Imaginez déposer vos cryptomonnaies sur une plateforme de prêt réputée, confiant que tout fonctionne comme d’habitude. Puis, du jour au lendemain, vous ne pouvez plus ajouter de collatéral pour renforcer votre position, alors que vos intérêts continuent de grimper. Ce n’est pas une attaque contre le protocole lui-même. C’est exactement ce qui s’est produit récemment avec Aave. Un emprunteur lié au piratage massif de Binance a réussi à emprunter des millions avant que les gardes d’urgence n’interviennent. Les marchés ont été gelés partiellement, les taux ont flambé, et des milliers d’utilisateurs sans aucun lien avec l’incident se sont retrouvés freinés. Pourquoi une plateforme non compromise impose-t-elle de telles restrictions ? Plongeons dans les détails de cet épisode qui relance le débat sur la sécurité en DeFi.
Un emprunt massif avant le gel d’urgence
Tout commence le 29 octobre, entre 20h58 et 21h01 UTC. Un portefeuille associé au cluster de l’attaquant de Binance dépose 60 millions de USDT dans le marché Core Ethereum de Aave V3. Quelques minutes plus tard, il emprunte 19 762 WETH, soit environ 44,6 millions de dollars à l’époque. La première transaction de gel arrive seulement à 21h42 UTC. L’attaquant a donc agi dans une fenêtre de temps étroite, profitant des mécanismes classiques de prêt collatéralisé.
Dans ce système, l’actif déposé sert de garantie pour obtenir un autre actif. Le collatéral reste dans le protocole tandis que le WETH emprunté passe sous le contrôle de l’emprunteur. Selon l’évaluation initiale de LlamaRisk, la position affichait 59,9 millions de USDT de collatéral contre 43,8 millions de dette. Elle restait surcollatéralisée, soumise aux liquidations normales, et ne mettait pas directement en danger les fournisseurs de liquidité.
Aave a précisé que ses contrats intelligents n’avaient pas été compromis. Aucun prêt non sécurisé n’avait été obtenu grâce à une faille dans le code. L’intervention était purement préventive. Les fonds volés provenaient de la brèche du hot wallet de Binance, estimée à environ 6,3 milliards de dollars. L’exchange a promis de couvrir les pertes avec ses propres ressources et son fonds de protection des utilisateurs. Mais une promesse de remboursement d’une plateforme externe ne peut pas annuler un prêt déjà enregistré sur un autre protocole. La position USDT contre WETH restait soumise aux règles d’Aave.
« Les restrictions ont stoppé les nouveaux dépôts et emprunts, mais n’ont pas annulé les dettes existantes ni suspendu les liquidations. »
La distinction cruciale entre gel et pause
Les responsables d’Aave ont choisi de geler les réserves plutôt que de les mettre en pause. Cette nuance technique a des conséquences concrètes pour les utilisateurs. Un gel empêche les nouvelles fournitures et les nouveaux emprunts. En revanche, les retraits, les remboursements et les liquidations restent possibles. LlamaRisk a confirmé qu’aucun marché n’avait été mis en pause.
Pour un emprunteur, cela signifie qu’il peut toujours réduire sa dette en remboursant, mais il ne peut plus déposer d’actifs supplémentaires sur une réserve gelée pour améliorer son facteur de santé. Or, ce facteur de santé est central. Il se calcule en divisant la valeur du collatéral, ajustée des seuils de liquidation, par la valeur de la dette. Quand il passe sous 1, la position devient éligible à la liquidation. Pendant le gel, le remboursement partiel ou total était souvent le seul levier disponible pour améliorer cette métrique.
Les fournisseurs de liquidité pouvaient retirer leurs fonds, mais uniquement dans la limite de la liquidité non empruntée disponible. Un retrait devait aussi laisser suffisamment de collatéral pour couvrir les dettes ouvertes. Ainsi, même si les retraits restaient ouverts, tous les utilisateurs ne pouvaient pas récupérer immédiatement l’intégralité de leurs avoirs.
