2026-04-07 18:44:05

#DriftProtocolHacked

#Gate广场四月发帖挑战
Le vol de 1928374656574,84T de dollars a été préparé sur six mois
Le 1er avril 2026, cela ne devait être qu'une blague. Cette date rendait le premier post de Drift Protocol presque irréel alors qu'ils confirmaient que la plateforme était en cours d'attaque. Lorsqu'ils ont publié le message, les dégâts étaient déjà faits. Entre $285 millions et $200 millions de dollars avaient été entièrement retirés. Ce n'est pas une erreur de contrat intelligent ou une mise en œuvre précipitée. C'est le résultat d'une campagne de manipulation sociale qui a duré plusieurs mois, menée avec précision et patience. Les attaquants ont assisté à des conférences, construit des relations, injecté des fonds et se sont positionnés comme des acteurs de confiance avant de passer à l'étape finale. Lorsqu'ils ont agi, le retrait a été effectué en quelques minutes.
Drift Protocol, Qu'est-ce que c'est et quels sont les enjeux
Drift Protocol est la plus grande plateforme d’échange de contrats à terme perpétuels décentralisée sur Solana. Elle permet aux utilisateurs de trader des positions à effet de levier sans intermédiaire central. Au moment de l'attaque, sa valeur totale verrouillée était d'environ $285 millions de dollars. Ce n'est pas seulement un protocole majeur, mais aussi un pilier important de la liquidité DeFi sur Solana. Lorsqu'il a été compromis, l'impact s'est propagé à tout l'écosystème. La TVL a chuté de $550 millions à moins de $550 millions en quelques heures. Ce n'était pas un incident isolé. Il a affecté de nombreux protocoles dépendant de la liquidité et de la structure de tarification de Drift.
Préparé sur six mois
L'attaque a commencé plusieurs mois avant que des individus se présentent comme une société de trading quantitatif. Ils ont assisté à des événements du secteur, interagi avec des membres de l'équipe et construit leur crédibilité au fil du temps. Ils ont injecté plus de $250 millions de dollars dans la plateforme, établissant la confiance. Progressivement, ils ont approché des collaborateurs impliqués dans la gouvernance et l'infrastructure. La compromission s'est produite via des dépôts malveillants et une application de portefeuille factice ciblant des personnes ayant des accès élevés. Lorsque l'exploitation a eu lieu, les attaquants avaient déjà en main ce dont ils avaient besoin.
Comment les Nonces Persistants sont devenus une arme
Le cœur technique de l'attaque concerne la fonctionnalité de nonces persistants de Solana. Habituellement, les transactions expirent rapidement en raison des hash de blocs à court terme. Les nonces persistants permettent aux transactions de rester valides plus longtemps, autorisant une exécution différée. Cette fonctionnalité est utile à des fins légitimes mais devient un outil clé dans cette exploitation. Après avoir compromis des membres du conseil de sécurité, les attaquants ont obtenu des signatures valides sur des transactions apparemment normales. Ces transactions avaient été signées plusieurs semaines à l'avance. Étant donné qu'elles utilisent des nonces persistants, elles n'expirent pas. Lors de leur exécution, elles disposent de tous les pouvoirs de confirmation. Le système fonctionne comme prévu, mais le contexte a été manipulé.
Le retrait des fonds
Les attaquants ont agi rapidement dès qu'ils ont commencé à exécuter leurs opérations. Les actifs ont été retirés de manière structurée pour maximiser la valeur récupérée. La majorité des tokens provenaient du Jupiter Liquidity Pool, accompagnés de USDC, Bitcoin wrapped et SOL. Cette diversification a réduit la détection et l'intervention immédiate. En quelques minutes, des centaines de millions de dollars ont quitté la plateforme. Les systèmes de surveillance ont alerté sur des activités inhabituelles, mais le temps de réaction n’a pas été suffisant pour empêcher des transactions déjà autorisées.
Problème de transfert de USDC
Une grande partie des fonds, environ $1 millions de dollars, était en USDC. Ces fonds ont été transférés de Solana vers Ethereum via une infrastructure cross-chain sur plusieurs heures. Cela a suscité une vive controverse. L’émetteur aurait pu geler ces fonds liés à l’exploitation, mais n’a pas agi durant cette période. La transmission s’est poursuivie à travers plusieurs transactions jusqu’à ce qu’elle soit terminée. Cela soulève de graves questions sur la responsabilité de la réaction et les limites du contrôle centralisé dans des écosystèmes décentralisés.
Impact sur le marché
La réaction du marché a été immédiate. Le token DRIFT a chuté fortement, perdant près de la moitié de sa valeur en quelques heures. La valeur totale verrouillée a diminué alors que les utilisateurs ont rapidement retiré leurs fonds. Plus d'une dizaine de protocoles basés sur Solana ont été perturbés en raison de leur exposition à la liquidité de Drift. L’écosystème plus large a vu sa confiance diminuer alors que le risque s’étendait à d’autres plateformes liées. Cet événement met en évidence le degré d’interconnexion des systèmes DeFi.
Ce que cette attaque révèle
Cette exploitation n’est pas due à une faille de code. Elle concerne la perte de confiance dans un système basé sur la coordination humaine. Le modèle de sécurité multisig n’a pas été contourné. Il a été compromis par des signatures valides obtenues via une manipulation sociale. Le cadre de gouvernance a fonctionné comme prévu, mais la couche décisionnelle a été manipulée. Cela expose une faiblesse grave dans la DeFi. Les audits peuvent vérifier le code, mais ne peuvent pas garantir que les acteurs autorisés ne seront pas dupés par une manipulation sociale.
Conclusion
L’attaque contre Drift Protocol offre une leçon claire. La sécurité dans la DeFi ne dépend pas uniquement des contrats intelligents. Elle implique aussi les personnes, les processus et les hypothèses. Les fonctionnalités conçues pour la flexibilité peuvent devenir des vulnérabilités si elles sont mal utilisées. La structure de gouvernance n’est aussi forte que les individus qui la soutiennent. Perdre $230 millions de dollars est une grande perte, mais l’impact profond réside dans ce que cela révèle. L’industrie doit désormais faire face à la réalité que les vulnérabilités humaines sont souvent plus difficiles à prévenir que les failles techniques.

