Cabinets d’audit crypto : le comparatif de fin 2026

Un trimestre record, et l’audit regardait ailleurs

Le troisième trimestre 2026 restera comme le pire de l’année pour la sécurité crypto. Le cabinet CertiK a recensé environ 1,26 milliard de dollars de pertes (près de 1,13 Md€) sur 247 incidents, soit 53,9 % de plus que les 819,4 M$ du deuxième trimestre, selon son bilan trimestriel. Septembre à lui seul a concentré 768,5 M$ (environ 690 M€) sur 99 incidents, le mois le plus coûteux de 2026.

Un détail devrait retenir l’attention de quiconque s’apprête à choisir un cabinet d’audit : le plus gros vol du trimestre n’a touché aucune ligne de smart contract audité. Le 25 septembre, l’exchange Bitget a perdu 387,5 M$ (environ 350 M€), soit 31 % des pertes du trimestre, après l’exploitation d’une faille zero-day logée dans des équipements de sécurité tiers. Les attaquants n’ont eu besoin ni du cold storage ni des clés privées : ils ont trompé le processus d’approbation interne pour faire passer des retraits frauduleux pour des opérations légitimes, automatisant le pillage sur onze blockchains en près de trois heures. Bitget soupçonne un groupe nord-coréen, et Chainalysis attribue le vol à des acteurs liés à la RPDC.

Derrière Bitget, le classement du trimestre aligne la même logique : l’exploit de la sidechain Liquid (319 M$ le 6 septembre), le marché monétaire Tectonic sur Cronos (120 M$) et le vol de 112,7 M$ lié à un Coldcard. Les quatre plus grosses pertes relèvent d’infrastructures, de clés et de configuration, pas d’un bug de Solidity qu’un audit de code aurait eu vocation à trouver.

Le contraste est brutal. Le marché a signé l’un de ses meilleurs trimestres depuis 2024, porté par un reflux macro que nous avons décrit dans nos perspectives de fin d’année, pendant que la sécurité vivait son pire. D’où le paradoxe qui organise cette revue : jamais choisir le bon cabinet d’audit n’a semblé aussi décisif, et jamais l’audit de code seul n’a paru aussi insuffisant face à la forme réelle des pertes.

Ce qui a changé depuis l’été

Un comparatif des cabinets d’audit n’aurait pas eu le même sens il y a trois mois. L’automne 2026 a rebattu les cartes du secteur, au point que le cabinet que vous engagez a peut-être changé de propriétaire, de modèle économique ou de priorités depuis le dernier classement.

Le 17 septembre, S&P Global a annoncé le rachat d’OpenZeppelin, le cabinet dont la bibliothèque de contrats sert de socle à la quasi-totalité de la DeFi. Une agence de notation possède désormais un auditeur de code. Début octobre, au TOKEN2049 de Singapour, CertiK a dévoilé un changement de marque : le groupe ne se présente plus comme un simple spécialiste de l’audit Web3 mais comme « la couche de confiance de la valeur numérique », étendant ses outils de supervision et de conformité aux institutions et aux régulateurs.

Nous avons analysé ce repositionnement à part, car il dit quelque chose du métier tout entier : quand l’audit recule au profit de la surveillance continue et des services aux institutions. En parallèle, CertiK vise une entrée en bourse à 2 Md$ de valorisation (environ 1,8 Md€), tandis que la consolidation gagne tout le secteur.

Cette revue prend acte de ce basculement. Elle note les grands cabinets sur cinq critères, à la lumière du trimestre record, et pose une question simple : en cette fin 2026, à qui achetez-vous réellement un audit, et que vaut encore son label ?

Cinq critères pour juger un cabinet

Comparer des cabinets d’audit n’est pas comparer des prix. Un rapport n’est pas un certificat de garantie : c’est un document technique dont la valeur dépend de ce qu’il couvre et de la rigueur de qui le signe. Nous retenons cinq critères, appliqués ensuite firme par firme.

Ces critères prolongent sans les répéter nos précédents guides sur la manière de choisir un cabinet et de lire un rapport. La nouveauté de cette fin d’année tient au cinquième, l’indépendance : avec le rachat d’OpenZeppelin et la cotation visée par CertiK, la question « qui possède qui » cesse d’être théorique.

