Un nouvel article théorique circule parmi les chercheurs Ethereum, et son affirmation centrale est brutale : les fondements mathématiques de la tolérance aux pannes byzantines (Byzantine Fault Tolerance, BFT) sur Ethereum, ainsi que la manière dont les oracles DeFi rapportent les prix, reposent tous deux sur des hypothèses qui ne tiennent plus dès que le comportement des validateurs est réellement mesuré. Publiée sur le forum de recherche Ethereum ethresear.ch en août 2026, l’analyse du chercheur Hudu Yusuf soutient que la marge de sécurité de majorité honnête d’Ethereum est très loin du chiffre théorique de 33 % une fois le comportement corrélé des validateurs pris en compte — et que chaque grand fournisseur d’oracle, de Chainlink à Pyth, applique une stratégie que l’article qualifie de mathématiquement sous-optimale.
Summary
Points clés à retenir
- Un nouveau théorème appelé « effondrement de la coordination » (« Coordination Collapse ») montre que des validateurs se comportant de manière identique perdent presque tout leur poids de vote effectif, même s’ils contrôlent une grande part de la mise nominale.
- Appliqué à l’ensemble réel des validateurs d’Ethereum, les 3 principales entités détiennent environ 60 % de la mise nominale mais seulement environ 15,7 % du poids effectif une fois la diversité comportementale prise en compte.
- Les validateurs solo, avec seulement 22,3 % de mise nominale, finissent par contrôler plus de 60 % du pouvoir de vote effectif parce que leur comportement est bien moins corrélé.
- Un second théorème soutient que les oracles qui retiennent les données en cas d’incertitude surpassent les conceptions qui publient toujours ; un backtest sur 30 exploits DeFi majeurs a montré que l’approche silencieuse les aurait tous empêchés, protégeant environ 3,315 milliards de dollars.
- Chaque réseau d’oracle déployé examiné — Chainlink, Pyth, UMA, Band, API3 et RedStone — utilise actuellement un modèle de publication systématique (« always-publish »), que l’article qualifie de structurellement vulnérable.
Effondrement de la coordination : la corrélation comportementale sape le pouvoir de vote
Le premier résultat, et le plus conséquent, de l’article est que l’influence réelle d’un validateur sur le consensus dépend bien moins de la quantité de mise qu’il détient que de son degré d’indépendance comportementale. Le système de preuve d’enjeu (proof-of-stake) d’Ethereum pondère actuellement chaque vote uniquement par la mise nominale — un validateur avec plus d’ETH obtient simplement plus de poids. Le nouveau cadre, appelé DW-BFT (Diversity-Weighted BFT), soutient que c’est entièrement la mauvaise métrique.
BFT pondérée et formule de diversité au cœur de DW-BFT
Le modèle introduit un « poids de diversité » pour chaque validateur, calculé en comparant son profil comportemental — moment des attestations, choix de relais MEV-Boost, habitudes de construction de blocs, participation aux réorganisations — au comportement moyen du réseau. Les validateurs qui votent et construisent des blocs presque de manière identique au reste du réseau obtiennent un score proche de zéro sur cette métrique de diversité, quel que soit le montant d’ETH mis en jeu. Le Théorème 1, surnommé « effondrement de la coordination » (« Coordination Collapse »), en découle : un cartel de validateurs avec des vecteurs comportementaux quasi identiques voit son poids de vote effectif converger vers zéro à mesure que la corrélation interne approche de 1, indépendamment de la mise nominale.
C’est un défi direct à la manière dont Ethereum présente actuellement sa borne de tolérance aux pannes de 33 %. L’article soutient qu’une fois le comportement corrélé intégré dans le modèle, la marge de sécurité « honnête par construction » n’est pas du tout de 33 % — elle se rapproche plutôt de chiffres à un seul chiffre, car de grandes entités de staking qui se comportent à l’unisson n’ajoutent en réalité aucune sécurité indépendante : elles ne font que dupliquer le même vote.