DRIFT20,29%

SOL7,51%

JUP6,79%

Voir l'original

Raveena

2026-04-07 06:29:11

🔥 #ChaosLabsExitsAaveDAO – La plongée complète et non filtrée

📌 Résumé exécutif

Date de l'annonce : 6 avril 2026
Acteur clé : Chaos Labs #ChaosLabsExitsAaveDAO fournisseur principal de gestion des risques pour Aave depuis 2023(
Action : Résiliation de son engagement avec AaveDAO, avec effet immédiat )sous une période de transition(
Durée du partenariat : environ 3 ans
Annoncé par : Omer Goldberg, CEO de Chaos Labs, via le forum de gouvernance d'Aave et les réseaux sociaux

Cela marque la troisième sortie majeure d’un contributeur central d’Aave ces derniers mois, après BGD Labs et l’Initiative Aave Chan )ACI(. Chaos Labs était le dernier spécialiste en risques techniques restant de la cohorte initiale.

)

🧠 Partie 1 : Pourquoi Chaos Labs est-il vraiment parti ? #ChaosLabsExitsAaveDAO Analyse approfondie(

Goldberg a listé trois raisons officielles, mais la véritable histoire comporte plus de nuances.

1️⃣ Le départ d’autres contributeurs clés a créé une « fuite de connaissances »

· BGD Labs )ingénierie de contrats intelligents & développement central( a quitté plus tôt en 2026.
· L’ACI )Initiative Aave Chan(, dirigée par Marc Zeller, a également quitté, invoquant fatigue de gouvernance et raisons personnelles.
· Avec leur départ, Chaos Labs est devenu le seul contributeur original restant responsable de :
· Surveillance des risques en temps réel
· Recommandations de paramètres )LTV, seuil de liquidation, plafond d’emprunt(
· Tests de résistance et analyses de scénarios
· Réponse aux incidents d’urgence

