CertiK devient « couche de confiance » : quand l’audit recule

Le 8 octobre 2026, sur la scène de TOKEN2049 Singapore, l’un des plus grands auditeurs de sécurité de la crypto a fait une chose étonnante pour une maison d’audit : il a cessé de se présenter d’abord comme un auditeur. CertiK a dévoilé une refonte de marque et un nouveau positionnement, « la couche de confiance pour la valeur numérique » (The Trust Layer for Digital Value), en revendiquant une mission plus large, « bâtir l’infrastructure de confiance de l’économie numérique ».

Le choix du vocabulaire n’est pas anodin. Pendant des années, CertiK s’est vendue sur une promesse simple : faites relire votre code avant le déploiement, obtenez un rapport, affichez le badge. En 2026, cette promesse a pris l’eau. Les plus grosses pertes de l’année ne sont pas venues de bugs dans le code audité, mais de clés volées, de systèmes internes compromis et de processus de signature détournés. Repositionner la marque sur la « confiance » plutôt que sur l’« audit », c’est, qu’on le veuille ou non, un aveu : la carte des pertes ne suit plus la carte des audits.

Ce que CertiK a annoncé à TOKEN2049

L’annonce a été faite les 7 et 8 octobre 2026 à Marina Bay Sands, à l’occasion de TOKEN2049 Singapore, le grand rendez-vous crypto asiatique. Selon le communiqué repris par le fil Chainwire, CertiK ne change pas de nom mais de posture : la société née de la relecture de smart contracts se présente désormais comme un fournisseur d’« infrastructure de confiance » pour les institutions financières, les régulateurs et les entreprises.

Le porte-parole de ce virage est Jason Jiang, directeur commercial (Chief Business Officer) de CertiK. « Les actifs numériques changent la façon dont la valeur circule. Les institutions qui proposent des services d’actifs numériques et les régulateurs qui les supervisent ont besoin que la sécurité, la conformité et la visibilité sur le risque fonctionnent ensemble », a-t-il déclaré. « Notre refonte de marque reflète la façon dont CertiK a évolué pour répondre à ces besoins, et notre ambition de servir de couche de confiance pour la valeur numérique. »

Derrière le slogan, CertiK affiche un catalogue élargi. L’audit de smart contracts et la vérification formelle, son cœur de métier historique, ne sont plus qu’une ligne parmi d’autres, à côté du test d’intrusion, de la surveillance on-chain Skynet, de l’AI Auditor lancé au printemps, mais aussi d’outils de conformité (CertiK Compliance), de supervision du risque en temps réel (CertiK Supervision), de preuve de réserves et de services de validation. Le tableau ci-dessous résume ce que recouvre chaque brique et, surtout, si elle protège à un instant T ou en continu.

CertiK en bref : de CertiKOS à « couche de confiance »

CertiK est née en 2018 à New York, fondée par deux universitaires : Ronghui Gu, professeur à Columbia et actuel PDG, et Zhong Shao, professeur à Yale. Leur point de départ n’avait rien à voir avec la crypto : CertiKOS, le premier noyau de système d’exploitation entièrement vérifié formellement. Le nom même de l’entreprise, contraction de Certified Kernel, en garde la trace. L’idée était de transposer la vérification formelle, qui prouve mathématiquement qu’un programme respecte une spécification, aux smart contracts.

Huit ans plus tard, l’entreprise revendique plus de 5 500 clients dans plus de 150 pays, plus de 119 000 vulnérabilités détectées et du code sécurisant plus de 600 milliards de dollars d’actifs numériques (environ 543 milliards d’euros), selon le communiqué de la refonte. Elle a été valorisée autour de 2 milliards de dollars (environ 1,8 milliard d’euros) lors d’une levée de 2022 menée notamment par Insight Partners, Tiger Global et Advent International, avec Binance et Coinbase au capital, d’après The Block. Autrement dit, ce n’est pas une start-up qui se cherche, mais le leader d’un secteur qui décide de changer de discours.

