Comment la DeFi fonctionne réellement, et les façons précises dont elle défaille

La finance décentralisée est un ensemble de programmes qui remplissent les fonctions des intermédiaires financiers — prêter, échanger, émettre — sans intermédiaire. Les programmes sont publics, n’importe qui peut les appeler, et une fois déployés ils ne peuvent en général plus être arrêtés. Comprendre ce que cela apporte et ce que cela coûte suppose de regarder comment les principales pièces fonctionnent réellement.

Échanger sans carnet d’ordres

Une plateforme d’échange traditionnelle apparie acheteurs et vendeurs. La plupart des plateformes DeFi n’apparient personne. Elles détiennent des pools de deux actifs et fixent le prix des transactions par une formule.

Le design courant maintient constant le produit des deux soldes. Si un pool détient cent de l’actif A et cent de l’actif B, retirer dix A oblige à ajouter assez de B pour que le produit reste inchangé — ce qui signifie que le prix se déplace à votre défaveur à mesure que votre transaction grossit. Acheter dix unités dans un pool de cent unités déplace le prix d’environ onze pour cent. Ce ne sont pas des frais et ce n’est pas du slippage au sens du carnet d’ordres ; c’est le mécanisme qui fonctionne comme prévu, et c’est pourquoi les grosses transactions sur des pools peu profonds coûtent cher.

Les pools existent parce que les fournisseurs de liquidité déposent les deux actifs et perçoivent une part des frais de transaction. Leur risque porte un nom mal choisi. Quand le prix relatif des deux actifs diverge, le pool vend automatiquement celui qui s’apprécie, si bien que le fournisseur se retrouve avec moins du gagnant qu’en l’ayant simplement conservé. On appelle cela la perte impermanente, mais elle n’est impermanente que si les prix reviennent à leur rapport initial. Au retrait, elle est réalisée et entièrement permanente.

Prêter contre garantie, et uniquement contre garantie

Le prêt en DeFi n’a pas d’évaluation de crédit, parce qu’il n’y a ni identité ni recours. Tout prêt est surcollatéralisé : vous déposez plus de valeur que vous n’empruntez, et si la garantie baisse suffisamment, n’importe qui peut déclencher une liquidation qui la vend pour rembourser la dette.

La liquidation est exécutée par des tiers rémunérés par une prime, ce qui rend le système autonome sans service de recouvrement. C’est aussi pourquoi les liquidations se regroupent. Un prix qui baisse pousse simultanément de nombreuses positions au-delà de leur seuil ; les liquidateurs vendent la garantie ; ces ventes font baisser le prix davantage ; d’autres positions deviennent liquidables. La cascade est une propriété structurelle du design, pas un dysfonctionnement, et c’est pourquoi le levier en DeFi se comporte plus mal lors d’un mouvement brutal que le ratio affiché ne le laisse penser.

Le problème de l’oracle

Un contrat qui décide s’il faut liquider a besoin d’un prix, et une blockchain n’a aucune connaissance native des prix. Ce chiffre vient d’un oracle — un service qui rapporte des données externes on-chain.

C’est la dépendance la plus sous-estimée de la DeFi. Un protocole ne vaut que son flux de prix, et manipuler ce flux peut coûter moins cher qu’attaquer le protocole. Si un contrat lit le prix dans un seul pool peu profond, un attaquant peut déplacer ce pool, emprunter contre une valorisation brièvement fausse et repartir avec la différence. Les protocoles robustes utilisent des moyennes pondérées dans le temps, plusieurs sources indépendantes et des bornes de vraisemblance. Les protocoles faibles lisent un chiffre et lui font confiance. La différence est invisible dans l’interface et décisive en cas de crise.

Composabilité, et pourquoi les défaillances se propagent

Les protocoles DeFi sont conçus pour être utilisés par d’autres protocoles. Un produit de rendement peut déposer dans un marché de prêt qui accepte un jeton représentant une participation dans un troisième système. Chaque couche fonctionne ; chaque couche ajoute une dépendance.

La conséquence, c’est qu’une défaillance dans un composant obscur peut se propager vers des produits dont les utilisateurs n’en avaient jamais entendu parler. Évaluer une position DeFi revient donc à évaluer tout ce dont elle dépend, et ce graphe de dépendances est rarement publié en entier. « Composabilité » et « risque systémique » décrivent la même propriété dans des directions opposées.

Le code fait ce qu’il dit, pas ce qui était voulu

Un audit réduit le risque ; il ne le supprime pas. Des contrats détenant des sommes très importantes ont échoué des années après leur déploiement, parfois par une interaction subtile entre deux composants corrects pris séparément.

Deux risques connexes se tiennent à côté du code lui-même. La plupart des protocoles conservent des fonctions privilégiées — mettre en pause, mettre à jour, ajuster des paramètres — et quiconque détient ces clés peut changer les règles sous vos pieds. Et les jetons de gouvernance signifient que les règles peuvent être votées ; là où le pouvoir de vote est concentré, la « gouvernance décentralisée » peut se résumer à un petit groupe avec une procédure formelle en annexe.

Vient ensuite la mécanique de l’autorisation. Interagir avec un contrat revient le plus souvent à lui accorder la permission de déplacer un jeton en votre nom, et ces permissions sont fréquemment illimitées et permanentes tant qu’elles ne sont pas révoquées. Un contrat autorisé il y a des mois peut vider ce jeton plus tard. Relire ce que vous signez, accorder des allocations limitées et révoquer périodiquement les autorisations inutilisées sont les défenses pratiques — et aucune n’est fournie par défaut.

Ce que la DeFi supprime vraiment

Il vaut la peine d’énoncer l’avantage avec précision, car les risques ci-dessus sont plus faciles à énumérer que les bénéfices. La DeFi supprime le pouvoir d’appréciation. Un marché de prêt ne peut pas décider qu’il ne vous aime pas, ne peut pas geler une position à cause de qui vous êtes, et ne peut pas modifier discrètement les conditions d’un prêt existant sans que ce changement soit visible on-chain. N’importe qui peut auditer les règles, n’importe qui peut appeler les mêmes fonctions aux mêmes conditions, et le système tourne sans demander la permission.

Elle supprime aussi le délai de règlement et, en principe, l’opacité : positions, ratios de garantie et réserves sont tous inspectables publiquement en temps réel plutôt que publiés trimestriellement. Que cette transparence soit exploitable dépend de savoir si quelqu’un la lit réellement, mais les données existent, ce qui est plus que ce qu’on peut dire de la plus grande partie du système traditionnel qu’elle imite.

Lire honnêtement une opportunité DeFi

Les rendements sont généralement un mélange de véritables revenus de frais et d’émissions de jetons. Les revenus de frais sont durables ; les émissions sont une subvention qui dilue les détenteurs et qui diminue typiquement avec le temps. Un taux annoncé très élevé décrit souvent le risque pris plutôt qu’il ne le compense, et un taux libellé dans un jeton dont le prix baisse peut être une perte en termes réels.

Les questions qui méritent une réponse avant de s’engager : d’où vient réellement le rendement ; de quoi dépend le flux de prix ; quelles fonctions privilégiées existent et qui les détient ; que se passe-t-il lors d’un mouvement défavorable brutal ; et de quoi d’autre cela dépend-il que je n’aie pas examiné. Si les documents d’un protocole ne vous permettent pas d’y répondre, c’est déjà la réponse. Les définitions des termes employés ici figurent dans le glossaire, et les arbitrages de conservation sont traités dans les conseils de sécurité.