Introduction

La Finance Décentralisée (DeFi) s’est imposée sur la scène mondiale comme une alternative puissante à la finance traditionnelle, offrant un accès sans autorisation préalable, des opportunités de rendement et une innovation effervescente. Mais derrière la promesse de gains substantiels se cache un risque considérable. Nous évoluons dans un environnement de confiance nulle (zero trust), où n’importe qui peut créer un token, lancer un protocole ou déployer un smart contract. Cela signifie que des acteurs malveillants, des failles dans le code et des arnaques peuvent se trouver partout.

Uniswap—pionnier de la technologie des market makers automatisés (AMM)—est l’une des pierres angulaires de ce nouveau paradigme. Depuis sa première version jusqu’à ses itérations les plus avancées, Uniswap a facilité les échanges décentralisés de tokens et la fourniture de liquidité. Toutefois, même si un protocole peut être robuste, l’écosystème DeFi dans son ensemble reste semé d’embûches. En tant que participant curieux, vous devez faire vos propres recherches (DYOR), comprendre les nuances du “trustlessness” et élaborer des stratégies pour protéger vos fonds.

Dans ce billet au format « white paper », nous allons examiner :

  • Les fameuses pertes en crypto causées par des bugs techniques et des exploits.
  • L’évolution d’Uniswap (v2, v3 et v4) ainsi que les incidents notables ayant entraîné des pertes pour les fournisseurs de liquidité (LP).
  • Les raisons pour lesquelles ces incidents soulignent l’importance d’une mentalité « zero-trust » et les moyens de se prémunir contre les menaces.
  • Comment vous pouvez toujours gagner de l’argent sur le long terme en combinant connaissances, pratique et prudence.
  • Les protocoles alternatifs à explorer pour diversifier votre présence DeFi.

Tout au long de cet article, vous verrez que le protocole Uniswap lui-même jouit d’un excellent bilan de sécurité. Les hacks et attaques dont nous parlerons proviennent souvent d’intégrations externes ou d’attaques d’ingénierie sociale, plutôt que de failles fondamentales dans le code d’Uniswap. Néanmoins, ces incidents montrent à quel point la DeFi est interconnectée : un seul bug ou un seul moment d’inattention hors des contrats centraux peut causer des pertes énormes.

Enfin, nous présenterons des stratégies pour réussir dans cet environnement de confiance nulle, en insistant sur la nécessité d’une bonne diligence, d’une vérification méticuleuse des transactions et d’une amélioration continue de vos connaissances. Si vous envisagez de participer ou de fournir de la liquidité sur Uniswap ou tout autre protocole DeFi, ce billet servira de feuille de route pour investir de manière sûre et durable.

Pourquoi le “Zero-Trust” est-il important en crypto ?

Dans le domaine de la cybersécurité, une approche “zero-trust” signifie ne faire confiance à aucun utilisateur, système ou réseau par défaut. Cela implique de vérifier systématiquement et d’exiger des contrôles stricts avant de donner accès ou d’accorder des privilèges. Transposé à la DeFi, cela se traduit par :

  • Toujours vérifier l’adresse du contrat avant toute interaction avec un protocole.
  • Examiner attentivement chaque demande de transaction, surtout lorsqu’elle implique la fonction setApprovalForAll.
  • Se méfier des promesses trop belles ou des “influenceurs” vantant des projets sans preuve solide.
  • Supposer que toute faille éventuelle sera tôt ou tard exploitée par quelqu’un.

Le zero-trust n’est pas une forme de paranoïa : c’est un moyen de protéger vos fonds dans un environnement où le code fait loi et où les mauvais acteurs sont nombreux. Même si le potentiel de gains en crypto peut être considérable, une seule erreur peut entraîner la perte totale de vos actifs.

À retenir : En adoptant le zero-trust en DeFi, vous développerez des réflexes de vérification continue et un scepticisme sain, qui vous aideront à ne pas céder aux hacks ou aux scams.

Grandes pertes dues à des bugs techniques

Avant d’entrer dans les détails d’Uniswap, prenons un peu de recul pour rappeler quelques incidents emblématiques du monde crypto où des bugs techniques ont causé des pertes majeures. Ces exemples montrent que, peu importe la solidité apparente d’un système, la vigilance et les audits en continu restent essentiels.

