CertiK en bourse : le label sécurité à l’épreuve de Wall Street

Un auditeur veut sonner la cloche de Wall Street

« Nous n’avons pas encore de plan d’introduction en bourse très concret. Mais c’est clairement l’objectif que nous poursuivons. » En marge du Forum économique mondial de Davos, en janvier 2026, Ronghui Gu, cofondateur et directeur général de CertiK, a posé une ambition que peu d’acteurs de la sécurité crypto avaient osé formuler à voix haute : faire de son cabinet « le premier cabinet de cybersécurité Web3 coté en bourse », selon les propos rapportés par The Block.

Sur le papier, l’ambition se tient. CertiK est le nom le plus cité de l’audit de smart contracts, revendique plus de 5 000 clients et affirme avoir passé au crible du code qui sécurise environ 600 milliards de dollars d’actifs (quelque 516 milliards d’euros). Une cotation la ferait basculer du statut de prestataire technique discret à celui de société publique, soumise à la discipline des marchés et de la Securities and Exchange Commission (SEC) américaine. Pour une entreprise dont le métier est de vendre de la confiance, entrer en bourse revient à soumettre cette confiance à un examen permanent.

Le problème, c’est le calendrier. Quelques mois avant de porter cette ambition à Davos, CertiK a présenté des excuses publiques pour avoir audité le stablecoin d’une place de marché cambodgienne liée au travail forcé et au blanchiment à grande échelle. Sur le fond, une introduction en bourse ravive une question que le secteur préfère contourner : que vaut un label de sécurité lorsque la société qui le délivre est rémunérée par ceux-là mêmes qu’elle note, et doit désormais rendre des comptes à des actionnaires qui, par nature, attendent de la croissance ?

La question n’a rien d’abstrait. En 2026, « audité » reste l’un des mots les plus chargés de sens et les plus pauvres en garanties de toute la crypto, au point que HOGE Wire a consacré une enquête entière à l’arnaque du label de sécurité. Une cotation ne résout pas ce paradoxe. Elle risque même de le rendre plus aigu, parce qu’elle ajoute une couche d’incitations, celle du cours de bourse, par-dessus un modèle économique déjà tendu.

Ce que CertiK vend, et qui règle la facture

CertiK est née des travaux universitaires de Ronghui Gu (professeur associé d’informatique à Columbia) et de Zhong Shao (Yale) sur la vérification formelle, ces méthodes mathématiques qui prouvent qu’un programme respecte une spécification. Leur noyau CertiKOS, salué en 2016, a été l’un des premiers systèmes formellement vérifiés à cette échelle. Le cabinet a ensuite transposé ces techniques à la blockchain, à New York, à la fin des années 2010, et en a fait un commerce.

Le catalogue s’est étoffé. Il y a l’audit de smart contracts, cœur historique du métier, qui combine relecture manuelle, moteurs de vérification formelle et, depuis 2026, un moteur d’intelligence artificielle. Il y a Skynet, la plateforme de surveillance continue qui attribue un score aux projets. Il y a le test d’intrusion, les programmes de bug bounty, et SkyInsights, une brique de conformité (KYC et lutte anti-blanchiment). Bref, CertiK ne vend pas un seul produit ; elle vend un écosystème de signaux de confiance.

Reste la mécanique économique, décisive pour la suite. Dans l’immense majorité des cas, c’est le projet audité qui paie son propre audit. Le client choisit son auditeur, lui remet son code, règle la prestation, puis décide s’il publie ou non le rapport, et s’il applique ou non les recommandations. L’auditeur produit un avis sur un périmètre défini par le client, à un instant donné. Ce n’est pas une fraude, c’est le modèle standard de tout le secteur. Mais c’est aussi, en creux, la source d’un conflit d’intérêts que la finance traditionnelle connaît bien.

