Qu’advient-il de vos fonds si un DEX est piraté ? Le risque on-chain expliqué

Sommaire

1. Les trois surfaces que les attaquants ciblent réellement
2. La question de la garde est la variable la plus importante
3. Ce qui arrive réellement à vos fonds : quatre scénarios
4. Assurance et récupération : la réalité sans détour
5. Comment réduire votre exposition personnelle
6. La véritable portée du risque non-custodial
7. FAQ

Plus de USD 1 milliard ont quitté la DeFi au cours des quatre premiers mois de 2026. KelpDAO a perdu USD 292 millions le 19 avril lorsque des attaquants ont exploité une vulnérabilité d’un bridge LayerZero et vidé des rsETH. Drift Protocol a perdu USD 285 millions le 1er avril après que Lazarus Group a passé six mois à manipuler socialement des employés pour obtenir un accès de niveau validateur. À la mi-avril, le total cumulé dépassait déjà USD 750 millions.

La question n’est pas de savoir si la DeFi se fait pirater. Elle se fait pirater, régulièrement, et l’ampleur continue de croître. La question est de savoir si vos fonds sont exposés lorsque cela arrive — et la réponse dépend presque entièrement de l’endroit où vos fonds se trouvent réellement au moment de l’exploit.

Cet article détaille les trois surfaces d’attaque qui comptent, ce que chacune signifie pour votre capital, et comment l’architecture de garde détermine votre exposition.

Les trois surfaces que les attaquants ciblent réellement

Failles de smart contracts

Le code qui détient ou achemine les fonds présente une faille logique. Exemples classiques : attaques par réentrance, manipulation via flash loan, manipulation de prix d’oracle. En 2026, Dango et Silo V2 ont tous deux subi des exploits de smart contracts où les attaquants ont trouvé des erreurs de logique dans le code même du protocole.

Si vos fonds se trouvent dans un contrat exploité au moment où il est vidé — sous forme de marge ouverte, de liquidité ou de collatéral — ils sont directement à risque. Le code s’exécute tel qu’il est écrit. Il n’y a pas de service client à appeler pour annuler l’opération.

Exploits de bridges

Les bridges cross-chain sont constamment la surface la plus dangereuse de la DeFi. Chaque bridge est un contrat qui détient des actifs sur une chaîne tout en émettant des représentations sur une autre. Ce pool d’actifs verrouillés est une cible permanente et publique.

La perte de KelpDAO en avril 2026 est l’exemple récent le plus clair. Les attaquants ont exploité une implémentation de bridge LayerZero et vidé USD 292 millions en rsETH. Les fonds qui se trouvaient dans le contrat de bridge au moment de l’exploit ont disparu. Les fonds qui avaient déjà été réglés sur des comptes on-chain n’ont pas été affectés — mais la fenêtre d’exposition pendant le bridging est bien réelle.

Gouvernance et ingénierie sociale

Ce point est sous-estimé. La perte de USD 285 millions de Drift Protocol en avril 2026 n’était pas un exploit de code. Lazarus Group a passé environ six mois à nouer des relations avec des employés, puis a utilisé cet accès pour atteindre des clés de niveau validateur. Le code du protocole était correct. Les personnes qui l’opéraient ont été compromises.

Travers Smith l’a formulé précisément : aucune des deux attaques n’était un hack au sens simple d’un exploit de code informatique — chaque attaque a exploité des points faibles au sein des structures de gouvernance. Si la gouvernance peut autoriser des mouvements de fonds — et dans la plupart des protocoles, elle le peut — alors la gouvernance est une surface d’attaque. Compromettez les personnes ou les clés qui la contrôlent, et les fonds sont à risque.

La question de la garde est la variable la plus importante

Avant de demander ce qui se passe si un DEX est piraté, demandez où vos fonds se trouvent réellement. Trois architectures donnent trois réponses très différentes.

DEX custodial mutualisé (style AMM)

Vos fonds se trouvent dans des pools de liquidité partagés avec tous les autres déposants. Un drain du pool touche tout le monde proportionnellement. Si le pool perd 60 %, vous perdez 60 %. Il n’y a aucune ségrégation entre votre capital et celui des autres. C’est le modèle d’exposition maximale.

DEX CLOB non-custodial (modèle Hyperliquid)

Les fonds résident dans votre propre compte de marge on-chain, et non dans un pool partagé. C’est une différence structurelle. Un exploit de smart contract visant la logique centrale du protocole peut toujours affecter les positions ouvertes et la marge — votre compte interagit avec du code on-chain, et ce code peut présenter des failles. Mais une compromission du front-end ne peut pas déplacer vos fonds sans la signature de votre wallet. Le risque au niveau protocole et le risque front-end sont deux problèmes distincts.

