Auditeurs Solana et Move : le hors-EVM au banc d’essai 2026

Le 22 mai 2025, Cetus, le principal teneur de marché automatisé de la blockchain Sui, s’est vidé de plus de 223 millions de dollars (environ 193 millions d’euros) en quelques minutes. Ce qui a marqué l’industrie de la sécurité n’est pas le montant, pourtant le plus lourd de l’année en DeFi. C’est que le code fautif avait été relu par trois cabinets parmi les plus respectés du monde Move, OtterSec, MoveBit et Zellic, et qu’aucun n’avait classé la faille comme critique.

Pour qui suit les récits d’audit du monde Ethereum, l’histoire semble familière : on connaît déjà Balancer, audité plus de dix fois avant d’être drainé. Mais Cetus dit autre chose. Solana et l’écosystème Move (Aptos, Sui) ne sont pas des variantes de la machine virtuelle d’Ethereum, l’EVM. Ce sont des architectures distinctes, avec leurs propres langages (Rust, Move), leurs propres modèles d’exécution et, surtout, leurs propres familles de vulnérabilités. Les références qui font autorité sur Solidity ne se transposent pas d’un simple copier-coller.

Cet article passe en revue les cabinets qui sécurisent réellement le hors-EVM en 2026 : qui ils sont, ce qu’ils maîtrisent, où ils se sont trompés, et comment un fondateur ou un investisseur peut les jauger sans se contenter d’un logo « audité par ». La conclusion, posons-la d’emblée : un audit reste nécessaire, mais il n’a jamais suffi, et sur Solana comme sur Move, il faut savoir lire ce qu’il ne dit pas.

Pourquoi la demande d’audit hors-EVM grimpe en 2026

Solana pèse aujourd’hui parmi les toutes premières capitalisations du marché, autour de 44 milliards de dollars et une 7e place mondiale d’après CoinGecko, avec une activité applicative dense : DeFi, paiements, NFT, jeu. L’écosystème Move, porté par Sui (environ 2,8 milliards de dollars de capitalisation) et Aptos, joue dans une catégorie plus modeste, mais il attire des capitaux et des équipes chevronnées, et son modèle de sécurité intéresse au-delà de sa taille.

Plus il y a de valeur verrouillée sur ces chaînes, plus la demande d’audit spécialisé augmente. Le problème : le vivier de chercheurs capables d’auditer du Rust bas niveau ou du Move est bien plus étroit que celui des experts Solidity. Le savoir-faire ne s’improvise pas, et les grands cabinets historiques se sont construits sur l’EVM. Résultat, une poignée de maisons nées dans l’écosystème dominent, souvent issues de la compétition (les fameux CTF, ces épreuves de « capture the flag » où s’affrontent les meilleurs chercheurs offensifs) plutôt que du conseil traditionnel.

Cette généalogie compte. Un auditeur formé au CTF a l’habitude de casser des systèmes pour gagner, pas seulement de cocher des cases sur une liste de conformité. C’est un atout sur des chaînes jeunes où les schémas d’attaque s’inventent encore. C’est aussi ce paysage, différent des références de l’EVM, que nous détaillons ici, cas de piratage à l’appui.

Cetus, ou trois auditeurs Move dépassés par 223 millions

La faille de Cetus tient dans une fonction de vérification d’overflow mal écrite, checked_shlw, censée garantir qu’un nombre pouvait être décalé de 64 bits vers la gauche sans déborder. Le masque comparait la valeur à 0xffffffffffffffff décalé de 192 bits, au lieu de 0x1 décalé de 192 bits, laissant passer des valeurs qui provoquaient bel et bien un débordement. Détail aggravant propre à Move : une opération de décalage à gauche n’échoue pas en cas d’overflow, elle tronque silencieusement les bits de poids fort. La fonction get_delta_a renvoyait alors qu’un seul jeton suffisait pour créer une position de liquidité colossale. L’attaquant a répété l’opération et vidé les réserves, comme l’ont reconstitué Dedaub et plusieurs équipes de sécurité.

Le plus troublant tient au calendrier des audits. Dès début 2023, OtterSec avait repéré, sur la version Aptos du code, une faille « étrangement similaire », notant que la valeur n’était pas validée avant l’appel à la fonction de décalage, et recommandant d’ajouter une détection d’overflow. Mais sur la version Sui effectivement déployée, ni OtterSec ni MoveBit n’ont retrouvé le problème. L’audit de Zellic, réalisé en avril 2025, un mois à peine avant l’exploit, n’a relevé que des points informatifs. Trois cabinets, aucune alerte critique, sur un bug qui tient en une ligne.

