Meteora est-il vraiment sûr ?

01 · Vue d’ensembleLa réponse courte

Meteora compte parmi les protocoles les plus audités de Solana, et nous n’avons trouvé aucune trace d’un exploit de ses smart contracts. C’est un solide point de départ. Ce n’est pas pour autant synonyme de « sûr », car l’essentiel des pertes dans la DeFi Solana se produit un cran au-dessus du protocole : dans les tokens que l’on choisit, les liens sur lesquels on clique et les transactions que l’on signe.

Mieux vaut scinder la question en deux. Le code est-il solide ? C’est ce que mesurent les audits, les bug bounties et un historique d’incidents vierge. Votre usage est-il solide ? Cela dépend du pool dans lequel vous entrez, de la taille de votre position, de l’honnêteté du token et de la propreté de votre portefeuille. Un pool parfaitement audité peut tout de même vous faire perdre 90 % de votre dépôt si le token qu’il contient s’effondre.

La suite de cette page passe les éléments en revue dans l’ordre : l’historique des audits, les incidents qui ont réellement eu lieu, la controverse LIBRA et l’issue du procès qui en a découlé, puis les habitudes concrètes qui font l’essentiel du travail pour protéger les LP. Servez-vous de la grille en haut de page au fil de la lecture : cochez les réflexes que vous avez déjà et voyez ce qu’il reste.

02 · CodeLes audits et le bug bounty

Meteora répertorie ses audits sur une page officielle et héberge les rapports complets dans un dépôt GitHub public, MeteoraAg/audits. Chacun peut lire ce que chaque cabinet a examiné, sur quelle version, et ce qui a été trouvé.

Ce qui compte n’est pas un audit isolé, mais des audits répétés par plusieurs cabinets au fil des versions. Le DLMM, le produit qui porte l’essentiel du volume de Meteora, a été examiné de ses premières versions jusqu’aux plus récentes, par des équipes différentes aux méthodes différentes. Quand un protocole continue de payer de nouvelles revues à chaque fois qu’il livre du nouveau code, c’est un signal significatif.

Des pages d’audit existent aussi pour DAMM v1, Dynamic Vault, Alpha Vault, Presale Vault, Stake2Earn, Dynamic Fee Sharing, Zap et Referral Staking. Si vous comptez utiliser l’un des petits produits annexes, consultez sa page spécifique plutôt que de supposer que les audits du DLMM le couvrent. Ce n’est pas le cas : chaque programme est un code distinct.

Le bug bounty

Meteora gère un bug bounty via OOO Security, qui couvre le DLMM, DAMM v1 et v2, la DBC, Alpha Vault et d’autres programmes. Un bug bounty offre aux chercheurs indépendants une voie légale et rémunérée pour signaler une vulnérabilité au lieu de l’exploiter. La documentation ne publie pas les montants des récompenses, nous n’en citons donc aucun ici ; consultez la page du programme pour les conditions en vigueur.

03 · HistoriqueHistorique des incidents : ce qui s’est réellement passé

Un historique propre, ce n’est pas l’absence de gros titres. C’est l’absence de fonds d’utilisateurs perdus à cause du code du protocole lui-même. Le bilan de Meteora compte un incident de trésorerie notable, une perte remontant à l’époque Mercurial, et aucun exploit de ses programmes de pools à notre connaissance.

La perte OTC mérite une lecture attentive, car c’est le type de défaillance qui touche aussi les particuliers. Personne n’a cassé de smart contract. Quelqu’un a usurpé l’identité d’une partie de confiance, et un paiement a été envoyé avant que la livraison ne soit garantie. Le même rapport chiffrait la trésorerie à environ 32,8 millions de dollars, avec plus de deux ans de visibilité financière : la perte était significative mais pas existentielle, selon les chiffres de l’équipe elle-même.

Allégations et faits établis

Vous trouverez aussi des allégations en ligne. La plus visible émane du cofondateur de DefiTuna, qui a affirmé que des lancements liés à Kelsier, Meteora et M3M3 auraient soutiré environ 200 millions de dollars aux traders. Meteora et Jupiter ont nié toute faute. Cette accusation n’a été établie ni par un tribunal ni par un régulateur ; nous la mentionnons uniquement en tant qu’allégation, pour que vous puissiez la reconnaître si vous la croisez.

