Comparaison de la sécurité de quatre DEX perpétuels : qui peut vraiment sauver les utilisateurs ?

Rédigé par : @0xJaehaerys

Traduit par : AididiaoJP, Foresight News

Le 29 octobre, 6,3 milliards de dollars ont été transférés du portefeuille chaud de Binance. Selon Binance, un ordinateur portable d'un ingénieur DevOps a été piraté, permettant aux attaquants d'accéder aux services internes et d'effectuer des retraits à partir de ceux-ci ; il n'y a aucune indication de fuite de clé privée.

En d'autres termes, les attaquants n'ont probablement même pas eu besoin de clé privée, mais ont fait signer les retraits par le système de Binance lui-même. Binance a ensuite découvert d'autres points d'entrée, et une révision complète n'a pas encore été publiée. 3 milliards de dollars ont été gelés, et Binance a promis de couvrir les pertes.

Sur Ethereum, un rapport de TRM indique que les attaquants ont fait approuver une délégation EIP-7702 par le système de signature de Binance, transférant le contrôle d'un portefeuille chaud à un contrat d'attaquant. Les chercheurs estiment que le système de signature bloque une liste de "mauvaises actions connues", plutôt que de ne laisser passer que les "bonnes actions connues", ce qui a permis à ce nouveau mode d'autorisation de passer inaperçu. Binance n'a pas confirmé ce détail, et elle ne peut pas expliquer les pertes sur Bitcoin, Solana et Tron.

Il y a un mois, Bitget a perdu plus de 350 millions de dollars de manière similaire : les attaquants ont accédé au système de backend qui alimente les données de transaction au signataire, et les retraits ont été effectués avec des signatures valides.

Si le système d'un échange peut manipuler votre argent, il suffit d'accéder au système. Les DEX de contrats perpétuels affirment depuis longtemps qu'ils peuvent éviter ce type de risque par leur mécanisme. J'ai sélectionné quatre d'entre eux pour tenter de décomposer trois questions similaires : où est l'argent ? Qui peut manipuler cet argent ? Si l'équipe disparaît ou est piratée, pouvez-vous toujours partir ?

Les réponses proviennent de la lecture sur la chaîne, du code de contrat vérifié, des documents et des messages de l'équipe, ainsi que de @l2beat ; l'historique des événements fait référence à des rapports publics. Ce n'est pas un audit, ni une recherche de vulnérabilités. Je ne regarde qu'un seul scénario : si le système et les clés de l'équipe sont piratés comme ceux de Binance, que peuvent faire les attaquants avec eux, et pouvez-vous toujours récupérer votre argent ?

Je ne dis pas que ces protocoles ont des vulnérabilités ou seront piratés. Les protections hors chaîne comme les portefeuilles MPC, les stratégies de signature, la surveillance, etc., ne sont pas visibles de l'extérieur et peuvent rendre ces scénarios beaucoup plus rares. Donc, ce qui suit concerne ce que le contrat permet, pas des prévisions.

Lighter : serveur piraté, mais votre solde reste intact

Lighter détient environ 1 milliard de dollars dans des contrats Ethereum : 556 millions de dollars USDC, 430 millions de dollars LIT (15,1 millions de jetons), plus quelques ETH et des actifs divers.

En fonctionnement normal, l'argent ne peut quitter que par des lots validés par preuve ZK. Les retraits standard ne peuvent être envoyés qu'au portefeuille du propriétaire du compte, ce lien étant fixé lors du premier dépôt. Des retraits plus rapides et des transferts vers d'autres comptes nécessitent également la signature de votre portefeuille. Ainsi, peu importe qui contrôle le sélecteur, le prouveur ou les clés de vérification de Lighter, personne ne peut retirer le solde seul.

Vous pouvez aussi ne pas les attendre. Initiez directement un retrait forcé sur Ethereum ; si Lighter ne traite pas dans les 14 jours, n'importe qui peut mettre le contrat en "mode désert". Les mises à jour sont arrêtées, et tout le monde peut sortir en utilisant une preuve de solde ZK basée sur les données existantes d'Ethereum.