Cette dépendance au client qui paie n’est pas un détail comptable. Elle façonne la relation commerciale, la pression sur les délais, la tentation de conserver un gros compte, et in fine la valeur informationnelle du fameux label. C’est précisément ce point que l’affaire Huione a mis en pleine lumière, quelques mois avant que Gu ne parle d’entrée en bourse.

L’affaire Huione : le label au service d’une place de marché criminelle

Huione Guarantee est une place de marché en ligne, hébergée sur Telegram et opérée par le groupe cambodgien Huione. Selon la société d’analyse blockchain Elliptic, elle a reçu au moins 24 milliards de dollars (environ 20,6 milliards d’euros) en cryptoactifs et compte plus de 900 000 utilisateurs, ce qui en fait la plus grande place de marché illicite jamais observée, loin devant Hydra. On y a vendu des données volées, des services de blanchiment et jusqu’à du matériel destiné aux camps de travail forcé d’Asie du Sud-Est, des matraques électriques aux entraves équipées de GPS.

En septembre 2024, Huione a lancé son propre stablecoin adossé au dollar, USDH, présenté comme « échappant aux gels et aux restrictions de transfert habituels des monnaies numériques » et « non soumis aux régulateurs traditionnels ». La conception était limpide : contrairement à l’USDT de Tether, qui peut geler des adresses, USDH ne comportait pas de tel mécanisme, précisément pour éviter le sort d’un compte Huione Pay gelé par Tether en juillet 2024. Le jeton a été émis sur Ethereum, BSC, Tron et la propre chaîne du groupe. Un stablecoin dont le trait de vente est de résister à toute censure vaut ce que valent les acteurs qui s’en servent ; d’où l’intérêt de comprendre d’où vient réellement la confiance qu’on place dans un stablecoin.

C’est ce code qu’un auditeur de premier plan a validé. Selon DL News, CertiK a achevé l’audit du contrat d’USDH le 25 décembre 2024. La controverse a éclaté publiquement le 7 février 2025, quand la communauté a fait le lien entre le stablecoin certifié et la place de marché criminelle. Taylor Monahan, chercheuse principale en sécurité chez MetaMask, a figuré parmi les voix qui ont dénoncé l’épisode. Le message était brutal : le label le plus reconnu de la crypto venait d’apposer sa signature sur l’infrastructure financière d’un réseau de fraude.

La suite a donné raison aux critiques sur le fond. En mai 2025, le Trésor américain, via le Financial Crimes Enforcement Network (FinCEN), a désigné le groupe Huione comme « institution financière de préoccupation majeure en matière de blanchiment » au titre de la section 311 du Patriot Act, estimant qu’il avait blanchi au moins 4 milliards de dollars (environ 3,4 milliards d’euros) entre août 2021 et janvier 2025. Une règle finale d’octobre 2025 l’a coupé du système bancaire correspondant américain (Federal Register). Autrement dit : l’entité dont CertiK avait audité le stablecoin s’est retrouvée, quelques mois plus tard, bannie de la finance américaine.

La défense de CertiK : excuses, don et score plancher

La réponse du cabinet mérite d’être rapportée avec exactitude, car elle est plus nuancée que la version caricaturale. Un porte-parole de CertiK a déclaré : « Nous présentons nos sincères excuses à la communauté. Nous reconnaissons que travailler avec des projets à haut risque peut soulever des préoccupations éthiques et avoir des implications plus larges. CertiK ne soutient ni ne cautionne aucune des activités menées par Huione » (propos rapportés par DL News). Le cabinet a également fait don des honoraires perçus à la SENS Research Foundation.

Le détail technique complique le récit du simple tampon complaisant. CertiK affirme avoir reçu la demande d’audit via une organisation tierce ayant passé ses vérifications KYC, sans que le lien avec la place de marché soit apparent. Après avoir identifié des problèmes, le cabinet dit avoir demandé une vérification complémentaire de l’équipe du projet ; devant le refus du tiers, il a classé le stablecoin au score le plus bas, assorti d’un avertissement, sur sa plateforme Skynet. Le label existait bien, mais la surveillance continue signalait déjà le danger. Le rapport et le score racontaient deux histoires différentes.