04 · ControverseLIBRA, la démission et le procès

L’épisode LIBRA est la principale raison pour laquelle on cherche « Meteora est-il sûr ». Voici les faits, tels que rapportés par The Block, Decrypt, crypto.news et les documents judiciaires résumés par la presse.

1. Le lancement

   En février 2025, Hayden Davis, de Kelsier Ventures, a lancé LIBRA, un token promu par le président argentin, en utilisant des pools Meteora. Le lancement et les échanges qui l’ont entouré ont suscité de vives critiques dans tout le secteur.

2. La démission

   Le cofondateur et CEO de Meteora, Ben Chow, a démissionné quelques jours plus tard. Le cofondateur de Jupiter, Meow, a évoqué un manque de discernement. Ben Chow a nié avoir disposé d’informations privilégiées, tout en reconnaissant avoir recommandé Davis et Kelsier à d’autres projets, dont MELANIA.

3. La nouvelle direction

   Environ trois semaines plus tard, le cofondateur Zhen Hoe Yong (« Zen »), qui assurait l’intérim et avait joué un rôle fondateur à la fois chez Jupiter et chez Meteora, a été nommé à la tête du projet.

4. L’action collective

   En avril 2025, le cabinet Burwick Law a déposé une action collective devant le tribunal fédéral du district sud de New York. Parmi les défendeurs figuraient Kelsier Labs, des membres de la famille Davis, « Meteora » et Benjamin Chow.

5. La décision

   La juge Jennifer L. Rochon a rejeté l’affaire avec autorité de la chose jugée (« with prejudice »), refusé l’autorisation de modifier la plainte et clos le dossier. Le tribunal a estimé qu’il n’était pas démontré que « Meteora » constituait une association non immatriculée pouvant être poursuivie, que l’intention frauduleuse n’était pas suffisamment alléguée à l’encontre de Ben Chow, et que les griefs fondés sur la loi RICO manquaient de schéma récurrent ou de continuité.

Pour un LP, la leçon pratique est plus étroite que les gros titres. Aucun compte rendu que nous avons trouvé n’attribue les pertes liées à LIBRA à une faille du code de Meteora ; la controverse portait sur le token, son lancement et les personnes qui l’entouraient. Une infrastructure sans permission permet à n’importe qui de lancer n’importe quoi. Les outils de lancement de Meteora intègrent désormais des fee schedulers et des réglages anti-snipers pour les pools de lancement, mais rien de cela ne transforme un mauvais token en bon token.

05 · Cadre d’analyseRisque au niveau du protocole ou de l’utilisateur

Pensez le risque en deux couches. La couche protocole échappe en grande partie à votre contrôle ; vous la gérez en choisissant des produits audités et en dimensionnant raisonnablement vos positions. La couche utilisateur est presque entièrement entre vos mains, et c’est là que se produisent la plupart des pertes réelles.

Le risque de marché est un vrai risque

Dans une plage DLMM concentrée, un fort mouvement de prix peut faire basculer entièrement votre position dans le token le plus faible, où elle cesse de toucher des frais jusqu’à ce que le prix revienne ou que vous rééquilibriez. Ce n’est pas un piratage, mais cela peut coûter davantage. Si une position SOL–memecoin de 2 000 $ reste dans sa plage pendant que le memecoin chute de 80 %, vous vous retrouvez avec surtout du memecoin, et la position peut valoir nettement moins de 1 000 $. Notre calculateur de perte impermanente montre le calcul pour les pools à plage complète.

Le risque lié aux tokens et aux lancements

Les pools de nouveaux tokens présentent leurs propres dangers : un mint qui conserve une freeze authorityFreeze authorityUne permission sur un token Solana qui permet à son détenteur de geler n’importe quel compte détenant ce token, bloquant transferts et ventes., des frais de transfert Token-2022 qui taxent chaque mouvement, ou un pool de lancement dont le fee scheduler démarre très haut avant de décroître. Aucun de ces éléments n’est un bug de Meteora ; tous peuvent vider la position d’un LP ou d’un acheteur.

