurés se mettent à jour lentement. Un diffuseur de NAV peut rafraîchir les données une fois par jour ouvré, ou seulement après la fermeture d’une fenêtre de rachat. Si un marché DeFi lit cette valeur à chaque bloc, il lit des données obsolètes la plupart du temps. Au moment où les taux bougent réellement, la référence on-chain accuse un retard de plusieurs heures ou jours sur la réalité.

L’obsolescence est dangereuse des deux côtés. Lorsque les rendements augmentent fortement, un bon du Trésor tokenisé qui affiche encore la NAV d’hier paraît plus riche qu’il ne l’est vraiment, et les emprunteurs peuvent en déposer davantage en collatéral que ce que vaut la position. Lorsque les rendements s’effondrent, la même NAV surestime l’actif, et les prêteurs peuvent être amenés à accepter un collatéral qui ne couvrira pas le prêt à la sortie. Les marchés qui traitent la NAV comme un prix en direct sans contrôles d’écart invitent à une surcollatéralisation ou une sous-collatéralisation silencieuse.

Cascades de depeg

Le depeg est le deuxième mode de défaillance, et c’est celui que les utilisateurs ressentent réellement. Un Treasury tokenisé ou un stablecoin rémunéré est censé suivre 1 $. Lorsqu’il glisse à 0,97 $ sur un carnet CEX peu liquide, ou pire, à 0,90 $ pendant une file d’attente de rachats, la plupart des oracles on-chain publient encore une NAV à 1 $ pendant des heures, parce que le sous-jacent de l’émetteur n’a pas changé. Le marché on-chain valorise alors très mal le wrapper: les marchés de prêt valorisent le collatéral à la NAV, tandis que le seul prix auquel il peut réellement être vendu est le prix secondaire ayant perdu son ancrage.

À ce moment-là, deux choses se produisent en même temps. Les liquidateurs apparaissent sur l’actif désancré et écoulent le collatéral au prix cassé, tandis que les prêteurs croient encore que la position est entièrement adossée à des treasuries. Des emprunteurs ayant des prêts sains sont liquidés parce que leur collatéral est valorisé par deux oracles différents à deux prix différents, et le moins cher l’emporte. C’est ainsi qu’un depeg de treasury devient un depeg DeFi. Une cascade de ce type est structurellement identique à un depeg de stablecoin, sauf que le carnet sous-jacent, bons du Trésor, repo, papier commercial, est bien moins liquide que les réserves en USD, ce qui ralentit la reprise.

Divergence entre mark-to-market et NAV

Le troisième mode de défaillance est l’écart entre mark-to-market et NAV. La NAV est la valeur courue officielle du sous-jacent selon l’émetteur. Le mark-to-market est ce qu’un acheteur réel paierait maintenant pour une créance sur cette NAV, après décotes liées aux délais de rachat, à la liquidité et au risque de contrepartie. En période normale, ces valeurs évoluent à un ou deux points de base près. En période de stress, elles divergent fortement.

Un fonds de bons du Trésor tokenisé avec une file d’attente de rachat de 7 jours peut encore publier une NAV à 1,00 $ tandis que le mark-to-market se négocie à 0,985 $, parce que quiconque veut sortir aujourd’hui doit appliquer une décote pour la file d’attente. Un oracle qui publie la NAV sans décote de marché devient un oracle qui, mécaniquement, ment à DeFi. L’élargissement entre ces deux chiffres est le meilleur signal précoce qu’un marché RWA approche du bord, et le signal le plus facile à surveiller avec une série temporelle de cotations.

Manipulation de carnets peu liquides

Le quatrième mode de défaillance est le plus favorable aux attaquants: les carnets on-chain peu liquides. Une note de crédit tokenisée ou un treasury tokenisé à faible capitalisation peut disposer de 50 k$ de liquidité sur un CEX ou dans un seul pool DEX. Un attaquant capable de faire bouger ce carnet peut faire bouger l’oracle qui le lit. Il emprunte alors contre la valeur gonflée, vide le pool de prêt et laisse l’oracle revenir à la réalité, en laissant aux prêteurs de la mauvaise dette.

C’est le manuel classique de manipulation d’oracle, exécuté sur des actifs dont la source de prix normale est centralisée. Là où un flux LINK ou Pyth agrège des dizaines de plateformes et résiste aux manœuvres d’un pool unique, un petit point de référence RWA est bien plus fragile. Même un flux qui cite plusieurs sources peut être trompé si la liquidité se concentre sur une seule plateforme pendant quelques minutes. La surface d’attaque n’est pas la source de prix; c’est l’hypothèse de liquidité derrière la source de prix.

