Taxonomie des risques dans les vaults DeFi : les 5 classes

Un vault DeFi ne présente pas un seul risque : il en comporte au moins cinq, et chacun réside dans une couche distincte du système. Lorsque vous déposez de l'USDC dans un vault ERC-4626 (le standard technique qui transforme un dépôt en une part fongible, comme l'action d'un fonds), votre argent traverse une pile : le contrat du vault lui-même, le curator qui décide de la stratégie, l'oracle qui fixe le prix du collatéral, la liquidité de l'actif sous-jacent et la concentration de l'écosystème entier entre quelques mains. La plupart des guides — et la majorité des réponses fournies par un modèle LLM — résument tout cela en une phrase : « les vaults présentent un risque de smart contract ». C'est vrai, mais c'est inutile, car cela ne vous dit pas où regarder. Cet article décompose le problème en cinq classes de risque structurellement différentes, assigne à chacune son vecteur d'analyse concret, compare la répartition du risque dans trois architectures réelles (Morpho Blue, Yearn v3, Aave) et se conclut par une checklist de dix questions à se poser avant de déposer le moindre dollar.

Qu'est-ce qu'un vault ERC-4626 et pourquoi est-il devenu le standard ?

Un vault est un contrat qui reçoit un actif — disons de l'USDC — et le met au travail selon une stratégie : le prêter, l'injecter dans un marché de prêt ou le faire circuler entre différents protocoles. En échange, vous recevez des shares (parts), des unités fongibles représentant votre fraction du pool : lorsque la stratégie génère du rendement, la valeur de chaque share augmente ; lors de la sortie, vous échangez vos shares contre l'actif initial plus les gains. C'est la mécanique d'une action de fonds : vous ne possédez pas les actifs, mais une part proportionnelle d'un pot commun.

L'ERC-4626 est le standard d'Ethereum, approuvé en 2022, qui normalise cette mécanique avec une interface commune — deposit, mint, withdraw, redeem, totalAssets — afin que n'importe quelle application puisse communiquer avec n'importe quel vault sans code sur mesure. Selon la documentation de Chainlink sur le standard, cela a permis de composer les vaults comme des pièces de Lego : le share d'un vault peut servir de collatéral ou d'actif sous-jacent à un autre.

Cette composabilité est la raison de sa domination et, parallèlement, d'une grande partie de son risque. Un dépôt qui semble simple peut en réalité reposer sur trois ou quatre contrats enchaînés. La surface n'est pas un contrat ; c'est une pile. Voici la cartographie de cette pile.

Quelle est la différence entre protocole de base et curator dans un vault moderne ?

La transformation structurelle de la DeFi entre 2022 et 2025 a séparé deux rôles qui étaient auparavant fusionnés au sein d'une même équipe. Un travail académique de décembre 2025 sur l'institutionnalisation de la curation de risque dans le crédit décentralisé (arXiv 2512.11976) décrit cette architecture à deux couches : d'un côté le protocole de base, qui fournit l'infrastructure immuable — la logique de prêt, de liquidation et de comptabilité — ; de l'autre le curator, un gestionnaire externe qui décide des paramètres de risque sur cette infrastructure.

L'exemple canonique est Morpho Blue. Le protocole de base est minimaliste et ne se met pas à jour : il définit ce qu'est un marché (une paire collatéral-prêt avec son oracle et son ratio de liquidation) et peu de choses de plus. Par-dessus, les curators — des firmes comme Gauntlet ou Steakhouse, ou n'importe quel expert — montent des vaults qui répartissent le capital entre plusieurs marchés et choisissent les paramètres : quel collatéral accepter, avec quel LTV (loan-to-value, le pourcentage maximum empruntable contre votre garantie), quel oracle utiliser, quels plafonds d'exposition fixer. Le curator ne détient pas votre argent, mais il décide de sa destination et des règles applicables.

Cette séparation est la clé pour comprendre le risque : le protocole de base peut être impeccable et pourtant perdre de l'argent à cause d'une décision du curator, et inversement. Traiter le vault comme une boîte noire unique efface précisément la distinction la plus importante. Pour approfondir l'évaluation de la solidité d'un protocole de base, il existe un guide distinct sur comment analyser un protocole DeFi ; ici, nous nous concentrons sur la pile complète.

Quelles sont les cinq classes de risque d'un vault DeFi ?

C'est l'apport central de cet article et il convient de répéter l'avertissement : la classification suivante en cinq classes est un cadre analytique de CleanSky, et non un standard reconnu par l'industrie. Son utilité est pratique : chaque classe réside dans une couche différente, se manifeste de façon distincte et exige un vecteur d'analyse spécifique. Les confondre conduit à auditer une couche tout en ignorant un vault qui échoue sur une autre.