C’est exactement là que le bât blesse. Un audit se résume dans le marché à un logo et à une mention « audité par CertiK ». Le score Skynet plancher, l’avertissement, le refus de coopération du client : tout ce contexte disparaît dès que le badge circule sur un site ou dans un canal Telegram. Le signal survit à sa mise en garde. Voilà pourquoi CertiK maintient une page dédiée avertissant que des escrocs apposent son logo sur de faux audits qu’elle n’a jamais réalisés, un problème structurel du secteur bien plus large que la seule fraude ouverte.

Selon CoinDesk, le cabinet a tiré des leçons opérationnelles de l’épisode : renforcement du KYC clients, recours à des experts de risque externes, surveillance accrue de l’usage qui est fait de ses rapports, et repositionnement vers une clientèle et un niveau de service « institutionnels ». Gu y voit une preuve de maturité qui, selon lui, fait de CertiK « un candidat crédible à une cotation de plusieurs milliards de dollars ». La question reste de savoir si ces garde-fous corrigent le vice de forme, ou s’ils l’habillent mieux.

Le modèle « l’émetteur paie », ou la leçon de 2008

Le conflit d’intérêts au cœur de l’audit crypto n’est pas nouveau : c’est une resucée du modèle « l’émetteur paie » des agences de notation financière. Moody’s, S&P et Fitch sont rémunérées par les entités dont elles notent la dette. Avant 2008, ce modèle a produit un désastre : des tranches de crédits immobiliers américains de qualité douteuse ont reçu la note maximale AAA, parce que les banques qui construisaient ces produits payaient les agences chargées de les évaluer, et faisaient jouer la concurrence entre elles. Le régulateur américain a passé la décennie suivante à colmater cette brèche, sans jamais vraiment supprimer le conflit de fond.

Le parallèle avec l’audit de smart contracts est frappant, et instructif. Dans les deux cas, l’entité notée choisit son évaluateur, le paie, et bénéficie du résultat auprès de tiers (investisseurs, déposants, utilisateurs). Dans les deux cas, la valeur commerciale de la note dépend de sa réputation d’indépendance, mais sa source de revenus dépend de la satisfaction du client. Et dans les deux cas, un mauvais avis coûte potentiellement un contrat, tandis qu’un bon avis fidélise. La différence tient au garde-fou : les agences de notation sont des entités enregistrées et supervisées ; les auditeurs de code, eux, n’ont aucun régulateur.

Il ne s’agit pas de dire que CertiK falsifie ses audits comme certaines agences ont gonflé des notes. Il s’agit de constater que la structure d’incitations est la même, et qu’elle produit une pression permanente, souvent implicite, vers l’indulgence. C’est ce contexte qu’il faut garder en tête pour comprendre ce qu’une entrée en bourse change, ou ne change pas.

Pourquoi une entrée en bourse déplace les incitations

Une société cotée n’a pas les mêmes maîtres qu’une société privée. Ses actionnaires attendent une croissance trimestrielle du chiffre d’affaires, une expansion des marges, une trajectoire lisible. Or le chiffre d’affaires d’un auditeur vient des projets qui l’engagent. Faire croître le revenu, c’est signer plus de clients, plus vite, sur des contrats plus gros. Chaque refus d’auditer un projet douteux, chaque avis sévère qui fait fuir un compte, chaque délai supplémentaire imposé pour bien faire, devient une ligne de coût visible dans un compte de résultat public.

Cette tension n’est pas propre à CertiK ; c’est le sort de tout métier de confiance qui se finance par ceux qu’il surveille et qui doit, en plus, satisfaire un marché boursier. Pour saisir à quel point le cours de bourse réoriente une entreprise crypto, il suffit de regarder comment la logique de rentabilité d’un produit régi par les marchés publics finit par tout dominer, comme dans le cas de l’économie de frais de l’ETF IBIT de BlackRock. Ce qui rapporte à l’actionnaire n’est pas la sévérité de l’audit, c’est le volume d’audits vendus.

