Gérer une multisig de protocole avec une gouvernance faible, c’est comme faire un trade à effet de levier élevé avec un risque de liquidation immédiat. La seule différence, c’est que c’est l’argent des autres en jeu.

Dix signaux d’alarme DeFi sur Solana qui sautent aux yeux sur la chaîne
- Clés de gouvernance à usage multiple. La même clé approuvant des actions multisig sert aussi à trader des memecoins, à farmer des airdrops, à flipper des NFTs, à échanger sur des DEX. Chaque dapp qu’elle touche est un autre endroit où le pouvoir de signature peut être phishé
- Multisigs à signataire unique. Pas de multisig du tout, ou une avec plusieurs signataires mais un seuil fixé à 1. Semble distribué, en réalité un point de défaillance unique
- Absence de séparation des rôles. Squads V4 divise les permissions en proposeur, votant et exécuteur. La plupart des protocoles donnent à chaque signataire ces trois rôles, permettant à une seule clé de proposer et d’exécuter en une seule action. La documentation de Squads met en garde contre cela
- Seuil inférieur au seuil recommandé. Squads recommande 4 sur 6 ou plus. La plupart des protocoles n’atteignent pas ce chiffre
- Pas de timelocks. Environ 1 protocole sur 5 en utilise. C’est trois étapes dans les paramètres multisig. Aucune fenêtre de réaction quand quelque chose tourne mal
- Activité concentrée selon le fuseau horaire. Regrouper des changements sensibles dans la même fenêtre rend le calendrier d’exploitation prévisible. Les attaquants peuvent voir quand personne ne surveille
- Multisigs avec autorité de mint faible. Souvent moins scrutés que les multisigs de mise à niveau ou de trésorerie. Seuils plus bas, pas de timelocks, parfois des ensembles de signataires séparés. Point d’entrée facile. Obtenez assez de clés pour atteindre ce seuil et vous pouvez créer une quantité illimitée du jeton que cette autorité contrôle
- Autorité de configuration externe active. Contourne totalement la multisig. Peut changer le seuil, les membres et le timelock sans un seul vote. Par défaut, Squads considère que la multisig se contrôle elle-même
- Rayon d’impact interne. Plusieurs programmes sous une même bannière contrôlés par une seule multisig. Ou des multisigs de programmes séparés partageant les mêmes signataires. Annule l’intérêt de la séparation initiale
- Rayon d’impact externe. Même si la gouvernance d’un protocole est solide, elle est reliée à d’autres qui ne le sont pas. Agrégateurs, vaults, marchés de prêt, oracles, stablecoins. Une défaillance devient le problème de tous