L'ETHCC de Cannes, un miroir de l'écosystème

J'étais à l'ETHCC à Cannes quand l'affaire Drift a éclaté. La conférence était plus calme que prévu. Le marché est plat, le retail peu présent et plusieurs stands ont plié bagage dès le troisième jour. Les investisseurs institutionnels n'étaient pas non plus au rendez-vous, à quelques exceptions près.

Dans les allées, trois profils dominaient. D'abord, les rares cypherpunks et bitcoiners attachés à la vision de Satoshi Nakamoto : décentralisation, liberté, confiance dans le code. J'ai croisé Jordi, qui a ouvert l'Ethereum Economic Zone, et Fisher de Babylon, un vrai bitcoiner avec qui j'ai longuement discuté. Ensuite, le retail, venu chercher le prochain token prometteur, un TGE ou un emploi. Enfin, les institutions : le pôle finance d'Alibaba, Société Générale, des assureurs. Très peu de monde était là pour la technologie elle-même.

Drift : 285 millions envolés sans bug de code

Drift est un protocole DeFi sur Solana. Il a perdu 285 millions de dollars. Le groupe nord-coréen Lazarus n'a exploité aucune faille technique. Le code a été utilisé exactement comme il avait été conçu. Personne n'a cassé le smart contract. L'attaque a reposé sur du social engineering : des humains ont été infiltrés et manipulés.

Derrière, le protocole reposait sur un multisig, donc sur une forme de centralisation. On se retrouve face à une vieille banque dotée d'une belle interface web3. Pire, l'émetteur centralisé du stablecoin a été prévenu juste après l'attaque, mais n'a rien fait pendant six heures. Les fonds ont eu le temps de partir. La centralisation n'a pas rempli sa fonction protectrice.

Le Bureau 121, l'arme sociale de la Corée du Nord

La Corée du Nord a une longue expérience du financement illicite. Avant la crypto, le Bureau 39 gérait le trafic de drogue et la contrefaçon de monnaie. Avec les années crypto, Pyongyang a basculé vers le Bureau 121, dédié à la cyberguerre.

Leur méthode est redoutable. Ils repèrent les meilleurs élèves en mathématiques, les forment intensivement, les envoient à Pyongyang et leur offrent un statut social élevé. Ils deviennent développeurs, hackers et manipulateurs d'élite. Certains sont ensuite infiltrés à l'étranger comme analystes, avec des passeports chinois, japonais ou sud-coréens. Face à une telle préparation, la confiance dans l'humain devient une faille dangereuse.

La fausse promesse de la centralisation

L'ETHCC a confirmé une tendance inquiétante : vouloir répliquer le web2 dans le web3. Certains portefeuilles se veulent seedless, basés sur une adresse email. On promet de récupérer une seed phrase grâce à cinq amis qui confirment votre identité, comme sur WeChat. Je trouve cette approche dangereuse. Si votre Gmail est bloqué, vous perdez l'accès à votre wallet.

Les banques font déjà très bien le métier de banque. On n'a pas créé le web3 pour recréer des banques avec une interface plus moderne. Le self custody repose sur un principe simple : your keys, your coins. Garder sa seed phrase demande un petit effort, mais c'est le prix de la liberté et de l'absence de confiance envers des tiers.

Le trustless, seule issue cohérente

Bitcoin reste la référence du trustless. La loi, c'est le code. Avec Fisher, nous avons discuté d'un système de collatéral Bitcoin natif on-chain. On peut vérifier soi-même sur la chaîne si une action a été validée ou non, sans faire confiance à personne. Le Bitcoin reste dans votre wallet, vous ne le confiez à aucun intermédiaire.

Ethereum, qui devait être la grande chaîne décentralisée après Bitcoin, prend une direction différente. Les mises à niveau cherchent un compromis entre décentralisation et facilité d'utilisation, au prix d'une centralisation accrue. On veut des smart contracts sans pouvoir humain, sans multisig, sans développeur capable de modifier les règles. Malheureusement, cette vision se perd.

Le pire ennemi reste nos émotions

Juste après Drift, une nouvelle panique a éclaté autour de la menace quantique. Google a publié des papiers affirmant qu'un wallet pouvait être piraté en moins de neuf minutes, plus vite qu'un bloc Bitcoin. Pourtant, rien n'a changé depuis décembre 2024. Les gens s'inquiètent à nouveau parce qu'ils ne maîtrisent pas les bases du fonctionnement de Bitcoin.

La menace quantique ne mérite pas cette panique. Le véritable problème tient à la délégation de réflexion : la majorité laisse d'autres penser à sa place. Do your own research reste un slogan vide. Les émotions sont plus fortes que les informations. Michael Saylor a du succès parce que les gens veulent de l'argent rapidement, sans effort. Ils acceptent des compromis sous prétexte d'un bon ratio risque/récompense, mais les bases ne sont pas respectées.

La leçon de Drift

Drift n'est qu'un symptôme. Si l'écosystème continue de privilégier la centralisation, les multisigs, les wallets récupérables par email et les solutions web2 appliquées au web3, d'autres attaques sociales se produiront. Les intermédiaires faillibles deviendront la norme, et des États comme la Corée du Nord continueront d'en profiter.

Je préfère le trustless pur, même s'il exige plus de rigueur : une seed phrase conservée précieusement, le self custody, la vérification on-chain. Les humains faillissent toujours. Le code et les mathématiques, non. Tant que la majorité choisira la facilité, ce genre de pertes continuera de profiter à des acteurs avec lesquels je ne partage pas les valeurs.