Mais ce n'est pas totalement sans confiance.

Les prix sont fournis par l'opérateur de Lighter avec des prix indiciels et marqués, et la preuve ne vérifie pas la signature de l'oracle. Une erreur de prix pourrait entraîner des liquidations injustes, et L2BEAT a également signalé ce même risque.

De plus, il y a deux clés de gardien qui peuvent suspendre le traitement des lots et les retraits. Une clé peut suspendre au maximum 24 heures, l'autre jusqu'à 72 heures, et après chaque suspension, un temps de refroidissement est nécessaire avant de pouvoir être utilisée à nouveau. Cependant, ces deux clés ne peuvent pas empêcher le "mode désert" : tant que personne ne traite le retrait forcé dans les 14 jours, le contrat peut entrer en état de sortie pour tous.

Les mises à jour suivent un autre processus. Normalement, un quorum de 3/5 doit notifier publiquement sur Ethereum 21 jours à l'avance, donnant aux utilisateurs le temps de voir ce qui a changé. Mais si un autre comité de sécurité 4/7 signe également, cette notification de 21 jours peut être complètement ignorée, et la mise à jour entre immédiatement en vigueur. Jusqu'à présent, chaque mise à jour de Lighter a suivi ce chemin rapide. En octobre seulement, le prouveur de validation a été remplacé cinq fois. Le prouveur de validation est un composant de contrat qui valide les preuves de retrait ZK ; son remplacement fréquent signifie que "la vitesse à laquelle le code peut être modifié" n'est pas un risque théorique.

Historiquement, lors de l'effondrement du 10 octobre 2025, le service a été interrompu pendant environ 4,5 heures. Après le lancement de LIT fin décembre 2025, des retards de retrait ont été signalés. Le 17 octobre 2026, il y a eu une suspension de 2 heures des gardiens, que L2BEAT a considérée comme un test. Les 20 et 29 octobre, il y a eu environ 4,5 heures d'interruption de mise à jour d'état, toutes deux se terminant après une mise à niveau rapide du validateur. Aucun rapport public n'indique que les fonds sous garde ont été affectés.

Mon jugement : parmi les quatre, seul Lighter peut résister à un piratage de serveur à la Binance ------ même si les attaquants accèdent au serveur, ils ne peuvent pas retirer le solde uniquement avec le serveur. Le coût est que le prix est déterminé par l'opérateur, et le code multi-signature peut être modifié rapidement. Ce que vous devez vraiment croire, ce sont ces deux choses.

Hyperliquid : la majorité des USDC est sous la clé unique de Coinbase et sur sa propre chaîne

Hyperliquid a 6,5 milliards de dollars USDC en soutien, répartis en trois endroits.

• Environ 5,6 milliards de dollars, soit 86 %, dans le portefeuille de réserve USDC de Coinbase sur HyperEVM ;
• Environ 622 millions de dollars, soit 10 %, dans le contrat CoreDepositWallet de Circle ;
• Environ 290 millions de dollars, soit 4,4 %, encore sur l'ancien pont Arbitrum.

Ce portefeuille Coinbase est une adresse ordinaire, avec une seule clé privée. Cela signifie que la sécurité de 86 % des USDC dépend entièrement de la manière dont Coinbase protège cette clé privée, ce qui n'est pas visible sur la chaîne. La chaîne Hyperliquid peut également contourner la clé privée de Coinbase, en utilisant un système de transaction qui ne nécessite pas de signature, pour déplacer les USDC entre le portefeuille Coinbase et le contrat Circle, maintenant ainsi un rapport de 9:1 entre les soldes des deux côtés ------ c'est-à-dire que les USDC dans le portefeuille Coinbase sont environ 9 fois ceux dans le contrat Circle.

