Auteur : imToken
Depuis un certain temps, les incidents de sécurité dans l'industrie Crypto ne cessent pratiquement pas (lecture complémentaire : « De Binance à PHP2Shell : à l'ère de l'IA, la ligne de défense de la sécurité Web doit être redéfinie de toute urgence »).
Des plateformes de trading perdant des milliards de dollars, aux chaînes d'approvisionnement de portefeuilles et aux fournisseurs de services tiers attaqués, en passant par les vulnérabilités des contrats intelligents et les actifs on-chain volés, une série d'incidents nous rappelle à maintes reprises : dans le monde Crypto, la sécurité des actifs ne dépend pas seulement de la fiabilité de la blockchain sous-jacente, mais aussi de qui détient la garde des actifs, qui contrôle les clés, et combien de maillons de confiance existent tout au long de la chaîne de services.
Pour les détenteurs d'ETH, il en va de même lorsqu'ils participent au staking.
Ethereum a déjà établi un mécanisme de staking natif relativement mature. Les utilisateurs peuvent staker de l'ETH pour devenir validateurs du réseau, gagnant des récompenses de protocole tout en maintenant la sécurité du réseau. Cependant, à mesure que le staking a progressivement évolué vers diverses méthodes de participation telles que la garde par les exchanges, le staking liquide et les services de nœuds professionnels, une question facilement négligée a également émergé :
Même en stakant de l'ETH de la même manière, les droits de contrôle des actifs et les frontières de sécurité derrière différentes solutions peuvent être complètement différents.
Si l'ETH est confié à un tiers, qui détient exactement la permission de retrait ? Si un fournisseur de services professionnel exploite le validateur, les utilisateurs peuvent-ils encore contrôler indépendamment le principal ? Et entre le staking natif et le staking liquide, quels risques potentiels supplémentaires ont émergé ?
Clarifier ces questions peut être plus important que de simplement comparer l'APY de différents produits de staking.
La première ligne de défense de la sécurité du staking : qui détient les droits de retrait des actifs ?
Pour comprendre le mécanisme de sécurité du staking d'ETH, il faut d'abord clarifier qui contrôle exactement un nœud validateur Ethereum.
Ethereum adopte le mécanisme de consensus Proof of Stake (PoS). En déposant au moins 32 ETH dans le contrat de dépôt, un utilisateur peut activer un nœud validateur, participer aux propositions de blocs, à la validation des transactions et aux attestations de consensus, et recevoir des récompenses selon les règles du réseau.
Cependant, un nœud validateur n'est pas géré par une seule clé. Dans le système de staking d'Ethereum, les permissions principales sont divisées en deux catégories :
Clé de signature : utilisée pour le fonctionnement quotidien du validateur, y compris la soumission de propositions de blocs et d'attestations ; c'est la permission opérationnelle pour participer au consensus du réseau. Clé de retrait : utilisée pour contrôler la propriété du principal staké et des rendements, déterminant l'unique adresse désignée vers laquelle les fonds peuvent finalement être retournés (généralement directement liée à l'adresse du portefeuille d'auto-garde de l'utilisateur) ; elle représente le contrôle ultime sur les actifs.
Les responsabilités des deux sont très claires : la clé de signature détermine si le validateur peut faire correctement son travail, tandis que la clé de retrait détermine qui peut finalement retirer l'argent. Cela signifie que la personne chargée d'exploiter le validateur n'a pas nécessairement besoin d'avoir le contrôle ultime sur les actifs.
Une fois cette couche de séparation des permissions comprise, la différence essentielle entre les modèles dépositaires et non dépositaires devient claire :
Dans le staking entièrement dépositaire, les deux types de permissions sont souvent concentrés entre les mains de la plateforme. Les utilisateurs déposent de l'ETH sur une plateforme de trading ou chez un dépositaire, et la plateforme est responsable à la fois d'exploiter le nœud et de contrôler les permissions de retrait. Ce que les utilisateurs voient sur le front-end n'est qu'une série de soldes comptables, et la possibilité de retirer les actifs en douceur est directement soumise à la gestion des fonds, aux règles de retrait et aux conditions opérationnelles de la plateforme elle-même. Dans le modèle de staking non dépositaire, les deux types de permissions sont physiquement isolés. Les utilisateurs contrôlent les permissions de retrait via leur propre portefeuille, tandis que les fournisseurs de services professionnels ne détiennent que la clé de signature et sont responsables de l'exploitation et de la maintenance quotidiennes du nœud. Même si le fournisseur de services prend en charge la maintenance fastidieuse du matériel et du réseau, il ne peut pas utiliser la permission opérationnelle entre ses mains pour transférer le principal staké des utilisateurs.
La valeur fondamentale de cette conception isolée — « les droits de retrait appartiennent à l'utilisateur, les droits opérationnels appartiennent au fournisseur de services » — réside dans la minimisation de la frontière de confiance. Les utilisateurs n'ont pas besoin de renoncer au contrôle de leur principal, ni de supporter seuls les coûts élevés d'exploitation et de maintenance des nœuds.
