CertiK décrypté : l’auditeur star de la crypto passé au crible

Deux fois par an, un rapport rythme la conversation sur la sécurité crypto : le Hack3d de CertiK, publié par le plus gros cabinet d’audit de la blockchain. L’édition du premier semestre 2026 chiffre les pertes de l’écosystème à près de 1,14 milliard d’euros (1,31 milliard de dollars) sur 344 incidents, selon le communiqué officiel de la société. Mais le chiffre n’est pas ce qui a le plus marqué son cofondateur.

« Ce qui ressort le plus, c’est la forme des pertes », résume Ronghui Gu, PDG de CertiK, cité par Forbes. La quasi-totalité des sommes volées au premier semestre n’a rien à voir avec un bug de code. Elles sont parties par des clés privées compromises, des multisig mal gardées, des infrastructures détournées. Autrement dit : par la porte que l’audit de smart contract, cœur de métier historique de CertiK, ne verrouille pas.

C’est tout le paradoxe de l’entreprise que cet article décortique. CertiK a bâti un empire valorisé environ 1,7 milliard d’euros sur la promesse de prouver mathématiquement qu’un contrat est sûr, au moment même où ses propres données montrent que le risque s’est déplacé ailleurs. Gardien salué par les uns, symbole du « tampon d’audit » qui rassure à tort pour les autres, CertiK mérite qu’on regarde sous le capot : son histoire, ses produits, ses chiffres, ses controverses et ce que vaut vraiment, en 2026, la mention « audité par CertiK ».

De la salle de classe de Yale à la salle des marchés

CertiK ne naît pas dans la crypto, mais dans un laboratoire universitaire. En 2016, Ronghui Gu, alors doctorant, et Zhong Shao, professeur et directeur du département d’informatique de l’université Yale, achèvent CertiKOS : le premier noyau de système d’exploitation multicœur entièrement vérifié de façon formelle, c’est-à-dire dont chaque comportement possible a été prouvé mathématiquement correct. Le résultat, salué à l’époque comme « inviolable », donne à l’entreprise son nom (Certified Kernel) et son ADN : appliquer la vérification formelle, réservée jusque-là à l’aéronautique ou au nucléaire, au code qui déplace de l’argent.

Gu, devenu professeur assistant à l’université Columbia (titulaire de la chaire Tang Family, doctorat de Yale, diplôme de Tsinghua), fonde CertiK en 2017 avec Shao, docteur de Princeton et titulaire de chaire à Yale. Le raisonnement de départ est simple : puisqu’un smart contract est immuable une fois déployé et qu’il gère parfois des milliards, il faut le traiter avec la rigueur d’un logiciel critique, pas d’un site web. La vérification formelle promet ce que les tests classiques ne donnent jamais : non pas « nous n’avons pas trouvé de bug », mais « nous avons prouvé qu’une classe entière de bugs est impossible ».

Cette filiation académique reste, encore aujourd’hui, l’argument de vente le plus solide de CertiK face à des concurrents nés du conseil ou du hacking offensif. Elle a aussi ses limites : prouver qu’un contrat respecte sa spécification ne sert à rien si la spécification elle-même est fausse, ou si le danger vient d’ailleurs que du code. Toute l’histoire récente de l’entreprise se joue dans cet écart entre la promesse mathématique et la réalité du terrain.

Le passage de la théorie à la pratique a suivi le rythme de la crypto elle-même. Quand la vague des ICO de 2017 et 2018 a déversé des milliers de contrats non testés sur Ethereum, la demande d’audits a explosé, et CertiK s’est engouffré dans la brèche avec un discours simple : nous ne faisons pas que relire votre code, nous le prouvons. L’entreprise a ensuite élargi son offre bien au-delà de l’audit ponctuel, à mesure que les montants en jeu, et donc les cibles, grossissaient. C’est cette trajectoire, d’un outil universitaire de niche à une plateforme de sécurité tous services, qui explique sa position dominante actuelle.

