Les incidents récents montrent que les risques de sécurité crypto s'étendent au-delà du code des contrats vers la gouvernance, le consensus, les dépendances et les contrôles opérationnels.
Pourquoi la sécurité crypto évolue au-delà des contrats intelligents
Les audits et la vérification formelle restent importants, mais les incidents récents montrent que la sécurité crypto dépend également de la gouvernance, du consensus, des dépendances, de la comptabilité et des contrôles opérationnels.
Un incident signalé a impliqué la perte d'environ 8,5 millions de dollars par Term Finance après qu'un attaquant a acquis la majorité du pouvoir de vote sur un jeton de gouvernance peu échangé. D'autres incidents ont impliqué des blocs invalides, une dépendance en amont, une comptabilité en plusieurs étapes et des permissions de délégation inter-chaînes.
Le risque de gouvernance mérite un examen explicite. La concentration des jetons, la conception du quorum, les règles de délégation, les verrous temporels, les permissions du trésor et la capacité d'un seul portefeuille à contrôler une proposition peuvent affecter de manière significative la sécurité.
Les protocoles peuvent renforcer les contrôles par des quorums minimaux, le verrouillage des votes, les délais de proposition, les plafonds de délégation, l'examen indépendant, des gardiens d'urgence aux compétences restreintes, des inventaires de dépendances, des examens d'accès, la surveillance et la révocation testée des permissions.
Avant d'allouer des fonds à un protocole DeFi, examinez la concentration de la gouvernance, le quorum, les délais de proposition, les permissions du trésor, les pratiques de dépendance, les hypothèses des validateurs et les procédures d'urgence. Un audit de contrat propre est une preuve utile, mais ce n'est pas une évaluation complète des risques.
Perspective de clôture
La sécurité crypto signifie désormais protéger l'ensemble du système qui peut influencer ou déplacer des actifs. La gouvernance, le consensus, les dépendances, la comptabilité et les opérations méritent tous des contrôles explicites.
FAQ : Les audits de smart contracts sont-ils encore pertinents ?
Oui. Les audits identifient les risques de code, mais ils ne remplacent pas les revues de concentration de gouvernance, d'hypothèses de consensus, de dépendances, de contrôles d'accès ou de procédures opérationnelles.