Goldberg a déclaré :

« Nous étions conçus pour être une couche dans un système de gestion des risques à plusieurs niveaux. Lorsque les autres couches ont disparu, l’attente s’est portée sur nous pour combler chaque lacune. Ce n’était jamais l’accord. »

2️⃣ Le lancement d’Aave V4 a doublé la charge de travail

· Aave V4 a été déployé une semaine seulement avant )fin mars 2026(.
· Nouvelles fonctionnalités :
· Couche de liquidité unifiée )modèle hub-and-spoke(
· Courbes de taux d’intérêt dynamiques
· Comptes intelligents et fonctionnalités cross-chain
· Problème critique : V3 doit continuer à fonctionner jusqu’à ce que V4 absorbe complètement tous les marchés V3. Cette transition pourrait durer de 6 à 18 mois.
· Pendant cette période, Chaos Labs devra :
· Surveiller les paramètres de risque de V3 et V4
· Maintenir des modèles séparés pour chaque version
· Gérer d’éventuels bugs ou exploits liés à la migration

L’évaluation directe de Goldberg :

« La charge de travail pendant la transition ne diminue pas. Elle double. Vous faites fonctionner deux systèmes parallèles avec des profils de risque différents. Cela nécessite deux fois plus d’ingénieurs, deux fois plus de surveillance, deux fois plus de responsabilité. »

3️⃣ Insoutenabilité financière – Les chiffres ne mentent pas

Chaos Labs a opéré son engagement avec Aave en perte pendant trois années consécutives.

· Budget annuel proposé par Aave Labs : )millions$5
· Chaos Labs a demandé : $8 millions minimum( pour couvrir V3 + V4 + le travail GTM institutionnel
· Écart : )millions de différence$3

Goldberg a fourni une référence :

« Les banques traditionnelles consacrent 6 à 10 % de leur budget opérationnel à la conformité et à l’infrastructure de gestion des risques. Les protocoles DeFi dépensent moins de 1 % en risque. Ces chiffres ne concordent pas si vous souhaitez une sécurité de niveau institutionnel. »

Il a aussi révélé que Chaos Labs a dû subventionner ses travaux pour Aave avec des revenus d’autres clients (comme Jupiter, Bancor, et d’autres). Ce modèle est devenu insoutenable à mesure que les exigences d’Aave augmentaient.

4️⃣ Responsabilité légale & réglementaire – La peur non dite

C’est peut-être la raison la plus importante, enfouie profondément dans le post de Goldberg sur le forum.

« Il n’existe pas de cadre réglementaire, de refuge sûr, ni de loi établie qui réponde à la question de ce qu’un gestionnaire ou conservateur de risque doit lorsqu’un protocole échoue. Si tout fonctionne, le travail est invisible. Si ça casse, la responsabilité ne l’est pas. »

En termes simples :

· Si une recommandation de paramètre de risque entraîne une cascade de liquidations ou une dette impayée, qui peut être poursuivi ?
· Si un hacker exploite une vulnérabilité que Chaos Labs n’a pas signalée, sont-ils responsables ?
· Aucun tribunal n’a encore statué sur les devoirs d’un gestionnaire de risque en DeFi. Aucun produit d’assurance ne couvre cette exposition.

Goldberg a noté que plusieurs clients institutionnels avaient commencé à demander à Chaos Labs des avis juridiques sur leur cadre de responsabilité. Quand Chaos Labs n’a pas pu fournir de réponse claire, ces clients sont partis.

« Nous avons réalisé que nous assumions un risque juridique illimité pour un avantage nul. Ce n’est pas une activité commerciale. C’est une œuvre caritative avec une action en justice en attente. »

---

🗣️ Partie 2 : La version d’Aave – La réponse de Stani Kulechov

Stani Kulechov, CEO d’Aave Labs, a offert une narration nettement différente dans le même forum de gouvernance.