Ce que CertiK fait vraiment : quatre métiers, un tableau de bord

Réduire CertiK à « un cabinet d’audit » est trompeur. La société vend en réalité une pile de services qui se complètent, et c’est cette intégration, plus que l’audit seul, qui explique sa position dominante. Le socle reste l’audit de smart contract, qui combine trois approches : revue manuelle par des ingénieurs, moteurs de vérification formelle qui calculent l’ensemble des états possibles d’un contrat, et, depuis peu, des outils d’intelligence artificielle.

Au-dessus de l’audit, Skynet surveille les protocoles en continu une fois déployés ; la pile ajoute le test d’intrusion (pentest), un programme de bug bounty, et SkyInsights, une offre de conformité KYC/AML destinée aux plateformes et aux régulateurs. Le message commercial est limpide : un audit est une photographie, la sécurité est un film. Chaque produit répond à un angle mort du précédent, et c’est précisément parce que l’audit seul ne suffit pas que CertiK a construit tout le reste.

La vérification formelle, joyau technique de la maison, mérite qu’on en précise les limites. Prouver mathématiquement qu’un contrat se comporte « comme prévu » suppose d’abord de définir ce que veut dire « comme prévu » : une spécification. Si cette spécification oublie un scénario, par exemple une interaction inattendue avec un autre protocole, la preuve reste vraie mais inutile. La méthode élimine des classes entières de bugs d’implémentation ; elle ne dit rien des erreurs de conception, des hypothèses économiques fausses ou des clés mal gardées. C’est un outil puissant sur un périmètre étroit, pas une baguette magique, et confondre les deux est la première erreur de lecture d’un audit.

Skynet, le tableau de bord qui note toute la crypto

Skynet est l’arme de différenciation de CertiK. C’est un tableau de bord public qui attribue à des milliers de projets, de plateformes et de portefeuilles un « Skynet Score » censé refléter, en temps réel, leur niveau de risque. Selon la page produit de la société, l’outil surveille l’équivalent de près de 500 milliards de dollars (environ 430 milliards d’euros) de valeur de marché. Pour beaucoup d’investisseurs particuliers, ce score est devenu un premier réflexe avant d’acheter un jeton.

L’échelle de CertiK impressionne : plus de 5 000 clients, près de 20 000 projets audités et plus de 115 000 vulnérabilités détectées depuis sa création, d’après ses propres chiffres. Cette omniprésence est à double tranchant. Elle fait de CertiK un point de passage quasi obligé pour tout projet cherchant de la crédibilité ; elle transforme aussi son logo en signal marketing, parfois brandi par des équipes dont l’audit ne couvrait qu’une fraction du code. Nous y reviendrons, car c’est là que se nichent les controverses.

Le Skynet Score lui-même fait débat. Il agrège des signaux variés (qualité du code audité, sécurité opérationnelle, activité de gouvernance, fondamentaux du marché, sentiment de la communauté) en une note synthétique facile à lire. La commodité a un revers : une note unique peut donner un faux sentiment de sécurité, réagir avec retard à un événement, ou être perçue comme un feu vert par des investisseurs qui n’ouvriront jamais le rapport d’audit sous-jacent. CertiK présente le score comme un point de départ, pas comme un verdict ; dans les faits, beaucoup le lisent comme une note sur vingt, ce qui est précisément l’usage contre lequel il faudrait se prémunir.

L’empire chiffré : levées de fonds et valorisation

CertiK n’est pas une association de chercheurs mais une entreprise très capitalisée. D’après Crunchbase, la société new-yorkaise a levé environ 296 millions de dollars (près de 256 millions d’euros) au fil de plusieurs tours, pour une valorisation d’environ 2 milliards de dollars (près de 1,7 milliard d’euros) au stade de série B. Parmi ses investisseurs figurent des noms qui pèsent lourd, comme Tiger Global, Coinbase ou Insight Partners.