  1. The DAO Hack (2016)

    • L’un des premiers exploits majeurs sur Ethereum. Les attaquants ont drainé environ 3,6 millions d’ETH du smart contract The DAO via une faille de réentrance. L’incident était si grave qu’il a entraîné une scission de la blockchain en Ethereum et Ethereum Classic.

  2. Bug du portefeuille Parity (2017)

    • Une vulnérabilité dans la bibliothèque de portefeuilles multi-signatures de Parity a permis à un utilisateur de déclencher par inadvertance une fonction “kill”, gelant plus de 500 000 ETH de manière permanente. Il ne s’agissait pas d’une attaque malveillante, mais d’une simple faille logicielle ayant immobilisé des millions de dollars.

  3. Exploitation du pont Ronin (2022)

    • Des attaquants ont pris le contrôle de clés privées pour orchestrer des retraits du sidechain Ronin, utilisé par Axie Infinity, aboutissant à la perte de plus de 600 millions de dollars. Ici, ce n’était pas uniquement un bug, mais aussi une sécurité mal configurée.

  4. Hack de Nomad Bridge (2022)

    • Une erreur d’initialisation a permis à n’importe qui de copier un appel de transaction et de vider les fonds à plusieurs reprises. Plus de 190 millions de dollars ont été dérobés lors de cette attaque massive et désorganisée.

Ces cas célèbres illustrent l’importance de tester, auditer et retester le code. Malgré les leçons tirées de ces désastres, de nouvelles failles font surface à mesure que les protocoles deviennent plus complexes. Se pencher sur les échecs passés est indispensable pour se prémunir dans le présent. Passons maintenant à l’historique d’Uniswap.

Aperçu d’Uniswap et concepts clés

Lancé en 2018, Uniswap propose un modèle d’AMM (Automated Market Maker) révolutionnaire, remplaçant les order books classiques par des pools de liquidité. Dans ce système, tout le monde peut devenir fournisseur de liquidité (LP) en déposant une paire de tokens dans un pool. Les traders peuvent ensuite échanger ces tokens directement depuis le pool, en payant une petite commission reversée aux LPs.

Principes de base

  • Pools de liquidité : Au lieu de mettre en correspondance acheteurs et vendeurs, Uniswap utilise des contrats intelligents qui détiennent des réserves de tokens. Le prix est déterminé de manière algorithmique.
  • Formule du produit constant : Dans les versions v1 et v2, Uniswap s’appuie sur l’équation x * y = k. Lorsque vous avez deux tokens, la multiplication de leurs quantités reste constante. Plus un token devient rare, plus son prix grimpe par rapport à l’autre.
  • Positions LP sous forme de NFT : Avec Uniswap v3, les positions de liquidité sont représentées par des NFTs définissant des fourchettes de prix personnalisées où le fournisseur de liquidité accepte d’intervenir. Cette approche favorise la liquidité concentrée, améliorant l’efficacité du capital.

Pourquoi un tel succès ?

  1. Permissionless : N’importe qui peut créer une paire de trading.
  2. Open-Source : Le code est public, contrôlé par des audits multiples, et consultable par tous.
  3. Écosystème : Uniswap s’intègre à de nombreux outils et portefeuilles crypto, ce qui en fait un choix par défaut pour de nombreux traders.

Malgré ces atouts, fournir de la liquidité n’est pas sans risques : perte impermanente, risques liés aux smart contracts, risques de protocole et phishing. Uniswap a su sécuriser ses contrats de base, mais nous verrons que des intégrations externes ou l’ingénierie sociale ont parfois causé des pertes réelles au sein de l’écosystème.

L’évolution d’Uniswap

Uniswap a connu trois grandes étapes : v2, v3 et v4. Chaque itération a apporté de nouvelles fonctionnalités et optimisations :

  1. Uniswap v2 (lancé en mai 2020)

    • Amélioration de la v1, notamment en prenant en charge les paires ERC20–ERC20.
    • Correction des vulnérabilités de réentrance observées dans la v1.
    • Malgré sa solidité, il demeure exposé aux systèmes tiers qui peuvent être compromis.