Contre-argument : Chaos Labs voulait un contrôle monopolistique

« Chaos Labs cherchait à devenir le seul gestionnaire de risque pour Aave, à remplacer Chainlink par sa propre solution d’oracle, et à faire partir LlamaRisk. Ce sont des conditions que nous n’étions pas prêts à accepter. »

Si cela s’avère vrai, cela centraliserait le cadre de gestion des risques d’Aave dans une seule entité à but lucratif – exactement à l’opposé de l’esprit DeFi.

Contre-argument : La demande de $8 millions n’était pas justifiée

Kulechov a soutenu que les besoins en risque d’Aave sont modulaires et évolutifs :

· La gestion des risques V3 peut être progressivement abandonnée à mesure que la liquidité migre vers V4.
· De nombreux paramètres de risque sont désormais automatisés via le moteur de risque intégré d’Aave (introduit dans V4).
· L’estimation de Chaos Labs de $8 millions comprenait « du travail GTM institutionnel » que Aave n’a jamais demandé.

Contre-argument : Aave se portera bien sans Chaos Labs

Kulechov a annoncé un cadre de gestion des risques à trois couches :

| Couche | Responsabilité | Entité |
|---------|------------------|---------|
| Économique | Recommandations de paramètres, tests de résistance | LlamaRisk (budget & équipe élargis) |
| Technique | Sécurité des contrats intelligents, sécurité des mises à niveau | Aave Labs (interne) |
| Gouvernance | Évaluation des propositions, pouvoirs d’urgence | AaveDAO via de futurs votes |

Il a aussi confirmé :

· Les contrats intelligents, les listings d’actifs, et les déploiements réseau restent inchangés.
· Les deux parties coopéreront durant une période de transition (durée à déterminer).

#ChaosLabsExitsAaveDAO

📊 Partie 3 : Réaction du marché & de la communauté – Surprise, plutôt calme

Malgré cette sortie dramatique, le marché a à peine réagi.

Metrics on-chain (au 7 avril 2026)

| Metric | Valeur | Changement (24h) |
|---------|---------|------------------------|
| TVL d’Aave | 247,3 milliards de dollars | -0,4 % |
| Revenu quotidien | ~194 000 $ | -1,2 % |
| Prix du token AAVE | 93,30 $ | -1,0 % |
| Prêts actifs | 12,1 milliards de dollars | +0,1 % |

Interprétation : Le marché considère cela comme une restructuration de gouvernance, pas une défaillance du protocole.

Sentiment communautaire – X (Twitter) & Discord

· Avis positif : « Enfin, Aave élimine les points de défaillance uniques. La gestion des risques doit être décentralisée, pas externalisée à une seule société. »
· Avis négatif : « Trois contributeurs clés partis en six mois. Ce n’est pas une coïncidence. Quelque chose ne tourne pas rond dans AaveDAO. »
· Avis neutre : « Voyons qui remplace Chaos Labs. Si LlamaRisk prend le relais, tant mieux. Sinon, on a un problème. »

Influenceurs notables :

· DCinvestor : « La sortie de Chaos Labs est baissière à court terme, haussière à long terme. Aave devait faire évoluer son cadre de risque au-delà de la dépendance à un seul fournisseur. »
· Hsaka : « Le prix n’a pas bougé. Cela veut dire que personne ne s’en soucie. Ou que tout le monde l’avait déjà intégré dans le prix. »

---

🔮 Partie 4 : Que se passe-t-il ensuite ? – 5 scénarios à surveiller

Scénario 1 – LlamaRisk se développe avec succès (Très probable)

· LlamaRisk embauche des analystes et ingénieurs supplémentaires.
· AaveDAO vote pour augmenter le budget de LlamaRisk à plus de 5 millions de dollars.
· La migration V3 vers V4 se déroule sans problème sur 12 mois.
· Résultat : Aave continue en tant que protocole de prêt. Chaos Labs s’efface de la gouvernance d’Aave.

Scénario 2 – Des lacunes en risque apparaissent $2M Possible(

· Sans surveillance en temps réel de Chaos Labs, une erreur mineure de paramètre passe inaperçue.
· Une petite cascade de liquidations se produit, mais aucune dette impayée.
· La gouvernance se dépêche de mettre en place un fournisseur de risque de secours )possiblement Gauntlet ou une nouvelle entité(.
· Résultat : Volatilité à court terme, mais le protocole survit.