Cette assise financière compte pour comprendre les controverses qui suivent. Un cabinet valorisé deux milliards a les moyens d’attirer les meilleurs ingénieurs et de bâtir des outils propriétaires ; il a aussi une marque à défendre et un flux de contrats à protéger, ce qui alimente le soupçon récurrent d’audits menés trop vite pour tenir la cadence commerciale. La taille est à la fois la meilleure garantie de sérieux et la principale source de conflit d’intérêts.

Hack3d, premier semestre 2026 : la « forme » des pertes

Le rapport Hack3d est l’un des baromètres les plus cités du secteur, et l’édition du premier semestre 2026 est riche d’enseignements. Les pertes atteignent près de 1,14 milliard d’euros (1,31 milliard de dollars) sur 344 incidents. Le chiffre paraît en baisse par rapport à 2025, mais c’est un trompe-l’œil : ce record précédent était gonflé par le vol de 1,45 milliard de dollars subi par Bybit. Retiré cet événement isolé, les pertes du semestre sont en réalité environ 28 % plus élevées d’une année sur l’autre, note CertiK. Le deuxième trimestre à lui seul compte 194 incidents, contre 145 un an plus tôt.

La tendance de fond, résumée par le titre de l’analyse de Forbes, tient en une formule : des piratages moins nombreux mais bien plus chirurgicaux. Les attaquants les plus sophistiqués, souvent liés à la Corée du Nord selon les enquêteurs, ne ratissent plus large ; ils choisissent quelques cibles à très forte valeur et frappent au point le plus faible, presque toujours humain ou opérationnel. Le nombre d’incidents progresse, porté par les arnaques et le phishing de masse, mais la valeur se concentre sur une poignée de coups d’éclat. Un audit de code, par construction, ne change rien à cette équation.

Le plus instructif tient dans la répartition par vecteur d’attaque. La compromission de portefeuilles et de clés domine largement en valeur, loin devant le phishing, tandis que les bugs de code, pourtant les plus nombreux, coûtent le moins cher. C’est exactement l’inverse de ce que le grand public associe à un « hack crypto ».

« La compromission de portefeuilles a été la catégorie la plus coûteuse du semestre, avec plus de 444 millions de dollars, soit une moyenne de plus de 13 millions de dollars par événement, de loin la plus élevée de toutes les catégories », écrit Ronghui Gu, cité par Forbes. Sa conclusion résume la thèse de tout cet article : « Les attaquants obtiennent un meilleur rendement en s’attaquant à la gestion des clés, à la gouvernance multisig et à l’infrastructure opérationnelle qu’en cherchant des bugs dans le code. »

Kelp DAO et Drift : quand le code n’est pas coupable

Deux incidents d’avril 2026 concentrent à eux seuls près de 44 % des pertes du semestre. Kelp DAO, un protocole de restaking liquide (rsETH), a perdu environ 252 millions d’euros (291,3 millions de dollars) ; Drift Protocol, environ 247 millions d’euros (285,3 millions de dollars). « Une part énorme des dégâts du semestre se résume à deux incidents, Kelp DAO et Drift Protocol (…) Les deux étaient des défaillances de sécurité opérationnelle et d’infrastructure, pas des vulnérabilités de code au sens traditionnel », détaille Gu.

Le cas Kelp DAO est emblématique. Le rendement du restaking, recyclé en collatéral dans toute la DeFi, propage le risque bien au-delà du contrat d’origine ; nous l’avions détaillé dans notre analyse du rendement du restaking recyclé en collatéral. Or aucun de ces deux vols n’a exploité une faille dans un smart contract audité : ils ont visé la configuration hors chaîne, les nœuds RPC, les clés. C’est précisément le domaine que couvre notre dossier sur la compromission de clés privées, devenue le vrai risque crypto de 2026. Quand un protocole de restaking tombe, la contagion peut aussi frapper les marchés de prêt qui acceptaient son jeton en garantie, un enchaînement décrit dans notre papier sur le prêt DeFi et le risque des curateurs.