Coinbase a mis en jeu 506 000 HYPE pour ce rôle, soit environ 46 millions de dollars. Ce montant ne sera confisqué que si le portefeuille ne peut pas payer sa part des revenus du protocole, et il représente moins de 1 % du solde, ce qui ne constitue pas une garantie pour le portefeuille.

Le contrat Circle peut être mis à niveau, et l'administrateur est une adresse unique ; la chaîne Hyperliquid peut également transférer directement des USDC. Sur le pont Arbitrum, 3 des 4 validateurs peuvent signer pour libérer les fonds, avec une fenêtre de 200 secondes avant le déblocage pour intercepter.

La garantie est Circle. Il peut geler les USDC natifs, et les 823 millions de dollars USDC volés à Binance ont été gelés avant leur transfert. Le gel peut arrêter les voleurs, mais l'argent sera bloqué jusqu'à ce que quelqu'un le traite.

Il y a 27 validateurs actifs sur la chaîne. Les 5 gérés par Hyper Foundation représentent 47 % des mises ; les trois plus grands représentent plus d'un tiers, et leur déconnexion peut bloquer la chaîne. Tous exécutent un logiciel de nœud fermé de Hyperliquid, qui est la seule mise en œuvre, et le fichier binaire est publié avec la clé de Hyper Foundation.

BTC, ETH, SOL entrent par le protocole indépendant Unit, donc les actifs que vous détenez sur Hyperliquid sont des jetons Unit (UBTC, UETH, USOL). Unit détient 940 millions de dollars sur 14 actifs, dont 690 millions en BTC, ETH, SOL. Selon sa documentation, trois gardiens (Unit, Hyperliquid, Infinite Field) contrôlent ces coffres, et chaque retrait nécessite la signature de deux des trois ; sans eux, il n'est pas possible de les racheter. Après l'incident de Binance, Unit a ajouté des délais à tous les dépôts et retraits.

En mars 2025, après que JELLY a été sous pression et que le coffre de liquidité d'Hyperliquid a été exposé, les validateurs ont voté pour retirer ce marché et régler au prix de leur choix. Le pont Arbitrum a été suspendu d'urgence plusieurs fois, la dernière fois en novembre 2025 ; chaque fois, il a rouvert dans les heures qui ont suivi, sans perte de fonds sur le pont.

Mon jugement : la sécurité de la majorité des USDC dépend uniquement de la garde de Coinbase et de la chaîne Hyperliquid, le gel de Circle étant une garantie ; la chaîne elle-même dépend d'un ensemble de validateurs clairement biaisé en faveur de Hyper Foundation, exécutant un logiciel fermé.

Aster : garde avec des limites de vitesse sur la chaîne

Aster détient environ 500 millions de dollars dans des coffres sur BNB Chain, Ethereum, Arbitrum et Solana, dont 100 millions de dollars sont en USDF. Cela ne compte pas les 1 milliard de dollars d'ASTER et d'APX dans le coffre de BNB Chain.

Les fonds du coffre sont mutualisés, et qui possède combien est enregistré sur Aster Chain ; cette chaîne est actuellement exploitée uniquement par les validateurs d'Aster.

Chaque retrait de coffre EVM doit être émis par l'adresse d'exploitation d'Aster et approuvé par deux clés Aster. Vous signerez également la demande de retrait, mais le code vérifié ne compare votre signature qu'à l'adresse fournie par la clé Aster, donc il ne peut prouver que vous avez initié la demande, sans protéger le pool.

C'est un risque de garde similaire à celui de Binance : si les clés Aster ou le backend sont piratés, l'argent peut sortir du coffre. Chaque coffre EVM a une limite de retrait horaire, les données les plus récentes sont les suivantes :

• BNB Chain : 10 millions de dollars
• Ethereum : 6 millions de dollars
• Arbitrum : 3 millions de dollars
• Solana : 1 million de dollars

Les utilisateurs ne peuvent pas non plus contourner les retraits d'Aster. Dans le code de contrat vérifié du coffre EVM, il n'y a pas de fonction permettant aux utilisateurs d'initier des retraits.

