Tard hier, je naviguais entre la documentation de VaultKit du protocole Newton et un ancien graphique de dépeg d’une stablecoin. Je ne cherchais pas un nouvel angle. Je voulais seulement comprendre ce qui se passe après qu’un conservateur de coffre propose une action.
Au début, le flux paraissait simple.
Le conservateur prépare une transaction. Les opérateurs de Newton la vérifient par rapport à la politique du coffre. Si l’action enfreint les règles, elle est rejetée avant d’atteindre le coffre.
Cette partie m’a semblé immédiatement évidente. Un gestionnaire de coffre ne devrait pas pouvoir promettre aux déposants une stratégie et, ensuite, prendre en douce des risques totalement différents.
Ensuite, j’ai atteint la partie qui a changé ma façon de voir l’ensemble du système.
VaultKit peut aussi stopper la transaction lorsque les opérateurs n’atteignent pas le quorum, lorsque l’approbation expire, ou lorsque le Bouclier onchain ne peut pas la vérifier. La politique n’a pas besoin de dire que l’action est dangereuse. Si Newton ne peut pas produire une approbation valide, la transaction ne bouge toujours pas.
J’ai fait une pause là parce que j’ai vu à quelle vitesse un marché normal peut devenir une urgence. La liquidité peut disparaître en quelques minutes. Une stablecoin peut commencer à déraper par rapport à sa parité pendant que tout le monde débat encore de savoir si le mouvement est temporaire. Un protocole de prêt peut sembler sain le matin et devenir une exposition sérieuse avant la fin de la journée.
Dans ces instants, un gestionnaire peut avoir besoin de réduire le risque immédiatement.
Mais avec VaultKit, le gestionnaire ne peut pas simplement appuyer sur un bouton et déplacer les fonds. L’action devient une intention. La passerelle l’envoie pour évaluation. Les opérateurs vérifient la politique et toute donnée requise. Leurs signatures doivent être collectées. Une attestation doit être créée. Le Bouclier doit la vérifier. Ce n’est qu’ensuite que l’action peut atteindre le coffre.
Je pouvais voir l’intérêt. Chaque étape rend plus difficile pour un gestionnaire d’ignorer les règles lorsque le fait de les suivre devient inconfortable.
Le déposant ne s’en remet plus uniquement à la réputation du gestionnaire. La restriction suit la transaction elle-même.
Mais chaque étape requise devient aussi quelque chose qui doit fonctionner avant que le marché puisse évoluer davantage.
C’est là que la question de sécurité de Newton devient plus difficile que ce qu’elle ne paraît d’abord.
Supposons qu’un gestionnaire essaie de sortir d’une position qui s’affaiblit, mais qu’une source de données externe devient indisponible. Les opérateurs ne parviennent pas à se mettre d’accord à temps. L’attestation expire. L’action peut être tout à fait raisonnable, mais le coffre reste exposé parce que le processus d’autorisation n’a pas pu aboutir.
Une décision indisponible n’est plus seulement un retard technique. Elle peut devenir un événement financier.
Je ne pense pas que Newton devrait simplement permettre au gestionnaire de contourner le système. Cela rendrait la politique sans signification. N’importe quel gestionnaire pourrait qualifier une situation difficile d’urgence et récupérer le même pouvoir non contrôlé que VaultKit a été conçu pour supprimer.
Le chemin d’échappement public de Newton, avec délai, a du sens précisément pour cette raison. Les déposants devraient pouvoir voir que les contrôles normaux sont en train d’être modifiés, au lieu de le découvrir après que l’argent a déjà bougé.
Pour autant, la conception ne supprime pas le risque. Elle le déplace.
Une partie du risque quitte la clé privée et le jugement personnel du gestionnaire. Elle entre dans la conception des politiques, la disponibilité des données, la performance de la passerelle, la réponse des opérateurs, la formation du quorum, le calendrier d’approbation et la gouvernance d’urgence.
Le bêta de Newton sur le mainnet montre que ce chemin d’autorisation de coffre est désormais plus qu’une simple idée. Ce que les preuves publiques ne montrent pas encore clairement, c’est à quel point le processus complet fonctionne quand les marchés évoluent vite et que plusieurs parties du système sont sous pression en même temps.
C’est ce que j’observerais maintenant.
Non seulement le nombre de transactions mauvaises que Newton rejette, mais aussi la fréquence à laquelle des actions légitimes aboutissent, le temps que prennent les approbations pendant la volatilité, la fréquence des échecs de quorum, et si les attestations expirent avant qu’un gestionnaire puisse protéger le coffre.
Un système de sécurité solide doit savoir quand dire non.
Sur un marché financier en direct, il doit aussi être capable de dire oui avant que la bonne décision ne devienne trop tardive.