Pourquoi « couche de confiance » et pas « auditeur de code »

Un audit de code est une photographie. On fige le code à un instant donné, on le relit, on signe un rapport. Le problème, résumé par Ronghui Gu lui-même, est que la fenêtre de danger ne se referme pas après le lancement : un projet est audité une fois, passe l’examen, puis ne revisite jamais ce code, alors que l’attaque, elle, peut survenir des mois plus tard et viser tout autre chose que le contrat. En 2026, ce décalage est devenu la règle plutôt que l’exception.

Le vocabulaire de la « couche de confiance » tente de combler ce vide. Là où l’audit s’arrête au déploiement, la surveillance continue (Skynet), la supervision du risque et la preuve de réserves prétendent accompagner un projet, un exchange ou une institution dans la durée. C’est cohérent sur le papier. C’est aussi, commercialement, un bien meilleur modèle : un rapport ponctuel se vend une fois, un abonnement de supervision se facture tous les mois. Reste à savoir si l’étiquette décrit une capacité réelle à empêcher les pertes, ou seulement à les constater plus vite.

Le paradoxe de l’audit, en chiffres 2026

Les chiffres de CertiK racontent mieux que n’importe quel slogan pourquoi l’entreprise change de registre. Sur les neuf premiers mois de 2026, les acteurs de la crypto ont perdu près de 2,7 milliards de dollars (environ 2,44 milliards d’euros) en 658 incidents de sécurité, dont quelque 2,26 milliards de dollars de pertes nettes une fois déduits les fonds gelés ou restitués, soit environ 420 millions de dollars récupérés, selon le décompte relayé par Atlas21. Septembre à lui seul a coûté 766,5 millions de dollars (environ 694 millions d’euros), le pire mois de l’année, tiré par les affaires Bitget et Liquid Network.

Le plus parlant tient dans la nature des cinq plus grosses pertes, qui totalisent à elles seules environ 1,57 milliard de dollars (environ 1,42 milliard d’euros).

Un seul de ces cinq sinistres, Liquid Network, tient à un bug dans le code (une faille de validation de preuve). Les autres relèvent de ce que le secteur appelle pudiquement les failles hors code : une clé d’administration compromise chez Drift, un serveur RPC détourné chez Kelp DAO, un système interne piraté et un circuit de signature retourné contre la maison chez Bitget. Aucun auditeur de smart contracts, aussi rigoureux soit-il, n’aurait vu venir ces quatre-là en relisant le code. C’est exactement le constat que dresse Gu chez Forbes : « Les attaquants obtiennent un meilleur rendement en s’en prenant à la gestion des clés, à la gouvernance multisig et à l’infrastructure opérationnelle qu’en cherchant des bugs dans le code. » À l’autre bout du spectre, les incidents les plus nombreux restent le phishing et les petites failles de code ; le premier vise l’utilisateur plutôt que le protocole, comme le rappelle le casse du copier-coller de l’empoisonnement d’adresses.

Le détail de septembre enfonce le clou. Dans la ventilation par type de faille de ce mois record, ce sont les compromissions de services tiers et les signatures ou preuves invalides qui ont représenté l’écrasante majorité des pertes, selon crypto.news. La réentrance, pourtant le bug de smart contract le plus étudié, le plus enseigné et le premier que traque tout audit, fermait la marche avec une part marginale. En clair : la catégorie que l’audit de code sait le mieux attraper est devenue un détail statistique, pendant que les failles qu’il ne couvre pas raflent la mise.

La même semaine, deux protocoles vidés sans faille de code

Pour mesurer à quel point ce constat est d’actualité, il suffit de regarder la semaine même de la refonte. Le 7 octobre 2026, le protocole 79thVault a perdu environ 12,5 millions de dollars (près de 11,3 millions d’euros), soit 16 249 BNB, sur BNB Chain. L’attaquant n’a exploité aucune subtilité cryptographique : une adresse disposant du rôle privilégié OPERATOR_ROLE a utilisé une fonction d’administration pour déplacer les jetons 79AU hors de la réserve sans paiement, puis les a revendus dans le pool pour en extraire les réserves en USDT. CertiK a signalé l’opération comme un exploit présumé passant par une fonction privilégiée.