Étude de cas : comment le basis trade de USDe a négocié un mensonge

Le basis trade de USDe fin 2024 est l’exemple récent le plus clair d’une défaillance d’oracle de type RWA se propageant en cascade dans la DeFi. USDe est un dollar synthétique adossé à une position de basis delta-neutre sur contrats à terme perpétuels, et non à des bons du Trésor, mais son problème de valorisation était identique à celui d’un actif tokenisé. Le protocole publiait une NAV qui supposait que la jambe perpétuelle était parfaitement couverte au prix marqué. Le spot et le perpétuel ont brièvement divergé d’environ 2 à 3 %. Le prix on-chain de USDe continuait d’indiquer environ 1 $ parce que le mark interne du protocole était aligné sur l’indice perpétuel. La réalité du marché, notamment les carnets de Curve et des CEX, négociait USDe sous 1 $ pendant la dislocation.

En quelques heures, plusieurs marchés DeFi acceptant USDe comme collatéral ont soit perdu de l’argent, soit retiré leur prise en charge. Un marché de type Morpho qui valorisait USDe à la NAV autorisait des positions qui étaient, en termes réels, sous-collatéralisées. Un Pendle PT construit sur le rendement de USDe a transmis la même mauvaise valorisation à la couche supérieure. Les liquidations sur perps se référaient à l’indice perpétuel, qui dérivait lui-même du prix spot. La perte réelle a été modeste et l’ancrage a été rapidement rétabli, mais la leçon était concrète : un oracle qui accuse un retard sur la réalité, même de quelques centaines de points de base, suffit à vider des poches de collatéral dans toute la pile.

L’étude de cas se généralise. Chaque fois que le prix canonique est alimenté par un éditeur lent et à source unique, tandis que le véritable prix de sortie se négocie quelque part que la DeFi ne peut pas voir, l’écart entre les deux devient le profit de l’attaquant. USDe est un exemple particulièrement net, car l’ancrage a été mis à l’épreuve par la microstructure du marché, et non par un acteur malveillant. La même configuration s’applique si l’écart avait été ouvert volontairement.

Ce que les mauvais prix font au lending, aux PT et aux perps

Une fois l’oracle erroné, trois primitives DeFi en ressentent les effets presque simultanément : les marchés de lending, les primitives de rendement comme Pendle PT, et les contrats à terme perpétuels. Chacune a une forme de défaillance légèrement différente.

Marchés de lending et liquidations

Aave, Morpho et les marchés similaires valorisent le collatéral en temps réel par rapport à un oracle. Si l’oracle affiche un chiffre trop élevé, les emprunteurs peuvent retirer davantage que ce que vaut leur collatéral. Si l’oracle affiche un chiffre trop bas, des emprunteurs sains sont liquidés parce que leur health factor passe sous 1,0 sur une cotation périmée ou peu profonde. Sur un bon du Trésor tokenisé, une cotation périmée d’une heure pendant un mouvement rapide des taux peut éliminer une tranche d’emprunteurs qui n’ont rien fait de mal.

La cascade ressemble à ceci : la NAV publiée est périmée. Les taux bondissent de 30 points de base. Le token de trésorerie on-chain cote encore à l’ancienne NAV. Des emprunteurs déposent cette trésorerie en collatéral et empruntent des stablecoins au LTV maximal. Quelques heures plus tard, la NAV publie le nouveau chiffre, la valeur du collatéral baisse, le health factor s’effondre pour une partie des emprunteurs, les liquidateurs interviennent, et le protocole perçoit des frais de liquidation tandis que les emprunteurs perdent de l’argent qu’ils n’avaient pas besoin de perdre. Rien de tout cela ne nécessite un attaquant. Il suffit d’un éditeur lent et d’un marché rapide.

Pendle PT et rendement structuré

Pendle PT (principal tokens) divise une position génératrice de rendement entre un PT à rendement fixe et un rendement variable. Le PT est valorisé à partir de la source de rendement sous-jacente. Si le sous-jacent est un bon du Trésor tokenisé ou un stable générateur de rendement, la juste valeur du PT dépend des hypothèses de prix du sous-jacent. Une NAV périmée ou erronée se transmet directement à une mauvaise valorisation du PT : les PT se négocient trop cher quand la NAV est surévaluée et à bas prix quand la NAV est sous-évaluée. Les fournisseurs de liquidité qui couvrent des PT avec le sous-jacent ou avec des perps perdent de l’argent sur l’écart de basis, exactement la même configuration que la dislocation du basis de USDe.

Pour un utilisateur final, cela signifie qu’un produit de rendement qu’il pensait être un rendement fixe propre peut devenir un basis trade intégrant un pari directionnel. La ligne de rendement dans l’interface peut sembler inchangée parce que la NAV du sous-jacent n’a pas bougé. En réalité, la valeur de sortie a changé et le PT a été repricé.

