Que se passe-t-il réellement lors d’un événement de slashing d’un validateur ? Guide étape par étape

Source : CryptoTale
Titre original : Que se passe-t-il vraiment lors d’un événement de slashing de validateur ? Guide étape par étape
Lien original : https://cryptotale.org/what-really-happens-inside-a-validator-slashing-event-a-step-by-step-guide/

Les blockchains Proof-of-Stake (PoS) reposent sur des validateurs qui mettent en jeu leurs jetons et participent au processus de consensus afin d’assurer la sécurité du réseau. Pour dissuader les comportements malveillants et protéger ce système, de nombreux protocoles PoS appliquent le slashing : une règle qui retire une partie de la mise d’un validateur lorsqu’il enfreint les conditions du protocole. Comme les validateurs risquent du capital réel, le slashing rend les attaques à grande échelle économiquement irrationnelles.

Les principaux réseaux comme Ethereum, Cosmos et Polkadot intègrent le slashing directement dans la logique de leur protocole. Un événement de slashing se produit lorsqu’un validateur effectue une action prouvablement invalide, comme la signature de deux blocs contradictoires ou une déconnexion prolongée.

Cet article explique, étape par étape et de façon claire, ce qui se passe lors d’un événement de slashing et comment différents réseaux PoS appliquent ces pénalités.

Comportements fautifs et infractions sanctionnables

Un événement de slashing débute lorsqu’un validateur adopte un comportement fautif. Les infractions varient selon les réseaux mais incluent généralement :

• Double signature / équivocation : Un validateur signe deux blocs contradictoires pour le même slot ou la même hauteur. Sur Ethereum, cela s’appelle le proposer slashing lorsqu’un validateur produit deux blocs pour le même slot. Sur Polkadot, l’équivocation a lieu à la fois dans le mécanisme de production de blocs BABE et dans le protocole de finalisation GRANDPA.

• Vote surround : Spécifique à Ethereum, cette infraction survient lorsqu’un validateur soumet une attestation qui entoure ou contredit une attestation précédente, mettant ainsi en péril la finalité.

• Inactivité / indisponibilité : Les validateurs doivent rester en ligne et signer les blocs. Des réseaux comme Cosmos et Secret Network sanctionnent les validateurs qui manquent une grande proportion de blocs dans une fenêtre donnée. Secret Network slash 0,01 % de la mise d’un validateur s’il signe moins qu’un seuil de blocs dans une fenêtre de 22 500 blocs (environ 42,5 heures) et met le nœud en prison pour 10 minutes.

• Autres violations du protocole : Certains réseaux considèrent les attaques de longue portée ou les responsabilités non remplies spécifiques au protocole comme sanctionnables. Polkadot punit les validateurs pour indisponibilité et équivocation au consensus, tandis que les réseaux Cosmos peuvent ajouter des hooks de slashing propres au protocole.

Dans tous les cas, les pénalités de slashing reposent sur des preuves cryptographiques vérifiables. Le protocole ne cherche pas à juger l’intention du validateur ; il vérifie simplement si les signatures du validateur enfreignent les règles du consensus.

Détection et soumission de preuves

Une fois un comportement fautif survenu, il doit être détecté. La détection peut être automatisée ou assurée par des services tiers appelés slashers ou lanceurs d’alerte. Par exemple, sur Ethereum et Cosmos, chaque client validateur surveille les blocs et attestations entrants et signale les signatures conflictuelles. Les validateurs s’appuient aussi sur des services indépendants qui surveillent la chaîne et soumettent des preuves d’infraction.

Après avoir détecté l’infraction, le lanceur d’alerte construit une preuve cryptographique. Cette preuve consiste généralement en deux signatures contradictoires signées par la même clé de validateur pour le même slot ou hauteur. Le lanceur d’alerte soumet alors la preuve dans un bloc. De nombreux protocoles incitent à cette étape : sur Polkadot, 10 % de la mise slashee pour double signature est attribuée au validateur rapporteur, tandis que sur d’autres réseaux la récompense est moindre ou la totalité de la mise slashee est brûlée.

