Concours d’audit et bug bounties : la revue 2026 des plateformes

Le 13 mai 2026, Code4rena a annoncé sa fermeture. La plateforme qui avait rendu populaire l’audit concurrentiel, ces concours où des dizaines de chercheurs indépendants s’affrontent pour débusquer les failles d’un smart contract, passe la main à Immunefi, le plus gros programme de bug bounty du secteur. Deux ans plus tôt, la société de sécurité Zellic l’avait rachetée ; en 2023, elle avait levé six millions de dollars (environ 5,2 millions d’euros) auprès du fonds Paradigm. Sa disparition ne signe pas l’échec d’un modèle, elle raconte une industrie qui se concentre à vitesse accélérée.

Cette industrie forme ce que l’on peut appeler la seconde ligne de défense de la crypto. À côté du cabinet d’audit classique, facturé au forfait pour quelques semaines de travail, une deuxième famille d’acteurs s’est imposée depuis 2022 : les concours d’audit et les bug bounties, où la sécurité se paie au résultat et où la foule remplace le binôme d’experts. Cet article passe en revue ces plateformes, Immunefi, Sherlock, Cantina et l’héritage de Code4rena, confronte leur promesse à celle du cabinet traditionnel, et détaille ce que la vague de consolidation de 2026 change pour un projet francophone qui cherche à protéger son code, et pour l’investisseur qui lit l’étiquette « audité » sur une page de token.

La fin de Code4rena, symptôme d’une industrie qui se concentre

Code4rena, souvent abrégé C4, a inventé une partie du vocabulaire du secteur. Ses chercheurs s’appelaient des « wardens », ils s’affrontaient pendant une fenêtre de quelques jours, et un classement public récompensait ceux qui trouvaient les failles les plus graves. Le modèle a fonctionné : entre 2021 et 2025, les concours ont détecté des milliers de vulnérabilités avant qu’un attaquant ne les exploite. Puis Zellic, un cabinet spécialisé dans Solana et le langage Rust, a racheté C4 en 2024, en promettant de le laisser fonctionner de façon indépendante.

L’indépendance n’a pas duré. Le 13 mai 2026, l’équipe a publié un message sobre : après mûre réflexion, elle mettait fin à Code4rena. Immunefi a aussitôt annoncé qu’elle reprendrait les clients, les programmes de bug bounty, les règles et les grilles de récompense, ainsi que la communauté de wardens, en soulignant que « Code4rena a joué un rôle majeur dans la construction de la sécurité crypto ». Aucun engagement en cours ne serait laissé inachevé, promettait C4, comme l’a rapporté The Block.

Il serait tentant d’y lire la mort du modèle concurrentiel. C’est l’inverse. La demande pour ce type de revue n’a jamais été aussi forte ; c’est l’offre qui se regroupe autour de quelques plateformes capables de tenir la distance. En 2026, la sécurité on-chain ressemble de moins en moins à une mosaïque de petits ateliers et de plus en plus à un oligopole de grandes places de marché. Comprendre qui reste debout, et ce que chacun sait faire, devient un exercice indispensable avant de signer un devis.

Deux écoles de la sécurité on-chain

Pour s’y retrouver, il faut distinguer deux familles. La première, la plus ancienne, est le cabinet d’audit facturé au forfait. OpenZeppelin, Trail of Bits, Halborn, Certora ou CertiK détachent une équipe d’ingénieurs seniors pendant quelques semaines, combinent revue manuelle et outils automatisés (analyse statique, fuzzing, vérification formelle), puis rendent un rapport classant chaque problème par sévérité. C’est prévisible, profond et documenté, mais c’est une photographie prise un jour donné, sur un périmètre figé.

La seconde famille est apparue en 2022 et regroupe deux sous-modèles. Le concours d’audit (audit contest) est une compétition à durée limitée : un protocole met en jeu une cagnotte, des centaines de chercheurs examinent le même code en parallèle, et les récompenses vont aux failles les plus sévères. Sherlock et Cantina en sont les plateformes de référence après le retrait de Code4rena. Le bug bounty, lui, est permanent : il paie au résultat, faille par faille, une fois le code déjà en production, avec des primes calibrées selon la gravité et les fonds exposés. Immunefi domine cette catégorie.

