Curve Dao Confie Le Risque À Yrisk Malgré L’Exploit Passé

Et si le prochain gardien du risque d’un protocole majeur n’était pas un cabinet neutre, mais une petite équipe déjà mêlée à un incident de plusieurs millions de dollars ? C’est précisément le basculement que vient d’acter Curve DAO. Le 2 septembre 2026, la gouvernance a confié à yRisk le suivi de crvUSD et de Llamalend, pour un mandat d’un an, un budget d’environ 250 000 dollars et un vote tellement lopsided qu’il en devient presque surréaliste : plus de 621 millions de veCRV pour, une poignée d’unités contre. Derrière ce score, deux prénoms de contributeurs, Wavey et Dudesahn, présentés comme développeurs centraux de Yearn et comme principaux artisans de Resupply. Un protocole qui, en juin 2025, a perdu près de 9,6 millions de dollars dans une attaque par donation. Ce chiffre n’apparaît nulle part dans le dossier soumis aux votants. Voilà le nœud de l’histoire.

Un mandat qui change la carte du risque chez Curve

Curve n’est pas un protocole parmi d’autres. C’est une infrastructure de liquidité, un émetteur de stablecoin algorithmique et, de plus en plus, un réseau de marchés de prêt isolés. Quand on parle de risque ici, on ne parle pas d’un simple tableau de bord. On parle de plafonds d’endettement, d’oracles, de concentration de collatéral, de PegKeepers, de paramètres de liquidation et de la capacité à réagir quand un marché se met à dériver. LlamaRisk assurait cette fonction. L’équipe a quitté le navire plus tôt que prévu. Curve a ouvert un appel à propositions le 7 juillet. Neuf dossiers sont arrivés. Swiss Stake les a passés au crible. Puis la communauté a voté. yRisk l’a emporté.

Le calendrier est serré. Le vote contraignant s’est refermé le 2 septembre. L’exécution onchain a suivi environ 87 minutes plus tard. Pas de période de flottement interminable. Pas de second tour. La machine de gouvernance a tranché, puis a payé. Deux flux de vesting révocables d’un an ont été mis en place : 125 000 frxUSD d’un côté, 568 181 CRV de l’autre. Le montage n’est pas anodin. Il donne à la DAO un levier : si la prestation déçoit, les flux restants peuvent être coupés avant l’échéance.

Ce que yRisk devra réellement surveiller

Le cahier des charges n’est pas cosmétique. yRisk devra évaluer les marchés de mint de crvUSD et les marchés isolés de Llamalend. Cela implique de relire les collatéraux admis, la profondeur de liquidité, la conception des oracles, les risques de concentration et les failles de gouvernance. L’équipe devra aussi proposer des plafonds de dette, des paramètres de marché, des limites de PegKeeper et d’autres garde-fous. Rien de tout cela n’est exécutoire par yRisk seul. La DAO et le emergency DAO gardent la main sur la décision finale et sur le déploiement.

Dans sa proposition initiale, yRisk promet des systèmes de surveillance publics, des tableaux de bord, des alertes et des outils d’analyse de code automatisés. Les travaux financés par le mandat seront, dans l’ensemble, publiés sous licence open source. C’est un argument politique autant que technique. Dans un écosystème qui a déjà vécu des rapports fermés, des modèles opaques et des départs brutaux de prestataires, la promesse d’ouvrir le capot a du poids. Reste à voir si cette ouverture tiendra quand un incident réel exigera de la discrétion opérationnelle.

Le premier chantier concret n’a rien de glorieux. yRisk doit relire les rapports, modèles, dashboards et dépôts laissés par LlamaRisk. Que conserve-t-on ? Que reconstruit-on ? Que jette-t-on ? Cette phase de succession est souvent le moment où les protocoles perdent de la mémoire. Un seuil mal documenté, un oracle mal compris, une hypothèse de corrélation oubliée, et le prochain incident s’écrit tout seul. Curve a déjà payé ce genre d’oubli. En mars, un oracle mal configuré a permis d’extraire environ 240 000 dollars d’un marché Llamalend, celui du pool sDOLA-crvUSD. Ce n’était pas un krach systémique. C’était un rappel : le diable habite dans le paramètre.

Deux contributeurs, plusieurs casquettes

yRisk n’est pas une armée. Le dossier présente deux contributeurs, Wavey et Dudesahn. Tous deux sont décrits comme développeurs cœur chez Yearn et chez Resupply, et comme développeurs principaux de Resupply. Cette proximité avec Curve n’est pas un hasard. Elle a séduit les examinateurs. Connaître Llamalend de l’intérieur, avoir touché aux mécaniques Yearn, avoir construit un protocole qui s’adosse à cet univers, cela donne une intimité technique que peu de cabinets externes peuvent revendiquer. Le revers est évident : la même intimité crée un conflit d’attention, et potentiellement un conflit d’intérêts perçu.