La suite est presque un cas d’école de réponse à incident. Environ 60 millions de dollars (52 millions d’euros) ont été rapidement bridgés vers Ethereum, mais près de 162 millions (environ 140 millions d’euros) sont restés bloqués sur Sui, gelés par les validateurs qui ont coordonné une mise sur liste noire des adresses de l’attaquant. Un vote on-chain, réunissant 90,9 % du stake en faveur du oui d’après Cyfrin, a autorisé le transfert des fonds gelés vers un multisig de récupération, complété par un prêt de la Sui Foundation pour indemniser les utilisateurs.

Cet épisode a aussi rouvert un débat gênant : si une poignée de validateurs peut geler des adresses sur commande, qu’en est-il de la neutralité de la chaîne ? La récupération a sauvé les utilisateurs, mais elle a rappelé que la « décentralisation » de Sui a des limites très concrètes. Pour les auditeurs, la leçon est ailleurs : un bug arithmétique, trivial à décrire, a échappé à trois revues successives parce que personne n’avait formalisé l’invariant qui l’aurait attrapé.

Le modèle de compte de Solana et ses pièges spécifiques

Sur Solana, les programmes sont sans état : la logique vit dans le code, mais les données vivent dans des comptes que l’on passe explicitement à chaque instruction. Ce modèle, combiné au moteur d’exécution parallèle Sealevel, supprime des classes entières de bugs propres à Ethereum. En premier lieu la reentrancy, ce cas où un contrat se rappelle lui-même en cascade avant d’avoir mis à jour son état.

Robert Chen, fondateur d’OtterSec, le formule ainsi dans un entretien pour le blog de Sui : « une théorie veut que les programmes sur Solana soient fondamentalement plus sûrs, en raison du modèle de programmation ». Il ajoute que les concepteurs ont eu « le bénéfice du recul » et que l’absence de reentrancy « supprime une surface d’attaque assez large ». Les chiffres lui donnent en partie raison : d’après des données DefiLlama citées par SolanaFloor, les réseaux EVM ont perdu 792,6 millions de dollars sur des piratages en 2024, contre 33,5 millions pour Solana.

Mais supprimer la reentrancy ne rend pas invulnérable, cela déplace le risque. Sur Solana, la première cause d’exploit tient à la validation des comptes : le programme doit vérifier lui-même le propriétaire d’un compte, son type, son statut d’initialisation et la présence des bons signataires. Oublier un seul de ces contrôles ouvre la porte. L’histoire de la chaîne en témoigne, comme le recense Helius : le pont Wormhole a perdu plus de 320 millions de dollars (environ 277 millions d’euros) en février 2022 via une vérification de signature contournée ; Cashio a été vidé de 52 millions (45 millions d’euros) par un contrôle de compte manquant qui autorisait une frappe infinie ; Mango Markets a perdu 114 millions (99 millions d’euros) via une manipulation d’oracle, un vecteur économique qu’aucune relecture de code ne signale.

La liste des pièges est longue et propre à l’architecture : appels inter-programmes (CPI) vers des cibles non vérifiées, réinitialisation d’un compte déjà initialisé, confusion de type quand deux structures de données se ressemblent, ou encore comptes de frais et de rente négligés. Aucune de ces catégories n’a d’équivalent exact sur Ethereum, et c’est précisément pourquoi un oeil rodé au seul Solidity peut lire un programme Solana sans voir le danger.

Ces pièges sont si récurrents qu’ils ont leur catalogue de référence, les « sealevel-attacks » maintenus par Neodyme, et que le framework Anchor a été conçu pour en désamorcer une partie par défaut, en générant automatiquement des contrôles de compte. Un bon auditeur Solana connaît ce catalogue par coeur ; un cabinet EVM qui découvre le modèle de compte, non. C’est aussi ce terrain, propice aux jetons frauduleux et aux faux pools, qu’il faut garder en tête quand on cherche à détecter un rug pull DeFi avant qu’il ne soit trop tard.

Move, sécurisé par conception mais pas invulnérable

Le langage Move, qui propulse Aptos et Sui, a été pensé après coup, en tirant les leçons de Solidity. Ses actifs sont des « ressources » : des types linéaires qu’on ne peut ni copier ni détruire par accident, seulement déplacer. Un jeton ne peut pas être dupliqué par une erreur de logique, et le vérificateur de bytecode rejette à la compilation des constructions que l’EVM accepte sans broncher.

