{"id":312,"date":"2026-08-16T22:31:40","date_gmt":"2026-08-16T22:31:40","guid":{"rendered":"https:\/\/hoge.gg\/fr\/attaque-gouvernance-anatomie-parades-exploit-2026\/"},"modified":"2026-08-16T22:31:40","modified_gmt":"2026-08-16T22:31:40","slug":"attaque-gouvernance-anatomie-parades-exploit-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/attaque-gouvernance-anatomie-parades-exploit-2026\/","title":{"rendered":"Attaque de gouvernance : anatomie et parades d’un exploit"},"content":{"rendered":"

Le 6 juillet 2026, la tr\u00e9sorerie de BonkDAO a \u00e9t\u00e9 vid\u00e9e d’environ 20 millions de dollars (pr\u00e8s de 17,3 millions d’euros) en une seule transaction. Aucun smart contract n’a \u00e9t\u00e9 pirat\u00e9, aucune cl\u00e9 priv\u00e9e n’a fuit\u00e9, aucun d\u00e9bordement d’entier n’a \u00e9t\u00e9 exploit\u00e9. Le contrat de gouvernance a fait exactement ce pour quoi il avait \u00e9t\u00e9 programm\u00e9 : il a compt\u00e9 les voix, constat\u00e9 que la proposition franchissait le quorum, puis transf\u00e9r\u00e9 les fonds vers l’adresse indiqu\u00e9e. Le d\u00e9tail g\u00eanant, c’est que l’adresse appartenait \u00e0 l’attaquant, et que la proposition avait \u00e9t\u00e9 r\u00e9dig\u00e9e par lui, comme l’a racont\u00e9 CoinDesk<\/a>.<\/p>

C’est la signature d’une attaque de gouvernance : un exploit qui ne touche pas au code. Contrairement \u00e0 une faille technique, que l’on diss\u00e8que ligne par ligne dans un post-mortem d’exploit<\/a>, une prise de contr\u00f4le par le vote ne laisse rien \u00e0 corriger dans le contrat. Le bug est ailleurs : dans l’hypoth\u00e8se sociale selon laquelle la majorit\u00e9 des jetons de gouvernance vote dans l’int\u00e9r\u00eat du protocole. Quand un acteur unique peut acheter, emprunter ou accumuler cette majorit\u00e9, l’hypoth\u00e8se tombe, et le code ob\u00e9it.<\/p>

Cet article traite la gouvernance on-chain pour ce qu’elle est devenue : une surface d’attaque \u00e0 part enti\u00e8re. Nous suivons la cha\u00eene d’exploitation \u00e9tape par \u00e9tape, nous d\u00e9montons les trois fa\u00e7ons de rafler des voix, puis nous d\u00e9taillons la pile d\u00e9fensive qui, en 2026, s\u00e9pare une DAO robuste d’une tr\u00e9sorerie \u00e0 ciel ouvert.<\/p>

Un exploit qui ne casse aucune ligne de code<\/h2>

Une attaque de gouvernance retourne contre un protocole son propre m\u00e9canisme de d\u00e9cision. Dans une organisation autonome d\u00e9centralis\u00e9e, aucun administrateur ne contr\u00f4le la tr\u00e9sorerie ni les param\u00e8tres : ce sont les d\u00e9tenteurs d’un jeton de gouvernance qui votent des propositions, ex\u00e9cut\u00e9es ensuite automatiquement on-chain. L’attaquant n’a donc pas \u00e0 trouver une erreur dans le code. Il lui suffit de r\u00e9unir assez de voix pour faire adopter une proposition qui vide la tr\u00e9sorerie, r\u00e9attribue les droits d’administration ou d\u00e9tourne les actifs.<\/p>

C’est ce qui d\u00e9route les \u00e9quipes s\u00e9curit\u00e9. Un audit de smart contract cherche des d\u00e9bordements d’entiers, des failles de r\u00e9entrance, des contr\u00f4les d’acc\u00e8s oubli\u00e9s. Ici, le contrat se comporte parfaitement : il v\u00e9rifie le quorum, valide la majorit\u00e9, ex\u00e9cute. La faille n’est pas dans la logique d’ex\u00e9cution, elle est dans l’hypoth\u00e8se sociale sous-jacente, \u00e0 savoir que le poids des jetons refl\u00e8te l’int\u00e9r\u00eat collectif. Le vieux slogan \u00ab code is law \u00bb se retourne alors contre ses partisans : le code applique la loi du plus grand nombre de jetons, pas celle du bon sens.<\/p>

