Curve Founder Urges DeFi Security Standards After Rseth Shock

Imaginez un écosystème financier décentralisé promettant liberté et transparence, mais régulièrement secoué par des incidents qui rappellent étrangement les vulnérabilités des systèmes traditionnels. C’est précisément ce qui s’est produit récemment avec l’exploit sur rsETH de KelpDAO, un événement qui a drainé environ 292 millions de dollars et mis en lumière des faiblesses persistantes au cœur de la DeFi.

Face à cette vague d’incidents évitables, Michael Egorov, le fondateur emblématique de Curve Finance, a lancé un cri d’alarme sur les réseaux. Sa question provocante – « Sommes-nous une industrie de clowns ? » – résonne comme un appel urgent à repenser les fondations de la sécurité dans cet univers en pleine expansion. Au-delà du choc immédiat, cet épisode révèle des problèmes structurels profonds que l’industrie ne peut plus ignorer.

L’appel de Michael Egorov pour des standards de sécurité unifiés en DeFi

Dans un thread détaillé publié le 21 avril 2026, Michael Egorov n’a pas mâché ses mots. Selon lui, une grande partie des hacks récents en DeFi provient de points de défaillance centralisés qui persistent malgré les promesses de décentralisation totale. Il insiste sur le fait que ces vulnérabilités ne sont pas des fatalités techniques, mais des choix de conception évitables.

Le fondateur de Curve Finance, protocole reconnu pour sa robustesse dans les échanges décentralisés, plaide pour l’établissement d’un véritable « livre de règles » commun à l’ensemble de l’industrie. Il suggère que les fondations Ethereum et Solana pourraient jouer un rôle clé en fédérant les acteurs pour définir des pratiques sécuritaires partagées, allant des vérificateurs cross-chain aux politiques de multisignatures.

Une grande quantité d’incidents de sécurité évitables en DeFi proviennent de points de défaillance centralisés uniques, qui nuisent à l’ensemble de l’industrie.

Michael Egorov, fondateur de Curve Finance

Cette déclaration intervient dans un contexte où les pertes cumulées en DeFi atteignent des sommets en 2026. Avec plus de 750 millions de dollars drainés depuis le début de l’année, dont une part significative en avril seulement, l’heure n’est plus aux constats isolés mais à une action collective.

Cet appel n’est pas une simple réaction émotionnelle. Il s’appuie sur une analyse fine des mécanismes qui ont permis l’exploit de KelpDAO et ses répercussions en cascade sur des protocoles majeurs comme Aave.

Le choc rsETH : décryptage d’un exploit aux conséquences systémiques

L’incident survenu le 18 avril 2026 chez KelpDAO a frappé les esprits par son ampleur. Un attaquant a réussi à drainer environ 116 500 rsETH, un token de restaking liquide représentant une valeur d’environ 292 millions de dollars au moment des faits. La méthode ? La falsification d’un message cross-chain via l’infrastructure de LayerZero.

Le point critique réside dans la configuration choisie par KelpDAO : un vérificateur DVN en mode 1-of-1, sans redondance. Cette unique dépendance a créé le point de défaillance parfait, permettant à l’attaquant de forger un message valide et de libérer les tokens sans opposition immédiate.

Une fois les rsETH en sa possession, l’attaquant les a utilisés comme collateral sur Aave V3 pour emprunter massivement du wrapped ether. Cette manœuvre a déclenché un mouvement de panique, avec plus de 10 milliards de dollars de retraits observés sur le protocole de lending, forçant Aave à geler les marchés rsETH sur ses versions V3 et V4 pour contenir les risques.

Neuf protocoles connectés ont dû suspendre ou restreindre les activités liées à rsETH, illustrant parfaitement la composabilité de la DeFi : un problème local peut rapidement devenir une contagion systémique.

Cet événement met en évidence non seulement la fragilité des bridges cross-chain, mais aussi les dangers des pools de lending non isolés. Dans de tels modèles, un asset défaillant peut impacter l’ensemble des dépôts des utilisateurs, amplifiant les pertes potentielles.

Points de défaillance centralisés : le talon d’Achille persistant de la DeFi

Michael Egorov ne se contente pas de pointer du doigt un incident isolé. Il dresse un constat plus large : de nombreux hacks récents trouvent leur origine dans des éléments centralisés camouflés au sein d’architectures prétendument décentralisées.

Parmi ces vulnérabilités récurrentes, on retrouve les bridges qui reposent sur un nombre limité de validateurs, les oracles dépendant de sources uniques, les gouvernances via multisignatures avec trop peu de signataires, ou encore les clés d’administration critiques détenues par un petit groupe.

Les bridges, oracles, multisigs de gouvernance et clés admin deviennent des dépendances centralisées cachées, même quand les contrats principaux restent formellement décentralisés.

Michael Egorov

Ces choke points offrent un vecteur d’attaque attractif pour les hackers sophistiqués. Une fois compromis, ils permettent non seulement de drainer des fonds, mais aussi de propager le chaos via la composabilité inhérente à la DeFi.