Le carnet d’ordres central à cours limité on-chain de Hyperliquid gère le matching, la marge, le funding et le règlement. Votre compte de marge vous appartient on-chain. Un front-end qui route vers Hyperliquid ne détient pas vos fonds — il route vos ordres signés.

Couche de terminal front-end (Stacked Markets)

Stacked Markets ne détient aucun solde utilisateur et aucune clé de signature. Si le terminal lui-même était compromis, un attaquant ne trouverait ni fonds mutualisés ni clés stockées. Rien ne bouge sans la signature de votre wallet. La surface de risque d’un exploit front-end est structurellement différente de celle d’un exploit de protocole — parce qu’il n’y a rien à vider au niveau du terminal.

Ce n’est pas une affirmation marketing. C’est vérifiable on-chain. L’architecture est la preuve.

Ce qui arrive réellement à vos fonds : quatre scénarios

Scénario A : exploit de smart contract au niveau du protocole

Les positions ouvertes et la marge sont à risque. Les smart contracts du protocole régissent la manière dont la marge est détenue et libérée, donc un exploit critique dans ce code peut affecter directement votre compte. La gravité dépend de la nature de l’exploit et de l’existence ou non d’un mécanisme d’assurance au sein du protocole.

Hyperliquid maintient un vault HLP qui fonctionne comme un fonds d’assurance pour les pertes socialisées. Lorsque le vault dispose de suffisamment de capital, il peut absorber partiellement les pertes liées à des événements au niveau protocole. Mais le vault a des limites — ce n’est pas une garantie de récupération intégrale. Comprenez la taille et les conditions de tout fonds d’assurance avant de déposer un capital important dans un protocole.

Scénario B : exploit de bridge pendant un dépôt ou un retrait

Les fonds en transit via un contrat de bridge sont à risque pendant la fenêtre de bridging. Les fonds qui ont déjà été réglés sur votre compte de marge on-chain ne sont pas affectés par un exploit de bridge ultérieur — ils sont déjà de l’autre côté.

L’implication pratique : minimisez le temps que vos fonds passent dans des contrats de bridge. Initiez le bridge, terminez-le, confirmez le règlement. Ne lancez pas une transaction de bridge pour la laisser en attente pendant des heures. L’exploit de KelpDAO a touché des fonds qui se trouvaient dans le contrat de bridge au moment de l’attaque.

Stacked Markets inclut des flux de dépôt et de retrait intégrés au produit qui bridgent l’USDC Arbitrum vers la marge Hyperliquid sans vous obliger à quitter le terminal. Cela n’élimine pas le risque de bridge — aucun front-end ne le peut — mais cela garde le workflow contenu et les étapes visibles.

Scénario C : terminal front-end compromis

Si le terminal ne détient ni clés ni fonds, une compromission du front-end ne peut pas déplacer votre capital. Un attaquant qui accède à un terminal à solde nul ne trouve rien à vider. Il pourrait tenter d’afficher une demande de signature malveillante — c’est précisément pourquoi vous devez lire chaque confirmation de wallet avant de l’approuver.

C’est ici que l’architecture d’agent wallet compte. L’agent wallet optionnel de Stacked Markets utilise une clé de signature locale basée dans le navigateur. Cette clé n’atteint jamais les serveurs de Stacked Markets. Même si le terminal était compromis au niveau serveur, la clé de signature est locale à votre navigateur, et non stockée à distance.

Le risque résiduel dans une compromission du front-end est qu’une transaction malveillante vous soit présentée pour approbation. Vous l’empêchez en lisant ce que vous signez. Les demandes de signature en langage clair existent précisément pour cette raison.

Scénario D : manipulation d’oracle

C’est distinct d’un hack, mais le résultat pour vos positions peut y ressembler. Si un attaquant manipule le flux de prix utilisé par le protocole, des positions peuvent être liquidées à des prix artificiels. L’incident JELLY de Hyperliquid est l’exemple récent le plus discuté de la manière dont une manipulation liée aux oracles peut affecter des positions ouvertes sur un protocole par ailleurs sain.

Point clé. Le risque d’oracle est un risque au niveau protocole, pas un risque de garde. Le fait que vos fonds soient non-custodial ne vous protège pas contre un prix de liquidation manipulé.

