Aave Labs présente un plan de sécurité par couches pour V4 après un programme d'audit de 1,5 million de dollars

Aave Labs a publié un plan détaillé pour sécuriser la prochaine version du plus grand protocole de prêt de la DeFi, décrivant un processus d’audit et de vérification sur un an pour Aave V4 et s’engageant à étendre ces pratiques au développement futur.

Dans un post sur le forum de gouvernance publié cette semaine, la société a présenté l’initiative V4 comme un « cadre axé sur la sécurité », où la protection des smart contracts est intégrée dès les premières phases architecturales, plutôt que traitée comme une simple vérification finale avant le lancement.

Le programme a combiné vérification formelle, audits manuels, tests d’invariantes, fuzzing et un concours public de sécurité, totalisant environ 345 jours cumulés de révisions impliquant des équipes internes, des auditeurs externes et des chercheurs indépendants.

Selon les informations partagées, ce travail a été financé par un budget de sécurité de 1,5 million de dollars ratifié par l’Aave DAO.

Engagements clés

Aave Labs a déclaré que cette expérience l’a conduite à adopter cinq engagements de sécurité à long terme pour le développement futur du protocole.

L’intégration de la vérification formelle dès le début des cycles de développement, l’adoption de méthodologies de sécurité en couches combinant plusieurs techniques d’audit, la réalisation de vérifications continues parallèlement au développement, le lancement d’un programme de bug bounty permanent, et le développement complémentaire d’une analyse des smart contracts assistée par IA ont tous été listés comme des engagements clés pour l’avenir.

La vérification formelle, en particulier, a joué un rôle central dans le processus V4, selon le Labs. La société de vérification Certora a travaillé avec les développeurs d’Aave dès les premières étapes de conception, contribuant à façonner l’architecture et à identifier des vulnérabilités avant que le code n’entre en phase d’audit formel.

Au-delà de la vérification formelle, le protocole a également subi plusieurs rounds d’audits manuels impliquant des sociétés comme ChainSecurity, Trail of Bits et Blackthorn, ainsi que des chercheurs en sécurité indépendants. Un ensemble de tests d’invariantes distinct a été développé avec des outils de fuzzing pour tester le comportement des composants clés tels que la comptabilité de liquidité, la logique de liquidation et les modèles de taux d’intérêt.

Le code du protocole a également été soumis à un concours public de sécurité de six semaines organisé sur Sherlock entre décembre 2025 et janvier 2026. Plus de 900 participants vérifiés ont soumis plus de 950 signalements lors du concours, bien qu’aucune vulnérabilité critique ou de haute gravité n’ait été rapportée.

Aave Labs a indiqué que la base de code de V4 avait été délibérément conçue pour être plus compacte et modulaire que sa version précédente, suite à la refonte de l’architecture en hub-and-spoke du protocole, permettant des audits plus ciblés et une revue de sécurité simplifiée.

Le modèle de sécurité de V4 a aussi intégré les retours des fournisseurs de services de gestion des risques et des intégrateurs qui construisent des applications sur le protocole de prêt. Leurs avis ont permis d’élargir le modèle de menaces, en tenant compte non seulement des interactions directes des utilisateurs, mais aussi des hypothèses de sécurité des systèmes intégrés dépendant de la liquidité d’Aave.

Conflit au sein de l’Aave DAO

La communication d’Aave Labs sur la sécurité intervient en pleine période de turbulences internes pour l’écosystème Aave. Les disputes de gouvernance se sont intensifiées ces derniers mois concernant l’allocation des fonds, la direction du protocole et le rôle des contributeurs clés.

Plus tôt cette année, BGD Labs — un contributeur technique de longue date responsable de pans majeurs de l’infrastructure du protocole — a annoncé son intention de cesser les activités liées à Aave après environ quatre ans d’implication.

Plus récemment, Marc Zeller, fondateur d’ACI, a déclaré que l’Aave Chan Initiative, un autre acteur majeur de la gouvernance, prévoyait de se retirer du protocole en juillet, sur fond de tensions croissantes entre contributeurs.

Ces développements font suite à un débat houleux autour d’une proposition baptisée « Aave will win », qui prévoyait des modifications de revenus et des orientations plus larges pour la prochaine mise à jour V4. La proposition a passé la consultation de température avec 52,6 % de votes favorables, mettant en lumière les divisions internes de la DAO sur la future orientation du protocole.

Aave est le plus important protocole de prêt onchain et figure parmi les premiers générateurs de frais mensuels DeFi, selon le tableau de bord de données de The Block.