Swiss Stake, qui a passé en revue les neuf candidatures avant le vote de préférence, a salué cette connaissance pratique de Curve, de Llamalend, de Yearn et de Resupply. Puis l’équipe a pointé le vrai point faible : la capacité. Deux personnes déjà occupées ailleurs peuvent-elles surveiller un nombre croissant de marchés et garantir une couverture d’incident crédible ? La formulation était prudente. Elle ne disait pas que yRisk était sous-dimensionné. Elle disait que ce n’était pas encore clair. Dans la DeFi, cette phrase-là suffit souvent à justifier un mandat limité et un point de contrôle public. C’est d’ailleurs ce que Swiss Stake a recommandé, quel que soit le prestataire retenu.

Il n’est pas encore évident qu’ils puissent soutenir cette charge de travail et offrir une couverture d’incident suffisante à mesure que le nombre de marchés s’élargit.

Swiss Stake, évaluation comparative des candidatures

Le vote de préférence non contraignant avait déjà donné le ton. Environ 536,97 millions de veCRV pour yRisk, zéro contre, 47 votants, soit près de 68,78 % de l’offre votante au bloc de snapshot. Le vote contraignant a ensuite confirmé la tendance : 621,2 millions de veCRV favorables, 5,33 veCRV opposés. On peut lire ces chiffres comme un plébiscite. On peut aussi les lire comme le symptôme d’une participation concentrée, où quelques délégations lourdes font la pluie et le beau temps. Les deux lectures coexistent. Elles ne s’annulent pas.

L’ombre de Resupply, absente du dossier

En juin 2025, Resupply a subi une attaque par donation. Les pertes ont été estimées à environ 9,6 millions de dollars. L’analyse technique, notamment celle de QuillAudits, a décrit une manipulation du taux de change d’un marché de prêt. Le scénario est devenu un classique de manuels de sécurité : l’attaquant dépose des actifs dans un vault presque vide, le calcul du taux de change s’arrondit vers zéro, la collatéralisation devient artificiellement gonflée, l’emprunt part. Ce n’est pas une magie noire. C’est une arithmétique mal bornée, exploitée au bon moment.

La proposition yRisk a bien indiqué que ses contributeurs étaient des développeurs Resupply. Elle n’a pas mentionné l’exploit. L’évaluation comparative de Curve a parlé de l’expérience Resupply sans citer l’incident. Cette omission ne prouve pas qu’une règle de divulgation ait été violée. L’appel à propositions demandait de l’expérience pertinente, une méthodologie, de la capacité et un prix. Il n’exigeait pas, dans sa version publiée, la liste exhaustive des incidents survenus sur les projets antérieurs des contributeurs. Juridiquement et procéduralement, le dossier peut donc être « conforme ». Politiquement, le silence est un autre sujet.

Un votant informé pouvait connaître l’affaire. Un votant pressé, qui s’en remet au résumé de gouvernance, pouvait l’ignorer. C’est là que la qualité d’un processus DAO se mesure vraiment. Pas seulement à la clarté du smart contract de vote. À la qualité du dossier que l’on met sous les yeux de ceux qui détiennent le pouvoir. Quand on confie le risque systémique d’un stablecoin et d’un ensemble de marchés de prêt, l’historique d’incident n’est pas un détail biographique. C’est une donnée de souscription.

Pourquoi LlamaRisk est parti, et ce que cela révèle

LlamaRisk n’a pas claqué la porte sur un désaccord public avec Curve. Le prestataire avait renouvelé son mandat en avril 2026, avec une perspective allant jusqu’à avril 2027. Le 29 mai, il a annoncé son départ. Le 30 juin, le travail actif a cessé. Environ 270 247 crvUSD de financement non acquis ont été rendus à la trésorerie de Curve. La justification mise en avant était structurelle : une question d’allocation de ressources, pas un réquisitoire contre le protocole. Cette sobriété laisse un vide. On sait qu’une équipe de risque a jugé qu’elle ne pouvait plus, ou ne voulait plus, consacrer le même effort à Curve. On ne sait pas précisément ce que cela impliquait en interne : charge, rentabilité, priorités, fatigue, divergence de méthode.