Trois jours plus tôt, le 4 octobre, un coffre déployé sur Base (la couche 2 d’Ethereum incubée par Coinbase) s’est fait siphonner 1 783 wstETH, environ 6 millions de dollars (5,4 millions d’euros). Le détail qui tue : le Safe du propriétaire du coffre avait retiré le contrat de l’attaquant de sa liste blanche à 8 h 52 UTC, avant de l’y réautoriser une minute plus tard, à 8 h 53. Ce n’est pas un défaut du contrat, c’est un processus de signature ou des clés de signataire qui ont basculé du mauvais côté. Là encore, CertiK a figuré parmi les sociétés ayant donné l’alerte, après Blockaid et PeckShield.

Ces deux affaires, minuscules à l’échelle du milliard, disent la même chose que Bitget en plus petit : ce sont les accès privilégiés, les rôles d’administration et les clés qui cèdent, pas le code. Nous avions documenté ce basculement à propos des ponts cross-chain, où les clés cèdent avant le code, et des attaques de gouvernance, où une fonction privilégiée suffit à tout emporter.

« Servir les institutions et les régulateurs » : la posture à double tranchant

La phrase de Jason Jiang mérite qu’on s’y arrête : CertiK veut servir à la fois les institutions qui proposent des services d’actifs numériques et les régulateurs qui les supervisent. Vendre des outils de sécurité aux deux camps d’un même rapport de force est une ambition commerciale puissante, et un terrain glissant. C’est la logique déjà à l’œuvre dans son accord de septembre avec la Banque nationale de la République kirghize pour sécuriser le som numérique, la monnaie numérique de banque centrale du pays : fournir aux autorités des solutions de supervision et de conformité en temps réel.

Le pari est clair. Avec MiCA en Europe, le GENIUS Act aux États-Unis et une vague de licences d’actifs numériques dans le monde, les régulateurs ont besoin d’outils techniques qu’ils n’ont pas en interne, et les institutions ont besoin de prouver leur conformité. CertiK se propose comme le tuyau commun. Mais un fournisseur qui équipe à la fois le surveillé et le surveillant concentre un pouvoir d’infrastructure considérable, et pose une question de confiance en miroir : qui audite la couche de confiance ? Nous y revenons plus bas.

Ce virage institutionnel n’a rien d’abstrait. Gestionnaires d’ETF au comptant, banques dépositaires, émetteurs de stablecoins, courtiers traditionnels : la finance classique entre dans les actifs numériques et arrive avec ses exigences de conformité, de contrôle interne et de reporting. Ces acteurs ne cherchent pas un rapport d’audit isolé, mais un prestataire capable de parler à la fois le langage du smart contract et celui du risque opérationnel réglementé. C’est exactement le créneau que vise la « couche de confiance ». Reste que vendre de la tranquillité d’esprit à des directions des risques est un exercice où la promesse commerciale peut vite dépasser ce que la technique garantit.

Preuve de réserves et services de validation : la sécurité au-delà du contrat

Deux briques du nouveau catalogue illustrent ce glissement hors du contrat. La preuve de réserves (proof of reserves) cherche à démontrer qu’un dépositaire ou un exchange détient bien les actifs de ses clients. Après l’effondrement de FTX en 2022 et, cette année, le vol de centaines de millions chez Bitget, c’est une demande de marché évidente. Mais la preuve de réserves a ses limites connues : elle atteste d’un solde d’actifs à un instant T, pas du passif en face, et ne dit rien d’un backend qui se ferait pirater la semaine suivante. Elle rassure sur la solvabilité, pas sur la sécurité opérationnelle. Nos lecteurs qui suivent les mouvements de réserves des exchanges connaissent la nuance.

Les services de validation, eux, consistent à exploiter des validateurs pour le compte de tiers. C’est un métier d’infrastructure, rémunérateur et récurrent, mais qui place CertiK du côté des opérateurs qu’elle est par ailleurs censée évaluer. La frontière entre « je sécurise » et « j’opère » se brouille, et avec elle la lecture d’un label. Un auditeur qui devient prestataire d’exploitation n’est plus tout à fait un tiers neutre, et c’est un point que la grille de lecture d’un rapport doit intégrer.