La logique qui relie ces trois briques est simple. L’audit attrape les bugs connus et les erreurs de motif classiques ; le concours ajoute une diversité d’angles d’attaque, car des centaines de cerveaux indépendants ne pensent pas de la même façon ; le bug bounty ajoute du temps, en couvrant le code lorsqu’il est vivant, riche, et donc réellement convoité. Chacun répond à une question différente. Aucun ne répond à la question des deux autres.

Pourquoi un audit ponctuel ne suffit plus

Le meilleur argument en faveur de cette seconde ligne, ce sont les protocoles audités qui se font quand même vider. Jack Sanford, cofondateur et directeur général de Sherlock, le résume ainsi dans Crypto Briefing : « Les audits ponctuels sont indispensables, mais ils n’ont jamais été conçus pour porter à eux seuls tout le poids de la sécurité. » Les incidents les plus coûteux des dix-huit derniers mois lui donnent raison.

Le 3 novembre 2025, une erreur d’arrondi dans la fonction de mise à l’échelle des swaps par lots de Balancer (un batchSwap en mode EXACT_OUT) a permis de siphonner environ 111 millions d’euros (128,64 millions de dollars) en moins de trente minutes sur six réseaux, faisant chuter la valeur bloquée du protocole de 442,96 à 186,09 millions de dollars, selon Check Point Research. Or Balancer avait été audité onze fois par quatre cabinets. Un an plus tôt, le protocole Cetus, sur la blockchain Sui, avait perdu près de 193 millions d’euros (223 millions de dollars) à cause d’un dépassement d’entier dans sa logique de liquidité ; trois cabinets, OtterSec, MoveBit et Zellic, avaient examiné la fonction vulnérable, le dernier audit datant d’à peine un mois, d’après le post-mortem de Halborn.

Deux affaires plus récentes montrent une limite encore plus dure : parfois, la faille n’est même pas dans le code. En avril 2026, KelpDAO a perdu environ 253 millions d’euros (292 millions de dollars) non pas via un bug de contrat, mais via une configuration de vérification cross-chain et des nœuds RPC compromis. OpenZeppelin l’a formulé sans détour dans son analyse : les contrats avaient fonctionné exactement comme ils étaient écrits. Le 22 juillet 2026, la plateforme AFX Trade s’est fait drainer environ 21 millions d’euros (24 millions de dollars) sur Arbitrum après la compromission des clés d’un bridge, malgré des audits antérieurs de SlowMist et Zellic, comme l’a documenté CoinDesk.

Suhail Kakar, responsable de la relation développeurs chez TAC Blockchain, a résumé le désenchantement du secteur après Balancer dans Cointelegraph : selon lui, l’étiquette « audité par tel cabinet » ne veut presque plus rien dire, puisque le coffre du protocole avait été vérifié à plusieurs reprises avant d’être vidé. Le point commun de ces affaires, c’est le calendrier. Les erreurs d’arrondi de Balancer et de Bunni relèvent de la même famille de bugs mathématiques que ceux qui hantent le design des teneurs de marché automatisés. Et quand la faille se loge dans la gestion des clés ou l’infrastructure plutôt que dans le code, aucun rapport n’aurait pu l’attraper, comme le montre le post-mortem d’un hack sans coupable.

Le concours d’audit, mode d’emploi

Un concours d’audit se déroule en trois temps. Le protocole finance une cagnotte proportionnelle à son périmètre, ouvre son code pour une fenêtre allant de quelques jours à quelques semaines, et des dizaines à des centaines de chercheurs se lancent en parallèle. Chez Sherlock, un expert désigné, le Lead Senior Watson, ancre la revue de bout en bout pour éviter que la foule ne survole les zones difficiles. La notation est ensuite mécanique : sur Cantina, une faille de gravité haute rapporte dix points, une gravité moyenne trois points, et seules les gravités hautes et moyennes touchent la cagnotte principale. Les doublons, fréquents quand tout le monde regarde le même code, se partagent la récompense.

