HypurrFi signale un bug Aave V3, alors que la situation se complique lors de la mise à jour vers la version V4

HypurrFi, un marché de prêts sur HyperEVM d'Hyperliquid prenant en charge les marchés groupés et isolés, a exposé une vulnérabilité d'arrondi dans le Aave V3 avant la version 3.5, suspendant les marchés XAUTO et UBTC pour assurer la sécurité des fonds des utilisateurs. 

Cette nouvelle survient alors Aave Labs a publié un rapport détaillé sur le succès de la mise à jour V4, indiquant qu'après un an de tests, aucune vulnérabilité critique n'a été découverte.

Ainsi, bien que les progrès de la mise à niveau V4 soient intéressants, un doute persiste en raison d'un bug apparent dans le protocole, qui héberge 26,5 milliards de dollars de dépôts d'utilisateurs. 

Qu'a découvert HyperFi ?

HypurrFi, grâce à son système de surveillance interne, a détecté des erreurs dans Aave, et a immédiatement suspendu les nouveaux dépôts et les emprunts sur les marchés concernés. Cette mesure a été prise afin de garantir la sécurité des fonds des utilisateurs et de permettre les retraits et les remboursements sans aucun risque. 

Afin de remédier à ces problèmes, HypurrFi s'est associé aux déployeurs Aave et à des chercheurs en sécurité. Ils ont également incité d'autres projets dérivés Aave à les contacter pour obtenir des informations sur la sécurité, laissant entendre que la vulnérabilité pourrait affecter d'autres plateformes en dehors de leurs marchés respectifs.

Les récents développements soulèvent des questions concernant l' Aave V3, ce qui pourrait donner AaveAaveAave AaveAaveAaveAave AaveAave a réalisé un chiffre d'affaires de plus de 120 millions de dollars l'année dernière Defillama, 

La mise à jour V4 d' Aave Labs est-elle sécurisée ?

Quelques jours avant la découverte de la faille d'arrondi, Aave Labs publiait un rapport de sécurité complet pour la version 4.Ce document détaillait le processus d'examen mené pendant un an, de mars 2025 à février 2026. Ce processus a nécessité 345 jours d'examen et a impliqué plusieurs cabinets d'audit, dont Certora, ChainSecurity, Trail of Bits et Blackthorn. Plus de 900 chercheurs indépendants ont également participé à ce processusdent soumettant leurs conclusions lors d'un concours de sécurité Sherlock de six semaines.

Dans son rapport, Aave Labs a affirmé qu’« aucune vulnérabilité critique ou de haute gravité n’a été trouvée », précisant que le cadre de sécurité de la mise à niveau V4 comprend une vérification formelle, des audits manuels, des tests invariants, le fuzzing et l’analyse assistée par l’IA, autant d’éléments qui représentent une approche « la sécurité d’abord » appliquant des mesures de protection dès le début des étapes de conception plutôt qu’à la fin. 

Bien que cela semble rassurant, les utilisateurs restent méfiants car la V3 a subi des audits similaires de la part de grandes entreprises avant son déploiement, et après des années de fonctionnement, HypurrFi a découvert un bug. 

Qu’est-ce que cela signifie pour Aave?

Ce rapport paraît dans un contexte difficile pour l'écosystème Aave , BDG Labs ayant annoncé le 20 février son départ le 1er avril, invoquant comme raisons de sa décision le contrôle exercé par Labs sur la gouvernance et les contraintes artificielles imposées aux développements de la version 3. 

Quelques semaines plus tard, ACI a également annoncé qu'elle ne renouvellerait pas sontracavec Aaveet qu'elle honorerait son accord jusqu'à son terme, soit quatre mois de validité restants. Le fondateur d'ACI, Marc Zeller, évoque ensuite la proposition «Aave gagnera », qui accorderait à Labs un financement d'environ 51 millions de dollars, la citant comme preuve qu'« une seule entité détient un pouvoir de vote suffisant pour faire adopter ses propres propositions budgétaires malgré l'opposition de la communauté »

La proposition a passé tous les contrôles nécessaires et a reçu 52,8 % de soutien de la communauté, mais Zeller a protesté que les votes auraient échoué si elle ne dépendait pas d'environ 233 000 AAVE provenant d'adresses liées à Labs, dont 111 000 auraient été déléguées par le fondateur Stani Kulechov. 

Les départs de BDG et d'ACI révèlent un problème commun : la frustration face à la volonté d'Aave Labs d'imposer la migration de la version 3 à la version 4. Les propositions initiales suggéraient de modifier progressivement les paramètres de la version 3, forçant ainsi les utilisateurs à migrer dès le lancement de la version 4. BDG s'est fermement opposé à cette initiative, critiquant par ailleurs Aave Labs pour avoir délibérément bloqué le développement de la version 3 tout en promouvant la version 4 en la comparant défavorablement à la version 3.