HypurrFi signale un bug Aave V3 au milieu de l'escalade des drames liés à la mise à niveau V4

HypurrFi, un marché de prêt sur HyperEVM de Hyperliquid soutenant à la fois les marchés groupés et isolés, a exposé une vulnérabilité d'arrondi dans le code noyau d'Aave V3 antérieur à la version 3.5, mettant en pause les marchés XAUTO et UBTC pour garantir la sécurité des fonds des utilisateurs. 

Cette nouvelle survient alors qu'Aave Labs a publié un rapport détaillé sur le succès de la mise à niveau V4, indiquant qu'après un an de tests, aucune vulnérabilité critique n'a été trouvée.

Ainsi, bien que les progrès de la mise à niveau V4 soient intéressants, il subsiste un doute persistant en raison d'un bug apparent actuellement dans le protocole, qui héberge 26,5 milliards de dollars de dépôts d'utilisateurs. 

Qu'est-ce que HypurrFi a trouvé ?

HypurrFi, par le biais de son système de surveillance interne, a découvert a détecté des erreurs dans la logique de calcul de V3 d'Aave, mettant immédiatement en pause les nouveaux dépôts et emprunts sur les marchés affectés. Cette mesure a été prise afin de garantir la sécurité des fonds des utilisateurs et de permettre les retraits et les remboursements sans aucun risque impliqué. 

Afin de résoudre ces problèmes, HypurrFi s'est désormais associée aux déployeurs d'Aave et aux chercheurs en sécurité. Ils ont également exhorté les autres projets fork d'Aave à les contacter pour obtenir des conseils en matière de sécurité, laissant entendre que la vulnérabilité pourrait affecter d'autres plateformes en dehors de leurs propres marchés.

Les récents développements soulèvent des questions sur le Aave V3, donnant potentiellement plus de poids à Aave Labs dans l'argumentation de l'urgence de sa mise à niveau V4 très contestée. Aave a généré plus de $120 millions de revenus l'année dernière, selon les données de Defillama. 

Dans quelle mesure la mise à niveau V4 d'Aave Labs est-elle sécurisée ?

Quelques jours seulement avant que la vulnérabilité d'arrondi ne soit exposée, Aave Labs a publié un rapport de sécurité complet pour V4. Le document comprenait les détails du processus de révision d'un an mené de mars 2025 à février 2026. Ce processus a duré au total 345 jours de révision, impliquant plusieurs cabinets d'audit, dont Certora, ChainSecurity, Trail of Bits et Blackthorn. Il a également inclus plus de 900 chercheurs indépendants qui ont soumis leurs conclusions lors d'un concours de sécurité Sherlock de six semaines.

Dans le rapport, Aave Labs a affirmé qu'« aucune vulnérabilité critique ou de haute gravité n'a été trouvée », déclarant que le cadre de sécurité de la mise à niveau V4 comprend la vérification formelle, des audits manuels, des tests d'invariants, le fuzzing et l'analyse assistée par IA, ce qui représente une approche « sécurité d'abord » qui applique des mesures de protection dès le début des étapes de conception plutôt qu'à la fin. 

Bien que cela semble rassurant, les utilisateurs sont méfiants car la V3 a subi des audits similaires de la part de grandes firmes avant son déploiement, et après des années de fonctionnement, HypurrFi a trouvé un bug. 

Que signifie cela pour Aave ?

Ce rapport tombe en pleine période difficile pour l'écosystème Aave, alors que BDG Labs a annoncé le 20 février qu'il quitterait le 1er avril, citant le contrôle exercé par Labs sur la gouvernance et les contraintes artificielles imposées au développement de la V3 comme raisons de sa décision. 

Quelques semaines plus tard, ACI a également annoncé qu'elle ne renouvellerait pas son contrat avec Aave et verrait son accord expirer au cours des quatre mois restants de validité. Le fondateur d'ACI, Marc Zeller, mentionne ensuite la proposition « Aave Will Win », qui accorderait à Labs environ 51 millions de dollars de financement, citant cela comme la preuve qu'« une seule entité détient suffisamment de pouvoir de vote pour faire adopter ses propres propositions budgétaires malgré l'opposition de la communauté ».

La proposition a passé toutes les vérifications nécessaires et a reçu 52,8 % de soutien de la communauté, mais Zeller a protesté que les votes auraient échoué s'ils n'avaient pas dépendu d'environ 233 000 AAVE provenant d'adresses liées à Labs, dont 111 000 allégués délégués par le fondateur Stani Kulechov. 

Les départs de BDG et d'ACI pointent vers un problème commun : la frustration face à la poussée de Labs pour migrer de la V3 vers la V4. Les propositions initiales suggéraient de modifier progressivement les paramètres de la V3, forçant les utilisateurs à migrer une fois la V4 lancée. BDG s'est fermement opposé à cette démarche, critiquant davantage Aave Labs pour avoir intentionnellement stoppé le développement de la V3 tout en promouvant la V4 en la comparant négativement à la V3.