Takeover par flash loan : quand le modèle de vote que vous avez conçu se retourne contre la DAO
Le flash loan permet d'emprunter des millions de tokens de gouvernance sans collatéral, le temps d'un seul bloc, pour faire passer une proposal hostile. Si vous avez conçu ce modèle de vote, où s'arrête votre responsabilité ?
- Un flash loan permet d'emprunter une quantité massive de tokens de gouvernance sans collatéral, le temps d'une seule transaction, pour atteindre un quorum et exécuter une proposal malveillante.
- Si la proposal exécutée transfère la trésorerie dans le même bloc, l'attaque est atomique : la DAO peut perdre plusieurs millions en quelques secondes, sans recours technique.
- Le DAO advisor qui a recommandé un modèle token-weighted sans timelock ni snapshot de bloc antérieur peut voir sa faute de conseil engagée par les membres lésés.
- La RC Pro couvre l'erreur de conception du modèle de gouvernance et les frais de défense ; elle ne couvre pas la perte de trésorerie en tant que telle.
Le mécanisme : emprunter une majorité le temps d'un bloc
Un flash loan est un prêt non collatéralisé qui doit être emprunté et remboursé à l'intérieur d'une seule et même transaction blockchain. Si le remboursement n'a pas lieu avant la fin de la transaction, l'ensemble est annulé : l'emprunteur ne risque donc rien d'autre que les frais de gas. Cette mécanique, parfaitement légitime pour de l'arbitrage, devient une arme lorsqu'elle est dirigée contre une gouvernance token-weighted, c'est-à-dire où le poids de vote est proportionnel au nombre de tokens détenus.
Le scénario d'attaque se déroule en une seule transaction atomique :
- L'attaquant emprunte par flash loan plusieurs millions de tokens de gouvernance sur un protocole de prêt ou un pool de liquidité.
- Il dépose ces tokens, atteint le quorum requis et vote en faveur d'une proposal qu'il a lui-même soumise au préalable.
- La proposal, si elle est exécutable immédiatement, transfère la trésorerie vers son propre wallet.
- Il rembourse le flash loan dans la même transaction et conserve le butin.
Tout ceci se produit en quelques secondes, sans qu'aucun membre humain n'ait le temps de réagir. La DAO se réveille avec une trésorerie vidée et une décision de gouvernance parfaitement valide au regard du code.
Les garde-fous que votre conception aurait dû prévoir
Ce type d'attaque n'est pas une fatalité : il existe des contre-mesures connues, documentées et largement adoptées. C'est précisément leur absence dans un modèle que vous avez recommandé qui peut fonder une faute de conseil.
Le snapshot de bloc antérieur
Un système comme Snapshot ou un module de vote on-chain bien conçu calcule le pouvoir de vote sur la base du solde de tokens détenu à un bloc passé (block height antérieur à la création de la proposal). Des tokens empruntés à l'instant T n'ont alors aucun poids : le flash loan devient inopérant.
Le timelock d'exécution
Un timelock impose un délai (souvent 24 à 72 heures) entre l'adoption d'une proposal et son exécution. Même si un vote hostile passe, la communauté dispose d'une fenêtre pour réagir, alerter, et le cas échéant déclencher une procédure d'urgence. L'atomicité de l'attaque est brisée.
Le quorum et la période de vote minimale
Une période de vote de plusieurs jours rend mécaniquement impossible la capture instantanée du quorum par emprunt ponctuel.
Un advisor qui livre un modèle token-weighted sans snapshot de bloc, sans timelock et avec exécution immédiate ne propose pas une gouvernance : il propose une vulnérabilité documentée depuis des années.
Où s'arrête votre responsabilité de conseil
La question centrale, en cas de litige, sera celle de la faute professionnelle. On ne vous reprochera pas l'existence du flash loan en tant que technologie, ni le comportement de l'attaquant. On vous reprochera, le cas échéant, de ne pas avoir intégré dans votre recommandation les garde-fous que tout professionnel diligent du conseil en gouvernance connaît.
Plusieurs éléments pèseront dans l'appréciation :
- La traçabilité de vos préconisations. Aviez-vous explicitement recommandé un timelock, écarté par le client contre votre avis ? Un écrit qui documente vos mises en garde déplace la responsabilité.