Ce qu’un audit prouve, et ce qu’il ne prouvera jamais

Un audit est une photographie, prise à un instant donné, d’un périmètre de code défini. La meilleure illustration de ses limites vient d’OpenZeppelin lui-même. Son autopsie du vol de Kelp DAO (environ 292 M$ en avril) s’intitule « 292 millions perdus, zéro bug trouvé », avec cette phrase restée célèbre : « Les contrats se sont comportés exactement comme écrit. »

Le cabinet y énumère ce qu’un audit n’examine pas : la configuration des intégrations tierces au déploiement, le fait de savoir si l’infrastructure (nœuds RPC, relais, oracles) introduit un point de défaillance unique, le respect des réglages recommandés, et le comportement du système quand une dépendance hors-chaîne est compromise. L’incident rsETH relevait des quatre à la fois. Les angles morts logiciels, comme la monoculture des clients de staking, échappent eux aussi au périmètre d’un audit de contrat.

La forme des pertes confirme la leçon. Sur le premier semestre 2026, le rapport Hack3d de CertiK recense 1,31 Md$ volés sur 344 incidents : la compromission de portefeuilles et de clés pèse 444 M$ sur 33 incidents (le vecteur le plus coûteux, environ 13 M$ par événement), le phishing 366 M$ sur 63 incidents, et les bugs de code 152 M$ sur 204 incidents, le vecteur le plus fréquent mais le moins cher. Autrement dit, le seul vecteur véritablement « auditable », le code, est celui qui coûte le moins.

Le cabinet de recherche Ack3 pousse le constat plus loin : sur l’argent dérobé à des projets pourtant audités au premier semestre, 94,4 % est sorti par du code ou des infrastructures que les auditeurs n’avaient jamais examinés, et 17 des 20 audits les plus proches des protocoles touchés dataient de plus de six mois. Ronghui Gu, cofondateur et PDG de CertiK, le résume sans détour : « Les attaquants obtiennent un meilleur rendement en s’en prenant à la gestion des clés, à la gouvernance multisig et à l’infrastructure opérationnelle qu’en cherchant des bugs dans le code », et « la fenêtre de danger ne se referme pas après le lancement ».

Pire, les attaquants reviennent sur du vieux code déjà audité. Le même rapport Hack3d relève que le nombre de contrats visés âgés de plus d’un an est passé de 7 en octobre 2025 à 18 en mai 2026. Un audit de dix-huit mois, portant sur une version qui a changé depuis, ne protège plus grand-chose : l’audit vieillit, la surface d’attaque, non.

Ce cadre posé, une règle vaut pour tout ce qui suit : l’audit est un plancher nécessaire, jamais un plafond. Un bon cabinet réduit la probabilité et la gravité d’un bug de code; aucun ne garantit qu’un protocole ne sera pas vidé par une clé volée ou une dépendance piégée.

CertiK : le plus présent, le plus commenté

Né en 2017 des travaux de vérification formelle de Ronghui Gu (Columbia) et Zhong Shao (Yale), CertiK est devenu le cabinet le plus visible de la crypto : plus de 5 000 clients, quelque 20 000 projets examinés, et une plateforme de surveillance, Skynet, qui suit en continu des centaines de milliards de dollars de capitalisation. Son bras données, le rapport Hack3d, fournit les chiffres que cite tout le secteur, y compris ceux de ce comparatif.

Cette omniprésence est un atout (couverture, monitoring, réactivité) et une ambiguïté : un cabinet qui publie le baromètre des pertes note en partie sa propre copie. Le repositionnement de l’automne accentue le trait. En se présentant comme « la couche de confiance » et en poussant ses services vers les institutions et les régulateurs, CertiK glisse de l’audit de code vers la conformité et la supervision. Jason Jiang, son directeur commercial, l’a formulé ainsi au TOKEN2049 : « Les institutions qui offrent des services d’actifs numériques et les régulateurs qui les surveillent ont besoin que sécurité, conformité et visibilité du risque fonctionnent ensemble. »

Sur l’indépendance, CertiK traîne le dossier le plus lourd. En juin 2024, ses chercheurs avaient retiré environ 3 M$ de fonds réels à la faveur d’un bug de Kraken; le directeur de la sécurité de l’exchange, Nick Percoco, avait parlé d’« extorsion ». En 2025, le cabinet a dû présenter ses excuses après avoir audité le stablecoin d’un groupe cambodgien lié au travail forcé; il avait toutefois classé le projet au plus bas score Skynet, assorti d’un avertissement, et reversé ses honoraires. La cotation visée ajoute une pression actionnariale à un modèle où le client audité choisit et paie son auditeur.