Cette diff\u00e9rence a des cons\u00e9quences tr\u00e8s concr\u00e8tes. Il n’y a rien \u00e0 patcher apr\u00e8s coup, aucune version corrig\u00e9e \u00e0 d\u00e9ployer, et souvent aucune transaction \u00e0 annuler, puisque le transfert \u00e9tait valide au sens du protocole. La d\u00e9fense ne peut donc pas \u00eatre r\u00e9active ; elle doit \u00eatre con\u00e7ue en amont, dans les r\u00e8gles de vote elles-m\u00eames.<\/p>

L’\u00e9quation de l’attaquant<\/h2>

Pour raisonner comme un d\u00e9fenseur, il faut d’abord mod\u00e9liser l’adversaire en termes \u00e9conomiques. Les chercheurs Pranav Garimidi, Scott Duke Kominers et Tim Roughgarden ont propos\u00e9, dans une analyse publi\u00e9e par a16z crypto<\/a>, une \u00e9quation simple : le profit de l’attaquant est \u00e9gal \u00e0 la valeur de l’attaque, moins le co\u00fbt d’acquisition des voix, moins le co\u00fbt d’ex\u00e9cution. Tant que ce r\u00e9sultat reste positif, une gouvernance suffisamment permissive finira par attirer un attaquant rationnel.<\/p>

Le point cl\u00e9 de leur analyse est ce qu’ils appellent l’indistinguabilit\u00e9 : un march\u00e9 ne peut pas diff\u00e9rencier un acheteur l\u00e9gitime d’un attaquant, puisque les deux se contentent d’acheter des jetons. Impossible, donc, de filtrer les intentions au moment de l’achat. La seule prise possible se situe sur les trois termes de l’\u00e9quation. On peut r\u00e9duire la valeur de l’attaque en limitant ce que la gouvernance a le droit de faire. On peut augmenter le co\u00fbt d’acquisition en r\u00e9duisant la liquidit\u00e9 ou en imposant un verrouillage des jetons. On peut enfin augmenter le co\u00fbt d’ex\u00e9cution avec un timelock, un veto ou une revue humaine.<\/p>

Cette grille explique pourquoi certaines DAO se font vider et d’autres non. Une tr\u00e9sorerie de plusieurs dizaines de millions, un jeton tr\u00e8s liquide et aucun d\u00e9lai d’ex\u00e9cution : les trois termes jouent en faveur de l’attaquant. C’est tr\u00e8s exactement le profil de BonkDAO en juillet 2026.<\/p>

La cha\u00eene d’exploitation, \u00e9tape par \u00e9tape<\/h2>

Comme toute intrusion, une attaque de gouvernance suit une s\u00e9quence r\u00e9p\u00e9table. La reconna\u00eetre permet d’identifier les points de contr\u00f4le o\u00f9 un d\u00e9fenseur peut intervenir.<\/p>

Phase<\/th>Objectif de l’attaquant<\/th>Exemple observ\u00e9<\/th>Point de contr\u00f4le d\u00e9fensif<\/th><\/tr><\/thead>
Reconnaissance<\/td>Cartographier quorum, seuil, timelock, taille de la tr\u00e9sorerie et participation<\/td>Lecture publique des r\u00e8gles sur Realms, Snapshot ou Tally<\/td>Tout est public : la d\u00e9fense se joue aux \u00e9tapes suivantes<\/td><\/tr>
Acquisition des voix<\/td>R\u00e9unir le poids de vote requis par achat, emprunt ou accumulation<\/td>1 % de l’offre BONK achet\u00e9 pour 4,4 M$<\/td>Snapshot du solde \u00e0 un bloc ant\u00e9rieur ; liquidit\u00e9 r\u00e9duite<\/td><\/tr>
R\u00e9daction de la proposition<\/td>Encoder le calldata qui d\u00e9place fonds ou droits, souvent maquill\u00e9<\/td>Proposition Tornado Cash imitant une proposition l\u00e9gitime<\/td>Simulation et diff lisible de la proposition<\/td><\/tr>
Passage du vote<\/td>Franchir le quorum, souvent \u00e0 faible participation<\/td>7 portefeuilles votants sur 18 000 membres<\/td>Quorum en pourcentage ; p\u00e9riode de vote longue<\/td><\/tr>
Ex\u00e9cution<\/td>D\u00e9clencher le transfert on-chain, parfois de fa\u00e7on atomique<\/td>Beanstalk ex\u00e9cut\u00e9 en une seule transaction<\/td>Timelock ; veto d’un Security Council<\/td><\/tr>
Exfiltration<\/td>D\u00e9placer les fonds via ponts et mixers<\/td>Tra\u00e7age des portefeuilles d’\u00e9change par BonkDAO<\/td>Surveillance on-chain ; gel c\u00f4t\u00e9 plateformes<\/td><\/tr><\/tbody><\/table><\/figure>