L’ensemble des validateurs d’Ethereum à travers le prisme DW-BFT
Pour tester la théorie, le chercheur a extrait des données comportementales des 50 principales entités validatrices d’Ethereum par part de dépôt, couvrant environ 4,2 millions d’époques entre mai et juillet 2026. Les chiffres sont frappants. Lido détient 28,4 % de mise nominale mais obtient un faible score de diversité comportementale ; Coinbase et Binance se situent respectivement à 15,1 % et 13,7 % de mise nominale, avec des profils de comportement tout aussi corrélés. Ensemble, les 3 principales entités contrôlent environ 57,2 % de mise nominale mais seulement environ 15,7 % de poids effectif dans le modèle DW-BFT — un chiffre qui reste confortablement sous le seuil de tolérance aux pannes, contrairement à leur part brute de mise.
Les validateurs solo distribués racontent l’histoire inverse. Ils ne détiennent que 22,3 % de la mise nominale, mais comme leur comportement est bien moins corrélé à la moyenne du réseau, ils finissent par commander environ 60,2 % du pouvoir de vote effectif. En d’autres termes, dans un BFT pondéré par la mise standard, une poignée de grandes entités pourraient théoriquement se coordonner pour finaliser des blocs invalides. Dans DW-BFT, cette même coordination fait s’effondrer leur influence au lieu de l’amplifier.
Pourquoi cela importe-t-il au-delà des mathématiques ? Parce que cela reconfigure tout le débat sur la centralisation du staking sur Ethereum. Les régulateurs, les chercheurs et la communauté se sont inquiétés pendant des années de voir la part de mise combinée de Lido, Coinbase et Binance franchir des seuils dangereux. Le cadre DW-BFT suggère que la variable la plus urgente n’est pas la quantité de mise détenue par ces entités, mais la similarité de leur comportement — un facteur que la conception actuelle du consensus ne mesure absolument pas.
Les résultats de simulation renforcent ce point. En exécutant 10 000 scénarios d’attaque avec des validateurs sybil à différents niveaux de corrélation, l’article constate que la tolérance aux pannes byzantines (Byzantine Fault Tolerance) standard succombe à une attaque de cartel coordonné 100 % du temps une fois que la corrélation interne atteint un parfait 1,00. Dans DW-BFT, cette même attaque de cartel parfaitement corrélée réussit 0 % du temps. Même à des niveaux de corrélation plus modérés — 0,75 et 0,90 — le taux de réussite des attaques dans le BFT standard grimpe à 41,7 % et 75,8 %, tandis que DW-BFT maintient ce taux dans les très faibles pourcentages. Le système, comme le formule l’article, n’a pas besoin de savoir qu’une attaque arrive ; l’uniformité même du cartel le trahit.
La défense du silence structuré dans la conception des oracles
Le second théorème de l’article aborde un autre pan de l’infrastructure DeFi : les oracles de prix. Sa conclusion est tout aussi inconfortable pour l’industrie. Les oracles prêts à ne rien publier lorsque les données semblent suspectes se comportent mieux face à la manipulation que les oracles conçus pour toujours fournir un chiffre, et l’article soutient que cela rend la conception dominante actuelle des oracles obsolète par construction.
Pourquoi la rétention de données surpasse la publication systématique
Chaque réseau d’oracle déployé — Chainlink, Pyth, UMA, Band, API3 et RedStone — fonctionne selon un modèle de publication systématique, considérant qu’un prix obsolète ou manipulé est préférable à l’absence de prix. Le Théorème 2, que l’article appelle « Optimalité du silence structuré » (« Optimality of Structured Silence »), démontre que lorsque la perte liée à la publication d’une mauvaise valeur est supérieure au coût d’un court délai, un oracle qui retient les données en cas d’incertitude mesurable produira une perte espérée strictement inférieure à celle d’un oracle qui publie toujours — tant que l’adversaire dispose d’un budget d’attaque fini.
