DeFi a été piraté pour 649 millions en 2022, pourquoi a16z appelle-t-il à abandonner "le code fait loi"

L’industrie DeFi fait face à une réalité embarrassante : de plus en plus de vulnérabilités sont exploitées par des hackers. Selon le rapport de Slowmist, en 2025, les protocoles DeFi ont perdu plus de 6,49 milliards de dollars en raison de failles dans leur code, même des projets établis comme Balancer, en fonctionnement stable depuis 2021, ont subi une perte de 1,28 milliard de dollars en novembre 2025. Dans ce contexte, Daejun Park, chercheur principal en sécurité chez a16z Crypto, a récemment publié un appel à l’industrie pour une transformation paradigmatique : passer du “code est la loi” à “les normes sont la loi”, en utilisant des normes de sécurité standardisées pour faire face à des menaces de plus en plus complexes.

Problèmes profonds de la crise de sécurité

La philosophie du “code est la loi” en DeFi a été autrefois son avantage concurrentiel, mettant en avant une décentralisation totale et la transparence du code. Mais les faiblesses de cette approche deviennent de plus en plus apparentes : le code lui-même peut contenir des vulnérabilités, souvent découvertes après déploiement. Selon les préoccupations des développeurs, les hackers utilisent de plus en plus d’outils d’IA pour rechercher ces vulnérabilités, rendant les audits de sécurité traditionnels insuffisants.

Les données montrent que l’ampleur du problème est considérable. Une perte annuelle de 6,49 milliards de dollars signifie que chaque protocole attaqué court un risque énorme. Le cas de Balancer illustre que même un code vérifié depuis des années peut encore contenir des vulnérabilités négligées.

La nouvelle proposition d’a16z

Daejun Park propose une solution concrète : utiliser des vérifications d’invariance (invariant checks) pour coder en dur des garanties de sécurité. En termes simples, cela consiste à définir dans les contrats intelligents des règles inviolables, qui, lorsqu’elles sont déclenchées lors de l’exécution d’une transaction, entraînent automatiquement le retour en arrière de cette transaction.

Les avantages de cette approche sont :

• Une protection en temps réel lors de l’exécution, sans dépendre d’audits postérieurs
• La plupart des vulnérabilités DeFi connues déclencheraient ce type de vérification
• Moins coûteux à mettre en œuvre comparé à une réécriture complète du code

Park souligne que cette méthode pourrait empêcher une attaque au moment précis où elle se produit, changeant fondamentalement la logique de sécurité de DeFi.

Défis pratiques

Cependant, l’industrie ne voit pas cette solution d’un œil totalement favorable. Selon les dernières nouvelles, le responsable sécurité d’Immunefi a souligné deux problèmes concrets : premièrement, les vérifications d’invariance augmenteraient le coût en gas des transactions, ce qui pourrait faire fuir les utilisateurs ; deuxièmement, cette solution n’est pas une panacée.

Le co-fondateur d’Asymmetric Research remet en question cette approche d’un point de vue technique : la complexité de nombreuses vulnérabilités rend difficile la conception de règles d’invariance efficaces, capables de détecter les attaques sans générer de faux positifs. En d’autres termes, la conception même des règles est un défi.

Tentatives existantes

Il est important de noter que cette idée n’est pas totalement nouvelle. Selon diverses sources, des projets comme Kamino et XRP Ledger ont déjà commencé à utiliser des vérifications d’invariance. Cela montre que, malgré les défis, certains pionniers explorent déjà cette voie.

Conclusion

L’appel d’a16z reflète une évolution importante dans l’industrie DeFi : passer d’une quête absolue de décentralisation avec “le code est la loi” à une sécurité contrôlable avec “les normes sont la loi”. Face à une perte annuelle de 6,49 milliards de dollars, cette transition apparaît comme nécessaire et urgente.

Cependant, la mise en œuvre de cette solution ne sera pas sans obstacles. Les coûts en gas, la complexité de la conception des règles, et d’autres défis pratiques doivent encore être surmontés. Plus profondément, la question demeure : l’industrie DeFi est-elle prête à faire des compromis entre sécurité et décentralisation ? C’est probablement le sujet central que le secteur devra continuer à débattre dans les prochains temps.