- L'état de l'art au moment du conseil. Les contre-mesures contre les attaques par flash loan sur la gouvernance sont connues depuis l'attaque Beanstalk de 2022. Les ignorer en 2026 n'est plus défendable.
- Le périmètre contractuel de votre mission. Avez-vous été mandaté pour concevoir le modèle de vote, ou seulement pour animer la communauté ? La précision de votre lettre de mission est déterminante.
C'est exactement ce terrain que couvre l'assurance RC Pro : la faute professionnelle, l'erreur de conseil et l'omission dans le cadre de votre activité. Pour comprendre l'ensemble des risques propres à votre activité, consultez la page dédiée au métier de DAO advisor.
Ce que la RC Pro couvre, et ce qu'elle ne couvre pas
La distinction est essentielle et souvent mal comprise par les advisors débutants.
| Situation | Couvert par la RC Pro ? |
|---|---|
| Faute de conception du modèle de vote ayant rendu l'attaque possible | Oui |
| Frais de défense face à une action des membres lésés | Oui |
| Omission d'avoir recommandé un timelock | Oui |
| Perte des fonds de la trésorerie en elle-même | Non |
| Faille du smart contract dont vous n'êtes pas l'auteur ni l'auditeur | Non |
Autrement dit, votre contrat répond de votre faute et des conséquences qu'on cherche à vous imputer, pas du préjudice global subi par la DAO. C'est une logique de responsabilité civile professionnelle classique, transposée à un univers technique nouveau.
Documenter pour se protéger : la pratique qui change tout
Au-delà de l'assurance, la meilleure défense reste la traçabilité de votre conseil. Trois réflexes concrets :
- Rédigez un mémo de gouvernance signé. Listez les options envisagées, les risques de chacune et votre recommandation motivée. Mentionnez explicitement le risque d'attaque par flash loan et les contre-mesures proposées.
- Tracez les arbitrages du client. Si la DAO refuse un timelock pour des raisons de réactivité opérationnelle, faites-le acter par écrit. Vous transformez une faute potentielle en décision éclairée du client.
- Versionnez vos livrables. Un dépôt Git ou un espace partagé daté prouve l'état de votre conseil au moment de la mission, indépendamment des évolutions ultérieures décidées sans vous.
Ces pratiques, combinées à une RC Pro adaptée au conseil DAO, constituent votre véritable filet de sécurité. Le code est immuable ; votre responsabilité, elle, se documente.
Questions fréquentes
Si la faille touche le code du smart contract et que vous n'en êtes ni l'auteur ni l'auditeur, votre responsabilité d'advisor en gouvernance n'est en principe pas engagée. La frontière se situe au niveau de votre périmètre de mission : un conseil en gouvernance répond du modèle de vote, pas de la sécurité du code. Une lettre de mission précise est ici déterminante.
Le timelock ne vous exonère pas automatiquement, mais il démontre que vous avez intégré l'état de l'art dans votre conception. Combiné à un snapshot de bloc antérieur et à une période de vote suffisante, il rend l'attaque par flash loan techniquement inopérante, ce qui réduit fortement le risque qu'une faute vous soit imputée.
Un schisme consécutif à un vote contesté relève typiquement du litige entre membres et de la mise en cause de votre conseil. La RC Pro couvre votre défense et les conséquences d'une éventuelle faute de conception. La protection juridique gère par ailleurs les procédures et les litiges entre membres de la DAO.
Vous n'avez pas à déclarer chaque mission individuellement, mais votre tarif et votre plafond de garantie dépendent du profil global de vos clients, notamment de la taille des trésoreries conseillées en millions de dollars. Une mission portant sur une DAO à très forte trésorerie peut justifier un plafond rehaussé : signalez-la.
À partir de 29,90 euros par mois pour un freelance. Le tarif varie selon votre chiffre d'affaires, la taille des DAOs conseillées et le plafond de garantie retenu. Conseiller des DAOs à trésorerie élevée ou exercer un rôle de delegate fait évoluer la cotisation.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de DAO advisor — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche DAO advisor →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.