  2. Uniswap v3 (lancé en mai 2021)

    • Inaugure la liquidité concentrée et transforme les positions LP en NFTs.
    • Hautement efficace en capital, permettant plus de volume avec moins de fonds bloqués.
    • Aucun exploit direct connu dans ses contrats principaux, mais des attaques de phishing ont visé les utilisateurs.

  3. Uniswap v4 (présenté à la mi-2023)

    • Introduit des “hooks” permettant de personnaliser les pools sans devoir déployer un nouveau “factory”.
    • A bénéficié de multiples audits et d’un large programme de bug bounty.
    • Aucun exploit signalé dans ses contrats de base jusqu’en 2025.

Examinons à présent les incidents recensés dans chaque version d’Uniswap, en mettant l’accent sur les pertes directes ou indirectes des fournisseurs de liquidité, dans une optique de zero trust plus large.

Incidents connus affectant les fournisseurs de liquidité sur Uniswap

Uniswap v2 (2020–Aujourd’hui)

Bilan de sécurité : Lancée en mai 2020, la v2 n’a subi aucun exploit direct affectant son cœur de contrats. Elle a corrigé la faille de réentrance liée aux tokens ERC777 de la v1 et a traité un volume colossal, sans incidents majeurs imputables à son code propre.

Cependant, un évènement important est survenu en 2022, touchant des jetons LP Uniswap v2 : une faille dans un service tiers nommé Team Finance, qui migrait des liquidités de la v2 vers la v3. Même si le code d’Uniswap n’était pas en cause, des LPs ont subi des pertes.

Exploit lié à la migration de liquidité Team Finance (octobre 2022)

Date/Période : 27 octobre 2022
Détails de l’incident :

  • L’attaque visait Team Finance, un launchpad gérant le verrouillage de liquidités pour divers projets.
  • Pendant la migration des jetons LP v2 vers des pools v3, un bug dans le contrat de Team Finance a permis à un attaquant de manipuler le prix dans les nouvelles paires v3 qu’il contrôlait.
  • En profitant de cette manipulation, il a pu récupérer bien plus de tokens que légitimement possible, vidant la liquidité de quatre pools (CAW, TSUKA, USDC, etc.).

Pertes/Impact :

  • Environ 14,5 millions de dollars en tokens dérobés (dont 880 ETH et une grande quantité d’autres jetons).
  • Des projets tels que CAW Coin ont perdu quelque 5 millions de dollars en stablecoins et des milliards de CAW, provoquant une chute brutale de leur prix.
  • L’attaque figure parmi les plus importantes visant des LPs en 2022, bien que le code d’Uniswap v2 ne soit pas en faute.

Réaction :

  • Team Finance a suspendu ses opérations et appelé le hacker à négocier.
  • Ce dernier s’est présenté comme “whitehat” et a retourné 7 millions de dollars aux projets touchés, conservant 10 % en guise de bounty.
  • Aucune mise à jour n’a été nécessaire pour Uniswap, la faille provenant d’un contrat tiers.

Fonds recouvrés ?

  • Partiellement. Environ 48 % des actifs ont été rendus, l’attaquant conservant 7,5 millions comme récompense.
  • Ce cas illustre que, même si un protocole est sûr, des intégrations externes peuvent présenter des risques majeurs.

Uniswap v3 (2021–Aujourd’hui)

Bilan de sécurité :

  • Lancée en mai 2021, dotée d’un mécanisme de liquidité concentrée.
  • Aucun exploit direct dans ses contrats principaux.
  • Plusieurs audits et un bug bounty conséquents ont renforcé sa sécurité.

Cependant, des attaques phishing et d’ingénierie sociale ont ciblé les utilisateurs d’Uniswap v3—en particulier une escroquerie massive en juillet 2022 où des LPs se sont fait voler leurs fonds via un faux airdrop.