Assurance et récupération : la réalité sans détour

Un rapport de CoinDesk de mai 2026 l’a chiffré clairement : moins de 2 % de la valeur totale verrouillée en DeFi est assurée. Ce chiffre diminue, au lieu d’augmenter, à mesure que les attaquants se déplacent des failles de smart contracts — qui sont au moins théoriquement assurables — vers des vecteurs off-chain comme les compromissions de clés privées et le phishing, bien plus difficiles à tarifer et à souscrire.

La plupart des fonds volés en 2026 restent non récupérés. Il n’existe pas d’équivalent de la FDIC en DeFi. Pas de dispositif de protection des dépôts, pas de filet de sécurité de banque centrale, pas de régulateur doté d’un mandat de récupération. Lorsque des fonds disparaissent d’un protocole DeFi, ils sont généralement perdus.

Le vault HLP de Hyperliquid offre une atténuation partielle des pertes au niveau protocole. Il maintient une réserve capable d’absorber des pertes socialisées lorsque le fonds d’assurance est insuffisant pour couvrir les écarts de liquidation. C’est un mécanisme réel, soutenu par du capital réel — mais il n’est pas illimité et ne couvre pas tous les scénarios de perte. Vérifiez le solde actuel du vault et comprenez son périmètre avant de le considérer comme un filet de sécurité.

Le point plus large. Ne partez pas du principe que vous serez indemnisé intégralement après un exploit DeFi. Dimensionnez vos positions et votre exposition aux protocoles en conséquence.

Comment réduire votre exposition personnelle

Aucune de ces étapes n’élimine le risque. Elles en délimitent le périmètre.

• Comprenez le modèle de garde avant de déposer. AMM mutualisé, CLOB ségrégué et front-end à solde nul sont trois profils de risque différents. Sachez lequel vous utilisez.
• Minimisez le temps passé dans les contrats de bridge. Initiez le bridge, terminez-le, confirmez le règlement. Ne laissez pas des fonds en transit plus longtemps que nécessaire.
• Utilisez un front-end qui ne détient ni clés ni fonds. Une architecture à solde nul signifie qu’une compromission du front-end ne peut pas vider votre capital sans la signature de votre wallet.
• Lisez chaque demande de signature. Les confirmations de transaction en langage clair existent pour que vous puissiez vérifier ce que vous approuvez. Utilisez-les.
• Vérifiez l’historique des audits et la couverture d’assurance avant de déposer de gros montants. Un protocole doté de plusieurs audits indépendants et d’un mécanisme d’assurance financé est sensiblement différent d’un protocole qui n’en dispose pas.
• Utilisez le mode testnet avant d’engager du capital mainnet sur un nouveau terminal. Stacked Markets dispose d’un mode testnet avec des badges réseau clairs. Vous pouvez exécuter tout le workflow — dépôts, ordres, retraits — sans risque mainnet.
• Ne laissez jamais de fonds dans un protocole que vous ne pouvez pas vérifier on-chain. Si vous ne pouvez pas vérifier votre solde et votre position sur un explorateur de blocs, vous ne savez pas ce que vous détenez.

La véritable portée du risque non-custodial

Non-custodial ne signifie pas zéro risque. Cela signifie que votre risque est circonscrit.

Sur un DEX CLOB non-custodial bien architecturé avec un front-end à solde nul, la surface d’attaque sur vos fonds est plus étroite que sur un AMM mutualisé. Un exploit front-end ne peut pas vous vider. Un exploit de bridge ne touche que les fonds en transit. Les attaques de gouvernance au niveau protocole restent un risque — mais elles exigent de compromettre le protocole lui-même, pas seulement un opérateur de front-end.

Le risque de smart contract au niveau protocole existe toujours. Votre compte de marge interagit avec du code on-chain, et ce code peut avoir des failles. Le code de Hyperliquid a été audité, mais aucun audit n’est une garantie. Le vault HLP fournit un tampon, pas un backstop.

Ce que fait l’architecture non-custodial, c’est supprimer les couches de risque qui n’ont pas besoin d’exister. Pas de collatéral mutualisé signifie pas de perte partagée liée au drain d’un pool. Pas de clés côté serveur signifie qu’une compromission du front-end ne trouve rien. Pas de base de données KYC signifie pas de fuite de données personnelles. Les risques qui restent sont inhérents au trading on-chain lui-même — et vous pouvez les mesurer, les surveiller et dimensionner vos positions en conséquence.

Sachez ce que vous détenez. Sachez où cela se trouve. Sachez ce qui peut le déplacer.

---

Essayez Stacked Markets sur testnet — exécutez tout le workflow du terminal avant de risquer du capital mainnet.

stackedmarkets.com

FAQ