L’avantage est réel : la multiplicité des chercheurs multiplie les chemins d’attaque testés, et la dépense suit le nombre de trouvailles plutôt qu’un forfait fixe. L’inconvénient l’est tout autant. Le bruit est important, la qualité varie d’un participant à l’autre, un chercheur peut être tenté de garder une faille sous le coude jusqu’à la dernière minute pour maximiser sa prime, et surtout le concours ne couvre que le code dans le périmètre, le jour de l’épreuve. C’est la même limite temporelle qu’un audit forfaitaire, appliquée à une foule au lieu d’un binôme. La diversité ne rachète pas le fait qu’on ne teste que ce qui existe à l’instant T.

Sherlock, l’audit qui vient avec une couverture

Lancée en 2022 par Jack Sanford et Evert Kors, Sherlock a construit un modèle hybride qui répond directement à la critique de la responsabilité. La plateforme combine l’école classique, un expert senior attitré sur chaque projet, et l’école du concours, des dizaines de chercheurs qui se disputent les failles les plus graves. Mais son originalité tient à ce qui vient après : une fois le code audité et corrigé, un protocole peut acheter une couverture financière à environ 2 % par an de la valeur assurée. Autrement dit, Sherlock met de l’argent derrière son verdict.

Le précédent le plus cité est la réclamation d’Euler Finance en 2023, environ 865 000 euros (un million de dollars) versés via le mécanisme de couverture excédentaire de Sherlock. En 2026, la société a aussi lancé en bêta un auditeur assisté par intelligence artificielle, développé avec son équipe de recherche et des auditeurs reconnus. Ce cumul audit plus concours plus couverture est la réponse la plus aboutie à une question que le cabinet forfaitaire élude : que se passe-t-il, financièrement, si l’auditeur se trompe ? Chez Sherlock, une partie du risque revient à l’auditeur, ce qui reste une exception dans le secteur.

Cantina et Spearbit, le marché ouvert de la sécurité

Spearbit, un collectif d’auditeurs indépendants d’élite, a lancé Cantina comme une place de marché ouverte, avant que les deux marques ne fusionnent en mai 2025 pour former une chaîne de sécurité complète. Cantina regroupe les compétitions ouvertes, l’hébergement de bug bounties et les revues privées ; Spearbit en constitue le niveau premium, réservé aux Lead Security Researchers sélectionnés par un processus d’évaluation entre pairs et un programme de Fellowship. L’ensemble a distribué environ 40 millions d’euros (46,7 millions de dollars) à travers plus de deux cents protocoles.

Les engagements les plus visibles donnent la mesure de ce que ce format peut mobiliser. La compétition de sécurité d’Uniswap v4 a rassemblé plus de cinq cents chercheurs pour une cagnotte d’environ 2 millions d’euros (2,35 millions de dollars), comme l’a détaillé le blog d’Uniswap, et la revue du hard fork Pectra de la Fondation Ethereum a mobilisé près de 1,7 million d’euros (2 millions de dollars). La notation par points, identique dans l’esprit à celle des autres concours, hiérarchise les trouvailles pour éviter que la cagnotte ne parte dans des signalements mineurs. Cantina illustre une tendance de fond : la sécurité devient un marché liquide, où un protocole achète à la demande la profondeur d’attention dont il a besoin.

Immunefi, le bug bounty devenu infrastructure

Si une plateforme incarne la seconde ligne de défense, c’est Immunefi. Fondée par Mitchell Amador, elle est devenue le guichet où les hackers éthiques signalent les failles contre rémunération. Son rapport semestriel, relayé par The Block, résume l’année 2026 mieux qu’un long discours : 207 attaques réussies au premier semestre, un record, pour environ 841 millions d’euros (972 millions de dollars) dérobés, soit moins de la moitié du premier semestre 2025. Sur la même période, Immunefi a versé environ 11,6 millions d’euros (13,45 millions de dollars) pour 837 failles valides. Depuis sa création, la plateforme a distribué plus de 121 millions d’euros (140 millions de dollars) à ses chercheurs, en compte plus de 92 000, protège plus de 180 milliards de dollars d’actifs et affirme avoir évité quelque 25 milliards de dollars de pertes.