Ce vide a une conséquence pratique. Curve a dû relancer un processus en plein été, alors que Llamalend continue de s’étendre. La version 2 a déjà ouvert des marchés isolés sur Optimism, avec un déploiement Ethereum dans le viseur. Plus de chaînes, plus de collatéraux, plus de combinaisons d’oracles, plus de surfaces d’attaque. Remplacer un prestataire dans cette phase n’est pas un changement de prestataire de communication. C’est un changement de système nerveux. Pendant quelques semaines, le protocole a avancé avec une mémoire de risque en cours de transfert. C’est toujours le moment le plus fragile.

On peut comprendre le choix de yRisk comme une tentative de rapprocher le risque du code. Des gens qui ont déjà écrit, débogué, paramétré, et qui savent où les abstractions de Curve deviennent dangereuses. On peut aussi le comprendre comme un pari sur la continuité culturelle : rester dans la famille Yearn-Curve plutôt que d’importer un regard extérieur plus froid. Les deux lectures sont défendables. Aucune des deux n’efface la question de la bande passante humaine.

Le métier du risque en DeFi n’est plus un accessoire

Il fut un temps où « risk management » dans un protocole voulait surtout dire publier un rapport PDF après le listing d’un collatéral. Ce temps est révolu. Les marchés isolés multiplient les micro-univers. Chaque univers a son oracle, sa liquidité, sa corrélation cachée avec le reste du livre. Un paramètre trop généreux sur un marché secondaire peut contaminer un stablecoin qui se voulait prudent. Un PegKeeper mal borné peut transformer une déviation de peg en spirale. Un plafond de dette mal calibré peut soit étouffer l’usage, soit offrir une autoroute à l’attaquant.

yRisk devra donc tenir plusieurs tempos à la fois. Le tempo lent de l’analyse de collatéral, avec ses hypothèses de stress et ses scénarios de liquidité. Le tempo quotidien de la surveillance, avec ses alertes et ses tableaux. Le tempo d’urgence de l’incident, où l’on n’a plus le droit d’écrire un essai : il faut un diagnostic, une recommandation, parfois en quelques heures. Le emergency DAO existe précisément pour ces heures-là. Encore faut-il que quelqu’un arrive avec une analyse utilisable, et non avec un fil de discussion semé de points d’interrogation.

La proposition insiste sur des rapports mensuels, une surveillance continue et un soutien en cas d’incident. C’est le minimum syndical d’un mandat sérieux. Le vrai test sera plus prosaïque. Les dashboards seront-ils lisibles par un délégué qui n’écrit pas de Solidity tous les jours ? Les alertes seront-elles assez précises pour éviter le bruit ? Les recommandations de plafond arriveront-elles avant que le marché soit déjà saturé ? Un prestataire de risque se juge moins à la beauté de sa méthodologie qu’à la ponctualité de ses freins.

Ce que le silence sur l’exploit dit de la gouvernance

On peut soutenir, de bonne foi, qu’un exploit ancien n’interdit pas d’être compétent ensuite. Beaucoup d’équipes de sécurité sont nées d’incidents qu’elles ont eux-mêmes subis ou analysés. L’échec, s’il est digéré, devient un avantage comparatif. On peut aussi soutenir que confier le risque d’un protocole à des développeurs dont le projet a été vidé de 9,6 millions de dollars exige au minimum une page d’explication. Pas un procès. Une page. Qu’a-t-on appris ? Quels contrôles ont été ajoutés ? Pourquoi le même type de manipulation de taux de change ne se reproduirait-il pas dans un marché Llamalend mal initialisé ?

L’absence de cette page dans les matériaux passés en revue n’est pas une preuve de mauvaise foi. C’est une faille de process. Les DAO aiment croire que la transparence onchain suffit. Or la transparence du vote n’est pas la transparence du dossier. On peut voir chaque veCRV se déplacer et, en même temps, voter à partir d’un récit incomplet. C’est une asymétrie classique. Elle favorise les initiés, ceux qui suivent les post-mortems depuis 2025, et elle pénalise le délégué occasionnel qui arrive au moment du snapshot.

Curve n’est pas obligée d’écarter un candidat à cause d’un incident passé. Elle est tenue, si elle veut rester crédible vis-à-vis des utilisateurs de crvUSD, de montrer qu’elle a regardé cet incident en face. Le public reporting promis par yRisk sera, paradoxalement, le premier endroit où l’on pourra juger si l’équipe assume cette mémoire ou si elle la contourne. Un premier rapport qui parlerait franchement des leçons de Resupply aurait plus de valeur qu’un dashboard élégant.

