Un projet DeFi ayant passé un audit de sécurité est-il forcément sûr ?

Récemment, le comté de Yunmeng dans le Hubei a jugé une affaire invraisemblable. L’équipe de He a développé une plateforme d’échange décentralisée, puis, après avoir obtenu un rapport d’audit de sécurité, a discrètement remplacé le code initial par une version contenant une « porte dérobée » avant la mise en ligne.

Le stratagème était sournois : la plateforme affirmait publiquement que déposer des cryptos générait des intérêts, avait émis son propre token « D Coin » et proposait des services de dépôt, prêt et remboursement. Les utilisateurs déposaient leurs cryptos et touchaient régulièrement des rendements, tout semblait normal.

Le résultat ? L’équipe de He manipulait les données via la porte dérobée, échangeant en cachette les vrais tokens déposés par les utilisateurs contre des D Coin sans valeur. En deux mois, 103 personnes ont perdu 77,76 millions de RMB.

Parmi les victimes, Monsieur Tong, lui-même professionnel du secteur blockchain, avait investi 1 million de RMB après avoir découvert le projet via un ami en septembre 2020. Le 19 novembre, sous prétexte de « staking de D Coin », la plateforme a vidé son compte, ne lui laissant qu'un tas de tokens sans aucune valeur.

En mars de cette année, le premier procès a condamné He et trois complices à des peines allant de 13 à 3 ans de prison et à des amendes de 300 000 à 20 000 RMB. He a fait appel, mais le jugement a été confirmé en seconde instance.

Cette affaire nous rappelle qu’un rapport d’audit ne garantit que la sécurité « d’une version » du code. Qui peut savoir si le code n’est pas modifié après mise en ligne ? Si la « décentralisation » de la DeFi n’est qu’un slogan, mais que le back-end reste une boîte noire, ce n’est rien d’autre qu’une arnaque classique. Avant d’investir, renseignez-vous bien sur l’équipe derrière le projet, ne vous fiez pas uniquement au pitch ou au cachet d’un audit.