Verdict. Le plus complet en couverture et en données, le mieux armé pour le monitoring continu, mais le plus exposé aux conflits d’intérêts et le plus visiblement en train de quitter l’audit pur. Lisez le score Skynet et le rapport, pas le logo.

OpenZeppelin : la bibliothèque passée sous pavillon S&P

OpenZeppelin (fondé en 2015) n’est pas d’abord un auditeur, c’est un bibliothécaire : il écrit les implémentations de référence des standards (ERC-20, ERC-721, contrôle d’accès, proxys évolutifs) que recopie la quasi-totalité de la DeFi. Selon le communiqué de S&P, ses contrats sous-tendent plus de 37 000 milliards de dollars de valeur transférée, pour plus de 900 missions de sécurité et plus de 10 000 vulnérabilités détectées avant mise en production. Ses clients vont d’Aave à Coinbase en passant par la Fondation Ethereum.

Le 17 septembre, S&P Global a annoncé son rachat. OpenZeppelin conserve sa marque et son PDG, Demian Brener, qui reporte désormais à Yann Le Pallec, président de S&P Global Ratings; les termes financiers n’ont pas été divulgués. Le Pallec a justifié l’opération : « Notre stratégie sur les actifs numériques consiste à apporter des données fiables, des indices de référence et une évaluation des risques transparente aux marchés qui passent on-chain. »

Le rapprochement rend littérale une vieille critique : le conflit « l’émetteur paie », où le client choisit et rémunère celui qui l’évalue, est exactement la structure qui a permis les notes AAA sur des subprimes en 2008. À l’inverse, OpenZeppelin reste l’un des cabinets les plus honnêtes sur le périmètre. Sa rétrospective du hack de Balancer V2 détaille que son deuxième audit s’est achevé le 10 septembre 2021, dix jours avant l’ajout au dépôt du contrat ensuite exploité, « qui n’entrait pas dans le périmètre de notre mission ».

Verdict. La référence absolue pour la bibliothèque et parmi les plus francs sur ce qu’un audit ne couvre pas. La question ouverte : l’indépendance survit-elle à l’intérieur d’une agence de notation cotée ?

Trail of Bits et Halborn : l’ingénierie et l’offensive

Trail of Bits (fondé en 2012 à New York par Dan Guido et Alexander Sotirov) est l’atelier d’ingénierie du lot. Non financé par du capital-risque, il vit de ses missions et de contrats de recherche publics, et publie des outils open source devenus des standards de la profession : l’analyseur statique Slither, les fuzzers Echidna et Medusa. Il assume aussi ses ratés en public, à l’image de sa rétrospective sur Balancer, où il reconnaît avoir sous-évalué dès 2021 la gravité d’un défaut d’arrondi. La philosophie maison tient dans une phrase de son cofondateur Guido : « Je ne veux jamais retrouver deux fois le même bug. »

Sur la frontière technologique, le cabinet a basculé en interne vers l’IA (jusqu’à 200 bugs trouvés par semaine sur certaines missions, contre une quinzaine auparavant) et son système Buttercup a fini deuxième du concours AIxCC de la DARPA en 2025. Tarif indicatif : environ 25 000 $ par ingénieur et par semaine, soit 80 000 à 200 000 $ (environ 72 000 à 180 000 €) pour une mission d’entreprise.

Halborn (fondé en 2019 à Miami par Steven Walbroehl et Rob Behnke) joue une autre partition, l’offensive : red team, tests d’intrusion de dApps et de portefeuilles, réponse à incident, sécurité d’infrastructure et direction de la sécurité externalisée, sur EVM, Solana, Cosmos, Move et Algorand. Sa signature reste la divulgation Rab13s, qui a révélé des failles menaçant plus de 280 réseaux et plus de 25 Md$ d’actifs. Après une levée de 90 M$ (environ 81 M€) en série A auprès de Summit Partners en 2022 et l’arrivée du PDG Jacques Boschung en 2024, le cabinet pousse vers les banques et les actifs tokenisés, et a fait de ses autopsies « Explained » une vitrine.