Ce mécanisme de contagion est ce qui rend les défaillances opérationnelles si dangereuses en 2026. Un jeton de restaking compromis n’est pas un problème isolé : réutilisé comme collatéral d’emprunt, empilé dans des stratégies à effet de levier, il peut déclencher des liquidations en chaîne bien au-delà du protocole d’origine. L’audit du contrat initial, même parfait, n’aurait rien empêché, parce que le point de rupture se trouvait dans la configuration d’un pont et la garde d’une clé, pas dans une ligne de Solidity. C’est la définition même du risque systémique appliquée à la finance décentralisée.

« La fenêtre du danger ne se referme pas après le lancement »

Si le code n’est plus le principal coupable, à quoi sert encore un audit ponctuel ? Gu répond en pointant un angle mort du modèle : « Un projet est audité une fois avant le déploiement, il passe, puis il ne revisite plus jamais ce code. La fenêtre du danger ne se referme pas après le lancement. » Un contrat jugé sûr en janvier peut être ensuite intégré, forké, connecté à un oracle ou à un pont qui, eux, changent tout le profil de risque sans qu’une seule ligne du contrat audité n’ait bougé.

Cet argument est aussi, bien sûr, l’argumentaire de vente de Skynet : si l’audit est une photo, alors il faut vendre l’abonnement à la surveillance continue. Le raisonnement n’en est pas moins juste. Le débat n’est plus « audité ou non », mais « surveillé et maintenu, ou abandonné après le lancement ». C’est un changement de culture que le secteur commence tout juste à intégrer, et que CertiK, en bon vendeur, a tout intérêt à accélérer.

L’affaire Kraken : white hat ou extorsion ?

Aucun récit honnête sur CertiK ne peut éviter juin 2024. Le 9 de ce mois, la plateforme Kraken reçoit, via son programme de bug bounty, un signalement « extrêmement critique » : une faille permettait de gonfler artificiellement le solde d’un compte sans finaliser un dépôt. Le problème n’était pas le signalement, mais ce qui a suivi. Pendant cinq jours, des chercheurs ont retiré environ 2,6 millions d’euros (3 millions de dollars) de fonds réels de l’échange, puis ont, selon Kraken, refusé de les rendre tant qu’une récompense n’était pas négociée.

« Ce n’est pas du piratage white hat, c’est de l’extorsion », a tranché Nick Percoco, directeur de la sécurité de Kraken, dans des propos rapportés par CoinDesk. Les chercheurs se sont révélés être des employés de CertiK. La faille, elle, a été corrigée en 47 minutes.

CertiK a livré une version radicalement différente : la société affirme avoir mené une recherche de sécurité légitime et dit avoir reçu des menaces de la part de Kraken. Les fonds ont finalement été restitués, à quelques frais près, mais le détail qui a le plus choqué la communauté est venu ensuite : une partie des sommes avait transité par Tornado Cash, le mixeur sous sanctions, un choix que plusieurs experts cités par DL News ont jugé, au mieux, très maladroit pour une entreprise de sécurité. L’épisode a durablement fragilisé l’image d’un gardien censé incarner l’éthique du secteur.

Au-delà de la polémique, l’affaire a relancé un débat utile sur les règles du hacking éthique. Un chercheur white hat signale une faille, en démontre l’impact avec le strict minimum de fonds, puis restitue tout : retirer 3 millions de dollars sur cinq jours sort clairement de ce cadre. La plupart des programmes de bug bounty fixent désormais des limites explicites (montant de démonstration plafonné, obligation de restitution immédiate, interdiction de négocier la prime sous la menace). Paradoxalement, c’est le plus grand auditeur du secteur qui a fourni le contre-exemple le plus cité pour écrire ces règles.

