Audit crypto 2026 : quand une IA trouve ce que les auditeurs ratent

Une faille vieille de quatre ans, capable de faire apparaître des jetons à partir de rien, dormait dans l’un des protocoles de confidentialité les plus respectés de la crypto. Aucun des audits commandés au fil des années par ce projet ne l’avait vue. C’est un chercheur indépendant, épaulé par un modèle d’intelligence artificielle sorti la veille, qui l’a trouvée en quelques heures. Cet épisode, survenu fin mai 2026 sur Zcash, est devenu malgré lui le meilleur argument pour reposer une question que ce site suit depuis plusieurs mois : comment évaluer sérieusement un cabinet d’audit de smart contracts aujourd’hui ? Entre la consolidation des plateformes de concours, l’irruption de l’IA des deux côtés de la barrière et des bilans semestriels qui se contredisent, la réponse a changé.

Le bug de quatre ans qu’aucun audit n’avait vu

Le protocole Zcash utilise depuis 2016 des preuves à divulgation nulle de connaissance pour permettre des transactions entièrement confidentielles. Depuis mai 2022, son bassin le plus avancé, Orchard, constitue la couche de confidentialité de référence du réseau. C’est dans le circuit cryptographique de ce bassin qu’un chercheur du nom de Taylor Hornby, engagé par l’organisation à but non lucratif Shielded Labs en avril 2026, a mis au jour ce que l’équipe elle-même qualifie de « vulnérabilité de contrefaçon » : un élément sous-contraint du circuit Orchard permettait d’injecter des entrées arbitraires et fausses dans une multiplication sur courbe elliptique tout en laissant passer la vérification. Concrètement, un attaquant maîtrisant la technique aurait pu créer un nombre illimité de faux ZEC, rigoureusement indiscernables des jetons authentiques.

Hornby a testé l’exploit dans un environnement local isolé, et il a fonctionné du premier coup, générant des ZEC contrefaits en quantité illimitée sans laisser de trace détectable par la cryptographie elle-même. Le détail qui a fait le tour de l’industrie tient à la méthode : Hornby a utilisé le modèle Opus 4.8 d’Anthropic, mis en ligne la veille, le 28 mai 2026, dans le cadre d’une revue ciblée du circuit Orchard combinant des invites et un harnais d’analyse construits sur mesure. La découverte est tombée le 29 mai, la divulgation à ZODL (l’organe de coordination du développement de Zcash) le jour même, et un correctif d’urgence a été déployé entre le 1er et le 2 juin, au terme de ce que plusieurs médias ont décrit comme une course contre la montre de cinquante heures.

Le marché a réagi violemment : le jeton ZEC a perdu jusqu’à 38 % de sa valeur en vingt-quatre heures, tombant à un plus bas autour de $442.60 (environ 385 €), selon CoinDesk. Mais la phrase la plus inconfortable de toute cette affaire vient de Shielded Labs elle-même : l’organisation reconnaît qu’il n’existe « aucun moyen définitif de déterminer, par la seule cryptographie, si cette faille a été exploitée avant sa découverte et sa correction ». Autrement dit, quatre ans après l’activation d’Orchard, personne ne peut garantir qu’elle n’a jamais servi.

Interrogé sur sa décision de signaler la faille plutôt que d’en profiter, alors qu’elle aurait pu valoir des sommes considérables selon la liquidité disponible pour écouler des jetons contrefaits, Hornby a expliqué en des termes personnels que les développeurs de Zcash étaient « comme de la famille » pour lui, selon CoinDesk. Il a depuis ajouté Monero à sa liste de projets à passer au crible avec la même méthode.

Pourquoi ce cas embarrasse toute l’industrie de la revue de sécurité

Ce n’est pas tant la négligence de Zcash que révèle cet épisode : le projet a une histoire cryptographique sérieuse et a fait appel, au fil des ans, à plusieurs cabinets reconnus pour ses différentes couches. Ce qui embarrasse davantage l’industrie, c’est que la découverte n’est venue ni d’un audit programmé, ni d’un concours rémunéré, ni d’un outil de surveillance on-chain, mais d’un chercheur isolé armé d’un modèle généraliste sorti vingt-quatre heures plus tôt. Le circuit Orchard avait pourtant déjà traversé quatre années d’attention publique et de regards experts.