Verdicts. Trail of Bits : la plus grande profondeur d’ingénierie et la plus grande franchise sur ses limites, au prix fort, mais ce n’est pas d’abord un spécialiste de la preuve formelle. Halborn : le meilleur choix quand il faut de l’offensif, de la réponse à incident et une couverture multi-chaîne orientée institutions.

Les spécialistes : preuve mathématique et hors-EVM

Certora occupe un créneau à part : la vérification formelle, c’est-à-dire la preuve mathématique qu’un contrat respecte une spécification pour toutes les exécutions possibles, pas seulement pour les cas testés. L’ingénieur écrit des règles dans le langage CVL, que le Prover confronte au code via des solveurs SMT (Z3, CVC5). Fondé en 2018 par Mooly Sagiv et Shelly Grossman, le cabinet a ouvert le code de son Prover en février 2025 et revendique plus de 100 Md$ (environ 90 Md€) de valeur couverte et plus de 70 000 règles écrites, avec une série B de 36 M$ menée par Jump Crypto.

La limite est explicite, et Certora la formule lui-même : la preuve ne vaut que pour ce qui est spécifié. Dans son décryptage du hack de Balancer, le cabinet admet que son audit de 2021 « ne contraignait pas la relation entre les swaps individuels ni le comportement d’arrondi » et que les propriétés vérifiées « n’étaient pas assez fortes pour détecter l’erreur d’arrondi ». Sur la V3, en revanche, il a prouvé qu’un aller-retour A vers B vers A ne pouvait pas produire de gain, et la V3 est restée intacte pendant l’attaque. Illustration parfaite de la règle : la vérification formelle est aussi solide que la spécification qu’on lui fournit.

Reste le hors-EVM. Le code qui casse en 2026 tourne de plus en plus sur Rust (Solana) et Move (Sui, Aptos), où l’outillage est plus jeune et le vivier d’auditeurs plus mince. Les spécialistes s’appellent Zellic (fondé en 2020, issu de l’équipe de CTF perfect blue, qui a racheté la plateforme de concours Code4rena en 2024) et OtterSec (fondé en 2022 par Robert Chen). Le cas qui les hante est Cetus : en mai 2025, ce protocole sur Sui a perdu environ 223 M$ (près de 200 M€) par un dépassement d’entier dans sa fonction de liquidité, alors que trois cabinets (OtterSec, MoveBit, Zellic) avaient examiné le code sans l’arrêter, le dernier audit datant d’environ un mois avant l’attaque. Pour Robert Chen, les programmes Solana « sont fondamentalement plus sûrs grâce au modèle de programmation », mais les attaques économiques, elles, transcendent la machine virtuelle.

Verdicts. Certora : la garantie la plus forte, mais prisonnière de sa spécification; indispensable pour les protocoles critiques, inutile si la bonne propriété n’est pas écrite. Zellic et OtterSec : incontournables sur Solana et Move, à condition de retenir la leçon de Cetus, à savoir que trois audits hors-EVM n’ont pas suffi. Le Rust et le Move se paient d’ailleurs 30 à 120 % de plus que l’EVM, faute d’experts.

Concours, couverture, conformité : les modèles alternatifs

À côté des cabinets à honoraires fixes, d’autres modèles se sont installés. L’audit par concours, d’abord : Cantina (le bras public de Spearbit, fusionnés en 2025) et Sherlock mettent des centaines de chercheurs en compétition sur un même code, rémunérés selon les failles trouvées. Cantina revendique environ 46,7 M$ (près de 42 M€) versés sur plus de 200 protocoles et a hébergé le concours d’Uniswap v4 (2,35 M$ de récompenses). Sherlock ajoute une couche économique : une couverture qui indemnise le protocole si une faille dans le périmètre est exploitée, à l’image du million de dollars versé à Euler en 2023. La plateforme pionnière, Code4rena, a fermé en mai 2026, ses clients repris par Immunefi.