Le modèle « l’audité paie » survit au changement de marque

Une refonte de marque ne touche pas au cœur du modèle économique, et c’est là que le bât blesse. Comme la quasi-totalité des auditeurs de smart contracts, CertiK est payée par le projet qu’elle évalue. C’est le même conflit d’intérêts que celui des agences de notation financière, où l’émetteur de la dette choisit et rémunère celui qui la note, un arrangement dont on a vu les dégâts avec les notes AAA posées sur les subprimes en 2008. La différence, qui n’est pas mince, c’est que les agences de notation sont enregistrées et supervisées (par la SEC, par l’ESMA), là où aucun régulateur n’accrédite les auditeurs de code.

Le contexte de cette refonte rend la question plus aiguë encore : CertiK prépare une entrée en Bourse. Au Forum de Davos, en janvier 2026, Ronghui Gu a affiché l’ambition de faire de CertiK la première société de cybersécurité web3 cotée. « Nous n’avons pas encore de plan d’introduction en Bourse très concret, mais c’est assurément l’objectif que nous poursuivons », a-t-il dit à The Block. L’entreprise a d’ailleurs publié un billet intitulé sans détour « la voie de CertiK vers un avenir public », et raconté à CoinDesk comment elle a reconstruit sa réputation en vue de cette cotation. Or une cotation empile sur le conflit « l’audité paie » une pression supplémentaire, celle de la croissance du chiffre d’affaires et du cours de l’action, qui tire vers le volume d’audits plutôt que vers la rigueur. Le repositionnement en « couche de confiance » est aussi, lu froidement, un argumentaire pour investisseurs.

La Corée du Nord, vrai arbitre de l’année

Si la carte des pertes 2026 a une couleur dominante, c’est celle d’un acteur étatique. Selon la société d’analyse Elliptic, citée dans le même décompte, des opérateurs aux liens nord-coréens présumés ont dérobé plus d’un milliard de dollars d’actifs numériques en 2026 (plus de 900 millions d’euros), sur plus de 51 incidents présumés. Elliptic juge une implication nord-coréenne « hautement probable » dans le cas Bitget et relie quelque 286 millions de dollars du vol de Drift à ces mêmes opérateurs.

Le cas Bitget résume la saison. L’exchange a vu disparaître environ 351,6 millions de dollars (près de 318 millions d’euros) le 24 septembre, non pas par une faille de son code mais, selon sa PDG Gracy Chen et CoinDesk, par la compromission d’un système backend qui a permis de falsifier des données de transaction et de déclencher le propre circuit d’autorisation de la maison. CertiK, qui n’a pas audité Bitget, classe l’affaire à 387,5 millions de dollars dans son décompte sectoriel : une différence de périmètre qu’il faut garder en tête. Esme Pau, responsable des marchés de capitaux et des politiques publiques chez CertiK, y voyait auprès de Bloomberg « l’un des exploits les plus substantiels visant un exchange centralisé en 2026 » et « un nouveau signal d’alarme pour l’industrie des actifs numériques ».

Pour une entreprise qui veut devenir l’infrastructure de confiance des institutions, c’est un argument à double sens. Un adversaire disposant des moyens d’un État ne cherche pas une virgule mal placée dans un contrat ; il infiltre un prestataire, piège un poste de développeur, détourne un processus interne. Face à cela, un audit de code est hors sujet, et même la surveillance la plus fine ne fait souvent que constater les dégâts. La valeur d’une couche de confiance se jouera donc moins sur la détection que sur la réduction de la surface d’attaque humaine et opérationnelle, un terrain où personne, CertiK comprise, ne vend de solution miracle.

Les casseroles que le changement de marque n’efface pas

Une nouvelle signature ne réécrit pas le passé. CertiK traîne deux affaires que ses détracteurs ressortent à chaque annonce. En juin 2024, des chercheurs de CertiK ont exploité un bug de solde de dépôt chez l’exchange Kraken et retiré près de 3 millions de dollars de fonds réels sur cinq jours, avant de longues tractations sur leur restitution. Le directeur de la sécurité de Kraken, Nick Percoco, avait tranché auprès de CoinDesk : « Ce n’est pas du piratage white hat, c’est de l’extorsion. » CertiK a défendu une démarche de recherche légitime et a fini par rendre les fonds.

