Attaque de gouvernance chez Hifi Finance : comment vérifier vos dépôts DeFi

Sur le protocole DeFi Hifi Finance, une adresse jusqu’alors inconnue a pris le contrôle du vote du protocole le 28 octobre 2026, puis siphonné du collatéral d’utilisateurs d’une valeur d’environ 1 million de dollars, soit quelque 900 000 euros au cours du 29 octobre. Le constat vient de l’analyste on-chain Spreek, dont l’évaluation sert d’appui aux articles du jour. Quatre voix, déposées peu avant la clôture d’un scrutin en cours, ont suffi. La même adresse a ensuite émis 25 millions de nouveaux jetons de gouvernance.

Pour les investisseurs européens, ce qui compte ici relève moins du cas isolé que du schéma. Une attaque de gouvernance n’a besoin d’aucune faille dans le code du programme, de celles qu’un audit pourrait repérer. Elle se sert des règles de vote elles-mêmes, et chez bien des protocoles ces règles sont publiques et sans délai de carence. Quiconque dépose des cryptos en garantie auprès d’un protocole DeFi porte ce risque avec lui, même si son propre portefeuille n’est jamais touché.

Ce qui s’est passé chez Hifi Finance : quatre voix juste avant la clôture

Hifi Finance est un protocole de prêt sur Ethereum. Les utilisateurs y déposent des actifs en garantie et empruntent en contrepartie à taux fixe. Les modifications du protocole sont décidées par une DAO, une organisation dont les résolutions naissent d’un vote des détenteurs de jetons et s’exécutent automatiquement.

Selon le récit de Spreek, l’adresse attaquante a été financée via Tornado Cash, un service qui brouille l’origine des virements sur la blockchain. Quatre virements venus de cette source ont doté l’adresse d’un poids de vote. Les voix sont tombées dans la phase finale d’un scrutin déjà engagé, à un moment donc où les autres détenteurs ne pouvaient quasiment plus réagir. La majorité acquise, la résolution a pu être imposée, et elle autorisait l’émission de 25 millions de jetons de gouvernance. La sortie du collatéral a suivi la résolution et l’émission.

Hifi Finance n’avait pas réagi à l’affaire au 29 octobre. Tous les chiffres et enchaînements cités remontent à l’évaluation de Spreek et doivent se lire comme provisoires ; aucune confirmation propre du projet n’existe à ce jour.

25 millions de jetons émis, 8 255 dollars de volume quotidien : le calcul de l’attaquant

Les 25 millions de jetons fraîchement émis donnent l’impression du dommage le plus lourd, et ils ne le sont pas. Le HIFI cotait 0,00132 dollar le 29 octobre, d’après les données de CoinGecko. L’offre totale du jeton s’élève à environ 141,98 millions d’unités. Les 25 millions nouvellement émis représentent donc quelque 17,6 % de l’offre totale.

Sur le papier, ces jetons valent environ 33 000 dollars. Les vendre à cette échelle est une autre affaire : les échanges en HIFI n’ont atteint que 8 255 dollars sur 24 heures. Le montant émis équivaut à quatre fois ce qui change de mains en une journée entière. Une vente aurait fait s’effondrer le cours avant qu’une part notable ait trouvé preneur.

Cela explique pourquoi la cible était le collatéral déposé et non le jeton. L’émission a servi de moyen pour transformer le contrôle du protocole en accès aux avoirs d’autrui.

Les jetons RWA en garantie : la véritable cible de la sortie de fonds

Le collatéral retiré était composé pour l’essentiel de jetons RWA, d’après les éléments disponibles. RWA signifie real world assets : des jetons qui matérialisent un droit sur une valeur située hors de la blockchain, par exemple sur des obligations, des crédits ou des parts immobilières.

Ces titres sont appréciés comme garantie parce que leur cours bouge plus calmement que celui d’un altcoin. C’est précisément ce qui les rend attrayants pour un attaquant. Un altcoin volé perd de la valeur dès la tentative de vente ; un jeton RWA à valeur de référence stable se monétise plus facilement. Quels actifs un protocole de prêt accepte en garantie, et à quelles conditions, figure dans les conditions de protocole de chaque prestataire.

L’attaque de gouvernance expliquée : comment l’argent de Tornado Cash devient un droit de vote

Une attaque de gouvernance consiste à acquérir du poids de vote dans une DAO afin d’imposer une résolution de son choix. Dans les cas documentés, plusieurs chemins mènent à ce résultat.