Les bug bounties forment la troisième voie : Immunefi, le plus grand programme, a dépassé 140 M$ (environ 126 M€) de primes versées depuis sa création et protège plus de 180 Md$ d’actifs. C’est un filet complémentaire, pas un audit : il paie après coup pour une faille trouvée. Enfin le versant conformité, où Hacken (fondé en 2017 par des chercheurs ukrainiens) combine audit, tests d’intrusion et conformité, avec son score d’exchanges CER.live et sa plateforme de primes HackenProof; son rapport du premier trimestre 2026 recensait 44 incidents pour 482 M$ de pertes.

Aucun de ces modèles ne remplace une revue manuelle approfondie. Ils ajoutent des regards (concours), un adossement économique (couverture), une incitation continue (primes) ou une brique de conformité (Hacken). La bonne lecture est celle de couches empilées, pas de substituts.

Le comparatif, cabinet par cabinet

Le tableau ci-dessous résume la revue. Il n’établit pas un vainqueur unique : il met en regard spécialité, modèle économique, point fort et réserve principale, pour que le choix se fasse selon le langage, le périmètre et le budget du projet.

Le bilan 2026, ou l’audit au banc d’accusation

La meilleure façon de juger des cabinets reste de confronter leurs tampons à l’actualité. Le tableau suivant relie les grands vols de 2026 (et deux cas de 2025 devenus des références) à leur statut d’audit et à leur vecteur.

Deux schémas ressortent. Soit le vecteur était hors du périmètre d’un audit de code (Bitget, Kelp DAO, Drift) : aucun cabinet ne pouvait l’attraper, car la faille vivait dans les clés, la configuration ou l’infrastructure. Soit il était dans le périmètre et a quand même été manqué (Balancer, Cetus) : là, l’audit a échoué à sa mission propre. Ce second cas est le plus gênant pour la profession. Suhail Kakar, responsable des relations développeurs chez TAC Blockchain, le dit crûment à propos de Balancer : « audité par X ne veut presque rien dire; le code est difficile, la DeFi l’est encore plus ». Les plus grosses pertes, elles, relèvent souvent d’infrastructures, un risque que nous avons disséqué à propos des hacks qui n’ont plus besoin de pont.

La pile de confiance se recompose

Face à ce bilan, tous les grands cabinets poussent au-delà de l’audit ponctuel. CertiK vend sa « couche de confiance » et son monitoring Skynet, OpenZeppelin l’« évaluation du risque on-chain » sous l’aile de S&P, Halborn la réponse à incident et la direction de sécurité externalisée, Certora la vérification formelle continue, Sherlock sa couverture. La Fondation Ethereum a formalisé la même idée avec son initiative « Trillion Dollar Security » : un fonds d’un million de dollars (environ 900 000 €) qui finance jusqu’à 30 % du coût d’un audit auprès d’une vingtaine de cabinets, via la place de marché Areta et sous le contrôle de Nethermind et Chainlink Labs. C’est l’aveu que l’audit ponctuel seul ne tient pas à l’échelle d’un réseau à mille milliards.

Mais détecter n’est pas empêcher. La surveillance en temps réel vous apprend que vous êtes volé, souvent pendant que ça arrive, rarement avant; nous avons montré ailleurs pourquoi la détection ne vaut pas la prévention. L’audit, le monitoring, les primes et l’assurance sont des couches qui se complètent, aucune ne dédouane les autres.

Quant à l’assurance on-chain, censée indemniser en dernier recours, elle reste marginale : moins de 2 % de la valeur verrouillée en DeFi est couverte, et le mutualiste Nexus Mutual concentre l’essentiel de ce marché minuscule. Après un hack, la plupart des victimes ne sont donc remboursées ni par l’auditeur, ni par un assureur; au mieux, une partie des fonds est gelée à temps.

Et au-dessus de tout cela, un vide. Aucun régulateur n’accrédite les auditeurs de smart contracts. En France, l’AMF supervise les prestataires de services sur actifs numériques sous MiCA (la période transitoire a pris fin le 1er juillet 2026), et MiCA comme DORA imposent une résilience informatique au prestataire centralisé, mais aucun texte n’exige un audit de code Solidity ni n’habilite un auditeur. Le contraste avec les commissaires aux comptes est frappant : ceux-ci engagent une vraie responsabilité civile et pénale et sont encadrés par la Haute Autorité de l’audit depuis le 1er janvier 2024. Le rachat d’OpenZeppelin aiguise l’ironie : S&P Global Ratings est directement supervisée par l’ESMA en tant qu’agence de notation sous le règlement 1060/2009, mais l’activité d’audit de code qu’elle vient d’acheter, elle, n’a toujours pas de superviseur. Racheter un auditeur ne crée pas un régime d’accréditation; cela place seulement un parent supervisé au-dessus d’une activité qui ne l’est pas.