Attaque de phishing via faux airdrop UNI (juillet 2022)

Date/Période : 11–12 juillet 2022
Détails de l’incident :

  • Des escrocs ont envoyé un faux token “UNI” à des dizaines de milliers d’adresses Ethereum, prétendant qu’il s’agissait d’un airdrop officiel.
  • Le lien accompagnant le faux token redirigeait vers un site de phishing incitant les utilisateurs à “réclamer” leurs tokens.
  • En réalité, on leur faisait signer une transaction setApprovalForAll pour leurs NFTs LP Uniswap v3, permettant aux escrocs de transférer ces NFTs depuis le portefeuille de la victime.
  • Les attaquants ont alors retiré la liquidité sous-jacente (principalement de l’ETH) après avoir pris le contrôle des positions LP.

Pertes/Impact :

  • Environ 7 574 ETH (soit 8 millions de dollars à l’époque) ont été volés aux victimes.
  • Plus de 73 000 adresses ont reçu ce faux token, et une partie a interagi avec lui, se faisant ainsi dépouiller.
  • L’incident a été initialement perçu comme un hack d’Uniswap, ce qui a semé la panique avant d’être démenti.

Réaction :

  • Rapidement, les analystes on-chain et Uniswap Labs ont expliqué qu’il s’agissait d’un phishing, pas d’une faille du protocole.
  • Les utilisateurs ont été invités à révoquer les autorisations suspectes et à éviter le domaine frauduleux.
  • Les fonds volés ont été blanchis via Tornado Cash, rendant quasi impossible toute récupération.

Fonds recouvrés ?

  • Non. Les attaquants ont “mixé” l’intégralité des ETH dérobés, et les victimes n’ont aucun moyen de les récupérer.
  • Conclusion : Même avec un code irréprochable, un protocole ne peut protéger contre les ruses d’ingénierie sociale dans un environnement zero-trust.

Uniswap v4 (2023–Aujourd’hui)

Bilan de sécurité :

  • Présentée à la mi-2023, la v4 introduit des “hooks” offrant une personnalisation avancée des pools.
  • A fait l’objet de neuf audits et propose une prime de bug bounty de 15,5 millions de dollars.
  • Au début de l’année 2025, aucun hack ou exploit n’a été rapporté.

Aucun incident à ce jour

  • Les “hooks” pourraient en théorie introduire des vulnérabilités dans les pools personnalisés, mais aucune n’a été exploitée jusqu’ici.
  • La communauté reste vigilante, et les grosses primes incitent au signalement responsable des bugs.
  • Dans l’ensemble, Uniswap v4 poursuit la tradition de sécurité du protocole, avec zéro perte de fonds constatée jusqu’à présent.

Conclusion sur les incidents Uniswap
Au fil des versions (v2, v3, v4), on note aucun hack direct touchant le cœur des contrats Uniswap. Les pertes de liquidités proviennent soit:

  • d’exploits de contrats tiers (bug de Team Finance en v2),
  • d’attaques de phishing/ingénierie sociale (faux airdrop UNI en v3).

Ces épisodes prouvent l’extrême interconnexion et la nature trustless de la DeFi. Même si le protocole de base est sûr, il est crucial de contrôler l’écosystème environnant et de se protéger contre les tentatives courantes de phishing.

Protocoles alternatifs à considérer

Pour ceux qui souhaitent se diversifier au-delà d’Uniswap, d’autres plates-formes AMM ou axées sur la liquidité proposent des approches différentes. Que vous visiez des rendements élevés, des paires spécifiques ou des fonctionnalités avancées, vous trouverez ci-dessous quelques pistes. Dans un environnement zero-trust, procédez toujours à des audits et des recherches approfondies avant d’engager vos fonds.

  1. Curve Finance

    • Spécialité : Paires de stablecoins et actifs corrélés.
    • Atout : Réduit le slippage et la perte impermanente dans les pools de stablecoins.

  2. Balancer

    • Spécialité : Pools multi-actifs avec répartition personnalisable.
    • Atout : Vous pouvez créer un portefeuille de plusieurs tokens dans un même pool, rééquilibré automatiquement.

  3. Bancor

    • Spécialité : Mécanisme intégré de protection contre la perte impermanente.
    • Atout : Exploite le Bancor Network Token pour une liquidité “monotoken” (un seul actif) et une couverture IL (avec certaines conditions de vesting).

  4. DODO

    • Spécialité : Un algorithme “Proactive Market Maker” (PMM), différent de la formule produit constant.
    • Atout : Spread réduit et slippage moindre si la liquidité n’est pas trop éparse.