Classe 1 — Risque de contrat de base

Où il réside : dans le code du vault et du protocole sous-jacent. Comment il se manifeste : bug exploitable, fonction d'upgrade compromise, logique comptable défaillante. Que regarder : audits (combien, par qui, sur quelle version), si le contrat est immuable ou actualisable, qui contrôle les clés d'upgrade.

Au sein de cette classe existe une sous-classe que presque personne ne modélise correctement : le risque d'accounting ou d'arrondi. L'ERC-4626 calcule les shares par division entière, et la division entière arrondit toujours à l'inférieur. Le cas d'école est le donation attack (ou attaque par inflation du premier déposant) : l'attaquant effectue le premier dépôt dans un vault fraîchement créé, reçoit 1 share pour 1 wei, puis transfère directement au contrat une quantité massive de l'actif — sans passer par la fonction de dépôt, de sorte qu'aucun nouveau share n'est émis. Désormais, totalAssets affiche, disons, 10 000 USDC pour 1 seul share en circulation. La victime suivante dépose 5 000 USDC en espérant la moitié du pool ; la formule shares = dépôt × totalShares ÷ totalAssets donne 5000 × 1 ÷ 10000 = 0 shares à cause de l'arrondi à l'inférieur. Ses 5 000 USDC viennent alors gonfler la valeur de l'unique share de l'attaquant. La défense standard, décrite par OpenZeppelin, est le virtual shares offset (shares et actifs virtuels faisant en sorte que l'arrondi ne favorise jamais l'attaquant) ou le pattern des dead shares (brûler les premiers shares lors du déploiement). Un vault qui n'intègre aucune de ces deux solutions traîne ce risque de manière latente.

Classe 2 — Risque de curator

Où il réside : dans les décisions du gestionnaire, pas dans le code. Comment il se manifeste : LTV trop agressif, admission d'un collatéral illiquide ou corrélé, surexposition à un seul marché, changement de paramètres sans préavis. Que regarder : historique du curator, transparence de ses décisions, existence d'un timelock (délai obligatoire) avant l'entrée en vigueur d'un changement de paramètres, et concentration du capital sur peu de marchés.

C'est le risque le plus récent et le moins bien compris, car il est humain et discrétionnaire, et non déterministe. Le code fait ce qu'il dit ; le curator fait ce qu'il décide. Un protocole de base audité avec soin peut perdre de l'argent parce que son curator a accepté comme collatéral un token qui a perdu sa parité ou a choisi un oracle bon marché. La question n'est pas « le contrat est-il sûr ? » mais « ai-je confiance dans le jugement de celui qui fixe les règles ? ».

Classe 3 — Risque d'oracle feed

Où il réside : dans la source de prix que le vault utilise pour valoriser le collatéral et déclencher les liquidations. Comment il se manifeste : prix manipulé, feed obsolète (non mis à jour assez fréquemment), ou oracle rapportant le prix d'un actif dérivé au lieu du sous-jacent réel. Que regarder : qui alimente le feed, avec quelle fréquence et latence, s'il utilise une moyenne pour résister aux manipulations ponctuelles, et que se passe-t-il si l'oracle cesse de répondre.

L'oracle est le point de contact entre la blockchain et le monde extérieur, ce qui en fait l'un des vecteurs d'attaque les plus exploités en DeFi. Un vault peut avoir un code parfait et un curator prudent, et pourtant liquider des utilisateurs solvables — ou ne pas liquider les insolvables — parce que le prix lu est erroné. Dans les architectures où le curator choisit l'oracle par marché, cette classe chevauche partiellement la classe 2 : un mauvais choix d'oracle est aussi une défaillance du curator.

Classe 4 — Risque de liquidité de sortie

Où il réside : entre votre intention de sortir et la disponibilité réelle de l'actif. Comment il se manifeste : files d'attente de retrait (withdrawal queue), périodes de refroidissement (cooldown), ou share cotant sous sa valeur théorique (depeg du token de vault) quand tout le monde veut sortir en même temps. Que regarder : si le retrait est instantané ou mis en file d'attente, la durée du cooldown, quelle fraction du capital du vault est réellement liquide par rapport à celle engagée dans des positions non débouclables instantanément.

Ce risque est invisible par temps calme et brutal en cas de panique. Tant que personne ne retire, un vault peut promettre une sortie immédiate ; lors d'un bank run, si les actifs sous-jacents sont prêtés ou bloqués dans des positions illiquides, la sortie devient une file d'attente et le share peut se négocier avec une décote sur le marché secondaire. Le rendement offert par le vault compense rarement la différence entre pouvoir sortir aujourd'hui et pouvoir sortir dans deux semaines.