Les mises à niveau du coffre EVM passent par un quorum de 4/7 et un verrou de temps de 24 heures, mais le même quorum peut immédiatement modifier les rôles et les limites ; le programme Solana peut être mis à niveau instantanément par un quorum de 3/6.

Le plafond a été déclenché plusieurs fois en décembre 2024, septembre 2025 et juillet 2026, entraînant une suspension des retraits en raison de dépassements de limite ; par la suite, le multi-signature a augmenté les plafonds. En septembre 2025, une erreur de tarification sur le marché XPL a conduit à la liquidation des traders, Aster a indemnisé en quelques heures. En octobre 2025, DefiLlama a retiré le volume de trading des contrats perpétuels Aster, en raison de sa forte similitude avec Binance, tandis qu'Aster ne pouvait pas fournir de données de niveau de commande. L'ancienne version ApolloX a perdu 2 millions de dollars en tokens propres en 2022 en raison d'une vulnérabilité.

Mon jugement : c'est essentiellement un modèle de garde. L'argent est placé dans le coffre d'Aster, et les retraits doivent être initiés par l'opérateur d'Aster, avec deux clés Aster pour approbation ; la signature de l'utilisateur ne prouve que "j'ai retiré des fonds", elle ne protège pas le pool. La limite horaire sur la chaîne peut effectivement ralentir les retraits, mais c'est juste une restriction de vitesse, pas une restriction de droits. De plus, le même ensemble de multi-signatures 4/7 peut définir des limites, changer de rôle instantanément et augmenter les limites, le soi-disant frein peut être relâché à tout moment. En fin de compte, la sécurité de l'argent dépend de la manière dont Aster garde ces deux clés et si le système en arrière-plan est sécurisé.

Variational : conception de contrat la moins sécurisée

Variational a 290 millions de dollars USDC sur Arbitrum : 223 millions sont dispersés dans 208 000 pools de règlement d'utilisateurs, les marges des traders et des teneurs de marché sont combinées ; 54 millions sont dans l'adresse OLP des teneurs de marché ; 12 millions sont dans le trésor.

Vous pouvez déposer de l'argent dans le pool, mais vous ne pouvez pas retirer. Chaque retrait est émis par l'une des 17 clés opérationnelles, dont 16 sont des portefeuilles ordinaires. N'importe laquelle d'entre elles peut transférer des USDC de n'importe quel pool, le contrat n'a pas de limite de montant.

Il existe une fonction qui envoie directement des USDC au portefeuille de la clé appelante, une seule transaction peut traiter plusieurs pools en même temps ; théoriquement, une seule clé peut vider tous les pools en quelques minutes. L'administrateur est également un portefeuille ordinaire, les actions prennent effet immédiatement : ajouter une clé, changer le pool vers un autre contrat oracle, suspendre tous les retraits. La documentation indique que le trésor OLP est un contrat intelligent, mais l'adresse listée n'a pas de code.

Variational utilise Fireblocks pour le déploiement de contrats et la signature d'oracles, mais il n'est pas public quels clés sont couvertes et quelles sont les règles d'approbation. Si ces clés ont un seuil ou une limite de multi-signature, cela n'est pas visible sur la chaîne.

Les utilisateurs n'ont également aucun moyen de sortir sans l'équipe. Si le système en arrière-plan s'arrête, personne ne traitera les demandes de retrait ; l'administrateur peut également suspendre directement l'oracle, bloquant ainsi le processus de retrait. Dans ces deux cas, il n'y a pas d'entrée de retrait de secours ou de fonction de sortie forcée dans le contrat, les utilisateurs ne peuvent pas retirer leur argent sans l'équipe.

