La faiblesse congénitale de la finance décentralisée

Depuis dix jours, Claude Mythos, l’IA d’Anthropic présentée comme la terreur de tous les systèmes de cybersécurité, fait passer un frisson d’angoisse chez les garants de la stabilité financière. Mais dans l’univers de la finance décentralisée, pas besoin de recourir aux formes les plus sophistiquées d’intelligence artificielle pour percer les coffres-forts. Un très classique piratage informatique provoque depuis vendredi l’équivalent d’une fuite des dépôts au sein de la « DeFi » et met en émoi tous les professionnels des cryptoactifs.

Aave, l’un deux grands protocoles de finance décentralisée avec le Français Morpho, est au centre de la tempête. Schématiquement, le système permet à ses utilisateurs de prêter et d’emprunter des crypto-actifs, sans intermédiaire ni autorité centrale, de manière instantanée et à toute heure, grâce à des « smart contracts » utilisés sur des blockchains publiques. Un détenteur d’ethereum ou d’USDC, le stablecoin en dollar de Circle, pourra ainsi les déposer dans un pot commun, en échange de jetons qui vont lui rapporter une rémunération. L’emprunteur, lui, devra apporter en garantie d’autres cryptoactifs, avec une marge de sécurité pour le prêteur.

L’attaque n’a pas touché directement Aave, mais l’un des ponts qui permettent d’y accéder. Les hackeurs ont subtilisé des jetons numériques, puis les ont déposés comme collatéral dans le protocole pour emprunter d’autres types de tokens. Une fois la fraude découverte, le monde de la DeFi n’a pu que constater les dégâts. Non seulement la garantie postée ne vaut plus rien face à une dette bien réelle, mais ces jetons toxiques ont gâté l’ensemble du pot commun et miné la confiance des utilisateurs. Qui va payer l’addition ? Faute de réponse claire, des milliards de dollars ont été retirés dans la nuit de samedi à dimanche. Dans l’univers bancaire, on parlerait de « bank run ».

A lire aussi: Le stablecoin dollar de la Société Générale officialise son entrée dans la DeFi

Un rôle systémique

Ce piratage, le dernier d’une longue série, met au jour la faiblesse congénitale de la finance décentralisée. Ses promoteurs ont rêvé d’un monde affranchi de toute autorité, à commencer par celle d’une banque centrale. Mais leurs velléités de développement les condamnent à s’institutionnaliser, donc à épouser les pratiques de la finance traditionnelle. Les banques et les gérants qui portent un intérêt croissant aux actifs tokenisés n’accepteront jamais, pas plus que leurs superviseurs, de se trouver à la merci d’architectures défaillantes. La première réponse, évidente, va consister à multiplier les couches de contrôle et les garde-fous. Penser et agir davantage en financier, et plus seulement en ingénieur.

Ce ne sera pas suffisant. Quels que soient les digues et les systèmes de partage des risques, la solidité d’un système financier finit toujours par reposer sur un prêteur en dernier ressort par temps de crise. Ce prêteur, c’est la banque centrale. La Réserve fédérale américaine a été créée précisément dans ce but, en 1913, après une série de paniques bancaires. On a vu son importance en 2008 suite à la faillite de Lehman Brothers, lorsque la Fed a ouvert son guichet aux banques d’investissement de Wall Street – Morgan Stanley et Goldman Sachs durent changer de statut en urgence pour en bénéficier – mais aussi aux fonds monétaires. On l’a encore vu en 2020, au moment du Covid, lorsque la Réserve fédérale a inondé le monde de dollars grâce aux accords de swaps de devises passés entre les autres grandes banques centrales.

Toutes les institutions systémiques, parmi lesquelles on peut aussi ranger les chambres de compensation, conservent ce lien vital. S’ils veulent se développer, les stablecoins ne pourront en faire l’économie : ces cryptoactifs arrimés à une devise vont devenir de gros détenteurs d’emprunts d’Etat, et les émetteurs souverains, Etats-Unis en tête, ne voudront pas qu’ils deviennent des facteurs de déstabilisation de leur dette. Mais pour accéder au guichet des institutions monétaires, il faudra montrer patte blanche et se soumettre aux contraintes d’une licence bancaire. On est loin de l’idéal permissif de la DeFi.