Le mécanisme repose sur une métrique de cohérence qui évalue dans quelle mesure une observation de prix actuelle correspond à l’historique comportemental accumulé d’un actif — par exemple la cohérence des flux entre plateformes d’échange et la stabilité au niveau des portefeuilles. Lorsque la cohérence tombe en dessous d’un certain seuil, l’oracle ne publie rien mais partage tout de même des métadonnées : quel signal a échoué, de combien il s’écarte, et un temps estimé de rétablissement. C’est la base pratique de ce que l’article présente comme une véritable stratégie d’oracle silencieux, positionnée comme une forme directe de défense contre la manipulation d’oracle que les flux toujours actifs actuels n’offrent tout simplement pas.
Backtest du silence face à 30 exploits DeFi
Pour tester la théorie dans des conditions réelles, le chercheur a backtesté les deux stratégies sur chaque exploit majeur de manipulation d’oracle enregistré depuis 2020 — 30 événements distincts totalisant 3,315 milliards de dollars de pertes. L’approche de publication systématique, reflétant le comportement des oracles de type Chainlink et Pyth, n’a empêché aucun des 30 exploits. La stratégie d’oracle silencieux, avec un seuil de 0,62, les a tous empêchés.
Cette protection s’est accompagnée de compromis bien réels. La stratégie silencieuse a déclenché un taux de faux positifs de 100 % lors d’événements de forte volatilité qui n’étaient pas de véritables attaques, générant 2 147 silences inutiles sur la période de backtest. Le silence moyen a duré seulement 2,4 blocs, et l’article estime que le coût de délai en résultant a représenté environ 11 millions de dollars de friction de liquidation pour les utilisateurs — une fraction des 3,315 milliards de dollars que la stratégie aurait protégés. Comme le formule le chercheur, un oracle prêt à faire une courte pause en période d’ambiguïté perd une infime part de débit mais protège effectivement l’intégralité des fonds des utilisateurs, tandis qu’un oracle toujours actif reste parfaitement disponible et parfaitement exploitable.
Et ensuite : obstacles de mise en œuvre et questions ouvertes
Les deux résultats pointent vers la même conclusion : des changements de protocole à court terme seraient nécessaires pour les appliquer, et plusieurs risques sérieux restent non résolus. L’article précise clairement qu’il s’agit de propositions, et non d’ingénierie finalisée, et il énumère ses propres doutes aux côtés de ses conclusions.
Reconfigurer les protocoles de consensus et d’oracle
Du côté du consensus, l’article soutient que le mécanisme de finalisation d’Ethereum devrait pondérer les votes en utilisant le facteur de diversité d_j en plus de la mise s_j, plutôt que la mise seule — ce qui signifie qu’une grande entité validatrice qui vote toujours de manière identique à la foule devrait avoir une influence plus proche de celle d’un validateur indépendant unique, et non un multiple de celle-ci. Notamment, l’analyse suggère que ce même prisme de diversité comportementale atténuerait de manière organique les inquiétudes autour de la centralisation des builders MEV-Boost, puisque des builders corrélés perdraient automatiquement de l’influence côté proposeur sans nécessiter une refonte séparée de la séparation proposeur–builder.
Du côté des oracles, adopter une stratégie silencieuse signifie que les protocoles DeFi doivent traiter « aucune valeur disponible » comme une sortie légitime et attendue plutôt que comme une défaillance du système. C’est un changement structurel : la plupart des marchés de prêt, des exchanges perpétuels et des moteurs de liquidation supposent aujourd’hui qu’un flux de prix est toujours actif, et nécessiteraient une réingénierie significative pour gérer correctement les lacunes sans briser les positions des utilisateurs.
Vecteurs d’attaque encore non résolus
L’article est franc sur les points où il pourrait se tromper. Il signale plusieurs problèmes ouverts que les chercheurs devraient résoudre avant que l’une ou l’autre idée n’atteigne la production :
- Les attaques de sybil-décorrélation, où un adversaire se scinde en de nombreuses entités qui se comportent différemment la plupart du temps, puis se coordonnent uniquement au moment de l’attaque, contournant potentiellement la pondération par diversité.
- Le risque, avec DW-BFT, de pénaliser des validateurs honnêtes qui votent correctement dans le même sens lors d’un consensus normal, puisque la corrélation seule ne peut pas distinguer pleinement la coordination d’un accord légitime.