Les petits coûts qui surprennent

Certains coûts ne sont pas des risques au sens classique, mais ressemblent à des pertes. L’ouverture d’une position DLMM exige une rente remboursable d’environ 0,059 SOL, mais si vous êtes le premier LP à utiliser une nouvelle plage de prix, vous pouvez payer environ 0,075 SOL par binArrayBinArrayUn compte on-chain qui regroupe 70 bins DLMM. Le premier LP à utiliser une plage paie sa rente de création, qui n’est pas remboursée., et cette partie n’est pas remboursable. Les transactions échouées paient quand même les frais de réseau, et les frais de priorité peuvent flamber quand le marché s’agite. C’est pour cette raison que Meteora conseille de garder au moins 0,05 SOL dans votre portefeuille.

06 · MéthodeLes réflexes de sécurité qui fonctionnent vraiment

Les réflexes ci-dessous correspondent à la grille en haut de page et au guide « Staying Safe » de Meteora. Ensemble, ils éliminent l’essentiel du risque côté utilisateur décrit plus haut.

1. Accédez à l’application toujours de la même façon

   Tapez meteora.ag une fois, ajoutez-le à vos favoris et n’utilisez plus que ce favori. Au moment de l’airdrop MET, des domaines de réclamation imitations sont apparus dans les résultats de recherche. Considérez comme hostile tout lien reçu par message privé, en réponse ou dans un résultat sponsorisé.

2. Vérifiez le mint, pas le ticker

   Un ticker se copie librement. Comparez l’adresse de mint du token avec les canaux officiels du projet avant tout swap ou ajout de liquidité. Pour le MET, la documentation officielle publie l’adresse de mint.

3. Passez le token au crible

   Recherchez le token sur RugCheck, JupShield et l’Organic Score de Jupiter, et lisez tout avertissement de risque affiché par Meteora sur le pool. Repérez une freeze authority active, des frais de transfert inhabituels et une détention très concentrée.

4. Lisez avant de signer

   L’aperçu de transaction de votre portefeuille est votre dernière ligne de défense. Si une « réclamation » demande des approbations sur des tokens sans rapport avec elle, arrêtez-vous. Des portefeuilles comme Phantom détectent les transactions malveillantes ; prenez leurs avertissements au sérieux.

5. Séparez fonds chauds et fonds froids

   Gardez un petit portefeuille chaud pour la DeFi au quotidien et placez l’essentiel sur un portefeuille matériel ou une adresse coffre distincte. Si le portefeuille chaud est compromis, les dégâts restent limités.

6. Dimensionnez pour le pire scénario

   Partez du principe que n’importe quelle position peut tomber à zéro. Une règle personnelle répandue consiste à plafonner chaque memecoin ou pool de lancement à une petite fraction de votre capital DeFi, et à réserver la plus grande part aux paires blue chip.

Si vous utilisez un portefeuille de navigateur, notre guide pour configurer Phantom en toute sécurité détaille l’association avec un portefeuille matériel et les avertissements de transaction.

07 · VerdictComment juger Meteora par vous-même

Nous ne pensons pas que « sûr » ou « dangereux » soit une étiquette utile pour un protocole DeFi. La meilleure question est de savoir si les éléments disponibles sont à la hauteur du montant que vous comptez engager.

Une approche raisonnable consiste à commencer petit, avec une paire blue chip comme SOL–USDC, et à apprendre comment se comportent les positions, les frais et le rééquilibrage avant d’augmenter la mise. Lisez le rapport d’audit du produit que vous utilisez. Continuez de suivre les canaux officiels de Meteora pour ses communications, et voyez dans toute promesse soudaine de rendement démesuré une question, pas une réponse.

Rien sur cette page ne constitue un conseil financier ou juridique. Il s’agit d’une synthèse de sources publiques et de la documentation de Meteora, rédigée pour que vous puissiez trancher vous-même, les faits sous les yeux.