L’étape de détection est cruciale, car elle garantit que seules les fautes vérifiables déclenchent une pénalité. En pratique, la plupart des événements de slashing sont causés par des erreurs d’opérateur plutôt que par des attaques délibérées. Une étude de 2025 rapporte que la majorité des cas recensés impliquent une mauvaise utilisation des clés, des bugs logiciels ou des erreurs de configuration.

Vérification par le réseau

Lorsqu’une preuve est incluse dans un bloc, les autres validateurs doivent la vérifier selon les règles du protocole. La couche de consensus vérifie que les signatures et hauteurs de bloc correspondent et que les deux messages ne peuvent pas être valides simultanément. Si la preuve passe ces contrôles, l’événement de slashing s’exécute automatiquement ; aucune intervention humaine n’est requise.

Cette vérification automatique rend le slashing impartial. Le protocole Ethereum, par exemple, applique les pénalités de façon algorithmique et n’autorise pas la gouvernance à les annuler. Polkadot diffère légèrement : une pénalité de slashing entre d’abord dans un état de « slash non appliqué » pendant 28 jours (7 jours sur Kusama), donnant à la gouvernance le temps d’annuler la sanction si la communauté la juge erronée. Cependant, une fois la pénalité appliquée, elle est définitive.

Application immédiate de la pénalité

Après validation de la preuve par le réseau, le protocole réduit immédiatement la mise du validateur, en brûlant ou redistribuant une partie des jetons.

• Ethereum : Un minimum de 1 ETH est slashee du solde du validateur pour une seule infraction. Si plusieurs validateurs sont slashés en même temps, la pénalité augmente selon un mécanisme de corrélation ; un événement de slashing de masse peut détruire jusqu’à 100 % de la mise. L’ETH slashee est brûlé et irrécupérable.

• Cosmos et Secret Network : La double signature entraîne une coupe de 5 % de la mise du validateur (et de ses délégants) et le met en état de « tombstone », l’excluant à jamais de la validation. L’inactivité entraîne une pénalité de 0,01 % et une mise en prison temporaire.

• Polkadot : Les pénalités de slashing sont proportionnelles et évoluent selon la gravité et le nombre de validateurs impliqués. Une indisponibilité mineure commence à ~0,021 % si 10 % des validateurs sont hors ligne et grimpe à 7 % si 44 % sont hors ligne. Les pénalités pour équivocation vont de 0,01 % pour un cas isolé à 100 % pour un comportement coordonné impliquant un tiers du set de validateurs. Les DOT slashee sont envoyés au trésor, permettant à la gouvernance de potentiellement annuler la pénalité.

La phase de pénalité inclut parfois une récompense pour le lanceur d’alerte. Polkadot attribue 10 % des DOT slashee au validateur rapporteur, tandis que Cosmos brûle tous les jetons slashee. Ces incitations encouragent la surveillance et la dénonciation active.

Mise en prison et retrait du set de validateurs

En plus des pénalités financières, les validateurs slashee sont retirés du set actif. Les réseaux déplacent généralement le validateur fautif vers un état inactif ou en prison :

• Sur Ethereum, la couche de consensus force un validateur slashee à quitter la Beacon Chain. Dès lors, il cesse de percevoir des récompenses et ne peut reprendre la validation qu’en repassant par la file d’attente d’activation. Après cette sortie forcée, le validateur doit attendre le délai de retrait du protocole avant que toute mise restante ne soit disponible au retrait.

• Cosmos/Secret Network : Un validateur double-signataire est définitivement tombstoned et exclu de la production de blocs. Les slashing pour inactivité entraînent une mise en prison temporaire (généralement 10 minutes), après quoi le validateur doit manuellement sortir son nœud de prison.