Move va plus loin en intégrant la vérification formelle au coeur de l’outillage. Le Move Prover permet d’exprimer les propriétés attendues d’un contrat dans un langage de spécification (MSL), puis de prouver mathématiquement qu’elles tiennent pour toutes les entrées possibles. Aptos a formellement vérifié de larges pans de son Framework en collaboration avec MoveBit, comme le détaille Aptos Labs. Côté Sui, le Sui Prover est passé en open source début 2026 d’après BlockEden, et la fondation présente la chaîne comme durcie par conception.

Alors pourquoi Cetus ? Parce que la vérification formelle ne prouve que ce qu’on lui demande de prouver. Le débordement de checked_shlw relevait d’un invariant arithmétique parfaitement exprimable, mais que personne n’avait écrit. La sécurité par conception élimine des classes de bugs ; elle ne dispense pas d’imaginer les mauvais scénarios. Move réduit la surface d’attaque, il ne supprime pas le travail d’adversaire, et c’est précisément ce travail que l’on paie un auditeur à faire.

Sui contre Aptos : deux dialectes de Move

Move n’est pas monolithique. Aptos reste proche du langage d’origine, avec un stockage global organisé autour des comptes ; Sui l’a repensé autour d’objets, des ressources possédées par des adresses, exécutées en parallèle selon leur propriétaire plutôt que dans un état partagé unique. Ce choix donne à Sui un débit élevé, mais il déplace aussi l’endroit où se logent les bugs : objets partagés, champs dynamiques, façon d’exprimer la logique de liquidité.

Cetus, protocole Sui, est le rappel qui fait mal : le modèle objet n’a pas empêché un bug arithmétique dans le calcul du pool. Pour un acheteur d’audit, la conséquence est directe : une firme aguerrie sur Aptos ne l’est pas automatiquement sur Sui, et l’inverse est vrai aussi. La bonne question à poser n’est pas seulement de savoir si le cabinet « fait du Move », mais sur laquelle des deux chaînes il a publié des rapports récents. La spécialisation se niche parfois à l’intérieur même d’une spécialité.

OtterSec, le spécialiste Solana né du CTF

Fondé par Robert Chen (connu en ligne sous le pseudonyme NotDeGhost), ancien chercheur en vulnérabilités mobiles passé par Carnegie Mellon et par la scène CTF, OtterSec s’est imposé comme la référence de fait sur Solana. La firme revendique plus de 36 milliards de dollars de valeur verrouillée audités et plus d’un milliard de dollars de vulnérabilités neutralisées, pour une soixantaine de protocoles, dont la Solana Foundation, le pont Wormhole et Jito Labs.

OtterSec ne se limite pas à Solana : la firme a aussi audité des composants du framework Sui, ce qui en fait l’un des rares cabinets à couvrir sérieusement Rust et Move. En 2025, lors de la conférence Accelerate, Robert Chen a présenté une suite d’outils de décompilation pour Solana, en réponse à un problème structurel : près de 97 % des programmes (mesurés en puissance de calcul) sont à code fermé, donc invérifiables par un tiers. Rendre le bytecode lisible, c’est rendre l’audit possible sur ce que personne ne pouvait relire auparavant.

Le cas Cetus place pourtant OtterSec dans une position inconfortable : la firme figurait parmi les auditeurs du code fautif, tout en restant partie prenante de la réponse à l’incident sur Sui. Rien d’anormal dans un écosystème où les mêmes experts auditent, surveillent et conseillent, mais un rappel utile : l’indépendance d’un auditeur mérite d’être questionnée autant que sa compétence.

Zellic, du jeu de CTF aux audits Rust et Move

Zellic est né de la compétition pure : ses fondateurs viennent de l’équipe de CTF perfect blue, un temps classée numéro un mondial. La firme est aujourd’hui dirigée par Luna Tong (PDG) et Jazzy Bedi (directeur technique), et s’est bâtie une réputation solide sur les programmes Solana en Rust comme sur Move.