Le plus simple est l’achat de droits de vote sur le marché. Il fonctionne surtout là où le jeton de gouvernance coûte peu alors que les montants gérés sont élevés. Avec le prêt flash, l’attaquant contracte un crédit emprunté et remboursé au sein d’une seule transaction ; il procure, le temps du vote, un poids que l’attaquant n’a jamais possédé. La proposition malveillante, enfin, est un projet de résolution dont le libellé paraît anodin mais dont le code exécuté déplace des droits. C’est sous cette forme que le cas Hifi Finance est inscrit dans les registres. S’y ajoute la captation des voix dormantes, c’est-à-dire de jetons que leurs détenteurs n’ont jamais délégués et qui font la décision quand la participation est faible.

Tous ces chemins ont en commun que le code du protocole fonctionne exactement comme il a été écrit. Un audit qui cherche des erreurs dans le code ne trouve rien ici. L’affaire Term Finance a montré en août 2026 jusqu’où cela porte, et nous l’avons traitée sous la question pourquoi un code audité ne protège pas des exploits de gouvernance.

Trois attaques de gouvernance en six jours : X100, Yapeswap et Hifi Finance

Le cas Hifi Finance n’est pas isolé. Un décompte du registre public des piratages de DefiLlama, qui recense 1 328 incidents, donne pour les sept jours allant jusqu’au 29 octobre 2026 onze incidents documentés sur l’ensemble du marché crypto, dont trois classés comme attaques de gouvernance. Les trois sont tombées dans une fenêtre de six jours. C’est cryptoticker.io qui a établi lui-même ce relevé le 29 octobre 2026.

• 24 octobre 2026, X100 : 4,75 millions de dollars, classé comme attaque de gouvernance par prêt flash sur Ethereum. Sur ce cas, nous avons décrit comment un prêt flash a acheté deux des trois sièges du sénat.
• 25 octobre 2026, Yapeswap : 21 900 dollars, proposition malveillante, également sur Ethereum.
• 28 octobre 2026, Hifi Finance : proposition malveillante sur Ethereum. Aucun montant de dommage n’est encore inscrit au registre.

Sur une période plus longue, l’image perd un peu de sa netteté, mais elle reste parlante. Pour les 90 jours allant jusqu’au 29 octobre 2026, le registre compte sept attaques de gouvernance pour un dommage cumulé de 22,58 millions de dollars, et sur douze mois douze cas pour 47,9 millions de dollars. Trois cas en six jours se situent donc nettement au-dessus de la moyenne de ces douze mois.

Un exemple plus ancien montre que la taille du protocole n’y change rien : la DAO de BONK a perdu 20 millions de dollars en juillet 2026 selon les mêmes données de registre, sans qu’il y ait eu piratage au sens habituel.

Le cours du HIFI cède 25 % : capitalisation sous 200 000 dollars

Le jeton lui-même a nettement réagi. Le HIFI a cédé 25,4 % en 24 heures et s’établissait à 0,00132 dollar le 29 octobre 2026. La capitalisation boursière atteint ainsi 186 141 dollars. Face au sommet historique de 2,63 dollars, atteint le 16 septembre 2023, il manque 99,95 %. Les quatre valeurs proviennent de CoinGecko.

Ces chiffres comptent davantage pour l’analyse qu’il n’y paraît d’abord. Un protocole dont le jeton de gouvernance vaut au total moins qu’un appartement gère, dans le cas Hifi Finance, des garanties de l’ordre du million. Le rapport entre le prix du contrôle et la valeur de ce qui est contrôlé constitue l’incitation même à attaquer. Là où un jeton est bon marché et les montants gérés élevés, l’achat de droits de vote devient rentable.

Timelock et quorum : les deux réglages de tout vote en DAO

Deux notions décident de la vulnérabilité d’un vote. Un timelock est un délai de carence entre la résolution et son exécution ; il laisse aux autres détenteurs le temps de remarquer une résolution et de retirer leurs fonds. Un quorum est la participation minimale dont une résolution a besoin pour être valable.

Plus le timelock est long et le quorum élevé, plus une attaque devient coûteuse. Les deux coûtent cependant en réactivité : un protocole assorti d’un délai de sept jours ne peut pas répondre à une urgence en quelques heures. Les protocoles font ici des choix différents, et ce choix est consultable publiquement. La manière dont Hifi Finance avait réglé ces valeurs ne ressort pas des éléments disponibles ; le projet ne s’est pas exprimé à ce sujet jusqu’ici.