La réponse a couvert 175 réserves sur V3 et 117 sur V4. Les transactions des gardiens se sont étalées entre 21h42 et 23h04 UTC. Seul le marché Horizon d’actifs du monde réel, basé sur du collatéral permissionné, a échappé au gel.
Quand les taux d’intérêt s’envolent sans nouveaux dépôts
Le gel a créé une pression inattendue sur les taux. Les prêteurs ont retiré les fonds disponibles, augmentant ainsi le taux d’utilisation des pools restants. Or, les taux variables d’Aave réagissent directement à ce niveau d’utilisation et aux paramètres de gouvernance. Plus l’utilisation grimpe, plus les taux d’emprunt montent pour dissuader de nouveaux emprunteurs et attirer de nouveaux fournisseurs.
Sauf que, pendant le gel, l’attraction de nouveaux dépôts était impossible. Les taux élevés continuaient d’alourdir les dettes des emprunteurs existants sans pour autant ramener de liquidité fraîche. LlamaRisk a illustré la situation avec des chiffres précis pris à 00h26 UTC : 97,8 % d’utilisation sur la réserve USDC de V3 Core avec un taux annualisé de 10,8 %. Sur Plasma, USDT0 atteignait 100 % d’utilisation et 14,5 %. Sur Monad, USDC affichait 98,1 % et 20,2 %.
Le fournisseur de risque a proposé de réduire temporairement la pente Slope2 de la courbe de taux, celle qui gouverne la tarification plus agressive au-delà du niveau d’utilisation cible. Pour les réserves USDC sélectionnées, les taux pouvaient retomber à 8 % sur Core et 8,8 % sur Monad aux niveaux d’utilisation observés. Ces ajustements ont été exécutés par les risk stewards. Il ne s’agissait pas d’un remboursement des intérêts déjà accumulés, mais d’une modification des paramètres pour limiter les dégâts.
Il faut rappeler qu’un taux annualisé représente une vitesse d’accumulation, pas une charge immédiate de ce pourcentage sur la dette. Une hausse temporaire ne se traduit donc pas automatiquement par une perte équivalente pendant les heures de restriction.
Des plafonds d’emprunt réduits pour limiter les risques à la réouverture
Une autre préoccupation concernait la capacité d’emprunt inutilisée qui redeviendrait disponible dès la fin du gel. Un attaquant disposant encore d’actifs aurait pu ouvrir une position très importante dans les premiers blocs après la réouverture. LlamaRisk a donc proposé de resserrer les plafonds.
La méthode consistait à prendre le maximum entre l’emprunt actuel et celui juste avant l’exploit, puis d’ajouter 2 %. Ces changements ont retiré environ 3,7 milliards de dollars de capacité inutilisée sur V3 et 130 millions sur V4, soit près de 3,83 milliards au total. Sur V3 Core, le plafond WETH est passé de 2,4 millions à 1,79 million de tokens, USDT de 3,09 milliards à 2,56 milliards, et USDC de 2,7 milliards à 2,27 milliards. Ces baisses représentent respectivement environ 25,4 %, 17,2 % et 15,9 %.
Ces chiffres concernent uniquement les plafonds d’emprunt, pas des retraits, des pertes ou des radiations de dépôts. La dette existante restait sous les nouveaux limites, et chaque réserve pouvait revenir à sa taille d’emprunt d’avant l’incident.
La réouverture partielle : neuf actifs toujours limités
Le 30 octobre, Aave a annoncé la réouverture de tous les marchés V3 et V4. Les contrats n’avaient pas été affectés et les positions existantes étaient restées pleinement collatéralisées. Pourtant, neuf actifs ont conservé des restrictions : USDT, USDC, USDT0, POL, WAVAX, sAVAX, XAUt, PAXG et OP.
Ces limitations portent sur le pouvoir d’emprunt qu’ils peuvent fournir en tant que collatéral. Elles n’interdisent ni la détention, ni le transfert, ni même le dépôt, le retrait, l’emprunt ou le remboursement de ces tokens, sous réserve des règles normales et de la capacité disponible. Sur V3, le LTV (loan-to-value) a été fixé à 0. Sur V4, le facteur de collatéral pour les nouveaux emprunts est passé à 0.