Son crédit dans le milieu doit beaucoup à un soutien de poids. Lorsque Zellic a racheté la plateforme d’audit compétitif Code4rena en août 2024, samczsun, le chercheur star de Paradigm, y voyait « l’un des meilleurs cabinets d’audit au monde », comme le rapportait The Block. Luna Tong résumait alors la ligne de la maison : « la mission de Zellic a toujours été de réaliser les meilleurs audits ». Code4rena, que Paradigm avait financé à hauteur de 6 millions de dollars en 2023, a depuis fermé ses portes en 2026, ses chercheurs étant absorbés par Immunefi, signe d’une consolidation rapide que nous avons détaillée dans notre revue des plateformes de concours et de bug bounties.

Sur Cetus, c’est l’audit de Zellic, en avril 2025, qui a été le dernier filet avant l’exploit, et il n’a rien attrapé de critique. Loin de disqualifier la firme, l’épisode illustre une vérité inconfortable : même les meilleurs, sur leur terrain de prédilection, passent à côté d’un bug d’une ligne quand l’invariant n’a pas été formalisé. C’est moins un procès de Zellic qu’un procès de l’audit ponctuel comme unique garde-fou.

MoveBit, Sec3, Neodyme, Ackee : les autres noms à connaître

MoveBit s’est spécialisé sur l’écosystème Move (Aptos et Sui) et se présente comme le premier cabinet à y avoir importé la vérification formelle. Rattaché au groupe BitsLab, il a participé à la spécification formelle du Framework Aptos et publie des outils d’analyse (aptos-move-analyzer, sui-move-analyzer) pour les développeurs. Il faisait, lui aussi, partie des auditeurs de Cetus, preuve que la spécialité Move ne vaccine pas contre l’erreur.

Sec3, anciennement Soteria, fondé en 2021, couvre Solana sur tout le cycle de vie : avant, pendant et après le déploiement. Son scanner maison X-Ray détecte, d’après Sec3, plus de 50 types de vulnérabilités classées dans sa propre taxonomie (SVE, pour Sec3 Vulnerabilities and Exposures), pour du Rust natif comme pour le framework Anchor, et la firme propose une surveillance on-chain continue en complément de l’audit manuel.

Neodyme est l’un des noms les plus respectés de Solana, auteur du catalogue sealevel-attacks et auditeur de protocoles majeurs comme Jupiter, Marinade ou Drift. Ackee Blockchain complète le tableau côté Rust, avec son fuzzer Trident. Le point commun de tous ces cabinets : une spécialisation revendiquée sur le modèle de compte et le runtime, là où, comme le note l’agrégateur Procur3, une firme purement EVM part avec un handicap sur ces chaînes.

EVM contre hors-EVM, des compétences qui ne se transfèrent pas

L’erreur la plus commune, côté fondateurs, consiste à choisir un auditeur sur sa notoriété générale plutôt que sur son terrain réel. Les grands noms de l’EVM (Trail of Bits, OpenZeppelin, Consensys Diligence) et les auditeurs stars comme celui que nous avons passé au crible dans notre décryptage de CertiK ont bâti leur réputation sur Solidity et sur un outillage taillé pour l’EVM : analyseurs statiques comme Slither, fuzzers comme Echidna. Ces outils ne parlent ni le Rust de Solana ni le Move de Sui.

Cela ne veut pas dire que ces maisons soient absentes du hors-EVM. Plusieurs ont recruté des spécialistes Rust ou monté une équipe dédiée, et certaines signent d’excellents rapports Solana. Le point n’est pas la marque, c’est l’équipe réellement affectée à votre mission : demandez qui, nommément, relira votre code, et ce que cette personne a audité sur votre chaîne au cours des douze derniers mois. Un grand nom sur le devis ne garantit pas un expert Move derrière le clavier.

Sur Solana, l’outillage pertinent s’appelle X-Ray, sealevel-attacks ou Trident ; sur Move, c’est le Move Prover et le Sui Prover. Les familles de bugs diffèrent tout autant : là où l’EVM redoute la reentrancy et les erreurs d’arrondi, Solana redoute les contrôles de compte manquants et Move les débordements silencieux de décalage. C’est pourquoi, comme le résume Procur3, des firmes à spécialisation Rust et Solana documentée (Zellic, Ackee, OtterSec, Neodyme) sont de meilleurs choix que des cabinets centrés EVM pour ces chaînes.

Attention toutefois au contresens inverse. Les chiffres de 2024 (792,6 millions de pertes côté EVM contre 33,5 millions côté Solana) nourrissent l’idée d’un Solana plus sûr par conception. Cetus, sur Sui, et surtout le vol de 285 millions de dollars subi par Drift en 2026, rappellent que le hors-EVM n’a rien d’un sanctuaire. La bonne question n’est pas de savoir quelle chaîne est la plus sûre, mais si cet auditeur connaît vraiment la vôtre.