Merlin, Swaprum et le label qui dérape

La deuxième critique récurrente vise la qualité et la portée des audits eux-mêmes. Plusieurs projets estampillés CertiK se sont effondrés peu après leur revue. Le cas Swaprum est documenté : ce protocole DeFi, qui avait obtenu un audit CertiK, a été vidé d’environ 3 millions de dollars par ses propres développeurs, un rug pull rapporté par DL News, qui rappelait qu’il s’inscrivait dans une série de protocoles audités par CertiK ayant ensuite perdu des fonds. Le DEX Merlin, sur zkSync, avait connu un scénario voisin en 2023, drainé par son équipe quelques jours après avoir reçu une note de sécurité élevée.

La nuance est réelle : un rug pull relève d’un design malveillant ou d’une clé d’administration abusive, pas toujours d’un bug qu’un audit de code standard aurait détecté. Un auditeur peut légitimement plaider que valider la logique d’un contrat ne revient pas à certifier l’honnêteté de l’équipe qui détient les clés. Mais quand un logo « audité par CertiK » sert d’argument de vente à une arnaque, la responsabilité morale de l’auditeur, elle, reste posée, et c’est le cœur du reproche d’anciens clients sur la profondeur réelle de certaines revues.

Ce reproche renvoie à une critique plus large, celle de l’audit devenu un tampon commercial. Quand un cabinet signe des dizaines de milliers de revues, le risque est que la marque prenne le pas sur le travail, et que certains projets achètent surtout un logo à afficher plutôt qu’une analyse en profondeur. CertiK conteste cette lecture et met en avant la rigueur de sa méthodologie et l’ampleur de ses effectifs. Mais le simple fait que la question se pose, à ce niveau de notoriété, dit la difficulté d’aligner un modèle économique de volume avec une exigence artisanale de qualité.

Le virage IA : AI Auditor et la sécurité des agents

Face à ce déplacement du risque, CertiK a opéré en 2026 un virage assumé vers l’intelligence artificielle. En avril, la société a lancé AI Auditor, un outil d’abord développé en interne, testé plus de six mois, puis ouvert au public. Évalué contre 35 incidents de sécurité réels survenus en 2026, il revendique un taux de détection exacte cumulé de 88,6 %, avec un niveau volontairement bas de faux positifs. CertiK insiste : l’outil complète les auditeurs humains, il ne les remplace pas ; il automatise la détection de base pour laisser aux experts les vecteurs d’attaque inédits et le jugement de haut niveau.

La société a aussi tourné son attention vers un nouveau front : la sécurité des agents autonomes dotés d’un portefeuille. Gu formule le danger avec précision : « Un agent IA disposant d’un accès à un portefeuille est essentiellement un nouveau type de détenteur de clé privilégié, sauf que sa prise de décision peut être manipulée par des entrées de façons qu’un humain pourrait repérer et qu’un agent mal encadré ne repérera pas. » À mesure que la finance on-chain se peuple de bots, cette frontière (l’injection de prompt qui vide un portefeuille) pourrait devenir le terrain d’audit le plus disputé des prochaines années.

Reste à ne pas confondre l’outil et la garantie. Un taux de détection de 88,6 % contre un panel d’incidents connus impressionne, mais il se mesure sur des attaques déjà comprises ; or les vols les plus coûteux de 2026 sont justement ceux que personne n’avait modélisés. Une part croissante de la profession met en garde contre l’illusion d’une sécurité automatisée : demander à un modèle de langage de relire un contrat n’est pas un programme de sécurité, et un faux négatif livré avec l’aplomb d’une machine peut être plus dangereux qu’un doute humain. CertiK le reconnaît d’ailleurs en positionnant l’IA en complément, non en substitut, de ses ingénieurs.

Les attaques « à la clé à molette » : la violence sort de l’écran

CertiK ne se limite pas au code : son unité Intel3D documente aussi la criminalité physique visant les détenteurs de crypto, les « wrench attacks » (littéralement « attaques à la clé à molette », où l’agresseur contraint physiquement la victime à transférer ses fonds). Selon son rapport du premier semestre 2026, ces agressions ont bondi de 33 % : 52 cas vérifiés dans le monde (contre 39 un an plus tôt), pour une exposition financière estimée à environ 107 millions d’euros (124,1 millions de dollars).