Dans le cas de KelpDAO, le choix d’un vérificateur unique chez LayerZero a transformé une faille de configuration en catastrophe financière. Egorov souligne que des designs alternatifs, comme ceux utilisés par CrossCurve avec plusieurs validateurs, démontrent qu’il est possible de réduire significativement le rayon d’impact d’un incident.

Cette centralisation rampante contredit les principes fondamentaux de la DeFi : éliminer les intermédiaires de confiance et distribuer les risques. Au lieu de cela, l’industrie reconstruit parfois inconsciemment les fragilités qu’elle prétend surpasser par rapport à la finance traditionnelle.

L’impact sur Aave et les leçons de la composabilité DeFi

Aave, l’un des protocoles de lending les plus importants de l’écosystème, n’a pas été directement hacké. Pourtant, il s’est retrouvé au cœur de la tempête. Les rsETH volés ont servi de collateral pour emprunter d’importantes quantités d’ETH, créant un déséquilibre majeur et forçant des mesures d’urgence.

Cet épisode illustre les risques des modèles de lending non isolés. Contrairement à des pools séparés où chaque asset gère ses propres risques, les approches partagées exposent tous les utilisateurs aux défaillances d’un seul token.

Egorov critique ouvertement cette architecture, suggérant que des options comme les modèles « hub-and-spoke » ou semi-isolés pourraient offrir un meilleur équilibre entre scalabilité et sécurité, bien que plus complexes à implémenter.

Cette contagion met en garde contre une confiance excessive dans la robustesse supposée des protocoles interconnectés. Même les plus établis peuvent souffrir indirectement des choix risqués d’autres projets.

Pourquoi les hacks « évitables » se multiplient en 2026

L’année 2026 semble marquée par une recrudescence des incidents de sécurité en DeFi. Au-delà du cas KelpDAO, d’autres exploits majeurs comme celui touchant Drift Protocol pour environ 285 millions de dollars ont contribué à un total dépassant les 750 millions de dollars sur les premiers mois.

Beaucoup de ces attaques exploitent non pas des bugs complexes dans le code smart contract – souvent audité – mais des erreurs de configuration ou des dépendances humaines trop concentrées.

Les social engineering, les compromis de clés via des attaques prolongées, ou les configurations minimalistes de validateurs cross-chain reviennent régulièrement. Ces éléments soulignent un manque de maturité dans la manière dont les équipes déploient des infrastructures critiques.

Egorov insiste : il ne s’agit pas de malchance, mais d’un pattern récurrent de choix qui privilégient la rapidité ou la simplicité au détriment de la résilience. Cette approche court-termiste finit par coûter cher à l’ensemble de l’écosystème en termes de confiance et de capital.

Vers des standards DeFi communs : propositions concrètes

Pour sortir de ce cycle, Michael Egorov propose une feuille de route claire. Les projets, auditeurs et équipes de risk management devraient partager ouvertement leurs meilleures pratiques sur des sujets variés : configuration des vérificateurs cross-chain, mise en place de rate limits, politiques de multisignatures, mécanismes de kill switch, etc.

Ces échanges pourraient aboutir à l’établissement de standards de sécurité DeFi applicables transversalement, indépendamment des chaînes spécifiques. Bien qu’il ne s’agisse pas de régulation formelle, ces guidelines pourraient servir de référence commune et décourager les déploiements risqués.

Les fondations Ethereum et Solana devraient aider à coordonner ce travail pour créer un livre de règles commun.

Michael Egorov

Le rôle des fondations est crucial selon lui. En tant qu’entités neutres et influentes, elles pourraient organiser des ateliers, publier des recommandations et favoriser l’adoption volontaire de ces standards par les équipes de développement.

Curve Finance elle-même pourrait prendre les devants en publiant ses propres standards internes, servant ainsi d’exemple pour l’industrie.

Comparaison avec la finance traditionnelle : les leçons à tirer

Paradoxalement, alors que la DeFi se positionne comme une alternative plus sûre et transparente à la finance traditionnelle, elle reproduit parfois les mêmes vulnérabilités : dépendance à des points centraux de contrôle et manque de redondance.

Dans la TradFi, les institutions financières sont soumises à des audits rigoureux, des exigences de capital, et des cadres réglementaires qui imposent une gestion stricte des risques opérationnels. La DeFi, par nature plus agile, manque encore de ces garde-fous collectifs.

Egorov suggère d’inspirer des pratiques éprouvées de la finance classique tout en préservant l’esprit décentralisé : diversification des validateurs, tests de stress réguliers, transparence sur les configurations critiques, et mécanismes de réponse rapide aux incidents.

L’objectif n’est pas de copier le modèle traditionnel, mais d’emprunter ses meilleures pratiques pour renforcer la résilience sans sacrifier les avantages uniques de la blockchain.

Le rôle des auditeurs et des équipes de risk management

Au-delà des développeurs, les auditeurs jouent un rôle pivotal. Trop souvent, les audits se concentrent sur le code smart contract sans examiner suffisamment les architectures globales et les dépendances externes.