Il existe un contre-argument sérieux, que Gu ne manquera pas d’avancer : la réputation d’un auditeur est son seul actif, et un marché public la sanctionne plus vite qu’un marché privé. Un scandale à la Huione, sur une société cotée, se paie en points de capitalisation dans la journée. La discipline boursière pourrait donc, en théorie, renforcer l’intégrité plutôt que l’affaiblir, en rendant la triche plus chère. L’histoire des agences de notation invite toutefois à la prudence : la sanction réputationnelle n’a pas suffi à empêcher 2008, parce que la triche était collective et le conflit permanent.

La vérité se situe probablement entre les deux. Une cotation ajoute de la transparence financière et de la responsabilité juridique, mais elle ajoute aussi une pression de croissance qui tire dans le sens opposé de la prudence. Le résultat net dépendra de la gouvernance que CertiK mettra en place, et de la capacité des investisseurs à distinguer le revenu de la rigueur.

L’IPO en chiffres : valorisation, investisseurs, calendrier

Où en est concrètement le dossier ? CertiK a été valorisée pour la dernière fois à 2 milliards de dollars (environ 1,7 milliard d’euros) lors d’un tour de table Series B3 en 2022, qui avait levé 88 millions de dollars (quelque 76 millions d’euros). Interrogé par CoinDesk début 2026, Gu affirmait avoir levé au total plus de 240 millions de dollars (plus de 207 millions d’euros) et disposer de davantage de trésorerie que de fonds levés, un signe de rentabilité rare dans la crypto.

La table de capitalisation ressemble à un annuaire de la finance mondiale et crypto : Binance figure comme premier et plus gros investisseur (avec un apport « à huit chiffres »), aux côtés de Coinbase, SoftBank, Insight Partners, Tiger Global, Advent International et YZi Labs, le family office de Changpeng Zhao. Gu évoquait l’ajout d’« un ou deux investisseurs stratégiques » supplémentaires en amont d’une cotation. Cette proximité avec les plus grandes plateformes d’échange, qui sont aussi des clients potentiels de l’audit, ajoute d’ailleurs une couche au débat sur l’indépendance.

Un mot de prudence s’impose sur le calendrier. Les titres de presse ont oscillé entre « CertiK maintient son projet d’IPO » et « le PDG dément tout projet d’IPO », ce qui traduit surtout la position réelle de Gu : l’introduction en bourse est l’objectif, mais il n’existe aucun plan concret ni date. « Les gens ne savent toujours pas comment valoriser une entreprise nativement Web3 », reconnaissait-il auprès de CoinDesk. Autrement dit, l’ambition est ferme, l’exécution reste ouverte.

Ce qu’une cotation pourrait, au contraire, assainir

Il serait malhonnête de ne présenter qu’un réquisitoire. Une entrée en bourse comporte des vertus réelles, et c’est probablement le meilleur argument de CertiK. La première est la transparence financière : une société cotée publie des comptes audités, détaille ses sources de revenus, expose sa concentration client. Un investisseur pourrait enfin savoir quelle part du chiffre d’affaires dépend d’une poignée de gros comptes, une information cruciale pour juger de l’indépendance réelle de l’auditeur.

La deuxième vertu est la responsabilité juridique. Une société cotée s’expose à la responsabilité envers ses actionnaires, à des obligations de communication, à des recours collectifs en cas de fausse déclaration. Cette exposition rend le mensonge plus coûteux et la gouvernance plus formelle. Là où un cabinet privé peut gérer une crise à huis clos, une entreprise publique doit s’expliquer devant le marché, comme n’importe quel projet crypto doit un jour rendre des comptes sur qui contrôle réellement sa gouvernance.