Cette statistique dit quelque chose de profond sur la maturité du secteur. Quand la sécurité logicielle progresse, les attaquants ne renoncent pas : ils descendent d’un cran, vers le maillon humain. Aucun audit de smart contract, aucune vérification formelle ne protège contre une agression au domicile ou un enlèvement. La sécurité crypto de 2026 est autant une affaire d’hygiène opérationnelle, de discrétion et de garde des clés que de qualité du code, et un auditeur qui l’ignore vend une illusion de protection.

Ce qu’un audit ne garantira jamais

Il faut le dire clairement, car CertiK lui-même le reconnaît à demi-mot dans ses rapports : un audit est nécessaire, mais très loin d’être suffisant. Ses limites sont structurelles, et les connaître change la façon de lire n’importe quel rapport de sécurité.

• Une photographie à un instant T : le code ajouté ou modifié après l’audit n’est pas couvert.
• Un périmètre contractuel : seuls les fichiers listés sont examinés, pas les dépendances tierces ni les intégrations.
• Les clés et l’infrastructure : multisig, nœuds RPC, serveurs et portefeuilles d’administration restent hors champ.
• Les failles économiques et de gouvernance : manipulation d’oracle, attaque de vote, incitations perverses.
• Le facteur humain : phishing, ingénierie sociale, coercition physique.

Le constat est partagé bien au-delà de CertiK. Après le vol de plus de 100 millions de dollars subi par Balancer (un protocole audité plus de dix fois, mais pas par CertiK), Suhail Kakar, responsable des relations développeurs chez TAC Blockchain, résumait la lassitude du milieu dans des propos rapportés par Cointelegraph : « Ce milieu doit accepter que la mention audité par untel ne veut presque rien dire. Le code est difficile, la DeFi l’est encore plus. » La formule vaut pour tous les cabinets, CertiK compris.

CertiK face au régulateur : AMF, MiCA et le vide normatif

Voici le point le plus mal compris du grand public : aucun régulateur, ni aux États-Unis, ni en Europe, ni en France, n’accrédite les auditeurs de smart contracts ni n’impose un audit de code. Il n’existe pas d’équivalent du commissaire aux comptes pour le Solidity. En Europe, le règlement MiCA encadre les prestataires de services sur crypto-actifs (les PSCA, ex-PSAN en France) et les émetteurs, pas la qualité du code d’un protocole. Le règlement DORA, en vigueur pour ces prestataires depuis le 17 janvier 2025, impose une résilience informatique et opérationnelle, mais ne réclame toujours pas l’audit d’un contrat intelligent.

Côté français, l’AMF a rappelé que la période transitoire permettant aux anciens PSAN d’exercer sans agrément MiCA complet s’est achevée le 1er juillet 2026 ; les acteurs non conformes doivent cesser leur activité de façon ordonnée. Mais rien de tout cela ne concerne l’auditeur. Le contraste avec la finance traditionnelle est saisissant : un commissaire aux comptes français engage une vraie responsabilité civile et pénale et est supervisé, depuis le 1er janvier 2024, par la Haute Autorité de l’audit (H2A). Pour un auditeur de smart contract, il n’existe aucun régime équivalent : la seule sanction est réputationnelle. Autant dire que le « tribunal » qui juge CertiK est le marché, et il est notoirement clément.

Ce vide est d’autant plus sensible que la DeFi pleinement décentralisée échappe elle-même à MiCA : sans prestataire identifié, il n’y a personne à agréer ni à sanctionner, et l’audit suivi du post-mortem devient la seule forme de reddition de comptes. Faut-il pour autant un régulateur des auditeurs de code ? L’idée séduit, mais elle se heurte à un obstacle concret : normer une discipline qui évolue à la vitesse des exploits reviendrait à figer des méthodes déjà dépassées. En attendant, la responsabilité repose sur la transparence des rapports, la pression des pairs et la mémoire, courte, du marché.