• Polkadot : Les validateurs slashee entrent dans un état « chilled » les retirant du set actif pour l’ère d’élection suivante. Si la pénalité est non nulle, le validateur perd aussi tous ses nominateurs ; il doit repasser par la file d’attente d’élection pour réintégrer le set actif.

En retirant un validateur du set actif, le réseau prévient de nouvelles violations et écarte les nœuds défectueux des décisions de consensus.

Sortie forcée et file d’attente de sortie

Le slashing déclenche souvent une période de sortie forcée, pendant laquelle des pénalités supplémentaires peuvent s’accumuler. Le calendrier des pénalités sur Ethereum illustre bien ce processus :

• Jour 1 : Immédiatement après l’infraction, jusqu’à 1 ETH est retiré de la mise du validateur.
• Jour 18 : Une pénalité de corrélation s’applique ; cette pénalité augmente si plusieurs validateurs sont slashés en même temps.
• Jour 36 : Le validateur est expulsé de force du réseau. Pendant cette période, il reste inscrit dans le registre des validateurs mais ne soumet plus d’attestations ni de propositions de blocs. Il accumule de petites pénalités d’attestation chaque jour.

Une fois la sortie forcée terminée, le validateur doit rejoindre le réseau comme un nouvel entrant. Sur Ethereum, cela nécessite un nouveau dépôt de mise et l’enregistrement de nouvelles clés de validateur, car l’index du validateur original reste définitivement tombstoned.

Conséquences supplémentaires

Au-delà des pénalités financières et opérationnelles immédiates, le slashing entraîne des effets à plus long terme :

• Atteinte à la réputation : Les validateurs dépendent de la confiance des délégants. Lors d’un slashing, de nombreux délégants déplacent leur mise vers d’autres opérateurs jugés plus fiables. Restaurer cette confiance prend du temps et requiert souvent des rapports d’incident détaillés, une communication ouverte et des améliorations visibles de l’infrastructure du validateur.

• Pertes pour les délégants : Dans de nombreux réseaux, les pénalités sont partagées avec les délégants. Sur Cosmos et Secret Network, les délégants perdent 5 % de leur mise déléguée si leur validateur double-sign. Les délégants subissent aussi une part proportionnelle des pénalités pour inactivité. Sur Polkadot, la pénalité s’applique également au validateur et aux nominateurs. Ce risque rend le choix du validateur crucial pour les délégants.

• Pénalités de corrélation : Les réseaux augmentent souvent les pénalités quand plusieurs validateurs commettent une faute simultanément. Le mécanisme de corrélation d’Ethereum peut détruire la quasi-totalité de la mise d’un validateur si beaucoup sont slashés lors du même événement. La formule de slashing de Polkadot s’accroît également à mesure que plus de validateurs commettent une équivocation.

• Délais de déblocage : Les réseaux PoS imposent généralement une période de déblocage avant qu’un validateur ou délégant puisse retirer des fonds. Sur Polkadot, cette période de 28 jours (7 jours sur Kusama) correspond au délai pour les slashing non appliqués, garantissant que la mise ne peut être retirée avant l’application des pénalités. Sur Ethereum, les validateurs slashés doivent attendre une époque retirable (256 époques après la sortie) avant le retrait des fonds.

Ces effets secondaires renforcent le caractère dissuasif du slashing et soulignent l’importance d’opérations robustes pour les validateurs.

Variations selon les réseaux

Les chaînes Proof-of-Stake suivent un schéma général similaire pour le slashing, mais les détails varient largement d’un réseau à l’autre.

Sur Ethereum, les validateurs risquent le slashing pour des violations de sécurité telles que la proposition de plusieurs blocs, la soumission d’attestations contradictoires ou le vote surround. La pénalité comprend plusieurs étapes : une perte immédiate d’au moins 1 ETH, une pénalité de corrélation autour du 18e jour si de nombreux validateurs sont fautifs, et une sortie forcée autour du 36e jour. Tout l’ETH slashee est brûlé. Le slashing est automatique, irréversible par la gouvernance, et le validateur doit revenir avec de nouvelles clés et un nouvel index.

