Le chef de Wintermute remet en question la viabilité future de DeFi malgré le manque de développements révolutionnaires

Evgeny Gaevoy, PDG de Wintermute, a donné une évaluation franche de la situation actuelle de la finance décentralisée, soulignant les risques structurels qui entravent encore l'innovation.

DeFi ne va pas bien

Gaevoy a exprimé ses inquiétudes concernant la composabilité et la manière dont les protocoles interconnectés augmentent le risque plutôt que de le distribuer, affirmant que les choses semblent plutôt sombres pour l'innovation DeFi à ce stade, en réponse aux développements récents.

Son argument repose sur un principe fondamental de la DeFi. Les protocoles peuvent s'appuyer les uns sur les autres grâce à la composabilité, qui est souvent présentée comme l'un des plus grands avantages de l'industrie. En réalité, la même caractéristique produit des systèmes étroitement couplés dans lesquels une seule défaillance peut se propager à plusieurs niveaux.

Selon Gaevoy, la manière dont les risques doivent être évalués a changé depuis que les effets d'entraînement des exploits ne sont plus contenus dans un seul protocole.

Série d'attaques

Ses commentaires arrivent à point nommé. Le 18 avril 2026, KelpDAO a été victime d'un exploit évalué à environ 290 millions de dollars. Les premiers signes indiquent qu’il s’agit d’un acteur hautement qualifié et affilié à l’État, très probablement lié au groupe Lazarus de la RPDC.

Source : CoucheZéro

L’attaque elle-même n’était pas un simple dysfonctionnement d’un contrat intelligent. Au contraire, il a spécifiquement empoisonné les nœuds RPC en aval utilisés dans le réseau de vérification décentralisé de LayerZero Labs. Dans des circonstances très spécifiques, cela a permis aux attaquants de modifier les voies de vérification.

Ce qui compte dans l’ensemble, c’est la manière dont la conception du système a influencé le résultat. En raison d'une configuration DVN 1 sur 1, l'incident s'est limité à la configuration rsETH de KelpDAO, créant ainsi un point de défaillance unique. Bien qu'elle soit explicitement prise en charge par l'architecture de LayerZero, les configurations multi-DVN avec redondance n'ont pas été implémentées.

Par conséquent, une fois le chemin d’attaque établi, il n’existait aucune couche de validation indépendante capable de rejeter les faux messages.

L'événement renforce la position de Gaevoy, malgré le confinement technique et l'absence de contagion à d'autres actifs ou applications. La complexité nécessaire à la sécurisation des systèmes interconnectés ne cesse de croître, même lorsque les dommages sont isolés. À chaque nouvelle intégration, la surface d’attaque s’agrandit et des acteurs hautement qualifiés commencent à en profiter.