Contrats à terme perpétuels et carnets de type Hyperliquid

Les perps sont les consommateurs les plus fragiles de mauvais prix RWA. Un marché perp sur un actif tokenisé se réfère au prix d’indice de l’actif pour calculer le mark, le funding et les seuils de liquidation. Si l’indice est la NAV de l’émetteur et que le sous-jacent ne peut pas réellement être racheté à la NAV à cet instant, le mark est fictif. Un trader peut shorter ou longing contre une référence fausse, la position accumule du funding, et au premier moment où un véritable prix de sortie apparaît, les liquidations se déclenchent contre des personnes qui étaient correctement couvertes par rapport au prix réel.

Les carnets d’ordres de type Hyperliquid poussent cela plus loin. Un perpétuel dont l’indice est un éditeur centralisé de NAV n’a pas de solution de repli on-chain par défaut. La seule défense est un flux multi-source (Chainlink Data Streams, Pyth et un flux direct de l’émetteur ensemble) avec un plafond de déviation, un contrôle explicite de fraîcheur et un interrupteur de pause que l’équipe de risque peut actionner si deux des trois divergent de plus de, disons, 50 points de base pendant plus de cinq minutes. C’est la pause, et non l’oracle, qui protège les traders d’une mauvaise cotation.

Schémas défensifs : TWAP, plafonds de déviation, repli multi-oracle

Toute intégration RWA sérieuse dans la DeFi utilise désormais une combinaison de quatre couches défensives. Aucune ne suffit seule.

Plafonds de déviation et coupe-circuits

Un plafond de déviation rejette tout nouveau prix d’oracle qui s’écarte de plus de X points de base du dernier prix accepté, X étant fixé assez largement pour couvrir les mouvements réalistes et assez strictement pour détecter la manipulation. De nombreux marchés de lending utilisent des plafonds de 1 % à 3 % pour les actifs très liquides et de 0,3 % à 1 % pour les actifs serrés. Le plafond est associé à un contrôle de fraîcheur : si aucun nouveau prix n’est arrivé en N secondes, le marché se fige au lieu de lire la dernière valeur comme étant en direct.

Moyennes pondérées dans le temps (TWAP)

Un TWAP lisse le prix sur une fenêtre, généralement de 5 à 30 minutes pour les actifs volatils et de 30 minutes à plusieurs heures pour les références RWA. L’effet pratique est de forcer un attaquant à maintenir la manipulation pendant toute la fenêtre plutôt qu’à provoquer un pic ponctuel. Pour les bons du Trésor et crédits tokenisés, un TWAP plus long, souvent de plusieurs heures, est normal parce que le sous-jacent ne bouge réellement pas plus vite que cela.

Repli multi-oracle

Le schéma le plus robuste consiste à lire deux ou trois flux indépendants et à exiger leur accord avant qu’un marché accepte un nouveau prix. Chainlink, Pyth et un flux direct de l’émetteur forment le trio typique. Si l’un d’eux diverge de la médiane de plus que le plafond, le marché se met en pause au lieu de négocier sur la valeur aberrante. C’est cette structure qui détecte à la fois les depegs, lorsque le flux de l’émetteur reste à 1 $ tandis que les flux secondaires dérivent, et les manipulations de carnets peu profonds, lorsqu’un flux ment et les autres non.

Interrupteurs de pause et réponse de la gouvernance

Même la meilleure pile d’oracles ne peut pas couvrir tous les événements off-chain : une file de rachat se bloque, un dépositaire suspend les retraits, un émetteur met en pause les souscriptions. La défense est administrative : une pause contrôlée par la gouvernance qui peut figer un marché dès que les examinateurs du risque constatent une divergence qu’ils ne peuvent pas résoudre. C’est la couche humaine autour de laquelle s’enroulent toutes les couches techniques. C’est aussi la couche que les protocoles les plus durement touchés lors d’incidents d’oracle passés auraient souhaité utiliser plus vite.

Comment suivre intelligemment le risque d’oracle RWA

Le risque d’oracle RWA évolue selon deux horloges à la fois : l’horloge on-chain qui valorise la DeFi à chaque bloc, et l’horloge off-chain qui valorise les bons du Trésor, le crédit et les produits structurés en jours ouvrés. Suivre les deux manuellement est une bataille perdue, surtout dans un portefeuille qui touche en même temps Morpho, Aave, Pendle PT et des perps de type Hyperliquid. Zippfeed fait remonter les actualités RWA avec une notation du sentiment (bullish, neutral ou bearish) et une note d’importance, afin que vous puissiez repérer les depegs, les litiges de NAV et les divergences d’oracle avant qu’ils ne se propagent en cascade dans vos positions.