Sur V3, les positions existantes conservent leurs seuils de liquidation, donc le changement de LTV n’altère pas leur facteur de santé. La restriction s’applique aussi à l’E-mode. Sur V4, les positions existantes restent sur leur configuration de collatéral actuelle jusqu’à ce qu’un nouvel emprunt, un retrait de collatéral ou un basculement de collatéral les fasse passer sur la nouvelle configuration.
LlamaRisk a indiqué que la liste de restriction couvre les actifs détenus dans le cluster d’adresses de l’attaquant, y compris les versions bridgées et wrappées. Les conditions de restauration du pouvoir d’emprunt seront évaluées et publiées dans le fil de discussion de l’incident. Aucune date fixe n’a été communiquée.
À retenir : Un LTV à zéro ne signifie pas que vos tokens valent zéro. Il s’agit uniquement du pouvoir d’emprunt attribué au collatéral, pas de son prix de marché.
Le débat Morpho contre Aave : isolation ou intervention
Cet épisode a relancé une discussion philosophique au sein de la DeFi. Paul Frambot, co-fondateur de Morpho, a défendu le modèle des marchés isolés. Dans cette approche, chaque marché associe un seul collatéral à un seul actif d’emprunt, avec ses propres paramètres de liquidation, oracle et modèle de taux. Ces paramètres sont choisis à la création et restent immuables. Un problème dans un marché ne se propage pas automatiquement aux autres.
Marc Zeller a répondu en soulignant que Morpho Blue ne dispose pas des pouvoirs de gel ni de la capacité d’intervenir sur la courbe de taux comme Aave. L’isolation ne protège pas les prêteurs à l’intérieur d’un marché qui rencontre des difficultés. Aave, de son côté, peut ajuster les paramètres en temps réel et dispose du système Umbrella, où des participants stakent des actifs en échange de récompenses, acceptant que ces stakes puissent couvrir des déficits du protocole.
Aucun des deux modèles n’élimine totalement les contraintes de liquidité. Chez Morpho comme chez Aave, un retrait dépend de la liquidité disponible dans le marché ou la réserve concernée. La différence réside dans le moment de l’intervention : avant le problème, en choisissant son exposition, ou pendant le problème, en agissant sur les paramètres.
Le précédent du printemps 2026 et les leçons apprises
Ce n’est pas la première fois qu’Aave gère les retombées d’une attaque sur une autre plateforme. Au printemps 2026, l’incident Kelp DAO avait impliqué du rsETH utilisé comme collatéral après un exploit de bridge. Une étude de liquidité avait montré que la liquidité disponible sur Aave V3 Ethereum Core était passée de 9,77 milliards à 5,75 milliards de dollars en 29 heures. La liquidité WETH disponible était même tombée à 1,5 million de dollars après un effondrement depuis 689 millions en deux heures.
Les contrats, oracles et moteur de liquidation avaient fonctionné normalement. Le problème concernait un collatéral déprécié, contrairement à la position USDT-WETH d’octobre qui restait surcollatéralisée selon les premières analyses. La récupération avait nécessité des liquidations finales en mai, le transfert de collatéral récupéré vers un portefeuille gardien, et un processus de gouvernance complexe, y compris une décision de justice à Manhattan concernant un transfert de 30 765 ETH.
Les mesures d’octobre n’ont pas été présentées comme l’annonce d’une mauvaise dette équivalente. LlamaRisk parle d’un prêt collatéralisé et de contrôles préventifs, sans indiquer qu’un processus de récupération similaire sera nécessaire.
Vers des contrôles automatisés plus fins
Le gel récent a relancé les appels à limiter la vitesse à laquelle un emprunteur peut construire une position, plutôt que de se contenter d’un plafond total et d’une réaction après alerte. Un plafond global limite le montant en cours. Une limite de flux restreindrait ce qui peut entrer pendant une période donnée, même s’il reste de la place sous le plafond.