Cosmos et les réseaux similaires, comme Secret Network, appliquent des pénalités fixes. En outre, la double signature entraîne une coupe de 5 % de la mise du validateur et une exclusion permanente (« tombstoning »), tandis qu’une inactivité prolongée déclenche une coupe de 0,01 % et une brève période de prison d’environ 10 minutes. Tous les jetons slashee sont brûlés, et les délégants partagent la perte proportionnellement.

Sur Polkadot, le système distingue indisponibilité et équivocation. Pour les échecs de vivacité, les pénalités augmentent avec la part du set de validateurs hors ligne, débutant à environ 0,021 % quand 10 % sont absents et atteignant 7 % quand 44 % le sont. Les sanctions pour équivocation varient d’environ 0,01 % pour un incident isolé à 100 % de la mise si au moins un tiers des validateurs commettent l’infraction ensemble. Les DOT slashee vont au Trésor, donnant à la gouvernance la possibilité d’annuler les erreurs. Pour l’équivocation, 10 % du montant slashee récompense le validateur rapporteur.

À l’inverse, Avalanche et Cardano évitent le slashing classique. Ils misent sur des systèmes de récompense qui paient uniquement les validateurs atteignant leurs objectifs de performance, sans toucher à la mise elle-même. Ces choix reflètent différentes philosophies de sécurité : Ethereum privilégie des pénalités strictes et corrélées ; Cosmos préfère des coupes fixes simples ; Polkadot combine pénalités variables et contrôle par la gouvernance ; Avalanche et Cardano misent sur des incitations positives plutôt que des sanctions directes.

Bonnes pratiques pour validateurs et délégants

Comme de nombreux cas de slashing proviennent d’erreurs évitables, les validateurs doivent adopter une discipline opérationnelle rigoureuse. Les outils de protection contre le slashing, incluant des standards comme l’EIP-3076, offrent un moyen sûr de stocker et transférer les données de protection. Utiliser des nœuds redondants avec des signers distants et une gestion prudente des clés évite la double signature accidentelle.

Un temps de disponibilité élevé est aussi crucial. Les validateurs doivent utiliser des outils de monitoring, des alertes et des nœuds sentinelles pour détecter rapidement toute panne ou baisse de performance. Sur Polkadot, des messages « heartbeat » réguliers prouvent qu’un validateur est toujours en ligne. Maintenir le logiciel client à jour réduit le risque de bugs pouvant entraîner un slashing. Éviter la redondance non maîtrisée — comme exécuter la même clé de validateur sur plusieurs machines — diminue les risques de signatures conflictuelles.

Les délégants partagent le risque et ont donc un rôle à jouer. Ils doivent vérifier la disponibilité du validateur, les commissions et l’historique de slashing via des explorateurs comme Mintscan ou Beaconcha.in, puis répartir leur mise entre plusieurs opérateurs pour limiter l’impact d’un incident. Dans les réseaux comme Cosmos et Polkadot, où les délégants subissent une part de chaque pénalité, il est essentiel de comprendre ces règles avant d’engager des capitaux importants.

Conclusion

Sur l’ensemble des réseaux PoS, un événement de slashing suit un chemin structuré : un validateur commet une faute, le réseau rassemble et vérifie des preuves cryptographiques, le protocole applique une pénalité et le validateur quitte le set actif, parfois avec des pénalités supplémentaires lors de la période de sortie. Bien que rares, ces événements jouent un rôle clé dans l’alignement des incitations des validateurs avec la sécurité du réseau. Une connaissance claire du fonctionnement du slashing aide validateurs et délégants à gérer les risques et à soutenir un écosystème décentralisé plus résilient.