Chacune de ces phases est un goulet d’\u00e9tranglement d\u00e9fensif. La reconnaissance est publique et in\u00e9vitable, mais tout ce qui suit peut \u00eatre ralenti ou bloqu\u00e9. La phase d’exfiltration, en particulier, est la derni\u00e8re chance de r\u00e9cup\u00e9ration : une fois les fonds transf\u00e9r\u00e9s, la traque ressemble \u00e0 celle d’un vol classique, avec du forensics on-chain et une course de vitesse contre le blanchiment.<\/p>

Trois fa\u00e7ons de rafler les voix<\/h2>

L’analyse d’a16z distingue trois mani\u00e8res d’acqu\u00e9rir le poids de vote n\u00e9cessaire, et chacune appelle une parade diff\u00e9rente.<\/p>

La premi\u00e8re est l’acquisition ouverte. L’attaquant ach\u00e8te simplement des jetons sur le march\u00e9, au vu de tous. C’est ainsi que Justin Sun avait accumul\u00e9 une part massive de STEEM avant un bras de fer rest\u00e9 c\u00e9l\u00e8bre. Cette voie est visible, mais la visibilit\u00e9 ne sert \u00e0 rien si la communaut\u00e9 ne r\u00e9agit pas \u00e0 temps.<\/p>

La deuxi\u00e8me est l’attaque flash. L’attaquant emprunte instantan\u00e9ment un \u00e9norme volume de jetons via un flash loan, vote, puis rembourse, le tout dans une seule transaction. Il n’immobilise aucun capital et ne court aucun risque de prix. Beanstalk en reste l’exemple canonique.<\/p>

La troisi\u00e8me est l’accumulation furtive. Des portefeuilles anonymes rassemblent lentement du poids de vote, restent dormants, puis frappent au moment choisi. C’est la plus difficile \u00e0 d\u00e9tecter, car rien ne distingue ces portefeuilles d’investisseurs ordinaires jusqu’au vote. BonkDAO combine cette discr\u00e9tion avec un achat de derni\u00e8re minute.<\/p>

Le flash loan : voter avec de l’argent qu’on ne poss\u00e8de pas<\/h2>

Le 17 avril 2022, le protocole Beanstalk a perdu 182 millions de dollars (environ 168 millions d’euros \u00e0 l’\u00e9poque) en quelques secondes. L’attaquant a emprunt\u00e9 plus d’un milliard de dollars de liquidit\u00e9s via des flash loans sur Aave, Uniswap et SushiSwap, s’octroyant instantan\u00e9ment la supermajorit\u00e9 des deux tiers requise pour une ex\u00e9cution d’urgence, selon les analyses de Cointelegraph<\/a> et d’Immunefi<\/a>. Il a fait passer la proposition BIP18, qui transf\u00e9rait les fonds vers son adresse, dans la m\u00eame transaction que l’emprunt, rembours\u00e9 aussit\u00f4t. Le d\u00e9lai d’un jour pr\u00e9vu pour les propositions ordinaires ne s’appliquait pas \u00e0 la voie d’urgence, ce qui a permis l’ex\u00e9cution atomique. Bilan pour Bloomberg<\/a> : pr\u00e8s de 80 millions de dollars empoch\u00e9s par l’attaquant, et 250 000 USDC envoy\u00e9s au portefeuille de dons officiel de l’Ukraine, sans doute pour brouiller les pistes.<\/p>