Bien entendu, non-custodial ne signifie pas risque nul. La clé de signature affecte toujours la performance quotidienne du validateur. Si le fournisseur de services subit une fuite de clé, une double signature ou un temps d'arrêt grave, le validateur peut encore faire face à des pénalités au niveau du protocole.
Par conséquent, la première étape pour évaluer une solution de staking est de vérifier si elle isole strictement les autorisations de retrait des autorisations opérationnelles, et si les utilisateurs détiennent véritablement entre leurs propres mains la clé permettant de récupérer leurs actifs.
Comment le protocole natif d'Ethereum protège-t-il les actifs stakés ?
Après avoir compris les droits de contrôle des clés, une autre question clé se pose : pourquoi la participation directe au staking natif d'Ethereum est-elle clairement supérieure, en termes de structure de sécurité, aux divers produits de staking dérivés de tiers ?
La raison principale est que le staking natif d'ETH est construit directement sur le protocole de consensus sous-jacent d'Ethereum et ne nécessite aucune couche intermédiaire supplémentaire.
Lorsque les utilisateurs participent au staking natif, l'ETH entre directement dans le système officiel de validateurs d'Ethereum, et la distribution des récompenses ainsi que l'application des pénalités sont entièrement exécutées automatiquement par le code du protocole sous-jacent. Il n'est pas nécessaire de s'appuyer sur un pool de fonds tiers pour agréger les actifs, ni de créer un jeton dérivé (tel qu'un LST) pour mapper indirectement les droits de staking, éliminant ainsi à la racine les risques composites apportés par les contrats de protocoles tiers, la gouvernance inter-couches et la dépréciation des dérivés.
À ce jour, au sein du protocole natif, Ethereum a également établi des frontières claires de sécurité et de sortie au moyen de trois mécanismes.
Premièrement, le protocole contraint le comportement des validateurs par des récompenses et des pénalités. Les validateurs doivent rester en ligne en continu et soumettre des propositions de blocs et des attestations comme requis. Si un nœud tombe en panne ou reste hors ligne pendant une longue période, il peut manquer des récompenses et subir des pénalités de solde correspondantes. Si un validateur commet des violations plus graves, telles que la signature de blocs contradictoires, cela peut déclencher un Slashing, dans lequel une partie de l'ETH staké est détruite et le validateur est expulsé de force du réseau. Le but de ce mécanisme est de garantir que les participants, tout en gagnant des rendements de staking, doivent également assumer les responsabilités correspondantes, de sorte que toute tentative de saper le consensus du réseau nécessite de payer un prix économique réel.
Deuxièmement, les autorisations de retrait et les autorisations d'exploitation des validateurs peuvent être indépendantes l'une de l'autre. Il s'agit d'une conception très importante dans le staking natif pour la sécurité des actifs. Même s'il y a un problème avec la clé de signature du validateur, tant que la clé de retrait est toujours conservée en toute sécurité par l'utilisateur, un attaquant ne peut pas simplement utiliser la clé de signature pour retirer directement le principal staké de l'utilisateur. Après la mise à niveau Pectra, Ethereum a encore amélioré ce mécanisme : l'adresse de retrait peut également initier directement une opération de sortie du validateur, sans plus dépendre entièrement de la clé de signature du validateur. Cela donne aux utilisateurs non-custodials une garantie sous-jacente pour « forcer le retrait des fonds » dans des circonstances extrêmes.
Enfin, la sortie du staking natif est également contrainte par les règles du protocole. Le staking natif prend en charge le retrait des récompenses et la sortie complète du principal, mais cela n'arrive pas instantanément comme un transfert de portefeuille ordinaire. Après qu'un validateur a initié une sortie, il doit entrer dans la file d'attente de sortie à l'échelle du réseau selon les règles du protocole (le temps d'attente dépend du nombre de validateurs sortant simultanément sur l'ensemble du réseau à ce moment-là). Ce n'est qu'après l'achèvement que le principal et les récompenses restantes seront automatiquement réglés à l'adresse de retrait liée (lecture complémentaire : « Pourquoi devez-vous d'abord faire la queue pendant un mois pour participer au staking natif d'Ethereum maintenant ? »).
De ce point de vue, la valeur du staking natif ne consiste pas seulement à obtenir des récompenses en ETH, mais aussi à fournir une garantie de règlement sous-jacente avec des règles entièrement publiques, une transparence et une vérifiabilité on-chain, et sans dépendance à aucune institution centralisée pour le remboursement.
Une décomposition côte à côte des solutions mainstream : où les risques sont-ils exactement répartis ?
En combinant « les droits de contrôle des clés » et « la dépendance au protocole », les quatre principaux types de solutions de staking d'ETH actuellement sur le marché placent essentiellement les risques dans des paniers différents.
Les services de staking fournis par les plateformes d'échange et les dépositaires ont généralement le seuil de participation le plus bas, prennent en charge le staking de petits montants et offrent une expérience opérationnelle proche de la gestion de patrimoine traditionnelle, de sorte que les utilisateurs n'ont pas besoin de gérer des opérations techniques complexes. Mais en même temps, le contrôle du principal est entièrement transféré à la plateforme. Même si l'ETH sous-jacent finit par entrer dans le contrat de staking officiel d'Ethereum, les utilisateurs doivent toujours supporter le risque de crédit de la plateforme, le risque de contrôle interne et les restrictions de retrait dans des conditions de marché extrêmes.