Faut-il se fier au label « audité par CertiK » ?

La réponse honnête est : oui, mais pas comme un gage d’absence de risque. Un audit CertiK, comme celui de n’importe quel grand cabinet, indique qu’un travail sérieux a probablement été fait sur le code examiné, à une date donnée. Il ne dit rien sur les clés du protocole, sur ce qui a été déployé après, ni sur l’honnêteté de l’équipe. Voici quelques réflexes utiles pour lire un tel label sans se bercer d’illusions.

• Lisez le rapport, pas le badge : vérifiez la date, le périmètre exact et les commits couverts.
• Regardez le suivi : les vulnérabilités signalées ont-elles été corrigées, et la correction a-t-elle été revérifiée ?
• Méfiez-vous du score seul : un Skynet Score élevé n’immunise pas contre une clé volée.
• Exigez la surveillance continue : un audit unique vieillit vite, comme le rappelle Gu.
• Croisez les sources : un audit ne remplace ni un bug bounty ni un test d’intrusion.

Pour aller plus loin, notre grille de lecture pour choisir un cabinet d’audit crypto détaille les six critères qui séparent un vrai auditeur d’un simple tampon commercial, et notre revue des plateformes de concours d’audit et de bug bounties montre comment le modèle compétitif complète, voire concurrence, le cabinet à honoraires fixes. CertiK reste un acteur incontournable de la sécurité blockchain ; il n’est pas, et n’a jamais prétendu être, une assurance tous risques.

Foire aux questions

CertiK est-il fiable ?

CertiK est le plus grand auditeur de sécurité blockchain, adossé à une vraie expertise académique en vérification formelle et à des levées de fonds importantes. Fiable pour analyser du code, oui ; mais un audit ne couvre ni les clés privées, ni l’infrastructure, ni ce qui est déployé après la revue. Plusieurs projets audités ont été piratés, et l’affaire Kraken de 2024 a écorné son image. Un audit CertiK réduit un type de risque, il ne les supprime pas tous.

Qui a fondé CertiK et en quelle année ?

CertiK a été fondé en 2017 par Ronghui Gu, professeur à l’université Columbia, et Zhong Shao, professeur à Yale. Les deux hommes venaient de créer CertiKOS, le premier noyau de système d’exploitation entièrement vérifié de façon formelle. L’entreprise, basée à New York, applique cette rigueur mathématique à la sécurité des smart contracts.

Qu’est-ce que le Skynet Score de CertiK ?

Skynet est un tableau de bord public qui attribue en temps réel un score de risque à des milliers de projets, plateformes et portefeuilles crypto. Il surveille l’équivalent de près de 500 milliards de dollars de valeur de marché. C’est un indicateur utile, mais un score élevé ne garantit pas la sécurité : il ne protège pas contre une clé compromise ou une arnaque de l’équipe.

Que s’est-il passé entre CertiK et Kraken en 2024 ?

En juin 2024, des chercheurs de CertiK ont exploité une faille de Kraken pour retirer environ 3 millions de dollars de fonds réels sur cinq jours. Kraken a qualifié d’extorsion la demande de récompense qui a suivi, tandis que CertiK a affirmé mener une recherche légitime et avoir reçu des menaces. Les fonds ont été rendus, mais une partie avait transité par le mixeur Tornado Cash, ce qui a nourri la polémique.

Un audit CertiK empêche-t-il un piratage ?

Non. Le rapport Hack3d de CertiK lui-même montre qu’en 2026, l’essentiel des pertes vient de clés compromises et de failles d’infrastructure, pas de bugs de code. Un audit est une photographie du code à une date donnée ; il doit être complété par une surveillance continue, un bug bounty, une bonne garde des clés et des tests d’intrusion.

Par Anneke de Vries, journaliste sécurité chez HOGE Wire.