Scénario 3 – Intervention réglementaire )Faible probabilité(

· Un événement de liquidation majeur entraîne des pertes réelles pour des prêteurs institutionnels )comme FalconX ou Cumberland(.
· Ces institutions déposent plainte auprès des régulateurs )ex. NYDFS, SEC(.
· Les régulateurs remettent en question la structure de gestion des risques d’AaveDAO.
· Résultat : Incertitude juridique et actions potentielles de mise en conformité.

Scénario 4 – Départs de copie )Probabilité moyenne(

· D’autres fournisseurs de risque )ex., Gauntlet, Block Analitica( examinent leurs propres engagements avec Aave.
· Certains peuvent renégocier ou se retirer s’ils font face à des pressions financières ou juridiques similaires.
· Résultat : AaveDAO contraint de constituer une équipe de gestion des risques entièrement interne.

Scénario 5 – Retour de Chaos Labs sous de nouvelles conditions )Peu probable mais pas impossible(

· Si l’adoption de V4 explose et que le TVL double, AaveDAO pourrait revoir le )budget.
· Chaos Labs pourrait revenir en tant que fournisseur de risque non exclusif.
· Résultat : scénario peu probable, mais dans la DeFi, tout peut arriver.

---

📚 Partie 5 : Contexte historique – Pourquoi cela semble familier

Ce n’est pas la première fois qu’un grand protocole DeFi perd son fournisseur de risque.

Protocole | Fournisseur de risque | Année | Résultat
---------|------------------------|--------|---------
Compound | Gauntlet | 2024 | Gauntlet a démissionné suite à des disputes budgétaires. Compound a survécu.
Euler Finance | Chaos Labs | 2023 | Euler a été piraté quand même $8M (perte$197M . Chaos Labs a continué.
MakerDAO | Plusieurs | 2022-2024 | Maker a migré vers des équipes de risque internes )métriques DAI(. Transition réussie.

En conclusion : Les protocoles DeFi sont résilients face aux sorties de fournisseurs, à condition que les contrats intelligents soient solides et que la gouvernance puisse agir rapidement.

---

⚠️ Partie 6 : Risques & incertitudes )Pour les lecteurs informés(

· Période de transition non définie – Chaos Labs et Aave Labs n’ont pas précisé combien de temps Chaos Labs restera disponible pour consultation. Même quelques semaines de vide peuvent être risquées.
· Capacité de LlamaRisk – LlamaRisk dispose actuellement d’environ 5 équivalents temps plein. La montée en puissance pour remplacer Chaos Labs )15+ FTE( prendra du temps et nécessitera des fonds.
· Bugs en début de V4 – Le nouveau code comporte toujours des risques. Sans la surveillance éprouvée de Chaos Labs, les premiers mois de V4 sont plus exposés.
· Absence de clarté légale – La question de la responsabilité principale reste sans réponse. Les futurs fournisseurs de risque feront face au même dilemme.

---

🏁 Dernière réflexion

)n’est pas un signe de mort pour Aave. C’est, cependant, un test de résistance à la maturité de la gouvernance d’Aave et de sa capacité à décentraliser des fonctions auparavant externalisées.

Pour Chaos Labs, c’est une retraite stratégique pour se concentrer sur des engagements rentables et juridiquement plus sûrs. Pour Aave, c’est une opportunité de construire un cadre de gestion des risques plus résilient et multi-couches – si la gouvernance exécute correctement.

Ce qu’il faut surveiller cette semaine :

· 8-10 avril : Appel d’urgence de gouvernance AaveDAO #ChaosLabsExitsAaveDAO programmé(
· 12 avril : Proposition de budget de LlamaRisk attendue
· 15 avril : Premier test de migration de liquidité V4 vers V3

Cette page peut inclure du contenu de tiers fourni à des fins d'information uniquement. Gate ne garantit ni l'exactitude ni la validité de ces contenus, n’endosse pas les opinions exprimées, et ne fournit aucun conseil financier ou professionnel à travers ces informations. Voir la section Avertissement pour plus de détails.