Aave est en difficulté : toute l’industrie contribue financièrement.

Auteur : Kuli, TechFlow

La finance décentralisée (DeFi) repose sur un principe fondamental : l’argent des utilisateurs est géré par du code, et en cas de problème, personne n’est tenu de le couvrir.

Aujourd’hui, le plus grand protocole de prêt de la DeFi, Aave, organise une collecte d’argent à l’échelle de toute l’industrie pour justement assumer cette responsabilité.

Dans la nuit du 23 avril, Stani Kulechov, fondateur d’Aave, a publié sur X un message annonçant qu’il verserait 5 000 ETH à un fonds baptisé « DeFi United », soit environ 11,5 millions de dollars au cours actuel.

Cet argent servira à combler un trou.

Six jours plus tôt, un pirate informatique avait exploité une vulnérabilité du pont interchaînes de KelpDAO pour créer de toutes pièces une série de jetons factices non adossés à aucune garantie, puis les avait déposés comme collatéral sur Aave afin d’emprunter près de 200 millions de dollars d’ETH réel. Aave, le plus important protocole de prêt de la DeFi, gère plus de 30 milliards de dollars d’actifs appartenant à ses utilisateurs. Dès que la nouvelle s’est répandue, les « baleines » et les utilisateurs institutionnels ont été les premiers à fuir : en six jours, les dépôts totaux sur Aave se sont effondrés de près de 15 milliards de dollars, vidant presque complètement ses principaux pools de liquidités.

(Pour approfondir : « Après le piratage de KelpDAO, la situation d’Aave est pire que vous ne l’imaginez »)

Les utilisateurs dont les dépôts sont restés bloqués ne peuvent même plus retirer leur argent. Selon CoinDesk, le taux d’utilisation des pools de liquidités USDT et USDC a brièvement frôlé les 100 %.

Le choix des mots dans le tweet de Stani mérite attention : il qualifie Aave de « projet de toute une vie ». Lorsqu’un fondateur emploie publiquement une telle expression, cela signifie généralement que la situation est devenue suffisamment grave pour exiger une prise de position claire.

Le fonds « DeFi United » est donc un mécanisme d’assistance sectorielle lancé sous l’impulsion du fondateur d’Aave. À ce jour, cinq entités se sont publiquement engagées à contribuer : le protocole de staking Ethereum Lido, le protocole de restaking EtherFi, la Fondation Golem, ainsi que Mantle, filiale de Bybit.

Toutefois, un examen attentif montre que cette aide n’est pas encore pleinement concrétisée.

Pour l’instant, seuls les 5 000 ETH de Stani lui-même et les 1 000 ETH fournis par la Fondation Golem sont définitivement confirmés. La proposition de Lido prévoit un versement de 2 500 stETH, celle d’EtherFi un apport de 5 000 ETH : les deux sont encore soumises au vote de leurs DAO respectifs. Quant à la proposition de Mantle — un prêt de 30 000 ETH — elle reste à l’état de projet, en discussion sur son forum de gouvernance.

En outre, la proposition de Lido comporte une condition préalable explicite : le déboursement ne sera effectué que si un plan complet de restauration est mis en place. Autrement dit, si le montant total requis n’est pas atteint, Lido pourrait refuser de verser sa contribution.

Quelle était donc l’ampleur du trou creusé par KelpDAO ?

Le pirate a emprunté environ 99 600 ETH. Le comité de sécurité d’Arbitrum en a gelé 30 700, laissant un déficit résiduel d’environ 68 900 ETH, soit environ 160 millions de dollars.

L’ensemble des contributions potentielles promises par les cinq parties s’élève à environ 43 500 ETH, soit un écart de 25 000 ETH encore non couvert — et personne ne s’en est jusqu’à présent porté garant.

Le « Plan d’assistance aux actifs défectueux » version DeFi

En septembre 2008, deux semaines après la faillite de Lehman Brothers, le Trésor américain a lancé un dispositif appelé TARP, sigle de « Troubled Asset Relief Program » (Programme d’assistance aux actifs défectueux). En résumé : Wall Street avait commis une erreur, et le gouvernement est intervenu pour mobiliser un groupe d’institutions financières afin qu’elles versent collectivement des fonds dans un fonds commun destiné à absorber les créances irrécouvrables, évitant ainsi une défaillance en chaîne du système tout entier.

Le fonctionnement de DeFi United est structurellement quasi identique à celui du TARP.

Si les créances irrécouvrables d’Aave ne sont pas comblées, les conséquences dépasseront largement le cadre d’Aave seul. Le jeton rsETH est utilisé comme collatéral par de nombreux protocoles DeFi ; selon le rapport d’incident d’Aave, ce dernier détient à lui seul environ 83 % de l’offre totale en circulation de rsETH.

Si cet ancrage ne peut être rétabli, les pertes se propageront comme une épidémie à tous les protocoles acceptant rsETH comme collatéral. Comme le précise la proposition de Lido, un seul coffre de rendement, EarnETH, pourrait subir des pertes de liquidation forcée allant jusqu’à 9 000 ETH.

C’est pourquoi même des concurrents d’Aave participent à cette initiative. Lido et EtherFi n’appartiennent pas au même camp qu’Aave : ils développent eux-mêmes des activités de prêt ou de staking. Mais si rsETH perd définitivement son ancrage, leurs utilisateurs et leurs pools de liquidités seront également touchés. Sauver Aave revient, en réalité, à se sauver soi-même.