Cela change la nature même de la question que ce site pose régulièrement à ses lecteurs. Nous avions dressé, début juillet, un palmarès 2026 des cabinets d’audit et de leurs limites structurelles, à partir du piratage de Drift Protocol malgré deux audits. Le cas Zcash pousse le raisonnement un cran plus loin : la question n’est plus seulement « quel cabinet choisir », mais « quelle combinaison de méthodes de revue permet raisonnablement de dormir tranquille ». Un audit reste une photographie prise à un instant précis, sur un périmètre défini contractuellement. Ce qui a changé en 2026, c’est le nombre de façons différentes de prendre cette photographie, et la vitesse à laquelle certaines d’entre elles progressent.

Quatre façons de faire réviser un smart contract en 2026

Un cabinet d’audit n’est plus la seule option sur la table, et il ne l’a d’ailleurs jamais vraiment été : il existe aujourd’hui au moins quatre familles d’approches, que les équipes sérieuses combinent plutôt qu’elles ne choisissent l’une contre les autres.

L’audit manuel classique reste la référence pour la logique métier complexe : des ingénieurs expérimentés lisent le code ligne par ligne, modélisent les scénarios d’attaque et documentent leurs conclusions dans un rapport. OpenZeppelin, Trail of Bits, Halborn ou Consensys Diligence appartiennent à cette catégorie, avec des tarifs qui vont grosso modo de 80 000 à 350 000 dollars pour un protocole DeFi majeur.

Les concours crowdsourcés et les programmes de bug bounty inversent la logique : au lieu d’une poignée d’auditeurs salariés, des dizaines de chercheurs indépendants passent le même code au crible en parallèle, rémunérés à la faille trouvée. Sherlock, qui adosse une partie de ses concours à une couverture façon assurance, Cantina, la structure née de la fusion avec Spearbit, et Immunefi pour les bounties permanents dominent ce segment.

La vérification formelle change de nature : au lieu de chercher des bugs, elle prouve mathématiquement qu’une propriété précise du code est toujours respectée, quelle que soit l’entrée. Certora en est le représentant le plus connu côté DeFi ; c’est aussi la voie que Shielded Labs a choisi d’emprunter pour Orchard après l’épisode de mai, avec un chantier de preuve mathématique complète du circuit lancé dans la foulée du correctif d’urgence.

Enfin, l’outillage assisté par IA n’est plus un simple argument marketing. Trail of Bits a mis en accès libre sur GitHub une série de modules pour Claude Code, présentés comme une méthodologie d’audit encodée sous forme de compétences réutilisables, couvrant l’analyse statique, la revue différentielle de code et les vulnérabilités propres à plusieurs chaînes. Le cabinet reste transparent sur les limites actuelles de l’exercice : ses propres outils IA retrouveraient environ 40 % de ce qu’un audit manuel complet détecte, un chiffre qui a le mérite de la franchise plutôt que du marketing.

Aucune de ces quatre approches ne suffit isolément. Les équipes les plus prudentes en combinent au moins trois avant un lancement majeur, et ajoutent une surveillance continue une fois le protocole en production.

Concours d’audit : la consolidation brutale du secteur

Le paysage des concours d’audit a lui-même été bousculé. Code4rena, la plateforme qui avait popularisé le modèle du concours ouvert où des « wardens » indépendants se disputent des primes pour chaque faille trouvée, a annoncé la cessation de ses activités en mai 2026, un peu moins de deux ans après avoir été rachetée par Zellic en 2024 et alors qu’elle avait levé 6 millions de dollars auprès de Paradigm dès 2023 pour financer ses primes et son expansion. Immunefi, le plus grand acteur des bug bounties permanents, a annoncé reprendre les clients et les chercheurs de la plateforme, selon The Block, en promettant de migrer les périmètres, les barèmes de récompense et les règles opérationnelles sans obliger les protocoles à tout reconstruire.