Ce type d’attaque exploite une confusion pr\u00e9cise, que Vitalik Buterin avait d\u00e9crite d\u00e8s 2021. Un jeton de gouvernance, \u00e9crit-il dans son essai \u00ab Moving beyond coin voting governance \u00bb<\/a>, r\u00e9unit deux droits que rien n’emp\u00eache de s\u00e9parer : un int\u00e9r\u00eat \u00e9conomique dans le protocole et le droit d’en gouverner les d\u00e9cisions. Avec un jeton emprunt\u00e9, \u00ab the borrower has governance power without economic interest \u00bb : l’emprunteur d\u00e9tient le pouvoir de vote sans la moindre exposition au risque. Le flash loan pousse cette dissociation \u00e0 l’extr\u00eame, sur la dur\u00e9e d’un seul bloc.<\/p>

La parade est aujourd’hui bien connue : figer le poids de vote \u00e0 un bloc ant\u00e9rieur \u00e0 la proposition, via un snapshot ou des checkpoints de solde. Des jetons emprunt\u00e9s puis rendus dans la m\u00eame transaction ne comptent alors pas. C’est pr\u00e9cis\u00e9ment ce que font les impl\u00e9mentations modernes comme le Governor d’OpenZeppelin, et c’est pourquoi les attaques flash pures sont devenues rares sur les protocoles bien construits. La liquidit\u00e9 mobilisable reste pourtant colossale, aliment\u00e9e par la profondeur des march\u00e9s de cr\u00e9dit on-chain<\/a>, ce qui laisse la menace enti\u00e8re pour toute DAO qui aurait n\u00e9glig\u00e9 ce d\u00e9tail.<\/p>

BonkDAO : l’accumulation discr\u00e8te pouss\u00e9e \u00e0 l’absurde<\/h2>

BonkDAO montre que la version 2026 de l’attaque n’a m\u00eame pas besoin d’un flash loan. Le 30 juin, une proposition est d\u00e9pos\u00e9e sur Realms, la plateforme de gouvernance de l’\u00e9cosyst\u00e8me Solana. Dans les jours qui suivent, un portefeuille accumule un peu plus de 1 % de l’offre totale de BONK, soit exactement ce qu’il faut pour atteindre le quorum, pour un co\u00fbt estim\u00e9 \u00e0 4,4 millions de dollars (environ 3,8 millions d’euros), en passant par des plateformes comme Binance et Bybit selon CoinDesk<\/a>.<\/p>

Le vote se referme le 6 juillet. Sur plus de 18 000 membres, sept portefeuilles seulement participent. La proposition passe avec 99,9 % d’approbation, franchissant le quorum d’un cheveu. Faute de timelock, de plancher de quorum suffisant et de multisig de contr\u00f4le, quelque 4 430 milliards de BONK, d’une valeur d’environ 20 millions de dollars (pr\u00e8s de 17,3 millions d’euros), sont transf\u00e9r\u00e9s automatiquement vers l’adresse de l’attaquant. Le jeton recule d’environ 8 \u00e0 10 % dans la foul\u00e9e. La DAO annonce ensuite coordonner avec la Solana Foundation et les plateformes d’\u00e9change pour tracer les fonds.<\/p>

La le\u00e7on tient en une phrase : ce n’est pas le 1 % qui a battu la DAO, ce sont les 97 % qui n’ont pas vot\u00e9. Un quorum d\u00e9fini comme un nombre fixe de jetons devient trivial \u00e0 franchir d\u00e8s que la participation tend vers z\u00e9ro. Sur une cha\u00eene comme Solana, o\u00f9 les m\u00e9canismes de gouvernance se sont multipli\u00e9s plus vite que les audits, ce risque touche particuli\u00e8rement les projets \u00e0 forte capitalisation mais \u00e0 gouvernance improvis\u00e9e, un angle mort que peu d’\u00e9quipes prennent le temps de cartographier avant l’incident.<\/p>