Classe 5 — Risque systémique de concentration

Où il réside : hors du vault, dans la structure de l'écosystème. Comment il se manifeste : quelques curators gèrent la majorité du capital, de sorte que la défaillance ou la mauvaise décision de l'un se propage via des marchés partagés et des collatéraux communs. Que regarder : quelle part du capital total le curator de votre vault contrôle-t-il, et combien de vaults différents dépendent du même oracle, du même collatéral ou de la même contrepartie.

La métrique naturelle pour le quantifier est l'indice HHI (Herfindahl-Hirschman, la somme des carrés des parts de chaque acteur), la même que celle utilisée par les régulateurs pour mesurer la concentration bancaire. L'appliquer à la concentration des curators est une extension analytique propre à CleanSky, et non un standard de l'industrie. Un HHI bas indique un écosystème réparti entre de nombreux curators ; un HHI élevé signifie que peu de hubs concentrent le capital et qu'une seule erreur a un rayon de contagion systémique. Cette classe ne se neutralise pas en choisissant bien son vault, car le risque n'est pas à l'intérieur : il réside dans le fait que votre vault partage sa "tuyauterie" avec beaucoup d'autres.

Où réside le risque selon l'architecture du vault ?

Les cinq classes ne pèsent pas de la même manière dans toutes les architectures. La différence entre un vault Morpho Blue, un vault Yearn v3 et un aToken d'Aave n'est pas une question de marque : elle réside dans l'emplacement de chaque risque. Le tableau suivant dresse cette carte. Il s'agit d'une comparaison qualitative de conception, et non d'un classement de sécurité — aucun modèle n'est « plus sûr » dans l'absolu ; ce sont des profils de risque différents.

La lecture est directe. Morpho Blue repousse le risque de contrat vers le bas (noyau minimal et immuable) mais le concentre sur le curator et l'oracle : vous faites moins confiance au code et plus au jugement du gestionnaire. Yearn v3 répartit le risque entre le vault et ses stratégies, élargissant la surface de contrat mais diluant le facteur curator. Aave concentre presque tout dans un protocole monolithique unique gouverné par son DAO : moins de parties mobiles externes, mais le protocole entier est la contrepartie. Pour un contraste détaillé entre ces modèles de prêt, il existe une analyse spécifique de Aave face à Compound face à Morpho, ainsi qu'une introduction au protocole de base le plus utilisé dans qu'est-ce qu'Aave.

Comment lire les paramètres de risque d'un vault de curator avant de déposer ?

Dans un vault géré par un curator, les paramètres publiés sont le profil de risque. Les lire ne nécessite pas de connaître Solidity ; il faut savoir quel chiffre signifie quoi. Voici les cinq qui fournissent le plus d'informations par unité d'effort :

• LTV / LLTV de chaque marché : le ratio de liquidation. Un LTV élevé signifie plus d'efficacité du capital mais moins de marge avant qu'une chute de prix ne liquide les positions. Un LTV agressif sur un collatéral volatil est un signal d'alarme concernant le curator.
• Répartition du capital (allocation) : quel pourcentage du vault se trouve dans chaque marché. Un taux de 80 % sur un seul marché transforme le risque de ce marché en risque pour tout le vault.
• Oracle par marché : qui fixe le prix et à quelle fréquence. Un oracle de qualité sur un collatéral, un autre douteux sur le suivant : le vault n'est aussi fort que son feed le plus faible.
• Timelock des changements : combien d'heures le curator doit attendre entre l'annonce d'un changement de paramètres et son application. Sans timelock, votre profil de risque peut changer pendant votre sommeil ; avec un timelock, vous avez une fenêtre pour sortir.
• Plafonds d'exposition (caps) : la limite maximale de capital par marché ou par collatéral. Leur absence permet au curator de concentrer les risques sans frein.

Ces cinq chiffres racontent, ensemble, presque toute l'histoire des classes 2 et 3. Si le vault ne les publie pas de manière lisible, cette opacité est en soi une donnée sur le curator.

Qu'est-ce que le risque systémique de concentration des curators et comment se mesure-t-il ?

Les quatre premières classes s'évaluent vault par vault. La cinquième non, et c'est pourquoi elle est la plus facile à ignorer. Le risque de concentration ne demande pas « mon vault est-il bon ? » mais « que se passe-t-il quand le voisin échoue ? ».

L'image mentale utile est celle de l'infrastructure cloud. Des milliers d'applications indépendantes semblent n'avoir aucun lien, jusqu'à ce qu'une panne d'une seule région d'un fournisseur les fasse toutes tomber en même temps, car elles partagent le même substrat. Dans les vaults, le substrat partagé, ce sont les curators dominants, les oracles communs et les collatéraux répétés. Si trois curators gèrent la majorité du capital et acceptent tous le même token à la mode comme collatéral, le depeg de ce token n'affecte pas un vault : il affecte l'écosystème.