Prenons l'exemple des protocoles de staking liquide tels que Lido : après avoir déposé de l'ETH, les utilisateurs peuvent obtenir un LST représentant les droits de staking, comme le stETH, ce qui facilite l'obtention de rendements secondaires dans la DeFi ou l'encaissement à tout moment sur le marché secondaire. Le plus grand avantage de ces solutions est d'abaisser le seuil de participation et de permettre aux utilisateurs de continuer à participer à la DeFi et à d'autres applications pendant la période de staking, mais les couches de risque augmentent considérablement. Détenir un LST ne signifie pas détenir les droits de retrait du validateur ; cela signifie plutôt détenir un certificat de créance basé sur un contrat intelligent. Outre le risque de slashing du nœud sous-jacent, les utilisateurs doivent également supporter le risque supplémentaire de vulnérabilité des contrats intelligents, le risque de gouvernance du protocole et, dans des conditions de marché extrêmes, le risque de décote (depegging) sur le marché secondaire des LST et de ruée vers les retraits, ce qui s'est déjà produit à plusieurs reprises dans l'histoire des LST.
Ce que le staking natif non dépositaire tente de résoudre est précisément la contradiction entre l'autonomie des actifs et l'exploitation et la maintenance des nœuds. Les utilisateurs participent au réseau via le mécanisme de staking natif d'Ethereum et détiennent eux-mêmes la clé de retrait, tandis que des prestataires de services professionnels sont responsables de l'exploitation, de la surveillance et de la maintenance des validateurs. Cela ne nécessite pas que les utilisateurs supportent le risque supplémentaire de décote des jetons de staking liquide, et cela réduit également les risques supplémentaires apportés par les contrats intelligents des pools de staking tiers et les mécanismes de gouvernance.
Si les utilisateurs disposent de suffisamment d'ETH et de capacités techniques, ils peuvent également construire eux-mêmes des nœuds de validateur. De cette manière, la clé de signature, la clé de retrait et l'équipement du nœud sont tous gérés par les utilisateurs eux-mêmes, sans avoir besoin de dépendre de prestataires de services de nœuds tiers. Mais cela ne signifie pas que le risque est le plus faible : une défaillance matérielle du nœud, une interruption du réseau, une erreur de configuration du client, une sauvegarde inappropriée des clés et même une double signature peuvent tous entraîner des pertes de récompenses ou un slashing. Par conséquent, pour les utilisateurs ordinaires sans expérience à long terme d'exploitation et de maintenance de nœuds, les coûts techniques et de maintenance constituent également un obstacle.
Gardez le contrôle entre vos propres mains : la valeur à long terme du modèle non dépositaire
En résumé, différents modèles de staking répondent aux besoins de différentes tailles de capital et préférences de risque. Pour les utilisateurs qui accordent de l'importance au contrôle absolu de leur principal et qui ne veulent pas consacrer d'efforts à maintenir eux-mêmes des serveurs, le « staking natif non dépositaire » est sans aucun doute la solution de sécurité la plus adaptée.
C'est également la philosophie de conception centrale de la solution de staking ETH non dépositaire d'imToken : les permissions de retrait qui ne devraient jamais être cédées restent dans le portefeuille de l'utilisateur lui-même, tandis que les opérations de nœud nécessitant des garanties de haute disponibilité sont confiées à une infrastructure professionnelle.
Au niveau de la mise en œuvre pratique, cette solution propose également deux modes — les nœuds de validation à intérêts composés et les nœuds de validation à retrait automatique — permettant aux utilisateurs de choisir flexiblement différentes approches de gestion des fonds.
Bien sûr, choisir le modèle non dépositaire ne signifie pas que l'on peut être un « patron qui s'en lave les mains ». Étant donné que le contrôle ultime des actifs repose entièrement entre les mains de l'utilisateur, les utilisateurs doivent toujours assumer leurs responsabilités personnelles en matière de sécurité : sauvegarder correctement hors ligne la phrase mnémonique du portefeuille, vérifier soigneusement les adresses de retrait avant d'initier le staking, et maintenir une compréhension claire du mécanisme de file d'attente de sortie du protocole Ethereum, des taux de frais de service et des règles potentielles de slashing sous-jacentes.
À mesure que de plus en plus d'ETH entrent dans des systèmes de rendement à long terme, en tant que détenteurs, ce sur quoi nous devons vraiment nous concentrer n'est peut-être pas seulement le rendement que nos actifs peuvent générer, mais plutôt de savoir si, lorsqu'un maillon de service externe quelconque rencontre une situation extrême, je détiens toujours l'initiative ultime de récupérer mon principal ?
Gardez le contrôle ultime des actifs entre vos propres mains, et laissez les professionnels s'occuper des affaires professionnelles. C'est peut-être la valeur de sécurité la plus remarquable du staking natif non dépositaire.