Le vote achet\u00e9 : Compound, Curve et les march\u00e9s de corruption<\/h2>

Toutes les prises de contr\u00f4le ne rel\u00e8vent pas du vol pur. Certaines ach\u00e8tent le r\u00e9sultat, en toute l\u00e9galit\u00e9 apparente. En juillet 2024, un collectif surnomm\u00e9 les \u00ab Golden Boys \u00bb a fait adopter la proposition 289 chez Compound, qui d\u00e9pla\u00e7ait 499 000 COMP (environ 24 millions de dollars, quelque 21 millions d’euros) vers un coffre qu’ils contr\u00f4laient. Le vote est pass\u00e9 de justesse, 682 191 voix contre 633 636, malgr\u00e9 l’opposition d’une partie de la communaut\u00e9, rapporte The Block<\/a>. La proposition a finalement \u00e9t\u00e9 r\u00e9tract\u00e9e apr\u00e8s n\u00e9gociation, la menace ayant \u00e9t\u00e9 convertie en un produit de staking, note Cointelegraph<\/a>. L’\u00e9pisode a prouv\u00e9 qu’un acteur assez gros pouvait gagner un vote frontal, sans la moindre astuce technique.<\/p>

Le cas Curve va plus loin en institutionnalisant l’achat de voix. Son mod\u00e8le de vote-escrow oblige \u00e0 verrouiller des CRV pour obtenir du veCRV et diriger les \u00e9missions. Convex en contr\u00f4le pr\u00e8s de la moiti\u00e9, et des march\u00e9s de corruption comme Votium ou Hidden Hand permettent \u00e0 quiconque de payer les d\u00e9tenteurs de veCRV pour orienter leurs votes. Ce que la th\u00e9orie appelle vote-buying est ici une infrastructure assum\u00e9e. Du point de vue s\u00e9curit\u00e9, cela fait s’effondrer le terme \u00ab co\u00fbt d’acquisition des voix \u00bb de l’\u00e9quation d’a16z : pourquoi acheter le jeton quand on peut en louer le droit de vote \u00e0 la s\u00e9ance ? La fronti\u00e8re entre politique interne normale et attaque devient alors franchement floue, ce qui complique aussi le travail des r\u00e9gulateurs.<\/p>

La proposition pi\u00e9g\u00e9e : quand le calldata ment<\/h2>

Avoir la majorit\u00e9 ne suffit pas encore : il faut que les votants approuvent la bonne charge utile. Or ils l’approuvent rarement en connaissance de cause. Le 20 mai 2023, un attaquant a soumis \u00e0 Tornado Cash une proposition en apparence identique \u00e0 une proposition d\u00e9j\u00e0 valid\u00e9e par le pass\u00e9. La diff\u00e9rence \u00e9tait enfouie dans le code : une fois adopt\u00e9e, elle activait une logique cach\u00e9e qui octroyait \u00e0 l’attaquant 1,2 million de voix, contre environ 700 000 voix l\u00e9gitimes, lui donnant le contr\u00f4le total de la DAO. Il a drain\u00e9 environ 2,17 millions de dollars (pr\u00e8s de 1,9 million d’euros), et le jeton TORN a chut\u00e9 d’environ 40 %, relate CoinDesk<\/a>. Fait rare, l’attaquant a ensuite soumis une proposition inverse pour restituer le contr\u00f4le de la gouvernance, comme le d\u00e9taille Halborn<\/a>.<\/p>

Le m\u00e9canisme est l’\u00e9quivalent gouvernance du blind signing : on approuve un calldata qu’on ne lit pas. La description lisible d’une proposition peut diverger de ce que le bytecode ex\u00e9cute r\u00e9ellement. La parade rel\u00e8ve de la m\u00eame philosophie que la s\u00e9curit\u00e9 des ponts cross-chain, o\u00f9 l’on v\u00e9rifie plut\u00f4t que de croire<\/a> : simulation syst\u00e9matique des propositions, diff lisible par un humain, fen\u00eatre de revue obligatoire et surveillance par des tiers sp\u00e9cialis\u00e9s. Sans cela, un vote inform\u00e9 reste un v\u0153u pieux.<\/p>

Quatre attaques, une m\u00eame grille de lecture<\/h2>

R\u00e9unies dans un m\u00eame tableau, ces attaques cessent d’appara\u00eetre comme des accidents isol\u00e9s pour r\u00e9v\u00e9ler une grammaire commune : un vecteur d’acquisition des voix, une faille structurelle, et une parade qui aurait suffi \u00e0 changer l’issue.<\/p>