MiCA et la DeFi : aucune garantie des dépôts pour le collatéral d’un protocole

Qui détient des cryptos en Europe auprès d’un prestataire supervisé pense volontiers aux systèmes de garantie qu’il connaît de sa banque. Rien de tout cela ne vaut pour un protocole DeFi. MiCA, le règlement européen sur les marchés de crypto-actifs, impose des obligations aux entreprises qui conservent, négocient ou émettent des crypto-actifs à titre professionnel, et exige un agrément pour cela. Un protocole sans exploitant, dont les règles sont décidées par une DAO, n’est pas une telle entreprise et, en pratique, ne relève pas de ces obligations.

Trois conséquences en découlent. Il n’existe aucune garantie des dépôts pour les avoirs que vous confiez à un protocole en garantie. Il n’existe aucune autorité de surveillance auprès de laquelle déclarer la perte et espérer une indemnisation. Et le protocole n’a aucune obligation de réparer le dommage ; que les détenteurs récupèrent quelque chose dépend de la bonne volonté et des moyens de la DAO concernée.

Ce n’est pas un argument contre la DeFi, mais un argument en faveur d’une séparation claire. Les fonds que vous ne voulez pas perdre n’ont pas leur place dans un protocole dont vous n’avez pas vérifié les règles de vote.

Conservation personnelle contre conservation par le protocole : où se trouvent vraiment vos cryptos

La différence décisive tient à la question de savoir qui détient la clé. Si des cryptos reposent dans votre propre portefeuille, une attaque de gouvernance contre un protocole ne les atteint pas. Si vous les avez déposées en garantie, elles sont conservées par un contrat dont un vote fixe les règles.

Les deux ont leur place. Sans collatéral déposé, il n’y a ni crédit ni rendement de prêt. La répartition devrait simplement relever d’une décision et non d’un effet secondaire. La part de votre portefeuille destinée à dormir appartient sur un support que vous tenez vous-même ; quels appareils s’y prêtent et ce qu’ils coûtent figure dans notre comparatif des portefeuilles matériels.

Le schéma derrière les affaires : des voix bon marché, des garanties chères

Ce qui relie les trois cas de la semaine passée n’est pas une défaillance technique. C’est un rapport de prix. Le droit de vote coûtait moins cher à obtenir que la valeur dont il dispose. Tant qu’un jeton de gouvernance se déprécie alors que les garanties déposées dans le protocole conservent leur valeur, ce rapport continue de se déplacer en faveur d’un attaquant.

Pour juger un protocole, cela signifie que la capitalisation du jeton de gouvernance rapportée aux montants gérés est un indicateur que les investisseurs devraient lire aussi attentivement que le taux d’intérêt. Les deux chiffres sont publics.

Collatéral DeFi : trois questions avant votre prochain dépôt

1. Comment le jeton de gouvernance est-il valorisé face aux montants gérés ? Si la capitalisation du jeton se situe très en dessous des garanties déposées dans le protocole, l’achat de droits de vote devient attrayant sur le papier. Quels prestataires affichent ouvertement leurs conditions et leurs garanties, le comparatif des prestataires de prêt crypto le montre.
2. Quel délai sépare la résolution de son exécution ? Sans timelock, une résolution agit immédiatement, et personne ne peut s’interposer. Si vous cherchez du rendement au sein d’un protocole, les conditions des différents prestataires figurent dans le comparatif des plateformes de staking.
3. Quelle part de votre portefeuille doit vraiment reposer dans le protocole ? Ce qui n’a pas à travailler n’a pas besoin de contrat. Il a besoin d’une clé dans votre main. Les appareils pour cela figurent dans le comparatif des portefeuilles matériels.

Une attaque de gouvernance ne s’en prend pas au portefeuille, elle s’en prend au vote. Chez Hifi Finance, quatre voix en phase finale ont suffi pour émettre 25 millions de jetons et déplacer du collatéral d’une valeur d’environ 1 million de dollars. Le jeton lui-même a cédé 25,4 % et vaut au total moins que les garanties dont il disposait. Trois affaires de ce type en six jours suggèrent que ce rapport de prix est actuellement exploité de façon systématique.

Les articles consacrés à l’affaire reposent à ce jour sur une seule évaluation on-chain ; une prise de position du projet se fait attendre. Le montant du dommage n’est donc pas encore solide, le schéma l’est déjà.

(Au 29 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)

Sources : DefiLlama, registre des incidents documentés et ChainCatcher sur l’évaluation on-chain de Spreek.