CertiK signale une compromission possible d'un keeper bot de liquidation lié à MakerDAO

CertiK a alerté sur un incident visant un "keeper bot" de liquidation associé au protocole MakerDAO. Ces bots, opérés par des tiers, surveillent automatiquement les positions collatéralisées et déclenchent des liquidations lorsqu'un coffre (vault) passe sous le ratio de collatéral requis. Ils sont essentiels au bon fonctionnement du système, tout en restant en dehors des smart contracts centraux. Point clé : une compromission d'un keeper bot ne signifie pas nécessairement une faille dans le code cœur de MakerDAO. Le risque opérationnel peut néanmoins être élevé si un bot est manipulé pour rater des liquidations, les exécuter à des prix défavorables, ou se faire siphonner les fonds stockés dans son portefeuille d'exploitation. CertiK souligne depuis un moment l'élargissement de la surface d'attaque liée à l'automatisation DeFi. Son dirigeant a notamment évoqué un rapport de forces de plus en plus défavorable aux défenseurs face à des attaques DeFi assistées par IA. Les keeper bots, qui fonctionnent de manière autonome et disposent souvent de portefeuilles préfinancés pour payer le gas, constituent une cible évidente. Pour tout élément officiel, MakerDAO renvoie à son portail dédié aux divulgations de sécurité, accessible à l'adresse security.makerdao.com, qui fait autorité pour les mises à jour d'incident. Pourquoi les bots de liquidation sont des cibles de premier plan Dans le mécanisme de collatéralisation de MakerDAO, les keeper bots sont en concurrence pour liquider les positions sous-collatéralisées et percevoir en échange des frais de liquidation. Quand ces bots échouent ou sont manipulés, certains coffres peuvent rester non liquidés, exposant le protocole à des créances douteuses (bad debt). Le scénario n'est pas théorique : lors d'épisodes de stress de marché passés, la congestion réseau et l'absence de keepers ont déjà entraîné des pertes réelles. Une exploitation d'un keeper bot peut prendre plusieurs formes : vidage du solde opérationnel en ETH ou stablecoins, frontrunning des appels de liquidation, ou incitation du bot à exécuter une transaction profitable à un attaquant plutôt qu'au protocole. À ce stade, CertiK n'a pas confirmé quel vecteur, le cas échéant, serait en cause. Ce risque lié à l'automatisation tierce n'est pas propre à MakerDAO. SlowMist a récemment pointé une faille "FlashLoopAdapter" ayant conduit au drainage de deux wallets Safe via l'infrastructure périphérique, sans toucher à la logique des contrats principaux. De plus en plus, la surface d'attaque de la DeFi se déplace vers la couche d'automatisation plutôt que vers le protocole lui-même. D'autres incidents illustrent cette fragilité des composants périphériques : Maya Protocol a perdu 1,7 million de dollars à travers six bugs distincts, et THORChain aurait subi un exploit de 10 millions de dollars touchant des actifs cross-chain, soulignant l'interdépendance des briques d'infrastructure. Ce qu'il faut surveiller En l'absence de post-mortem complet de CertiK ou de communication officielle de l'équipe sécurité de MakerDAO, l'ampleur de l'épisode reste non vérifiée. Aucun montant de perte, portefeuille affecté ou hash de transaction n'est confirmé à partir des éléments disponibles. Un point ressort : les keeper bots ne sont pas un sujet marginal. Ils portent une part critique de l'infrastructure. Si un keeper de liquidation flanche lors d'un mouvement de marché abrupt, le filet de sécurité de solvabilité du protocole s'affaiblit au moment où il devient le plus nécessaire. C'est cette dépendance systémique qui rend ce type de signalement important, même avant d'en connaître tous les détails. La question ouverte : cet épisode poussera-t-il MakerDAO à durcir les exigences imposées aux bots tiers, ou mettra-t-il en lumière une lacune plus large dans la façon dont les protocoles DeFi auditent l'automatisation qui gravite autour de leurs contrats ? Références additionnelles : source document 1. Avertissement : cet article est fourni à titre informatif et ne constitue pas un conseil financier ou d'investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Effectuez vos propres recherches avant toute décision.