Incident<\/th>Date<\/th>Vecteur d’acquisition des voix<\/th>Parade qui l’aurait bloqu\u00e9<\/th><\/tr><\/thead>
Beanstalk<\/td>Avril 2022<\/td>Flash loan de plus d’un milliard de dollars pour une supermajorit\u00e9 instantan\u00e9e<\/td>Snapshot du poids de vote \u00e0 un bloc ant\u00e9rieur<\/td><\/tr>
Tornado Cash<\/td>Mai 2023<\/td>Proposition pi\u00e9g\u00e9e s’octroyant 1,2 million de voix<\/td>Simulation du calldata et fen\u00eatre de revue<\/td><\/tr>
Compound (Golden Boys)<\/td>Juillet 2024<\/td>Achat ouvert d’un bloc d\u00e9cisif de COMP<\/td>Quorum plus \u00e9lev\u00e9 ; veto communautaire<\/td><\/tr>
BonkDAO<\/td>Juillet 2026<\/td>Accumulation de 1 % de l’offre, quorum atteint \u00e0 faible participation<\/td>Timelock, quorum en pourcentage et multisig<\/td><\/tr><\/tbody><\/table><\/figure>

La colonne de droite est la plus instructive. Dans chaque cas, la contre-mesure existait d\u00e9j\u00e0 ailleurs dans l’industrie au moment des faits. L’attaque n’a pas r\u00e9ussi parce que la d\u00e9fense \u00e9tait inconnue, mais parce qu’elle n’avait pas \u00e9t\u00e9 impl\u00e9ment\u00e9e.<\/p>

L’apathie, la vraie faille structurelle<\/h2>

Derri\u00e8re chaque attaque de gouvernance se cache la m\u00eame condition permissive : une poign\u00e9e d’acteurs d\u00e9tient l’essentiel du pouvoir de vote, et presque personne ne participe. Une \u00e9tude de Chainalysis<\/a> portant sur dix grandes DAO a \u00e9tabli qu’en moyenne, moins de 1 % des d\u00e9tenteurs concentrent environ 90 % du pouvoir de vote. Entre un d\u00e9tenteur sur mille et un sur dix mille poss\u00e8de assez de jetons pour seulement d\u00e9poser une proposition ; entre un sur dix mille et un sur trente mille en a assez pour la faire passer. Sur Snapshot, la participation d\u00e9passe rarement 5 \u00e0 15 %.<\/p>

Cette concentration ne touche pas que les projets obscurs. En 2026, la crise de gouvernance d’Aave a mis en lumi\u00e8re la m\u00eame exposition sur un protocole qui g\u00e8re environ 26 milliards de dollars de d\u00e9p\u00f4ts. Le d\u00e9bat portait sur la crainte qu’une d\u00e9l\u00e9gation concentr\u00e9e, autour du fondateur Stani Kulechov, puisse faire adopter ses propres budgets malgr\u00e9 l’opposition de la communaut\u00e9. Marc Zeller, fondateur de l’Aave Chan Initiative, a r\u00e9sum\u00e9 l’inqui\u00e9tude en avertissant qu’une entit\u00e9 unique d\u00e9tenait assez de pouvoir de vote pour faire passer ses propositions budg\u00e9taires contre l’avis de la communaut\u00e9, selon CoinDesk<\/a> et The Block<\/a>. Il ne s’agissait pas d’un vol, mais de la m\u00eame faille structurelle, expos\u00e9e au grand jour.<\/p>

La conclusion pour un d\u00e9fenseur est brutale : un quorum et un seuil de proposition ne valent que ce que vaut la participation. Une DAO \u00e0 3 % de participation a de fait d\u00e9l\u00e9gu\u00e9 sa s\u00e9curit\u00e9 \u00e0 quiconque se pr\u00e9sente. Comme pour le vol de cl\u00e9s priv\u00e9es, o\u00f9 les attaquants visent d’abord l’humain<\/a>, le maillon faible n’est pas cryptographique, il est comportemental.<\/p>

La pile d\u00e9fensive : ce qui arr\u00eate (ou ralentit) un attaquant<\/h2>

Il n’existe pas de parade unique. La d\u00e9fense d’une gouvernance est une pile, o\u00f9 chaque couche rel\u00e8ve un des trois termes de l’\u00e9quation d’a16z.<\/p>