Le contexte explique en partie la casse : la valeur totale verrouillée dans la finance décentralisée est passée d’environ 160 milliards de dollars en octobre à environ 83 milliards quelques mois plus tard, un effondrement qui réduit mécaniquement les budgets de sécurité disponibles pour les concours et les primes, en particulier chez les protocoles de taille moyenne. Plusieurs observateurs du secteur redoutent qu’une concentration autour d’un nombre réduit de plateformes affaiblisse la diversité des regards, au moment précis où le nombre d’incidents atteint des records historiques. Pour un protocole qui envisage un concours plutôt qu’un audit classique, cette consolidation signifie concrètement moins de plateformes candidates, et donc moins de mise en concurrence sur les tarifs et les délais.

L’intelligence artificielle, outil de défense et nouvelle surface d’attaque

L’épisode Zcash illustre le versant défensif de l’intelligence artificielle appliquée à la sécurité crypto. Son versant offensif est tout aussi documenté, et Anthropic elle-même en a publié la démonstration la plus complète. Dans une étude construite autour d’un référentiel baptisé SCONE-bench, rassemblant 405 contrats réellement exploités entre 2020 et 2025, des modèles dont Claude Opus 4.5, Claude Sonnet 4.5 et GPT-5 ont généré, sur la portion de contrats piratés après leur date de coupure de connaissances, des exploits représentant collectivement 4,6 millions de dollars de fonds simulés dérobés, contre à peine 5 000 dollars un an plus tôt sur un exercice comparable, soit un taux de réussite passé de 2 % à près de 56 % des cas testés. L’ensemble de ces essais s’est déroulé sur des chaînes clonées et des simulateurs locaux : aucun fonds réel n’a été touché, et Anthropic présente ce travail comme une mesure de ce qui est techniquement possible, pas comme une incitation à l’exploiter.

Cette double capacité, trouver une faille pour la corriger ou trouver une faille pour la vider, redéfinit ce qu’un cabinet d’audit doit désormais surveiller. Ronghui Gu, cofondateur et directeur général de CertiK, a résumé le nouveau risque dans une interview accordée à Forbes, publiée le 17 juillet 2026 : « Un protocole peut réussir un audit de code impeccable et perdre quand même des millions à cause d’une clé d’administration compromise. » Il ajoute une observation qui dépasse le seul périmètre du code : « Un agent IA disposant d’un accès à un portefeuille est essentiellement une nouvelle forme de détenteur de clé privilégiée. » Autrement dit, à mesure que les protocoles délèguent des opérations à des agents autonomes, trésorerie, rééquilibrage, exécution de transactions, ces agents deviennent eux-mêmes une surface d’attaque qu’aucun audit de smart contract, aussi rigoureux soit-il, ne couvre par défaut.

Ido Sofer, fondateur de la société de gestion de clés Sodot, apporte une nuance complémentaire dans la même enquête : une partie croissante des vols ne passe plus par le code du protocole mais par le vol pur et simple d’identifiants, qu’il s’agisse de « clés de développement, de clés de déploiement ou de clés d’API ». Sa conclusion sur les attaquants les plus dangereux est sans détour : « Si un État-nation vous prend pour cible, ce sera très difficile. » Cette phrase fait directement écho à l’attribution nord-coréenne d’une large part des pertes de 2026, détaillée dans la section suivante.

H1 2026 : deux cabinets, deux bilans qui ne s’accordent pas

Évaluer un cabinet d’audit suppose aussi de savoir lire les statistiques que l’industrie produit sur elle-même, et 2026 offre un cas d’école sur la prudence à observer. Deux fournisseurs de données de premier plan ont publié, à quelques jours d’intervalle, des bilans du premier semestre 2026 qui racontent la même tendance générale avec des chiffres sensiblement différents.

CertiK, dans son rapport Hack3D H1 2026, recense 1,315 milliard de dollars (environ 1,14 milliard d’euros) de pertes sur 344 incidents distincts, en baisse de 46,8 % sur un an, une baisse que le cabinet juge lui-même trompeuse puisque l’essentiel de l’écart provient d’un seul événement en 2025, le piratage de 1,45 milliard de dollars subi par Bybit. Une fois cet épisode isolé, CertiK calcule que 2026 se situe en réalité environ 28 % plus haut que 2025 sur une base comparable.