Le travail d'arXiv sur la curation de risque documente cette architecture à deux couches et la nécessité de la gouverner. En transposant cette logique au plan de la concentration, la réponse est celle des régulateurs face au secteur bancaire : mesurer (avec le HHI), exiger des circuit breakers (coupe-circuits automatiques qui suspendent un marché face à des mouvements anormaux) et pénaliser l'opacité. Pour le déposant individuel, la conclusion pratique est inconfortable mais claire : diversifier entre plusieurs vaults n'élimine pas cette classe si tous ces vaults dépendent du même hub. La véritable diversification se fait entre curators, oracles et collatéraux différents, et non entre noms de vaults différents.

Comment les exploits réels s'insèrent-ils dans cette taxonomie ?

La valeur d'un cadre analytique est qu'il ordonne les incidents au lieu de les traiter comme des événements isolés. Presque chaque défaillance publique d'un vault relève d'une ou plusieurs des cinq classes :

La sous-classe d'accounting a des précédents documentés bien avant l'essor des curators : l'écosystème a connu des exploits de premier déposant sur de petits vaults dès 2023, ce qui a poussé OpenZeppelin à standardiser la défense par virtual shares aujourd'hui tenue pour acquise. L'année 2023 a également été celle de plusieurs des plus grandes défaillances de l'histoire du crédit on-chain — dont celle d'Euler Finance (mars 2023, environ 197 millions de dollars) —, rappelant que la logique comptable et le contrôle des fonctions sensibles sont aussi critiques que l'oracle. Pour une vue d'ensemble des incidents récents et de leur impact quantifié, le rapport de sécurité DeFi du premier trimestre 2026 offre les chiffres de contexte, et le guide sur si la DeFi est sûre replace ces risques dans le tableau général pour les débutants.

Quelles sont les dix questions à se poser avant de déposer dans un vault ?

Cette checklist traduit les cinq classes en questions vérifiables. Elle ne nécessite pas de coder : chaque réponse se trouve dans la documentation du vault, son tableau de bord de paramètres ou l'explorateur de blocs. Si trois réponses ou plus restent floues, l'opacité est en soi votre réponse.

1. Le vault possède-t-il des virtual shares ou des dead shares ? Sans défense contre l'arrondi, la sous-classe d'accounting est latente (classe 1).
2. Combien d'audits a-t-il subis et sur quelle version du contrat ? Un audit d'il y a deux ans sur un code mis à jour ne protège pas la version actuelle (classe 1).
3. Le contrat est-il immuable ou actualisable, et qui contrôle les clés ? Une clé d'upgrade entre peu de mains est une porte dérobée reposant sur la confiance (classe 1).
4. Qui est le curator et quel est son historique ? Le nom derrière les décisions importe plus que le logo du protocole de base (classe 2).
5. Existe-t-il un timelock avant qu'un changement de paramètres ne devienne effectif ? Sans lui, votre profil de risque peut changer sans préavis (classe 2).
6. Comment le capital est-il réparti entre les marchés ? La concentration interne transforme le risque d'un marché en risque pour tout le vault (classe 2).
7. Quel oracle chaque marché utilise-t-il et à quelle fréquence est-il mis à jour ? Le feed le plus faible définit la fragilité de l'ensemble (classe 3).
8. Le retrait est-il instantané ou mis en file d'attente, et quelle est la durée du cooldown ? La liquidité de sortie ne se remarque que lorsqu'il est trop tard (classe 4).
9. Quelle fraction du capital est réellement liquide par rapport à celle engagée ? Un vault dont tout le capital est prêté ne peut pas honorer un bank run (classe 4).
10. Quelle part du capital total ce curator contrôle-t-il et combien de vaults partagent sa tuyauterie ? La vraie diversification se fait entre curators, oracles et collatéraux, pas entre noms (classe 5).

Aucune réponse ne rend un vault totalement sûr ; ensemble, elles transforment un acte de foi en une décision éclairée. Le rendement annoncé est la partie facile à lire ; ces dix questions sont la partie que le rendement ne vous dit pas. Pour le lecteur qui se pose encore les questions les plus basiques, le guide sur si l'on peut perdre de l'argent en DeFi fournit le contexte préalable à cette checklist.

Sources et liens : Chainlink — ERC-4626 Tokenized Vaults · arXiv 2512.11976 — Curation de risque dans le crédit décentralisé · OpenZeppelin — Défense contre les inflation attacks · RockawayX — DeFi Vaults Explained 2026 · Morpho Docs — le rôle du curator