Dès avril, un participant à la gouvernance avait proposé un système automatisé de mise à jour des plafonds de dépôt. L’idée était de maintenir l’offre permise proche des dépôts existants et de l’augmenter par petits pas, dans un maximum fixé par la gouvernance. Des paramètres suggérés incluaient environ 3 % de marge et des mises à jour pas plus d’une fois par heure. Le système pouvait être implémenté via un contrat externe avec des permissions d’administration des risques, sans modifier les contrats principaux de V3.
Une autre proposition, Rivus Guard, datant de 2024, décrit un contrôleur automatisé pour les plafonds de dépôt et d’emprunt. Elle sépare les maximums fixés par la gouvernance des limites plus souples sur l’évolution des totaux dans le temps. Ces limites souples visent à freiner les changements brusques de flux.
Le 31 octobre à 01h01 UTC, l’auteur de Rivus Guard est revenu dans la discussion de l’incident. Il a indiqué que les discussions sur son contrôleur avaient stagné pour des questions de compensation et a proposé de reprendre le sujet sans demander de paiement.
Ce qu’il faut surveiller dans les prochaines semaines
Plusieurs points restent à suivre de près. Les conditions de restauration du pouvoir d’emprunt pour les neuf actifs restreints seront annoncées dans le fil d’incident d’Aave. L’évolution des plafonds d’emprunt et de la dette en cours indiquera la marge restante pour de nouveaux prêts. Les paramètres de taux temporaires seront réévalués à mesure que les conditions de marché se normalisent. La position de l’attaquant – dette, collatéral, éventuelles liquidations ou remboursements – doit être analysée à chaque horodatage précis. Enfin, les propositions de gouvernance, les votes et les contrats déployés montreront si la discussion sur les contrôles automatisés débouche sur une mise en œuvre concrète.
Cet épisode illustre parfaitement la tension permanente en DeFi entre réactivité et disruption. Aave a choisi d’intervenir rapidement pour contenir des fonds suspects, au prix de contraintes pour des utilisateurs parfaitement innocents. Les taux ont grimpé, les dépôts ont été bloqués, et une partie des collatéraux ont perdu temporairement leur pouvoir d’emprunt. Pourtant, les positions sont restées collatéralisées et les contrats intacts.
La question de fond demeure : jusqu’où une plateforme de prêt doit-elle aller pour protéger l’écosystème, et à quel prix pour ses utilisateurs ordinaires ? Le débat entre marchés isolés et intervention centralisée n’est pas tranché. Il s’enrichit simplement d’un nouvel exemple concret, chiffré et documenté. Les prochains mois diront si les leçons tirées se traduisent par des outils plus fins, capables de limiter les dégâts collatéraux tout en préservant la capacité de réaction face aux menaces externes.
En attendant, les utilisateurs d’Aave ont retrouvé l’accès à la plupart des fonctionnalités. Mais le souvenir de ces heures où les marchés étaient partiellement gelés restera. Il rappelle que, même sans faille technique, un protocole peut devoir imposer des restrictions pour se protéger et protéger son écosystème. La DeFi continue d’apprendre, parfois à l’épreuve du feu, et chaque incident affine un peu plus les mécanismes de défense.
Les chiffres parlent d’eux-mêmes : 60 millions de USDT déposés, près de 45 millions empruntés, des milliards de capacité d’emprunt retirés temporairement, des taux qui ont touché 20 % annualisés sur certains pools, et neuf actifs encore sous surveillance. Derrière ces données se cache une réalité plus humaine : des emprunteurs qui ont vu leurs coûts grimper sans pouvoir renforcer leur collatéral, des prêteurs qui ont retiré ce qu’ils pouvaient, et une équipe de risque qui a dû arbitrer en temps réel entre sécurité et fluidité.
Cet équilibre restera au cœur des discussions dans les semaines à venir. Les propositions d’automatisation des plafonds, les ajustements de paramètres et la restauration progressive des collatéraux montreront comment Aave, et plus largement la DeFi, intègrent les enseignements de cet épisode. Pour l’instant, le message est clair : même sans piratage direct, un protocole peut devoir freiner ses utilisateurs pour éviter des complications plus graves. Et cette réalité, aussi frustrante soit-elle pour certains, fait partie intégrante de la maturité progressive de la finance décentralisée.