TRM Labs, de son côté, dénombre dans son propre rapport semestriel 207 incidents pour un total de 972 millions de dollars (environ 846 millions d’euros), le nombre d’incidents le plus élevé jamais enregistré par la société sur une période de six mois, mais une perte totale en repli de 57 % par rapport aux 2,3 milliards de dollars du premier semestre 2025.

Les deux cabinets ne comptent tout simplement pas la même chose : périmètre des incidents retenus, seuil de matérialité, catégorisation d’un vol de clé face à une faille de code, tout diverge selon la méthodologie propriétaire de chacun. Ce n’est pas une raison d’ignorer ces rapports, ils restent parmi les sources les plus sérieuses du secteur, mais c’est une raison de ne jamais citer un chiffre unique sans en vérifier la source, exactement comme on lirait un rapport d’audit : la méthodologie compte autant que la conclusion.

Ce que ces chiffres ne montrent pas

Malgré leur désaccord sur le total, CertiK et TRM Labs racontent la même histoire structurelle une fois qu’on regarde la répartition par vecteur d’attaque. Chez CertiK, les failles de code restent le motif le plus fréquent, 204 incidents sur 344, mais ne pèsent que 151,6 millions de dollars (environ 132 millions d’euros), alors que la compromission de portefeuilles et de clés, moins fréquente, concentre à elle seule plus de 444 millions de dollars (environ 386 millions d’euros) de pertes, le poste le plus coûteux du semestre. Chez TRM Labs, les exploits de smart contracts représentent 125 des 207 incidents recensés, environ 60 % des cas, mais les compromissions d’infrastructure et opérationnelles, qui ne pèsent qu’environ 15 % des incidents, concentrent à elles seules près de 76 % de la valeur volée.

Deux incidents résument à eux seuls près de la moitié du semestre : l’attaque contre Kelp DAO et celle contre Drift Protocol, toutes deux survenues en avril 2026 et attribuées à des groupes liés à la Corée du Nord, représentent ensemble environ 576,6 millions de dollars selon CertiK, soit 44 % du total du semestre, tandis que TRM Labs attribue à elle seule environ 66 % des pertes du semestre à des acteurs nord-coréens, portées presque entièrement par ces deux mêmes dossiers. L’attaque contre Kelp DAO, déjà disséquée dans notre analyse de la guerre des architectures qui a suivi la crise Kelp-Aave, n’avait rien d’un bug de code au sens classique : elle exploitait une faiblesse de configuration d’un pont inter-chaînes, exactement le genre de périmètre qu’un audit de smart contract centré sur un seul protocole ne couvre pas nécessairement. Le même constat vaut pour la manipulation de prix via des oracles compromis, un vecteur que nous avions documenté séparément et qui échappe lui aussi, la plupart du temps, au périmètre contractuel d’un audit classique.

La conclusion pratique est directe : un cabinet d’audit qui promet de sécuriser « le protocole » sans préciser explicitement s’il couvre les ponts, les oracles, la gouvernance et la gestion des clés ne sécurise en réalité qu’une fraction du risque auquel les utilisateurs sont exposés.

CertiK, la confiance et le précédent Kraken

La question de la confiance ne se limite pas aux chiffres qu’un cabinet publie sur l’industrie, elle touche aussi à sa propre conduite quand les choses tournent mal. Le précédent le plus souvent cité reste l’épisode Kraken de juin 2024 : des employés de CertiK ont déplacé environ 3 millions de dollars de fonds appartenant à la plateforme d’échange, en affirmant agir dans le cadre d’une recherche de vulnérabilité, avant de faire transiter une partie de ces fonds par Tornado Cash. Le directeur de la sécurité de Kraken avait qualifié publiquement l’épisode d’extorsion, selon DL News, avant que les fonds ne soient restitués environ cinq jours plus tard. CertiK a de son côté publié sa propre version des faits, défendant une recherche menée de bonne foi selon ses procédures habituelles de divulgation responsable et contestant la qualification d’extorsion.