Amador tire de ces chiffres une lecture volontairement optimiste : « La sécurité crypto est par nature adversariale, et elle n’arrête jamais d’évoluer. La lecture honnête des chiffres est simple : le secteur apprend. » Le raisonnement se tient. Le nombre d’attaques grimpe, mais le montant total baisse, parce que davantage de failles sont trouvées avant d’être exploitées. La logique du bounty est celle d’un filet permanent : la prime suit la gravité et surtout les fonds exposés, si bien qu’une faille critique sur un protocole détenant des centaines de millions peut valoir plusieurs millions à son découvreur. Les plus gros programmes historiques, Uniswap v4 jusqu’à 13,4 millions d’euros (15,5 millions de dollars) ou LayerZero, en témoignent. En absorbant Code4rena, Immunefi consolide une position déjà dominante, au point de devenir une quasi-infrastructure du secteur.

Concours, bounty, cabinet : le comparatif

Ces trois approches ne se remplacent pas, elles s’empilent. Le tableau ci-dessous les confronte sur ce qui compte réellement au moment de bâtir une stratégie de sécurité : quand chacune intervient, comment elle se paie, ce qu’elle couvre dans le temps, et où se trouve son angle mort.

Un cabinet apporte la profondeur et une méthodologie documentée ; un concours ajoute une largeur d’angles juste avant le lancement ; un bounty ajoute la permanence une fois le code vivant et riche. Choisir l’un contre les autres revient à se protéger contre une seule catégorie de risque en ignorant les deux autres. C’est précisément cette complémentarité que la consolidation de 2026 rend plus facile à acheter, puisqu’une même plateforme propose désormais souvent les trois briques.

Combien coûte vraiment la sécurité

Les ordres de grandeur aident à cadrer un budget. Un audit de cabinet va d’environ 7 000 à 22 000 euros pour une boutique, de 22 000 à 69 000 euros pour un acteur de milieu de gamme, et de 69 000 à plus de 303 000 euros (80 000 à 350 000 dollars) pour un cabinet haut de gamme. Une maison comme Trail of Bits facture environ 25 000 dollars, soit près de 22 000 euros, par ingénieur et par semaine. Une cagnotte de concours se chiffre en dizaines de milliers d’euros à quelques millions selon le périmètre. Un bug bounty se paie au résultat, souvent plafonné à un pourcentage des fonds à risque, jusqu’à 10 %, auquel s’ajoutent les frais de la plateforme. La couverture de Sherlock coûte environ 2 % par an de la valeur assurée.

Pour abaisser ces coûts, la Fondation Ethereum a lancé le 14 avril 2026 un programme de subvention d’un million de dollars (environ 865 000 euros) qui couvre jusqu’à 30 % du coût d’un audit via la plateforme Areta et donne accès à plus de vingt cabinets, dont Certora, Spearbit, Sherlock, Zellic, Hacken, Cyfrin et Dedaub, comme l’a rapporté CoinDesk. Le tableau suivant résume l’état des principales plateformes concurrentielles après la vague de consolidation.

Pour choisir un cabinet forfaitaire, HOGE Wire a par ailleurs détaillé une grille de lecture en six critères ; les plateformes concurrentielles décrites ici en sont le complément, pas le remplacement. La bonne question n’est pas laquelle est la moins chère, mais quelle combinaison couvre les risques propres à un projet donné.

Ce que ni le concours ni le bounty ne rattrapent

La seconde ligne de défense a, elle aussi, ses zones aveugles, et 2026 en a fait la démonstration répétée. Un concours et un bounty couvrent le code dans un périmètre ; ils ne couvrent ni les humains, ni les clés, ni les serveurs, ni les choix de conception qui entourent ce code. Or l’argent sort de plus en plus par ces vecteurs. La compromission de clés privées ou de signataires, les clés d’un bridge (AFX Trade, mais aussi le pont Ronin qui soutenait l’économie du jeu Axie Infinity et avait perdu environ 540 millions d’euros en 2022), l’infrastructure et les nœuds RPC (KelpDAO), la prise de contrôle d’une gouvernance ou la manipulation d’un oracle : aucune de ces attaques ne se corrige par une meilleure revue de Solidity.