- La possibilité de manipulation de la métrique de cohérence par un adversaire bien financé, ce que l’article estime nécessiter environ 40 à 60 fois plus de capital que pour attaquer directement un flux de prix.
- Le processus d’extraction des caractéristiques comportementales reposant actuellement sur un composant centralisé, semi-fiable, plutôt que sur un calcul entièrement décentralisé.
Ces mises en garde sont importantes car elles définissent l’ampleur du travail qui sépare un théorème intrigant d’un changement de protocole prêt à être déployé. Les conclusions sur la diversité des validateurs d’Ethereum et la stratégie d’oracle silencieux reposent toutes deux sur des données solides de simulation et de backtest, mais l’article lui-même les présente comme des points de départ pour l’examen de la communauté plutôt que comme de l’ingénierie tranchée, invitant aux réfutations, aux simulations alternatives et aux constructions où les théorèmes pourraient ne pas tenir.
FAQ
Pourquoi la corrélation du comportement des validateurs réduit-elle le poids de vote effectif dans DW-BFT ?
Parce que des validateurs avec des vecteurs comportementaux quasi identiques sont fortement corrélés, leur poids de diversité tend vers zéro, ce qui diminue leur pouvoir de vote effectif indépendamment de leur mise nominale.
Comment la stratégie d’oracle silencieux améliore-t-elle la défense contre la manipulation des prix ?
En retenant la publication lorsque les métriques de cohérence indiquent une incertitude, les oracles silencieux évitent de publier des valeurs manipulées, réduisant la perte espérée par rapport à une publication systématique de données vulnérables.
Quels sont les principaux défis pour mettre en œuvre DW-BFT et les stratégies d’oracle silencieux ?
Les défis incluent l’adaptation des protocoles de consensus pour pondérer les votes par la diversité comportementale, la modification des protocoles DeFi pour gérer l’absence de données d’oracle, et la défense contre de nouveaux vecteurs d’attaque comme la sybil-décorrélation et la manipulation de la cohérence.
Pourquoi les oracles à publication systématique restent-ils vulnérables malgré leur déploiement généralisé ?
Les oracles à publication systématique privilégient la disponibilité à l’intégrité des données, ne retenant jamais les données même en cas de manipulation adverse, ce qui permet aux attaquants d’exploiter des flux obsolètes ou manipulés.
{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Pourquoi la corrélation du comportement des validateurs réduit-elle le poids de vote effectif dans DW-BFT ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Parce que des validateurs avec des vecteurs comportementaux quasi identiques sont fortement corrélés, leur poids de diversité tend vers zéro, ce qui diminue leur pouvoir de vote effectif indépendamment de leur mise nominale. »}},{« @type »: »Question », »name »: »Comment la stratégie d’oracle silencieux améliore-t-elle la défense contre la manipulation des prix ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »En retenant la publication lorsque les métriques de cohérence indiquent une incertitude, les oracles silencieux évitent de publier des valeurs manipulées , réduisant la perte espérée par rapport à une publication systématique de données vulnérables. »}},{« @type »: »Question », »name »: »Quels sont les principaux défis pour mettre en œuvre DW-BFT et les stratégies d’oracle silencieux ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les défis incluent l’adaptation des protocoles de consensus pour pondérer les votes par la diversité comportementale, la modification des protocoles DeFi pour gérer l’absence de données d’oracle, et la défense contre de nouveaux vecteurs d’attaque comme la sybil-décorrélation et la manipulation de la cohérence. »}},{« @type »: »Question », »name »: »Pourquoi les oracles à publication systématique restent-ils vulnérables malgré leur déploiement généralisé ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les oracles à publication systématique privilégient la disponibilité à l’intégrité des données, ne retenant jamais les données même en cas de manipulation adverse, ce qui permet aux attaquants d’exploiter des flux obsolètes ou manipulés. »}}]}
Article produit avec l’assistance de l’intelligence artificielle et relu par l’équipe éditoriale.