La vérification formelle, nouveau juge de paix

Si un critère devait départager les cabinets hors-EVM en 2026, ce serait la vérification formelle. Le principe : au lieu de tester quelques cas, on prouve mathématiquement qu’une propriété tient pour toutes les entrées et tous les états possibles. Sur Move, c’est natif (Move Prover, langage MSL, Sui Prover désormais open source). Sur Solana, OtterSec et Sec3 investissent dans des approches équivalentes. Côté EVM, l’équivalent historique s’appelle Certora.

L’intérêt est réel : une preuve formelle bien posée aurait, en théorie, attrapé le débordement de Cetus. Mais le mot important est « bien posée ». La vérification formelle ne prouve que les invariants qu’on lui soumet ; elle ne devine pas ceux qu’on a oubliés. Un cabinet qui vend de la vérification formelle sans expliquer quelles propriétés il a réellement spécifiées vend surtout un argument marketing. Le bon réflexe, pour un fondateur, est de demander la liste des invariants prouvés, pas seulement le logo de l’outil sur la couverture du rapport.

Dans les faits, la vérification formelle reste réservée aux composants critiques : coeur d’un AMM, logique de frappe et de combustion, comptabilité d’un protocole de prêt. Prouver l’intégralité d’un système coûte cher et prend du temps, et peu d’équipes en ont les moyens avant un lancement. C’est pourquoi elle complète, plutôt qu’elle ne remplace, l’audit manuel, le fuzzing et les concours. Un cabinet honnête dira où s’arrête sa preuve ; un vendeur de certitude, non.

Audités et pourtant piratés, le hors-EVM au banc des accusés

Aucun de ces cabinets n’est à l’abri, et l’histoire récente du hors-EVM le montre sans détour. Le tableau ci-dessous rassemble les cas marquants, du bug de code pur à la compromission purement opérationnelle. Les montants sont donnés en dollars, avec une conversion indicative en euros.

Deux enseignements. D’abord, une grande part de ces montants ne provient pas d’un bug de code au sens strict : Mango relève de l’économie du protocole, Drift de la compromission humaine. Ensuite, le seul cas où presque tout a été récupéré, Loopscale, l’a été par la négociation, pas par l’audit. Sources : The Block pour Loopscale, CCN pour Raydium.

Ce qu’aucun audit ne couvre, quelle que soit la chaîne

Le hack de Drift, le 1er avril 2026, est le cas d’école du risque hors-périmètre. Plus grosse attaque DeFi de l’année et deuxième plus gros exploit de l’histoire de Solana derrière Wormhole, il n’a impliqué aucun bug de contrat. D’après Chainalysis, des attaquants nord-coréens ont, au terme d’une opération d’ingénierie sociale de six mois, poussé des signataires du conseil de sécurité à pré-signer des transactions via la fonctionnalité des durable nonces, puis exploité une migration sans timelock pour prendre le contrôle des droits d’administration. Ils ont ensuite inscrit un faux jeton sans valeur comme collatéral et retiré 285 millions de dollars (environ 247 millions d’euros) en douze minutes.

C’est exactement le déplacement que décrit Ronghui Gu, cofondateur de CertiK, dans Forbes : « les attaquants obtiennent un meilleur rendement en s’en prenant à la gestion des clés, à la gouvernance multisig et à l’infrastructure opérationnelle qu’en cherchant des bugs dans le code ». Autrement dit, la surface qui rapporte le plus a migré là où l’audit de code ne regarde pas. On rejoint ici tout ce qui touche au vol de clés privées et au facteur humain, angle mort structurel de la sécurité crypto.

Les données confirment l’angle mort. D’après le cabinet de recherche Ack3, sur le premier semestre 2026, 94,4 % de la valeur dérobée aux projets pourtant audités est passée par du code ou de l’infrastructure que les auditeurs n’avaient jamais examinés. Un audit répond à la question de savoir si le code fait ce qu’il prétend, pas à celle de savoir qui détient les clés, et si on peut les tromper.

