Comment fonctionne réellement la DeFi, et les façons précises dont elle échoue

La finance décentralisée est un ensemble de programmes qui remplissent les fonctions d’intermédiaires financiers — prêter, échanger, émettre — sans en être un. Les programmes sont publics, n’importe qui peut les appeler, et une fois déployés ils ne peuvent généralement plus être arrêtés. Comprendre ce que cela apporte et ce que cela coûte demande d’examiner comment les principaux rouages fonctionnent réellement.

Échanger sans carnet d’ordres

Une plateforme d’échange traditionnelle apparie acheteurs et vendeurs. La plupart des plateformes d’échange DeFi n’apparient personne. Elles détiennent des pools de deux actifs et tarifent les échanges à l’aide d’une formule.

Le design courant maintient le produit des deux soldes constant. Si un pool détient cent unités de l’actif A et cent unités de l’actif B, retirer dix unités de A exige d’ajouter suffisamment de B pour que le produit reste inchangé — ce qui signifie que le prix évolue contre vous à mesure que votre échange grossit. Acheter dix unités depuis un pool de cent unités déplace le prix d’environ onze pour cent. Ce n’est ni des frais ni du slippage au sens du carnet d’ordres ; c’est le mécanisme qui fonctionne comme prévu, et c’est pourquoi les échanges importants sur des pools peu profonds sont coûteux.

Les pools existent parce que des fournisseurs de liquidité déposent les deux actifs et gagnent une part des frais d’échange. Leur risque porte un nom mal choisi. Lorsque le prix relatif des deux actifs diverge, le pool vend automatiquement celui qui s’apprécie, de sorte que le fournisseur se retrouve avec moins de l’actif gagnant que s’il l’avait simplement conservé. On appelle cela la perte impermanente, mais elle n’est impermanente que si les prix reviennent à leur ratio d’origine. Au moment du retrait, elle est réalisée et entièrement permanente.

Prêter contre garantie, et seulement contre garantie

Le prêt en DeFi ne comporte aucune évaluation de crédit, car il n’y a ni identité ni recours. Chaque prêt est surgaranti : vous déposez plus de valeur que vous n’en empruntez, et si la garantie chute suffisamment, n’importe qui peut déclencher une liquidation qui la vend pour rembourser la dette.

La liquidation est effectuée par des tiers rémunérés par une prime pour le faire, ce qui rend le système autosuffisant sans service de recouvrement. C’est aussi pourquoi les liquidations se regroupent. Un prix en baisse pousse simultanément de nombreuses positions au-delà de leur seuil ; les liquidateurs vendent la garantie ; ces ventes font encore baisser le prix ; davantage de positions deviennent liquidables. La cascade est une propriété structurelle du design, pas un dysfonctionnement, et c’est pourquoi l’effet de levier en DeFi se comporte plus mal lors d’un mouvement brutal que ne le suggère le ratio affiché.

Le problème de l’oracle

Un contrat qui décide de liquider ou non a besoin d’un prix, et une blockchain n’a aucune connaissance native des prix. Ce chiffre provient d’un oracle — un service qui rapporte des données externes on-chain.

C’est la dépendance la plus sous-estimée en DeFi. Un protocole ne vaut que ce que vaut son flux de prix, et manipuler ce flux peut coûter moins cher qu’attaquer le protocole. Si un contrat lit le prix depuis un seul pool peu profond, un attaquant peut déplacer ce pool, emprunter contre une valorisation brièvement faussée, et repartir avec la différence. Les protocoles robustes utilisent des moyennes pondérées dans le temps, plusieurs sources indépendantes, et des bornes de cohérence. Les protocoles fragiles lisent un seul chiffre et lui font confiance. La différence est invisible dans l’interface et décisive en cas de crise.

La composabilité, et pourquoi les défaillances se propagent

Les protocoles DeFi sont conçus pour être utilisés par d’autres protocoles. Un produit de rendement peut déposer dans un marché de prêt qui accepte un jeton représentant une participation dans un troisième système. Chaque couche fonctionne ; chaque couche ajoute une dépendance.

La conséquence est qu’une défaillance dans un composant obscur peut se propager vers des produits dont les utilisateurs n’avaient jamais entendu parler. Évaluer une position DeFi signifie donc évaluer tout ce dont elle dépend, et ce graphe de dépendances est rarement divulgué dans son intégralité. “Composabilité” et “risque systémique” décrivent la même propriété sous deux angles opposés.

Le code fait ce qu’il dit, pas ce qui était voulu

Un audit réduit le risque ; il ne l’élimine pas. Des contrats détenant des sommes très importantes ont échoué des années après leur déploiement, parfois par une interaction subtile entre deux composants individuellement corrects.

Deux risques connexes se situent à côté du code lui-même. La plupart des protocoles conservent des fonctions privilégiées — mettre en pause, mettre à jour, ajuster des paramètres — et quiconque détient ces clés peut changer les règles sous vos pieds. Et les jetons de gouvernance signifient que des règles peuvent être adoptées par vote ; là où le pouvoir de vote est concentré, une “gouvernance décentralisée” peut revenir à un petit groupe assorti d’un processus formel.

Vient ensuite le mécanisme d’autorisation. Interagir avec un contrat signifie généralement lui accorder la permission de déplacer un jeton en votre nom, et ces permissions sont fréquemment illimitées et permanentes tant qu’elles ne sont pas révoquées. Un contrat autorisé il y a des mois peut vider ce jeton plus tard. Vérifier ce que vous signez, accorder des allocations limitées, et révoquer périodiquement les autorisations inutilisées sont les défenses pratiques — et aucune d’elles n’est fournie par défaut.

Ce que la DeFi supprime réellement

Il vaut la peine d’énoncer précisément l’avantage, car les risques ci-dessus sont plus faciles à énumérer que les bénéfices. La DeFi supprime le pouvoir discrétionnaire. Un marché de prêt ne peut pas décider qu’il ne vous aime pas, ne peut pas geler une position en fonction de qui vous êtes, et ne peut pas modifier discrètement les conditions d’un prêt existant sans que ce changement soit visible on-chain. N’importe qui peut auditer les règles, n’importe qui peut appeler les mêmes fonctions aux mêmes conditions, et le système fonctionne sans demander de permission.

Elle supprime aussi le délai de règlement et, en principe, l’opacité : positions, ratios de garantie et réserves sont tous consultables publiquement en temps réel plutôt que divulgués trimestriellement. Que cette transparence soit exploitable dépend de si quelqu’un la lit réellement, mais les données existent, ce qui est plus qu’on ne peut en dire de la majeure partie du système traditionnel qu’elle imite.

Lire honnêtement une opportunité DeFi

Les rendements sont généralement un mélange de revenus de frais réels et d’émissions de jetons. Les revenus de frais sont durables ; les émissions sont une subvention qui dilue les détenteurs et diminue généralement dans le temps. Un taux affiché très élevé décrit souvent le risque pris plutôt qu’il ne le compense, et un taux libellé dans un jeton dont le prix baisse peut constituer une perte en termes réels.

Les questions qui méritent une réponse avant de s’engager : d’où vient réellement le rendement ; de quoi dépend le flux de prix ; quelles fonctions privilégiées existent et qui les détient ; que se passe-t-il lors d’un mouvement défavorable brutal ; et de quoi d’autre cela dépend-il que je n’ai pas examiné. Si la documentation d’un protocole ne vous permet pas de répondre à ces questions, c’est en soi la réponse. Les définitions des termes utilisés ici figurent dans le glossaire, et les compromis liés à la conservation sont couverts dans nos conseils de sécurité.