  5. SushiSwap

    • Spécialité : Fork d’Uniswap, mais avec des fonctionnalités comme BentoBox (yield) et Kashi (prêts).
    • Atout : Programmes communautaires, incentives supplémentaires et interface familière pour les habitués d’Uniswap v2.

  6. 1inch Liquidity Protocol

    • Spécialité : Agréger la liquidité de plusieurs sources.
    • Atout : Combine un agrégateur avec ses propres pools, cherchant à offrir de meilleures conditions d’exécution globales.

Bien que chaque protocole présente ses avantages, tous fonctionnent sur des smart contracts susceptibles de contenir des failles ou d’être mal utilisés par des services externes. Restez sur vos gardes, lisez les audits et tenez compte du retour de la communauté.

Comment réussir dans un environnement Zero-Trust

Les contrats bien conçus d’Uniswap montrent qu’un protocole peut être sécurisé, mais cela ne vous met pas à l’abri de pertes si vous gérez mal vos risques. Pour prospérer dans un environnement zero-trust, il faut adopter un état d’esprit particulier et suivre certaines bonnes pratiques :

  1. Faites vos propres recherches (DYOR)

    • Ne vous fiez pas aux influenceurs, aux gros titres ou au battage médiatique.
    • Consultez les audits des smart contracts, étudiez comment le projet s’intègre à d’autres protocoles et vérifiez la transparence de l’équipe.

  2. Utilisez des outils de confiance

    • Vérifiez les adresses de contrat ; copiez-les depuis des sources officielles (site web ou GitHub du projet).
    • Surveillez régulièrement vos approbations (approvals) via un gestionnaire de portefeuilles fiable et révoquez immédiatement celles qui semblent suspectes.

  3. Limitez votre exposition

    • Diversifiez vos positions, à la fois en termes de protocoles et de pools.
    • Investissez uniquement l’argent que vous pouvez perdre. Dans la DeFi, allouer 10 % à 30 % de vos avoirs crypto peut déjà être jugé risqué si vous êtes prudent.

  4. Restez à jour sur la sécurité

    • Suivez les comptes Twitter ou Discord officiels pour les alertes en temps réel (hacks, phishing, bugs, etc.).
    • Si vous entendez parler d’une activité suspecte, révoquez immédiatement les autorisations ou retirez vos fonds avant d’en savoir plus.

  5. Attention aux airdrops frauduleux

    • Les tokens reçus de manière inattendue, surtout avec des slogans du type “réclamez vos UNI gratuits !” sont souvent des arnaques.
    • Si une offre semble trop belle pour être vraie, c’est probablement le cas.

  6. Maintenez une bonne opsec

    • Conservez vos clés privées et seed phrases hors-ligne, idéalement sur un hardware wallet.
    • Ne partagez jamais vos clés et évitez de signer des messages depuis des sites douteux.

  7. Restez humble

    • C’est souvent quand on se croit invincible qu’on tombe dans le piège.
    • Les attaquants innovent constamment ; la fraude d’aujourd’hui ne sera pas celle de demain.

Rappelez-vous : vous pouvez réussir en environnement zero-trust en cultivant la prudence, en ne faisant jamais confiance aveuglément à un unique acteur ou protocole, et en renforçant sans cesse vos compétences et connaissances. L’effort que vous investirez aujourd’hui se transformera en gains à long terme.

Les arnaques sont omniprésentes—et c’est acceptable

Impossible de parler de crypto sans parler d’arnaques. Rug pulls, systèmes de Ponzi, phishing… Dans un univers ouvert et sans permission, ces menaces sont inévitables. Bien que cela puisse paraître effrayant, cela signifie aussi que vous disposez d’une liberté accrue pour gérer et stocker vous-même vos actifs. Concrètement :

  • Arnaques : Elles sont partout—acceptez ce fait et concentrez-vous sur la façon de les éviter.
  • Outils améliorés : L’écosystème mûrit, avec des portefeuilles qui émettent des alertes, des systèmes de notation pour évaluer la fiabilité des nouveaux tokens et des sites d’agrégation détectant les domaines suspects.
  • Responsabilité partagée : Chaque utilisateur doit rester vigilant et aider la communauté en signalant les risques. Sur Twitter et Discord, les alertes circulent souvent en temps réel.