Parade<\/th>Ce qu’elle bloque<\/th>Sa limite<\/th>Exemple<\/th><\/tr><\/thead>
Timelock<\/td>L’ex\u00e9cution imm\u00e9diate ; laisse le temps de r\u00e9agir ou de sortir<\/td>Ne fait que retarder, n’emp\u00eache pas<\/td>Governor Bravo de Compound, d\u00e9lai d’environ 2 jours<\/td><\/tr>
Snapshot du poids de vote<\/td>Le vote avec des jetons emprunt\u00e9s dans le m\u00eame bloc<\/td>N’arr\u00eate pas l’accumulation lente<\/td>Governor d’OpenZeppelin (checkpoints)<\/td><\/tr>
Quorum en pourcentage<\/td>Le franchissement du quorum \u00e0 tr\u00e8s faible participation<\/td>Peut figer la DAO si l’apathie est extr\u00eame<\/td>Quorum index\u00e9 sur l’offre en circulation<\/td><\/tr>
Seuil de proposition<\/td>Le spam de propositions ; rel\u00e8ve le co\u00fbt d’entr\u00e9e<\/td>Un attaquant financ\u00e9 le franchit<\/td>25 000 COMP requis chez Compound<\/td><\/tr>
Veto \/ Security Council<\/td>Une proposition adopt\u00e9e mais malveillante, pendant le timelock<\/td>R\u00e9introduit la confiance dans un comit\u00e9<\/td>Security Council d’Arbitrum, 12 membres \u00e9lus<\/td><\/tr>
Vote-escrow \/ staking<\/td>Rel\u00e8ve le co\u00fbt d’acquisition en verrouillant les jetons<\/td>A engendr\u00e9 les march\u00e9s de corruption<\/td>veCRV verrouill\u00e9 jusqu’\u00e0 4 ans<\/td><\/tr>
P\u00e9rim\u00e8tre limit\u00e9<\/td>Les appels externes arbitraires depuis la gouvernance<\/td>R\u00e9duit la flexibilit\u00e9 du protocole<\/td>Gouvernance restreinte aux param\u00e8tres<\/td><\/tr>
Surveillance on-chain<\/td>La d\u00e9tection tardive d’une proposition anormale<\/td>D\u00e9pend d’une r\u00e9action humaine rapide<\/td>Alertes type OpenZeppelin Defender<\/td><\/tr><\/tbody><\/table><\/figure>

Le timelock est la couche la plus visible : un d\u00e9lai entre l’adoption et l’ex\u00e9cution, de l’ordre de deux jours chez Compound, qui laisse aux humains le temps de r\u00e9agir et aux utilisateurs celui de sortir. Il ne faut pourtant pas en surestimer la port\u00e9e. Buterin pr\u00e9vient qu’un timelock tient davantage du paywall d’un journal en ligne que d’un verrou : il fait gagner du temps, il n’emp\u00eache rien \u00e0 lui seul. C’est pourquoi il se double d’un veto ou d’un Security Council, comme les douze membres \u00e9lus qui peuvent annuler une proposition malveillante chez Arbitrum.<\/p>

Deux couches m\u00e9ritent une attention particuli\u00e8re. Le snapshot du poids de vote neutralise les flash loans en figeant les soldes \u00e0 un bloc pass\u00e9, et la documentation d’OpenZeppelin<\/a> insiste sur la s\u00e9paration stricte des r\u00f4les autour du TimelockController : c’est le timelock qui doit d\u00e9tenir les fonds, et seul le Governor doit pouvoir proposer, sous peine de cr\u00e9er une porte d\u00e9rob\u00e9e ou un d\u00e9ni de service. Le vote-escrow, enfin, illustre l’ambivalence des d\u00e9fenses : verrouiller les jetons augmente le co\u00fbt d’acquisition des voix, mais c’est ce m\u00eame m\u00e9canisme qui a fait na\u00eetre les march\u00e9s de corruption de Curve. Aucune parade n’est gratuite.<\/p>

Auditer la gouvernance comme on audite le code<\/h2>

En 2026, la revue de s\u00e9curit\u00e9 d’une gouvernance est devenue une discipline distincte de l’audit de smart contract. Elle ne cherche pas des bugs, elle cherche des rapports de force. Une check-list minimale ressemble \u00e0 ceci.<\/p>