Historiquement, il n'y a eu aucun rapport de piratage, de vol ou de suspension de retrait. Après l'incident de Binance, Variational a déclaré que les fonds des utilisateurs étaient sécurisés dans le contrat sur la chaîne et pouvaient être retirés à tout moment ; les deux déclarations sont vraies tant que le système en arrière-plan continue de signer. La garantie externe est le gel des USDC par Circle ou l'intervention du comité de sécurité d'Arbitrum, les deux ayant agi après l'incident de Binance.

Mon jugement : en regardant uniquement les contrats vérifiés, Variational a le plus grand risque d'exposition. N'importe laquelle des 17 clés opérationnelles peut transférer des USDC de n'importe quel pool d'utilisateurs, le contrat n'a pas de limite de montant ; une clé compromise suffit pour vider le pool. La seule chose qui peut bloquer cela dans le contrat est que l'administrateur suspende l'oracle ou retire une clé, mais l'administrateur lui-même est également un portefeuille unique, les actions prennent effet immédiatement, sans verrouillage temporel ni seuil de multi-signature. Cela ressemble plus à une perte après coup qu'à une ligne de défense préventive. Comme Aster, la sécurité de l'argent dépend finalement de ces clés et du système en arrière-plan.

Comparaison de quatre entreprises

Parmi les quatre, seul Lighter vous permet de sortir sans l'équipe.

Qui est le plus sûr ?

En fonction des trois questions ci-dessus, et en ne regardant que ce qui est vérifiable sur la chaîne :

Lighter est le plus sûr par conception. Pénétrer ses serveurs ne suffit pas à retirer votre solde ; si l'équipe disparaît, vous pouvez toujours utiliser le retrait forcé et le mode désert. Mais l'opérateur fixe également les prix, de mauvais prix peuvent toujours vous liquider. Trois votes dans un multi-signature 3/5, plus quatre votes dans le comité de sécurité 4/7, totalisant sept votes, peuvent modifier le code sans notification ; jusqu'à présent, chaque mise à jour a suivi cette voie.

Hyperliquid est au milieu. 86 % des USDC sont dans un portefeuille à clé unique Coinbase, la clé de Coinbase et la chaîne Hyperliquid peuvent tous deux y accéder, le gel de Circle est une garantie.

Aster est au même niveau qu'Hyperliquid. Les retraits EVM sont émis par l'opérateur d'Aster et approuvés par deux clés Aster. La limite horaire peut ralentir les retraits, mais le multi-signature 4/7 peut toujours augmenter la limite.

Variational a la conception de contrat la moins sécurisée. N'importe laquelle des 17 clés opérationnelles peut retirer des USDC de n'importe quel pool d'utilisateurs, le contrat n'a pas de limite de montant. Le gel de Circle est également une garantie.

Comment utiliser cette liste

Que ce soit pour DEX ou CEX, ne mettez que l'argent que vous êtes en train de trader dans les échanges.

Avant d'augmenter votre argent, faites d'abord deux vérifications. Premièrement, où l'argent est-il réellement placé : est-il verrouillé dans un contrat sur la chaîne, ou repose-t-il dans un portefeuille contrôlé par une équipe, un compte de garde d'échange ou un pont inter-chaînes ? Si c'est un contrat, qui a le droit de l'utiliser, est-ce une clé unique, un multi-signature, ou comme Lighter, ne peut-il être libéré que par une preuve ZK ? Deuxièmement, pouvez-vous partir sans l'équipe : le contrat a-t-il un retrait forcé, une voie d'évasion ou un verrouillage temporel, ou chaque retrait doit-il attendre la signature de l'opérateur ?

Ne considérez pas non plus le label "DEX" comme une garantie de sécurité. Les DEX de contrats perpétuels peuvent avoir une interface décentralisée, les transactions sur la chaîne, mais l'argent peut toujours être contrôlé par des clés d'équipe, des adresses opérationnelles ou des multi-signatures ; Aster et Variational en sont des exemples. Le label ne dit pas qui détient le droit de retrait, ce qui compte, ce sont les droits du contrat et les voies de sortie.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.