Argent, vesting et levier de révocation

Le package financier mérite qu’on s’y arrête. 125 000 frxUSD et 568 181 CRV, versés via deux flux distincts, révocables, d’une durée d’un an. Le montant global correspond au budget annuel demandé, autour de 250 000 dollars. Ce n’est pas un contrat de consulting indéfini. C’est une bourse sous surveillance. La révocation est l’outil politique de la DAO. Elle évite de relancer tout un processus judiciaire. Elle permet, en théorie, d’arrêter de payer si les livrables ne viennent pas.

En pratique, révoquer un prestataire de risque en cours de mandat n’est jamais anodin. Cela recrée le trou que Curve vient à peine de refermer. D’où l’intérêt d’un point de contrôle public, tel que Swiss Stake l’avait suggéré. Sans date officielle pour l’instant, ce checkpoint reste une intention. S’il n’est pas calendré, il risque de se diluer. Les DAO ont une habitude fâcheuse : elles votent des clauses de revue, puis elles les oublient jusqu’au prochain incident. Si Curve veut que le caractère révocable signifie quelque chose, elle devra dater la revue, publier des critères, et accepter d’en faire un vrai moment politique, pas un point à l’ordre du jour.

Le paiement mixte stablecoin plus CRV a aussi une dimension d’alignement. Une partie de la rémunération reste exposée à la santé de l’écosystème Curve. Ce n’est pas une garantie de vertu. C’est un rappel que le prestataire n’est pas un cabinet totalement extérieur, payé en monnaie neutre et indifférent au cours du jeton de gouvernance. Cet alignement plaît souvent aux communautés. Il peut aussi rendre plus délicate une critique interne trop vive. On ne critique pas facilement le protocole qui paie une part de son salaire en CRV, surtout quand on en construit déjà les briques ailleurs.

Llamalend grandit, la surface de risque aussi

Le mandat arrive pile au moment où Llamalend cesse d’être une expérience pour devenir une ligne de produits. Des marchés isolés, d’abord sur Optimism, puis l’ambition Ethereum. L’isolation est une protection. Elle empêche, en principe, qu’un collatéral toxique contamine tout le bilan. Elle n’empêche pas la multiplication des cas particuliers. Chaque marché isolé est une petite constitution : oracle, loan-to-value, liquidation, liquidité de sortie, gouvernance des paramètres. Plus on en ouvre, plus on a besoin d’yeux.

C’est précisément ici que l’objection de capacité redevient centrale. Deux contributeurs peuvent exceller sur un marché qu’ils connaissent par cœur. Peuvent-ils tenir la même intensité sur une dizaine de marchés, puis une vingtaine, répartis sur plusieurs chaînes, avec des oracles hétérogènes et des profils de liquidité différents ? La DeFi a déjà vu des équipes brillantes se faire déborder par le succès de leur propre architecture. Le risque n’est pas l’incompétence. C’est la file d’attente. Un rapport publié trois semaines trop tard vaut parfois moins qu’un rapport médiocre publié à temps.

L’incident de mars sur le pool sDOLA-crvUSD reste le meilleur cas d’école local. Une configuration d’oracle incorrecte, une extraction d’environ 240 000 dollars, un marché précis, pas une contagion généralisée. Le montant est modeste à l’échelle de Curve. La leçon ne l’est pas. Les exploits les plus coûteux commencent souvent par un paramètre que tout le monde croyait banal. Un prestataire de risque qui arrive après LlamaRisk devra montrer qu’il sait chasser ces banalités, pas seulement écrire des frameworks élégants sur la concentration et la gouvernance.

Open source, dashboards et la tentation du théâtre

Publier des outils sous licence ouverte est une belle promesse. Elle permet à d’autres chercheurs de vérifier, de forker, d’améliorer. Elle réduit le risque de « boîte noire » que l’on a vu trop souvent dans les rapports de risque propriétaires. Elle a aussi un coût. Un modèle public peut être lu par un attaquant aussi bien que par un délégué. L’équilibre entre transparence et sécurité opérationnelle n’est jamais définitif. yRisk devra décider ce qui relève du bien commun et ce qui relève de la salle de crise.

Les dashboards, eux, sont devenus le théâtre de la confiance. Une courbe rouge, une alerte orange, un score de santé, et l’utilisateur se sent protégé. Parfois à raison. Parfois parce que l’indicateur mesure autre chose que ce qu’il prétend. Un bon mandat de risque se reconnaît à la modestie de ses métriques autant qu’à leur nombre. Mieux vaut trois indicateurs bien définis qu’une galaxie de jauges illisibles. Si yRisk tient parole, le public pourra juger. Si les outils restent internes, le mandat n’aura fait que changer de prestataire sans changer de culture.