Egorov appelle à une évolution des pratiques d’audit : inclure systématiquement l’analyse des points de défaillance centralisés, simuler des scénarios de compromis de bridges ou d’oracles, et évaluer l’impact potentiel sur l’écosystème interconnecté.

Les équipes de risk management des protocoles majeurs doivent également adopter une posture plus proactive. Lister un asset comme rsETH nécessite une due diligence approfondie sur sa chaîne de confiance, pas seulement sur son rendement attractif.

La récente transition de responsabilité chez Aave, avec le départ de Chaos Labs et l’arrivée de LlamaRisk, illustre les défis constants dans la gestion des risques au sein de protocoles à grande échelle.

Perspectives pour Ethereum, Solana et les autres écosystèmes

L’appel d’Egorov s’adresse particulièrement aux fondations des deux plus grandes blockchains smart contract : Ethereum et Solana. Ces entités disposent de la légitimité et des ressources pour initier un dialogue inter-projets constructif.

Sur Ethereum, où la DeFi reste la plus mature, des standards pourraient s’appuyer sur les leçons des nombreux incidents passés. Solana, avec sa vitesse et son écosystème en croissance rapide, doit éviter de répéter les mêmes erreurs en priorisant la sécurité dès la conception.

D’autres chaînes comme Arbitrum, qui a joué un rôle dans la récupération partielle des fonds via son security council, pourraient également contribuer en partageant leurs approches de gouvernance d’urgence.

Impact sur la confiance des utilisateurs et l’adoption future

Chaque hack majeur érode un peu plus la confiance des utilisateurs retail et institutionnels. Après des années d’efforts pour légitimer la DeFi, des incidents comme celui de rsETH risquent de renforcer l’image d’un secteur immature et risqué.

Pourtant, la vision d’Egorov reste optimiste : la DeFi représente l’avenir du système financier mondial. Mais pour réaliser ce potentiel, l’industrie doit démontrer sa capacité à s’auto-réguler et à éliminer ses faiblesses structurelles.

Les utilisateurs avertis commencent à exiger plus de transparence sur les configurations de sécurité des protocoles qu’ils utilisent. Les TVL pourraient migrer vers les projets adoptant volontairement des standards plus élevés.

Exemples de bonnes pratiques déjà existantes

Heureusement, tous les protocoles ne commettent pas les mêmes erreurs. Certains, comme CrossCurve associé à Curve Finance, ont intégré dès le départ des designs multi-validateurs pour minimiser les risques cross-chain.

D’autres implémentent des rate limits sur les bridges, des délais de retrait, ou des mécanismes de pause automatisés basés sur des seuils d’activité anormale. Ces mesures, bien que parfois contraignantes pour l’expérience utilisateur, prouvent leur valeur en cas d’attaque.

La communauté open-source joue également un rôle important en développant des outils de monitoring et d’alerte précoce pour détecter les configurations risquées avant qu’elles ne soient exploitées.

Défis à surmonter pour une adoption large des standards

Établir des standards communs ne sera pas sans obstacles. La DeFi valorise l’innovation et la concurrence ; imposer des règles, même volontaires, pourrait être perçu comme une contrainte limitant la créativité.

De plus, l’hétérogénéité des chaînes et des technologies cross-chain complique l’uniformisation. Ce qui fonctionne sur Ethereum ne s’applique pas forcément de manière identique sur Solana ou d’autres L2.

Enfin, la question de la gouvernance de ces standards reste ouverte : qui les maintient ? Comment les mettre à jour face à l’évolution rapide des menaces ? Ces défis nécessitent une collaboration étroite entre tous les acteurs.

Conclusion : vers une DeFi plus mature et résiliente

L’intervention de Michael Egorov marque peut-être un tournant. En posant publiquement la question provocante sur l’état de l’industrie, il force la communauté à réfléchir collectivement plutôt que de traiter chaque incident comme un cas isolé.

La route vers des standards de sécurité unifiés est longue, mais nécessaire si la DeFi veut tenir ses promesses de système financier ouvert, inclusif et robuste. Les fondations, les protocoles leaders comme Curve et Aave, les auditeurs et les utilisateurs ont tous un rôle à jouer.

En éliminant progressivement ces points de défaillance centralisés, l’écosystème pourra non seulement réduire les pertes financières, mais aussi gagner en légitimité auprès d’un public plus large. L’avenir de la finance décentralisée dépend de sa capacité à apprendre de ses erreurs et à bâtir des infrastructures dignes de confiance.

Cet appel à l’action arrive à un moment critique où la DeFi doit prouver sa maturité. Les mois à venir diront si l’industrie choisit la voie de la résilience collective ou continue à reconstruire les mêmes vulnérabilités sous de nouveaux atours.

En attendant, les utilisateurs sont invités à faire preuve de vigilance, à privilégier les protocoles transparents sur leurs mesures de sécurité, et à soutenir les initiatives visant à renforcer l’ensemble de l’écosystème.

La DeFi reste une révolution en marche. Avec une approche plus rigoureuse de la sécurité, elle pourra transformer les chocs actuels en opportunités de construction durable pour le système financier de demain.