Cet épisode ne disqualifie pas CertiK, qui reste l’un des cabinets les plus actifs de l’industrie avec plus de 5 500 audits revendiqués et près de 83 000 vulnérabilités répertoriées au fil des années. Mais il illustre une réalité structurelle du secteur : il n’existe aucun régulateur, ni aux États-Unis, ni en France, ni au niveau européen, qui accrédite formellement un cabinet d’audit de smart contracts ou qui sanctionne une méthodologie défaillante. La réputation, construite épisode après épisode, tient lieu de régulation. C’est un système qui fonctionne raisonnablement bien tant que les cabinets reconnaissent leurs erreurs publiquement, et beaucoup moins bien quand ils les minimisent.

Halborn et la culture du post-mortem public

À l’opposé de cette gestion de crise contestée, Halborn a construit une bonne partie de sa réputation sur la transparence publique après un incident plutôt que sur la promesse de zéro incident. Le cabinet, fondé à Miami en 2019, publie régulièrement des décryptages détaillés des piratages majeurs qui touchent des protocoles, qu’il en soit l’auditeur ou non, une pratique que plusieurs professionnels du secteur considèrent désormais comme une lecture incontournable pour suivre l’actualité de la sécurité on-chain. Son catalogue d’audits et de rapports revendique plusieurs centaines de clients à travers les écosystèmes EVM, Solana, Cosmos et Move.

Le cabinet doit une partie de sa notoriété à une divulgation restée dans les mémoires : en mars 2022, lors d’un audit du code de Dogecoin, un ingénieur de son équipe offensive avait identifié des failles affectant plus de 280 réseaux dérivés du même code source, dont Litecoin et Zcash au passage, exposant potentiellement plus de 25 milliards de dollars d’actifs, avant une divulgation publique coordonnée en mars 2023 une fois les correctifs déployés sur les chaînes principales. C’est ce type d’historique, plus que la promesse qu’aucun protocole audité par Halborn ne sera jamais piraté, qui construit la confiance : la question n’est jamais de savoir si un audit ratera quelque chose un jour, mais comment le cabinet réagit quand cela arrive.

La nouvelle grille de lecture pour évaluer un cabinet d’audit

Choisir, ou simplement juger, un cabinet d’audit en 2026 suppose de poser des questions différentes de celles qui suffisaient il y a trois ou quatre ans. Quelques critères concrets, tirés des cas détaillés plus haut :

• Le rapport précise-t-il explicitement le périmètre couvert (contrats seuls, ponts inter-chaînes, oracles, scripts de déploiement, gestion des clés d’administration) plutôt que de se contenter d’un badge générique « audité par » ?
• Le cabinet documente-t-il, chiffres à l’appui, la part de son travail assistée par des outils d’IA et les limites qu’il leur reconnaît lui-même, plutôt que d’en faire un argument marketing flou ?
• Comment le cabinet a-t-il réagi publiquement la dernière fois qu’un de ses clients audités a tout de même été piraté : silence, minimisation, ou décryptage transparent façon post-mortem ?
• Le protocole combine-t-il plusieurs méthodes, audit manuel, concours ouvert, vérification formelle, surveillance continue, ou s’appuie-t-il sur un seul rapport unique, potentiellement ancien de plusieurs mois au moment du lancement réel ?
• Existe-t-il une surveillance on-chain active après le déploiement, type Skynet de CertiK ou équivalent, ou la relation avec le cabinet s’arrête-t-elle à la remise du rapport ?
• Le budget de sécurité correspond-il à la taille réelle des fonds exposés ? Un audit d’entrée de gamme à 10 000 dollars pour un protocole visant plusieurs centaines de millions de dollars de valeur totale verrouillée est un signal d’alerte en soi.

Aucun de ces critères, pris isolément, ne garantit l’absence de piratage. C’est bien tout le sens de l’épisode Zcash : le protocole le plus scruté ne s’est pas fait piéger par manque de sérieux, mais par les limites inhérentes à toute revue humaine face à un espace de recherche aussi vaste qu’un circuit cryptographique complet. Le rôle de ces critères est de réduire la probabilité d’un angle mort évitable, pas de l’éliminer.