Il y a aussi la question du code analysis automatisé. L’idée est séduisante : scanner les marchés, détecter des motifs dangereux, signaler une initialisation trop mince, un taux de change fragile, une dépendance d’oracle circulaire. C’est exactement le type de filet qui, appliqué plus tôt, aurait pu interroger un vault presque vide avant qu’une donation le transforme en arme. Promettre l’outil est facile. Le brancher sur la réalité des marchés Curve, avec leurs spécificités Llamalend, l’est beaucoup moins. Le premier trimestre du mandat dira si l’on a affaire à un produit ou à une intention.

Ce que les votants ont réellement acheté

Au fond, Curve n’a pas seulement acheté des rapports. Elle a acheté une présence dans la famille, une intimité avec le code, un budget contenu, et une structure révocable. Elle a accepté, implicitement, le pari de la petite équipe plutôt que celui du cabinet étoffé. Elle a aussi accepté un angle mort documentaire autour de Resupply. Ces choix ne sont pas absurdes. Ils sont cohérents avec une culture de protocole où l’on fait davantage confiance à ceux qui ont déjà les mains dans le moteur.

La cohérence n’interdit pas la vigilance. Un score de 621 millions contre 5,33 n’est pas un certificat de qualité. C’est un certificat de consensus parmi ceux qui ont voté. Le travail commence maintenant : relire l’héritage LlamaRisk, publier les premiers suivis mensuels, poser des plafonds, documenter les oracles, et montrer que deux personnes très occupées peuvent quand même arriver avant l’incident, pas après. Si ce test échoue, la révocation existe. Encore faudra-t-il oser s’en servir.

Pour les utilisateurs de crvUSD, le sujet n’est pas abstrait. Un stablecoin ne survit pas uniquement grâce à son peg en temps calme. Il survit parce que quelqu’un, quelque part, a le courage de dire qu’un collatéral est trop concentré, qu’un marché est trop jeune, qu’un oracle est trop fragile. Ce quelqu’un s’appelle désormais yRisk. Le nom est nouveau. L’exigence, elle, n’a pas changé. Elle s’est même alourdie, à mesure que Llamalend s’étale sur d’autres chaînes et que la mémoire des exploits récents reste vive.

Une checklist pour les mois qui viennent

Plutôt qu’un verdict définitif, mieux vaut une grille de lecture. Elle permet de suivre le mandat sans se noyer dans le jargon. Elle donne aussi à la gouvernance un langage commun pour le futur checkpoint, s’il a lieu.

Cette grille n’a rien de révolutionnaire. Elle a le mérite d’être vérifiable. Trop de débats de gouvernance s’épuisent en impressions. Ici, les faits pourront parler. Soit yRisk devient le système nerveux que Curve cherchait après le départ de LlamaRisk. Soit le protocole découvrira, un peu tard, que l’intimité technique ne remplace pas la bande passante, et que le silence sur un exploit de 9,6 millions de dollars n’était pas qu’un oubli de dossier. Entre les deux, il y a douze mois, deux flux de vesting, et une communauté qui a voté comme si la décision allait de soi.

Les décisions qui « vont de soi » sont souvent celles qu’il faut relire le plus tôt. Curve vient de placer deux développeurs Resupply au poste de vigie de crvUSD et de Llamalend. Le geste est audacieux, presque familial, parfaitement aligné avec une certaine idée de la DeFi artisanale. Il sera jugé, comme toujours dans cet univers, non pas à la chaleur du vote, mais à la première alerte qui sonnera vraiment. Jusque-là, le plus honnête est de garder les yeux ouverts. Le mandat est signé. Le risque, lui, n’a pas pris de vacances.

On peut déjà anticiper les récits qui circuleront. Si tout se passe bien, on dira que la DAO a eu raison de faire confiance à des gens du sérail, que la connaissance intime de Curve valait mieux qu’un regard externe, que le budget serré a forcé l’efficacité. Si un marché dérape, on ressortira le dossier de juin 2025, le vault presque vide, l’arrondi vers zéro, et l’on demandera pourquoi cette histoire n’était pas en première page du vote. Les deux récits sont déjà écrits. Seuls les faits des douze prochains mois départageront lequel des deux méritait d’exister.

En attendant, crvUSD continue de devoir rester un dollar, Llamalend continue d’ouvrir des portes, et la gouvernance continue de déplacer des millions de veCRV en quelques blocs. Le risque, dans cet environnement, n’est jamais une fonction support. C’est le produit invisible sans lequel les produits visibles s’effondrent. yRisk entre en scène avec un mandat clair, un silence gênant et une confiance presque unanime. Rarement un début de mission aura été à la fois aussi confortable politiquement, et aussi exposé techniquement.