HOGE Wire a consacré une enquête à la compromission de clés privées, devenue le vrai risque crypto de 2026 et première cause de pertes du secteur. D’autres risques sont de conception, pas de code : dans le crédit on-chain, un mauvais paramètre choisi par un curateur peut coûter aussi cher qu’un bug, comme l’illustre la modularisation des marchés de prêt et le risque des curateurs. La leçon à retenir avant de se rassurer avec un logo d’auditeur : la sécurité d’un protocole ne se résume jamais à la sécurité de son code.

Ni l’AMF ni MiCA n’accréditent un auditeur

Un lecteur francophone se demandera légitimement qui encadre tout cela. La réponse est brutale : personne, du moins pas au sens où on l’entend pour l’audit financier. Ni l’AMF ni le règlement européen MiCA n’imposent l’audit d’un smart contract ni n’accréditent les auditeurs de code. MiCA régule les prestataires de services sur crypto-actifs et les émetteurs, pas le Solidity ; le règlement DORA, en vigueur pour ces prestataires depuis le 17 janvier 2025, couvre la résilience informatique opérationnelle du fournisseur centralisé, pas le code d’un protocole décentralisé. La période transitoire qui permettait aux anciens PSAN français d’opérer avant l’agrément complet s’est achevée le 1er juillet 2026, et l’AMF a rappelé aux acteurs non conformes leur obligation d’organiser une sortie ordonnée, comme le précise son communiqué officiel.

Le contraste avec l’audit traditionnel est saisissant. En France, les commissaires aux comptes engagent une responsabilité civile et pénale réelle, souscrivent une assurance professionnelle obligatoire, et sont supervisés depuis le 1er janvier 2024 par la Haute Autorité de l’audit (H2A), qui a succédé au H3C, comme le rappelle l’autorité elle-même. Aucun régime équivalent n’existe pour un auditeur de smart contract, en France ou ailleurs. Un cabinet qui laisse passer une faille à cent millions ne risque qu’une atteinte à sa réputation, pas une sanction. C’est ce vide qui explique pourquoi le marché a inventé ses propres outils de responsabilité : la couverture de Sherlock, l’arbitrage encadré d’Immunefi, la notation des concours. La réputation reste la seule cour, et elle juge lentement.

Comment un projet devrait empiler les couches

La conclusion pratique n’est pas de choisir un modèle, mais de les additionner. Une posture de sécurité sérieuse en 2026 ressemble à ceci : un ou plusieurs audits de cabinet pour la profondeur et la méthodologie, un concours avant lancement pour la largeur d’angles, un bug bounty permanent calibré sur la valeur bloquée pour la durée, une surveillance continue de la chaîne, et si possible une couverture financière. Le programme de sécurité d’Aave v4, qui a mobilisé plusieurs cabinets, des centaines de jours de revue, un concours public et des tests d’invariants pour un budget de l’ordre de 1,3 million d’euros, sert de référence à l’industrie.

Une brique manque encore souvent à l’appel : la surveillance en temps réel. Un audit, un concours et un bug bounty agissent avant ou autour de l’exploitation, mais aucun ne détecte une attaque pendant qu’elle se déroule. Les protocoles les plus matures ajoutent désormais une couche de monitoring on-chain qui déclenche une alerte, voire une mise en pause automatique, dès qu’une transaction sort des invariants attendus. C’est la différence entre découvrir un vol le lendemain et geler les fonds en quelques blocs ; sur plusieurs incidents de 2026, ces quelques minutes ont séparé une perte totale d’un incident contenu.