Plus lourde symboliquement, l’affaire Huione : CertiK avait audité le contrat du stablecoin USDH, lié à une place de marché cambodgienne décrite comme la plus grande marketplace illicite jamais recensée. Face au tollé, l’entreprise avait présenté ses excuses : « Nous présentons nos sincères excuses à la communauté. Nous reconnaissons que travailler avec des projets à haut risque peut soulever des préoccupations éthiques et avoir des implications plus larges. » CertiK souligne qu’elle avait classé ce stablecoin au plus bas de son score Skynet et assorti d’un avertissement, après qu’un tiers eut refusé des vérifications supplémentaires. C’est précisément ce genre de nuance, « audité » ne voulant pas dire « approuvé », qu’un slogan de « confiance » risque d’aplatir.

Ce qu’une « couche de confiance » peut et ne peut pas promettre

Il faut être juste : la surveillance continue a une vraie valeur. Repérer un drainage en quelques minutes, tracer les fonds, prévenir les exchanges pour tenter un gel, tout cela a permis de récupérer environ 420 millions de dollars en 2026. Le cas Liquid Network le montre à l’envers : le code a cassé (une faille de validation de preuve a permis de créer du L-BTC non adossé), mais une bonne partie des quelque 4 000 bitcoins a été restituée par un white hat. Détecter et réagir vite, ce n’est pas rien.

Mais il ne faut pas confondre les verbes. Une couche de surveillance détecte ; elle n’empêche pas. Quand un rôle OPERATOR_ROLE déplace des fonds ou qu’un Safe réautorise un contrat malveillant, l’alerte tombe souvent après la transaction, pas avant. C’est toute la limite que nous avons déjà posée en examinant la surveillance en temps réel : un tableau de bord qui s’allume en rouge à 8 h 53 ne remet pas les 1 783 wstETH dans le coffre. La « couche de confiance » déplace le curseur de la prévention vers la détection et la réaction ; c’est utile, ce n’est pas la même promesse.

MiCA, DORA, AMF : servir les régulateurs sans être régulé

Côté européen, le paradoxe est presque institutionnel. Depuis le 1er juillet 2026, la période transitoire de MiCA est close en France : les prestataires de services sur actifs numériques doivent être agréés par l’AMF ou cesser leur activité. MiCA encadre les émetteurs et les prestataires (la garde relève de son article 75), pas le code des protocoles ; et le règlement DORA, applicable aux acteurs financiers depuis janvier 2025, impose une résilience opérationnelle et une gestion du risque lié aux prestataires informatiques tiers, c’est-à-dire exactement le type de faille qui a fait tomber Bitget. Mais ni MiCA ni DORA n’imposent d’audit de code, et aucun régulateur n’accrédite les auditeurs de smart contracts.

D’où l’ironie de la nouvelle posture. CertiK veut vendre de la supervision et de la conformité aux régulateurs, tout en exerçant un métier que ces mêmes régulateurs n’encadrent pas. Un rapport d’audit de code n’est pas une attestation de conformité DORA, et un badge « sécurisé par CertiK » n’est ni un agrément AMF, ni une garantie. Servir le régulateur n’est pas être régulé ; les deux peuvent même s’additionner sans jamais se recouper.

CertiK n’est pas seule, et le secteur bouge dans le même sens

Il serait injuste de faire porter à CertiK seule un constat qui vaut pour toute la profession. Les autres grands noms de l’audit, de Trail of Bits à OpenZeppelin, de Halborn à Certora, affrontent la même réalité : le code qu’ils relisent n’est plus l’endroit d’où part l’essentiel de l’argent. Tous élargissent leur offre vers la surveillance continue, la réponse à incident, la formation ou la vérification formelle, parce que le marché de l’audit ponctuel plafonne pendant que celui du risque opérationnel explose. Le virage de vocabulaire de CertiK n’est donc pas une lubie isolée, c’est la forme la plus aboutie d’un mouvement général.