La présence d’acteurs malhonnêtes n’est pas une raison de fuir la DeFi. Au contraire, c’est une opportunité pour intégrer la philosophie zero-trust et approfondir vos connaissances. Au fil du temps, l’adhésion croissante à ces principes élèvera la sécurité et la transparence globales de l’écosystème.

Gagner de l’argent grâce à la connaissance sur le long terme

Malgré ces risques, gagner de l’argent dans la DeFi—y compris via Uniswap—reste une possibilité bien réelle. L’essentiel est d’adopter une vision long terme et éclairée, plutôt que de céder à la FOMO.

  1. Croissance composée

    • En fournissant de la liquidité, vous touchez des frais de trading. Sur la durée, ces frais peuvent se cumuler si vous les réinvestissez.
    • Des stratégies comme le yield farming, surtout sur des paires stables, peuvent générer des retours réguliers si vous maîtrisez la perte impermanente.

  2. Arbitrage et tactiques avancées

    • Les utilisateurs expérimentés recherchent des écarts de prix entre différentes plateformes pour réaliser des profits relativement sûrs.
    • Cela nécessite des compétences techniques et une surveillance active, mais peut s’avérer très lucratif.

  3. Des attentes réalistes

    • Dans un environnement zero-trust, il n’existe pas de rendement réellement “sans risque”.
    • Si un projet promet 1 000 % d’APR, il peut s’agir d’un événement promotionnel de courte durée ou d’une alerte de risque élevé.

  4. Apprentissage en continu

    • La DeFi évolue rapidement. Être parmi les premiers à adopter de nouvelles stratégies ou nouveaux protocoles peut rapporter gros.
    • Suivez des chercheurs fiables, lisez des white papers et n’ayez pas peur de tester avec de petites sommes.

  5. Rester liquide

    • Prévoyez toujours un plan de sortie si des signaux inquiétants apparaissent (contrat modifié, rumeurs persistantes, actualités négatives).
    • Les marchés sont ouverts 24 h/24 et 7 j/7, et les choses peuvent aller très vite. Un plan clair est indispensable.

Sur plusieurs mois ou années, une connaissance approfondie et une diversification méthodique peuvent permettre à vos avoirs crypto de générer des rendements conséquents. Les grands gagnants en DeFi ne sont pas forcément ceux qui misent des sommes astronomiques, mais souvent ceux qui anticipent et contrôlent les risques de manière disciplinée.

Conclusion

L’histoire d’Uniswap et de ses différentes versions (v2, v3 et v4) démontre qu’un code robuste, associé à de multiples audits, peut garantir la sécurité d’un protocole à son cœur. En effet, aucun exploit direct n’a réussi à vider les pools centraux d’Uniswap (v2, v3 ou v4) depuis leur lancement respectif. Cela n’a pas empêché certains fournisseurs de liquidité de subir des pertes, car la DeFi dépasse le seul protocole de base :

  • Le bug de Team Finance en 2022 a entraîné 14,5 millions de dollars de pertes pour des LP v2.
  • Le phishing de 2022 a volé plus de 8 millions de dollars de positions Uniswap v3.
  • Des vulnérabilités potentielles pourraient encore se cacher dans des “hooks” v4 mal conçus, même s’il n’y a eu aucun incident jusqu’ici.

Dans un environnement zero-trust, il suffit parfois d’une faille dans un service tiers ou d’un clic imprudent pour provoquer la catastrophe. Mais la DeFi n’est pas pour autant perdue : avec des compétences solides, de la prudence et une veille constante, vous pouvez prospérer, gagner de l’argent et éviter les arnaques sur le long terme.

Le point essentiel : Le zero-trust en DeFi n’a rien d’étouffant ; il peut au contraire être source d’émancipation. Vous gardez la maîtrise de vos clés, vous choisissez les protocoles et outils auxquels faire confiance. En comprenant les interactions entre contrats intelligents, applications tierces et attaques d’ingénierie sociale, vous mettez toutes les chances de votre côté pour éviter les écueils et tirer profit des opportunités passionnantes qu’offre Uniswap et, plus largement, la DeFi.

Références / Liens