La vérification formelle : la promesse d’une preuve mathématique

L’annonce la plus significative sortie de l’épisode Zcash n’est peut-être pas le correctif d’urgence lui-même, déployé en quarante-huit heures, mais la décision de Shielded Labs de lancer un chantier de vérification formelle complète du circuit Orchard : produire une preuve mathématique qu’aucune autre faille de ce type ne peut exister dans le code actuel, plutôt que de continuer à chercher des bugs un par un. L’organisation a également annoncé le recrutement d’un responsable de la sécurité et d’un cryptographe dédiés, ainsi qu’une proposition de mise à niveau du réseau introduisant un mécanisme de comptabilité pour vérifier en continu l’intégrité de l’offre de jetons.

La vérification formelle n’est pas une nouveauté, Certora en a fait sa spécialité pour une bonne partie de l’écosystème DeFi, mais elle reste peu utilisée hors des composants les plus critiques en raison de son coût et de la rareté des experts capables de traduire une spécification métier en propriétés mathématiquement démontrables. Elle ne remplace pas non plus un audit classique sur tous les plans : une preuve formelle garantit qu’une propriété précise, par exemple que le nombre total de jetons ne peut jamais dépasser un certain seuil, est toujours respectée, mais elle ne dit rien de la pertinence économique de cette propriété ni des risques liés à une clé d’administration mal protégée. C’est un outil puissant et complémentaire, pas un substitut universel.

Le cadre réglementaire : AMF, MiCA et DORA

En France comme dans le reste de l’Union européenne, aucun texte n’impose ni n’accrédite un audit de smart contract. Le règlement MiCA encadre les prestataires de services sur actifs numériques, les anciens PSAN devenus CASP, et la période transitoire qui permettait aux anciens PSAN français d’opérer sous l’ancien régime s’est achevée le 1er juillet 2026, un rappel que l’AMF avait formulé explicitement à l’approche de l’échéance. Seuls les prestataires disposant d’un agrément CASP en bonne et due forme peuvent désormais démarcher de nouveaux clients en France.

Le règlement DORA, applicable aux prestataires de services sur crypto-actifs depuis le 17 janvier 2025, impose de son côté une résilience opérationnelle aux systèmes informatiques : plans de continuité, gestion des incidents, tests de résilience. Mais DORA s’adresse aux entités centralisées régulées, pas aux protocoles décentralisés eux-mêmes, et ni MiCA ni DORA n’exigent qu’un smart contract soit audité par un cabinet particulier, ni ne définissent de norme de qualité pour un rapport d’audit. Un protocole entièrement décentralisé, sans entité identifiable à réguler, échappe largement au périmètre de ces deux textes : pour ses utilisateurs, l’audit, ou son absence, et le post-mortem en cas d’incident restent de fait la seule forme de garantie disponible, faute de fonds d’indemnisation ou de recours prévu par la loi.

Cette situation n’est pas propre à la France. Aux États-Unis non plus, aucun équivalent du PCAOB, l’organisme qui supervise les auditeurs financiers classiques, n’existe pour les auditeurs de code. La logique reste la même des deux côtés de l’Atlantique : la réglementation financière rattrape progressivement les échanges et les émetteurs de jetons, mais elle n’a pas encore trouvé de prise sur la qualité intrinsèque d’une revue de code.

Ce que cela change pour les utilisateurs et les investisseurs

Pour un lecteur qui ne développe pas de smart contracts mais qui dépose des fonds dans des protocoles DeFi, la conclusion pratique de ce panorama tient en quelques réflexes simples. D’abord, un badge « audité par X » affiché sur un site web ne dit rien du périmètre réellement couvert ni de la date du rapport : un audit réalisé six mois avant un changement de code majeur ne protège plus grand-chose. Ensuite, l’origine du risque a changé de nature au premier semestre 2026 : les deux plus gros dossiers de pertes, Kelp DAO et Drift Protocol, n’étaient pas des échecs de revue de code au sens classique, ce qui signifie qu’un protocole peut légitimement afficher plusieurs audits réussis tout en restant exposé à un risque de configuration, de pont ou de clé qu’aucun de ces audits n’a examiné. La sécurité économique de l’ensemble de l’écosystème Ethereum repose d’ailleurs sur des sommes considérables engagées dans des mécanismes complexes, comme nous l’avions détaillé dans notre analyse du pari du restaking, où le même arbitrage entre rendement et surface de risque se pose.

