Chainlink a lancé CCIP 2.0 lundi, introduisant une mise à niveau qui permet aux institutions d'exploiter leurs propres vérificateurs personnalisés pour les transferts inter-chaînes plutôt que de dépendre uniquement du réseau par défaut de Chainlink. Cette sortie arrive cinq mois après que Kelp DAO, un protocole construit sur LayerZero, a perdu 292 millions de dollars à la suite d'une attaque de hackers liés à la Corée du Nord — une brèche qui a conduit Kraken et Lombard Finance à migrer vers Chainlink.

La documentation de Chainlink confirme elle-même une modification plus discrète aux côtés de la fonctionnalité phare. « Le rôle offchain automatisé du Risk Management Network n'est plus actif dans les déploiements CCIP actuels », selon la documentation technique de Chainlink, mettant fin au rôle de ce système en tant que second contrôle indépendant sur les transferts.

Ce que fait CCIP 2.0

CCIP 2.0 est la toute dernière version de l'infrastructure inter-chaînes de Chainlink — la couche logicielle que les banques et les projets crypto utilisent de plus en plus pour déplacer de l'argent tokenisé, comme les stablecoins, le Bitcoin wrapped et les fonds tokenisés, entre blockchains sans construire un bridge from scratch, selon l'annonce de lancement de Chainlink.

Cette infrastructure existe parce que les blockchains ne communiquent pas entre elles : Ethereum n'a aucune visibilité sur ce qui se passe sur Solana. Lorsqu'un token passe d'une chaîne à une autre, quelque chose doit confirmer que les fonds ont réellement quitté un réseau avant d'apparaître sur l'autre. Cette tâche revient à un bridge, qui s'appuie sur un vérificateur pour garantir chaque transfert.

Ce modèle de confiance s'est révélé coûteux. Les bridges ont perdu des milliards de dollars au profit de hackers au fil des ans, généralement parce qu'ils dépendent d'un point de défaillance unique — un seul vérificateur, une seule chose à tromper.

L'arrivée des vérificateurs personnalisés

La réponse de CCIP 2.0 à cette vulnérabilité est une nouvelle fonctionnalité appelée Cross-Chain Verifier (CCV). Les institutions peuvent désormais exécuter leur propre vérificateur — un second gardien examinant les documents avant qu'un transfert ne soit validé — ou en sous-traiter un auprès d'une société comme Infosys ou Nethermind. Des kits de démarrage sont disponibles sur Amazon Web Services et Google Cloud.

En dessous, Chainlink exécute toujours son contrôle par défaut : un comité de 16 opérateurs de nœuds indépendants — 16 sociétés distinctes qui doivent toutes convenir qu'une transaction est légitime — qui atteint un consensus sur chaque transfert. Cette composante n'a pas changé.

Ce qui a changé est moins visible. Le Risk Management Network, un ensemble distinct deœuds qui vérifiait auparavant le travail du comité principal, est en cours de réduction. « Le rôle offchain automatisé du Risk Management Network n'est plus actif dans les déploiements CCIP actuels, mais devrait être proposé comme couche de validation optionnelle dans les futures versions », indique la documentation.

Le contrat on-chain du réseau ne subsiste qu'en guise de filet de sécurité d'urgence. Chainlink indique qu'un contrôle indépendant équivalent peut désormais provenir des CCV optionnels. En pratique, une institution qui n'ajoute rien de supplémentaire s'appuie sur un seul réseau de vérification là où elle en avait auparavant deux.

Des milliards d'actifs tokenisés

Les enjeux dépassent désormais les seuls traders DeFi. Chainlink indique que 15 milliards de dollars d'actifs tokenisés ont migré sur ses rails au cours des quatre derniers mois, notamment des portions du Bitcoin wrapped de BitGo et du cbBTC de Coinbase — des actifs de plus en plus détenus via des ETF et des produits bancaires par des personnes qui ne touchent jamais à un portefeuille crypto.

Le contexte remonte à avril, lorsque des hackers liés au groupe Lazarus de Corée du Nord ont drainé environ 292 millions de dollars de Kelp DAO, un protocole permettant aux utilisateurs de staker de l'Ethereum et de déplacer le token résultant entre les chaînes. Le bridge de Kelp fonctionnait sur LayerZero et était configuré avec un seul vérificateur — une configuration que LayerZero a ensuite qualifiée d'erreur et cessé de prendre en charge pour les nouveaux déploiements.

Kelp a affirmé que l'équipe de LayerZero avait approuvé cette configuration et ne l'avait jamais signalée comme risquée. LayerZero a contesté cette version, affirmant que la configuration contrevenait à ses propres recommandations.

Quoi qu'il en soit, les institutions ont fui. Kelp lui-même a migré vers Chainlink, tout comme Kraken, qui a transféré son token de Bitcoin wrapped, et Lombard Finance, qui a déplacé plus d'un milliard de dollars d'actifs liés au Bitcoin.

L'argument de Chainlink repose sur le fait d'être le bridge qui n'a pas été piraté. CCIP 2.0 offre désormais aux institutions la même flexibilité qui a causé les ennuis de LayerZero — sauf que le comité de 16 opérateurs de Chainlink vérifie toujours chaque transfert par défaut.

« Historiquement, les bridges hérités ont perdu des milliards en raison d'infrastructures non sécurisées, tandis que les constructions internes sont lentes et coûteuses et que les réseaux propriétaires des institutions ne peuvent pas gagner la confiance de leurs pairs », a déclaré Johann Eid, Chief Business Officer de Chainlink Labs, dans l'annonce de lancement.

Chainlink indique que CCIP sécurise désormais plus de 84 milliards de dollars de valeur de tokens inter-chaînes, un chiffre autodéclaré. Dix-huit sociétés sont listées comme partenaires de lancement, mais les engagements varient en fermeté : Fidelity indique que la mise à niveau « a le potentiel de soutenir » une distribution plus large, tandis que Further Asset Management « a l'intention de s'associer ». Les déploiements en production confirmés sur les nouveaux vérificateurs sont restés rares quelques heures à peine après le jour du lancement. La rapidité avec laquelle ces partenaires nommés transformeront leurs intentions déclarées en vérificateurs opérationnels en production — et le fait que Chainlink livre ou non la couche optionnelle du Risk Management Network que sa documentation dit attendue dans les futures versions — sont les signaux les plus directs de la mesure dans laquelle les institutions utiliseront réellement la nouvelle architecture.

Cet article est basé sur le rapport original de Decrypt.