Comment lire un « audité par X » en 2026

Pour un investisseur ou une équipe, le bon réflexe n’est pas de chercher le « meilleur » cabinet dans l’absolu, mais de savoir lire ce qu’un label recouvre. Cinq gestes suffisent à séparer un vrai signal d’un simple autocollant.

• Ouvrez le rapport, pas le badge : s’il n’existe aucun rapport téléchargeable (site du cabinet, Skynet, GitHub, agrégateurs comme Solodit ou DeFiSafety), traitez le label comme inexistant.
• Vérifiez le périmètre et la date : nom du projet, réseau, adresse du contrat, version, portée, date. Un audit d’il y a dix-huit mois sur une autre version ne dit rien du code déployé aujourd’hui.
• Comparez le code déployé au code audité : le bytecode on-chain doit correspondre au commit référencé dans le rapport.
• Lisez la gravité et la maturité, pas seulement le nombre de findings : un « medium » facile peut peser plus qu’un « critical » difficile, et le niveau d’effort (en personnes-semaines) en dit long.
• Regardez surtout ce que l’audit n’a pas couvert : clés, multisig, oracles, infrastructure, dépendances hors-chaîne, mises à jour. C’est là que 2026 a saigné.

« Audité » est un point de départ, jamais une conclusion. En cette fin d’année où un trimestre record coexiste avec des cabinets qui changent de main et de métier, la seule garantie durable reste la vôtre : savoir lire ce que vous achetez.

Foire aux questions

Quel est le meilleur cabinet d’audit crypto en 2026 ?

Il n’existe pas de « meilleur » universel. OpenZeppelin et Trail of Bits dominent sur l’EVM et les standards, Certora sur la preuve mathématique, Zellic et OtterSec sur Solana et Move, Halborn sur l’offensif et la réponse à incident, CertiK sur l’échelle et la surveillance. Le bon choix dépend du langage, du périmètre et du budget; exigez toujours un rapport public et récent.

Un projet « audité » est-il sûr ?

Non. Un audit couvre un périmètre de code défini à un instant donné. En 2026, l’essentiel des pertes est passé par des clés, des infrastructures, des oracles ou de l’ingénierie sociale, hors du champ d’un audit de code. Le post-mortem d’OpenZeppelin sur Kelp DAO, intitulé « 292 millions perdus, zéro bug trouvé », résume le problème.

Pourquoi des protocoles audités plusieurs fois se font-ils quand même pirater ?

Deux cas de figure. Soit le vecteur était hors périmètre (clés, configuration, infrastructure), comme pour Bitget ou Kelp DAO. Soit il était dans le périmètre et a été manqué, comme l’erreur d’arrondi de Balancer V2 (plus de dix audits) ou le dépassement d’entier de Cetus (trois cabinets). Un audit réduit le risque, il ne l’annule pas.

Combien coûte un audit de smart contract ?

Les ordres de grandeur 2026 vont d’environ 8 000 à 25 000 $ (7 000 à 22 000 €) pour une boutique, de 25 000 à 80 000 $ pour un cabinet intermédiaire, et de 80 000 à 350 000 $ pour le haut de gamme. Le Rust (Solana) et le Move se paient 30 à 120 % de plus que l’EVM, faute d’auditeurs qualifiés.

Un régulateur accrédite-t-il les auditeurs de smart contracts ?

Non. Ni l’AMF, ni MiCA, ni DORA n’imposent un audit de code ou n’accréditent les auditeurs; la qualité est policée par la réputation. C’est l’inverse des commissaires aux comptes, encadrés en France par la H2A depuis le 1er janvier 2024. Le rachat d’OpenZeppelin par S&P Global, agence supervisée par l’ESMA, n’y change rien : il place un parent supervisé au-dessus d’une activité qui, elle, ne l’est pas.

Par la rédaction de HOGE Wire, desk sécurité.