Enfin, la manière dont un projet communique après un incident en dit souvent plus long que ses audits préalables sur son sérieux réel. Un projet qui publie un décryptage technique complet, qui indemnise ou tente sincèrement d’indemniser ses utilisateurs, et qui documente les correctifs apportés mérite plus de crédit qu’un projet qui minimise ou communique au compte-gouttes. L’épisode Zcash, en dernier ressort, envoie un signal plutôt rassurant sur ce point précis : la transparence radicale de Shielded Labs, y compris sur l’incertitude qui subsiste quant à une éventuelle exploitation passée, tranche avec les silences qui ont accompagné d’autres incidents ces dernières années.

Foire aux questions

Qu’est-ce qu’un audit de smart contract et que garantit-il réellement ?

Un audit de smart contract est une revue, manuelle ou assistée par des outils automatisés, du code source d’un protocole avant ou après son déploiement, destinée à identifier des vulnérabilités avant qu’un attaquant ne les exploite. Il ne garantit ni l’absence totale de faille, ni la sécurité des éléments hors du périmètre contractuel, comme les ponts inter-chaînes, les oracles, les clés d’administration ou la gouvernance, et sa validité s’use avec le temps à mesure que le code évolue après la publication du rapport.

Pourquoi des protocoles déjà audités continuent-ils de se faire pirater en 2026 ?

Parce que la majorité des pertes récentes, selon les données de CertiK et de TRM Labs pour le premier semestre 2026, proviennent de vecteurs que les audits de code ne couvrent pas nécessairement : compromission de clés privées, mauvaise configuration d’un pont inter-chaînes, ingénierie sociale ou infrastructure opérationnelle. Un audit examine la logique du contrat déployé, pas la sécurité des systèmes qui l’entourent.

Quelle est la différence entre un audit classique, un concours d’audit et la vérification formelle ?

Un audit classique mobilise une petite équipe d’experts salariés du cabinet sur une période définie. Un concours d’audit, comme ceux organisés par Sherlock, Cantina ou Immunefi, ouvre le même exercice à des dizaines de chercheurs indépendants rémunérés à la faille trouvée, ce qui élargit la couverture mais rend la qualité plus irrégulière. La vérification formelle, portée notamment par Certora, ne cherche pas des bugs mais prouve mathématiquement qu’une propriété précise du code est toujours respectée, une garantie plus forte mais beaucoup plus coûteuse à obtenir.

L’intelligence artificielle peut-elle remplacer les auditeurs humains ?

Pas encore, selon les cabinets eux-mêmes : Trail of Bits évalue que ses outils assistés par IA retrouvent environ 40 % de ce qu’un audit manuel complet détecte, en accélérant surtout le premier passage sur du code volumineux. L’épisode Zcash de mai 2026 montre toutefois qu’un chercheur isolé équipé d’un modèle récent peut trouver, en quelques heures, une faille qui a échappé à des années de revue humaine, ce qui pousse l’ensemble de l’industrie à intégrer ces outils plutôt qu’à les ignorer.

Comment vérifier la qualité d’un audit avant d’utiliser un protocole ?

Il faut lire le rapport lui-même, pas seulement le badge : vérifier que le périmètre couvre les éléments réellement à risque comme les ponts, les oracles et les clés d’administration, que la version du code auditée correspond à celle réellement déployée sur la chaîne, que les failles signalées ont été corrigées et non simplement reconnues, et croiser si possible plusieurs sources, audit classique, concours ouvert, surveillance on-chain continue, plutôt que de se fier à un rapport unique.

Par la rédaction sécurité de HOGE Wire.