L’idée directrice tient en une phrase : chaque couche couvre un mode de défaillance différent, et empiler les couches revient à réduire le nombre de portes laissées ouvertes. Le raisonnement d’Amador, selon lequel le secteur apprend, n’est pas de l’autosatisfaction : si le nombre d’attaques augmente pendant que le montant volé diminue, c’est bien que davantage de failles sont neutralisées en amont. La sécurité n’est pas un produit qu’on achète une fois, c’est un processus qu’on entretient, avec des acteurs dont les incitations sont enfin, en partie, alignées sur celles des projets.

Ce que la consolidation change pour l’investisseur francophone

Pour l’investisseur, la consolidation a deux effets. Le premier est structurel : moins de plateformes, plus grandes, et un Immunefi proche du monopole sur les bug bounties. Le second est cognitif : le mot audité, affiché sur la page d’accueil d’un token, devient un signal à interpréter, pas une garantie à encaisser. Ce qui compte, ce n’est pas la présence d’un logo, mais qui a audité (un cabinet reconnu), quand (un audit vieux de six mois sur un code qui évolue vite ne vaut pas grand-chose), sur quel périmètre, si les failles signalées ont été corrigées, et surtout s’il existe un bug bounty vivant et une couverture.

Un protocole qui publie ses rapports d’audit, fait tourner une prime permanente et achète une couverture envoie un message très différent de celui qui se contente d’un badge. Et il faut garder en tête la leçon des plus gros vols de 2026 : ils sont venus des clés et de l’infrastructure, pas d’un code trop malin. Une pile de sécurité solide réduit le risque, elle ne l’annule pas. Lire une posture de sécurité comme on lit un bilan, avec un œil sur ce qui manque autant que sur ce qui brille, est désormais une compétence d’investisseur à part entière.

Questions fréquentes

Qu’est-ce qu’un audit concurrentiel (audit contest) en crypto ?

C’est un concours où un protocole met en jeu une cagnotte et où des dizaines, parfois des centaines, de chercheurs indépendants examinent le même code en parallèle pendant une fenêtre limitée. Les récompenses vont à ceux qui trouvent les failles les plus graves, notées par points selon leur sévérité. Sherlock et Cantina en sont les principales plateformes en 2026, après la fermeture de Code4rena.

Concours d’audit ou cabinet traditionnel, lequel choisir ?

Les deux, idéalement. Un cabinet forfaitaire apporte une revue en profondeur et une méthodologie documentée ; un concours ajoute une diversité d’angles d’attaque avant le lancement ; un bug bounty prolonge la couverture une fois le code en production. Aucun ne remplace les autres, ils s’empilent pour couvrir des modes de défaillance différents.

Combien coûte un bug bounty ou un concours d’audit ?

Un audit de cabinet va d’environ 7 000 euros pour une boutique à plus de 303 000 euros pour un cabinet haut de gamme. Une cagnotte de concours se chiffre en dizaines de milliers d’euros à quelques millions selon le périmètre. Un bug bounty se paie au résultat, souvent plafonné à un pourcentage des fonds à risque, jusqu’à 10 %, plus les frais de plateforme. La Fondation Ethereum subventionne jusqu’à 30 % du coût d’un audit pour les projets éligibles.

Pourquoi des protocoles audités se font-ils quand même pirater ?

Parce qu’un audit est une photographie prise un jour donné, sur un périmètre donné. Il n’examine ni la gestion des clés, ni l’infrastructure, ni les choix de conception ou de gouvernance. En 2026, une grande partie de la valeur volée est sortie par des vecteurs comme des clés compromises, des bridges ou des nœuds RPC, qu’aucune revue de code n’aurait attrapés. Balancer, audité onze fois, en est l’exemple le plus cité.

Les bug bounties comme Immunefi sont-ils réglementés en France ?

Non. Ni l’AMF ni le règlement MiCA n’imposent d’audit de smart contract ni n’accréditent les auditeurs ou les plateformes de bounty. Contrairement aux commissaires aux comptes, supervisés par la H2A depuis 2024, un auditeur de code ne risque qu’une sanction de réputation. Les plateformes de bounty et de concours sont des acteurs privés, non agréés en tant que tels.

Par Anneke de Vries, journaliste sécurité et exploits chez HOGE Wire.