Comment choisir un auditeur hors-EVM en 2026

Faute de régulateur pour trier le marché, la sélection repose sur le jugement de l’acheteur. Six réflexes concrets, valables pour un fondateur comme pour un investisseur qui fait sa diligence :

• Spécialisation réelle : le cabinet audite-t-il du Rust ou du Move au quotidien, ou est-ce une boutique EVM qui s’y essaie ? Demandez des rapports récents sur votre chaîne exacte.
• Vérification formelle documentée : exigez la liste des invariants prouvés (Move Prover, Sui Prover, équivalents Solana), pas seulement le nom de l’outil.
• Fraîcheur et périmètre : Cetus montre qu’un audit vieux d’un mois peut échouer, et qu’un audit sur la version Aptos ne couvre pas la version Sui. Ré-auditez à chaque montée de version, et lisez ce qui était hors périmètre.
• Traçabilité : les rapports publics se vérifient (agrégateurs comme Solodit, dépôts GitHub, correspondance du bytecode déployé sur un explorateur de blocs).
• Superposition des couches : un audit ne se suffit pas ; ajoutez concours d’audit, bug bounty et surveillance continue on-chain.
• Durcissement opérationnel : timelocks, gouvernance multisig sérieuse, procédures de signature. Le cas Drift prouve que c’est là que se jouent désormais les plus gros montants.

Sur le plan réglementaire, aucune autorité n’accrédite les auditeurs de smart contracts, ni l’AMF en France, ni l’ESMA au niveau européen. MiCA et DORA encadrent les prestataires de services sur crypto-actifs (leur résilience informatique, leur conduite), pas la qualité du code Solidity, Rust ou Move ; et la DeFi pleinement décentralisée reste hors de leur champ. Le contraste est frappant avec les commissaires aux comptes, dont la responsabilité civile et pénale est encadrée depuis le 1er janvier 2024 par la Haute Autorité de l’audit, la H2A : rien d’équivalent n’existe pour le code. Depuis la fin de la période transitoire PSAN vers le régime MiCA, actée par l’AMF au 1er juillet 2026, les plateformes sont mieux surveillées, mais leurs contrats intelligents, eux, ne le sont toujours pas. Pour anticiper les échéances qui comptent, notre compte à rebours réglementaire fait le point.

En clair, la réputation reste la seule sanction, et elle fonctionne mal. D’où l’importance d’un choix informé, adossé à une culture de sécurité qui ne s’arrête pas à la remise du rapport. Un logo « audité par » n’a jamais empêché un exploit ; une équipe qui ré-audite, surveille et durcit sa gouvernance, si, le plus souvent.

Foire aux questions

Un audit Solana ou Move garantit-il la sécurité d’un protocole ?

Non. Un audit est une photographie du code à un instant donné, sur un périmètre défini. Cetus, relu par trois cabinets spécialisés, a tout de même perdu 223 millions de dollars ; Drift, audité aussi, a été vidé via la gouvernance et non le code. L’audit réduit le risque, il ne l’annule pas, et il ne dit rien des clés ni de l’infrastructure.

Peut-on confier un audit Solana ou Move à un grand cabinet EVM ?

Seulement s’il possède une expérience Rust ou Move documentée. Les familles de bugs et l’outillage diffèrent : Slither et Echidna servent l’EVM, pas Solana. Des spécialistes comme OtterSec, Zellic, MoveBit, Neodyme, Sec3 ou Ackee partent avec un avantage réel sur ces chaînes, parce qu’ils vivent dans le modèle de compte et le runtime au quotidien.

Qu’est-ce que la vérification formelle et pourquoi compte-t-elle sur Move ?

C’est une preuve mathématique qu’une propriété tient pour toutes les entrées possibles, plutôt qu’un test de quelques cas. Move l’intègre nativement (Move Prover, Sui Prover). Sa limite : elle ne prouve que les propriétés qu’on lui soumet, comme l’a montré l’invariant oublié à l’origine du hack de Cetus.

Combien coûte un audit de smart contract Solana ou Move ?

Les fourchettes 2026 vont d’environ 7 000 à 25 000 euros pour une boutique, de 20 000 à 70 000 euros en milieu de gamme, et jusqu’à 300 000 euros pour les cabinets haut de gamme sur des périmètres larges, d’après la grille de référence de Sherlock. À ces coûts s’ajoutent souvent un concours d’audit et un bug bounty.

Que faire après un audit pour rester protégé ?

Ré-auditer à chaque montée de version, mettre en place une surveillance on-chain continue, ouvrir un bug bounty, et durcir la gouvernance (timelocks, multisig, procédures de signature). Le hack de Drift rappelle que les plus gros vols visent désormais les clés et la gouvernance, pas seulement le code.

Par Anneke de Vries, journaliste sécurité et exploits chez HOGE Wire.