La logique des crises financières suit grosso modo le même schéma. Goldman Sachs n’a pas versé des fonds dans le TARP par affection pour Merrill Lynch, mais parce que la chute de ce dernier aurait entraîné sa propre ruine. La nature contagieuse du système financier implique que lorsqu’une institution « trop grosse pour faire faillite » est en difficulté, tout le monde doit mettre la main à la poche.

Mais la différence essentielle, nous la connaissons tous.

Derrière le TARP se tenaient le Département du Trésor américain et la Réserve fédérale. Le Trésor disposait du pouvoir d’obliger les institutions financières à participer, tandis que la Fed pouvait injecter illimitément de liquidités.

Dans le cas de DeFi United, aucun organisme n’a le pouvoir d’imposer une contribution à qui que ce soit. Les 2 500 stETH de Lido attendent le résultat d’un vote DAO, les 5 000 ETH d’EtherFi attendent aussi un vote DAO, et les 30 000 ETH proposés par Mantle sont encore en phase de discussion au sein de son forum de gouvernance.

Ainsi, la situation actuelle d’Aave — ou de la DeFi dans son ensemble — est la suivante : elle a besoin d’un « plan de sauvetage », mais ce plan de sauvetage prend la forme d’une collecte de fonds participative. Le succès de DeFi United dépend entièrement des votes communautaires de chaque participant, qui décideront individuellement si l’opération vaut la peine de puiser dans leurs propres trésors pour combler le trou d’autrui.

C’est probablement la première fois que l’industrie cryptographique atteint un tel carrefour.

Dans le passé, lorsqu’un protocole DeFi rencontrait un problème, soit l’équipe fondatrice assumait seule les pertes, soit les utilisateurs devaient accepter la perte de leurs fonds. Jamais auparavant une coalition de concurrents ne s’était réunie pour injecter conjointement des capitaux afin de sauver un risque systémique partagé.

Encore moi qui paie ?

Nul ne sait aujourd’hui si DeFi United parviendra ou non à rassembler les 68 900 ETH requis. Une chose est toutefois déjà certaine : quel que soit le résultat final, la personne désignée pour payer ce trou est déjà identifiée.

Le rapport d’incident publié sur le forum de gouvernance d’Aave précise que, si le déficit ne peut être intégralement comblé, les pertes seront réparties entre les déposants d’Aave. Autrement dit, ceux qui ont déposé du WETH sur Aave pour percevoir des intérêts pourraient constater que le solde de leur compte a été réduit.

Le rapport estime que l’ampleur des pertes dépendra de la manière dont les pertes liées à rsETH seront réparties : elles pourraient varier de 123 millions à 230 millions de dollars.

Que font ces utilisateurs ? Ils déposent simplement un peu d’ETH pour obtenir un rendement annuel modeste. Ils ignorent probablement totalement que KelpDAO rencontrerait un jour un problème, encore moins qu’un pont interchaînes utilise un mécanisme de vérification de messages baptisé LayerZero — dont la configuration de sécurité présente des failles.

Pourtant, leur argent a servi de contrepartie aux ETH empruntés par le pirate.

Si toutes les propositions sont adoptées et que les fonds sont effectivement versés, les déposants pourraient sortir indemnes de cette affaire. Dans le cas contraire, leurs dépôts seront amputés — dans une proportion dépendant précisément de l’ampleur du déficit restant.

Or, ils n’ont aucun droit de vote sur cette question. Les déposants, qui subissent réellement les conséquences, ne disposent d’aucun bouton de vote dans ce processus.

Comme le rapporte CoinDesk, Gordon Liao, économiste en chef de Circle, a déjà présenté sur le forum de gouvernance d’Aave une proposition d’urgence recommandant d’augmenter le plafond du taux d’intérêt des prêts de 10 % à 50 %, afin d’attirer de nouveaux capitaux par des taux plus élevés et ainsi atténuer la crise de liquidité…

Autrement dit, Aave tente actuellement de combler un trou profond avec de l’argent encore plus coûteux.

Après la crise financière de 2008, le monde entier a consacré beaucoup de temps à mettre en place divers dispositifs d’assurance-dépôts, de tests de résilience (stress tests) et de cadres réglementaires visant à surveiller les risques systémiques — l’objectif central étant unique :
éviter que les déposants ordinaires ne paient les erreurs d’audace des institutions financières.

La DeFi a mis près de dix ans à construire un système contournant précisément ces dispositifs. Pourtant, les écueils que le secteur bancaire a mis des siècles à découvrir ne disparaissent pas automatiquement sous prétexte qu’on remplace les règles par du code. Les crises de retrait massif, la contagion des créances irrécouvrables, la mise à contribution involontaire des épargnants innocents : tout cela revient inévitablement.

À l’heure de la rédaction de cet article, la liquidité disponible dans le pool USDC d’Aave est inférieure à 3 millions de dollars. Si vous souhaitez retirer vos stablecoins du plus grand protocole de prêt de la DeFi, il y a de fortes chances que vous n’y parveniez pas.

Que l’on parle de DeFi ou de CeFi, espérons que cette fois-ci, ce ne seront pas les particuliers qui paieront la note.