La différence tient à l’échelle et à l’ambition affichée. En revendiquant le statut d’« infrastructure de confiance » et en visant la Bourse, CertiK ne cherche pas seulement à vendre quelques produits de plus ; elle tente de devenir le point de passage par lequel institutions et régulateurs valident ce qui est « sûr ». C’est une position de pouvoir, et elle mérite d’autant plus d’être questionnée que personne, dans ce secteur, ne jouit d’un mandat public ni d’une responsabilité juridique comparable à celle d’un commissaire aux comptes, dont l’engagement est encadré par la loi depuis des décennies. La confiance, ici, reste un produit vendu par une entreprise privée à ses clients, pas une garantie adossée à un cadre légal.

Comment lire un label « sécurisé par CertiK » en 2026

Pour un investisseur ou une équipe produit, le changement de marque ne change rien à la méthode de lecture. Quelques réflexes valent mieux qu’un slogan.

• Un audit est daté : vérifiez à quelle version du code il correspond et ce qui a été déployé depuis.
• Lisez le périmètre : un audit de smart contract ne couvre ni le backend, ni les clés, ni les circuits de signature, là où partent la plupart des fonds en 2026.
• « Audité » n’est pas « approuvé » : CertiK elle-même a listé des projets avec un score bas et un avertissement ; le badge seul ne dit rien du score.
• Surveillance ne veut pas dire prévention : une alerte en temps réel aide à réagir, elle n’empêche pas la transaction.
• Demandez qui a payé et qui opère : le modèle reste « l’audité paie », et un prestataire qui exploite aussi des validateurs n’est plus un pur tiers.

Rien de tout cela n’enlève à CertiK sa compétence technique, réelle, ni l’utilité de ses outils. Mais une « couche de confiance » reste une marque, pas un bouclier. En 2026, l’argent ne quitte presque plus les protocoles par la porte du code ; il sort par les clés, les accès et les systèmes internes. La vraie question, pour 2026 et au-delà, n’est pas de savoir si CertiK sait relire un contrat (elle le sait), mais si une étiquette de « confiance » peut suivre le risque là où il se déplace vraiment : dans les mains qui tiennent les clés, dans les serveurs qui signent, dans les humains que l’on manipule. Un rebranding peut décrire ce déplacement. Il ne le colmate pas.

Foire aux questions

Qu’a annoncé CertiK à TOKEN2049 Singapore 2026 ?

Les 7 et 8 octobre 2026, CertiK a dévoilé une refonte de marque et un nouveau positionnement, « la couche de confiance pour la valeur numérique ». L’entreprise élargit officiellement son offre de l’audit de code vers des services de sécurité, de conformité et de supervision du risque destinés aux institutions financières, aux entreprises et aux régulateurs.

Qu’est-ce que la « couche de confiance pour la valeur numérique » ?

C’est le slogan « The Trust Layer for Digital Value » qui résume le virage de CertiK. Au-delà de l’audit de smart contracts et de la vérification formelle, il regroupe la surveillance on-chain Skynet, l’AI Auditor, des outils de conformité, la supervision du risque en temps réel, la preuve de réserves et des services de validation.

Pourquoi dit-on que l’audit de code ne suffit plus en 2026 ?

Parce que les plus grosses pertes de l’année ne viennent pas de bugs dans le code. Sur quatre des cinq plus gros sinistres de 2026, l’origine est une clé compromise, un serveur détourné ou un circuit de signature retourné, pas une faille de smart contract. Un audit de code, par nature ponctuel, ne couvre pas ces surfaces.

CertiK a-t-elle audité Bitget ou les protocoles piratés début octobre 2026 ?

Non. Dans les affaires Bitget, 79thVault ou le coffre sur Base, CertiK est intervenue comme observateur : elle a repéré, signalé et tracé les fonds via sa surveillance Skynet, sans être l’auditrice de ces plateformes. Détecter un vol n’est pas l’avoir empêché.

CertiK va-t-elle entrer en Bourse ?

L’entreprise l’affiche comme objectif, sans calendrier ferme. Son PDG Ronghui Gu a dit vouloir faire de CertiK la première société de cybersécurité web3 cotée. Le repositionnement institutionnel et cette refonte de marque s’inscrivent dans cette préparation, que l’entreprise assume publiquement.

Par Camille Fontaine, rédactrice sécurité chez HOGE Wire.