La troisième est la standardisation. Une industrie de l’audit qui se professionnalise, se dote de comptes publics et de normes de reporting, gagne en comparabilité. Aujourd’hui, comparer deux cabinets d’audit crypto relève du pari : méthodologies opaques, périmètres variables, aucune métrique commune. Un acteur coté, contraint de documenter ses processus, pourrait tirer tout le secteur vers plus de lisibilité, à condition que ses concurrents suivent.

Ces bénéfices sont réels, mais ils portent tous sur la gouvernance de l’entreprise, pas sur la nature de son produit. Une cotation peut rendre CertiK plus transparente sur ses finances sans rien changer au fait qu’un audit, même impeccable, ne couvre qu’une fraction du risque réel. C’est le paradoxe central du métier, et aucun prospectus boursier ne l’abolira.

Le paradoxe de l’audit : le label ne couvre pas le vrai risque

Les propres données de CertiK racontent une histoire gênante pour son cœur de métier. Selon le rapport Hack3d du premier semestre 2026, les pertes ont dépassé 1,31 milliard de dollars (environ 1,13 milliard d’euros) sur 344 incidents. Or la répartition par vecteur est éloquente : la compromission de clés et de portefeuilles a coûté plus de 444 millions de dollars (382 millions d’euros) sur seulement 33 incidents, soit le vecteur le plus destructeur par événement, tandis que les bugs de code, les plus nombreux, restaient les moins coûteux.

Ce constat, c’est Gu lui-même qui le formule dans les colonnes de Forbes : « Les attaquants obtiennent davantage en s’en prenant à la gestion des clés, à la gouvernance des multisignatures et à l’infrastructure opérationnelle qu’en chassant des bugs dans le code. » Et d’ajouter, à propos de la limite temporelle de l’audit : « La fenêtre de danger ne se referme pas après le lancement. » Un projet est audité une fois, avant déploiement, obtient son feu vert, puis ne revient jamais sur ce code, alors que le risque, lui, continue d’évoluer.

La conséquence est brutale pour le débat sur l’IPO. Même une version cotée, mieux capitalisée et plus rigoureuse de CertiK vendrait un produit qui, par construction, ne couvre pas la majorité des pertes réelles de 2026. Le mois d’août 2026 l’a encore illustré : selon le bilan mensuel du cabinet relayé par CryptoTimes, environ 215 millions de dollars (185 millions d’euros) ont été perdus, dont 144,6 millions (124 millions d’euros) dans la DeFi, et la manipulation de prix a dominé, très loin devant les simples bugs de code.

« Audité » n’a jamais voulu dire « sûr »

Le malentendu fondateur du secteur tient dans un glissement de langage. Pour l’auditeur, un audit est un avis sur un périmètre, à un instant, sous hypothèses. Pour l’utilisateur, « audité » se lit comme « sûr ». Entre les deux, tout le risque réel se loge dans l’écart. Un audit réussi réduit la probabilité d’un bug de code trivial ; il ne dit rien des clés privées mal gardées, d’un oracle lisant un marché trop mince, d’une clé d’administration compromise ou d’une gouvernance capturée.

Les cas d’école abondent. Balancer, protocole audité à de multiples reprises par plusieurs cabinets, a tout de même perdu plus de 100 millions de dollars (plus de 86 millions d’euros) fin 2025. Suhail Kakar, responsable des relations développeurs chez TAC Blockchain, résume l’affaire d’une phrase citée par Cointelegraph : « Audité par X ne veut presque rien dire. Le code est difficile, la DeFi l’est encore plus. » Le propos ne vise pas spécifiquement CertiK ; il désigne la limite intrinsèque de l’exercice.

Cette limite explique pourquoi un projet peut cocher toutes les cases et s’effondrer quand même, parfois par malveillance de ses propres fondateurs. L’audit ne protège pas contre un développeur qui remplace le contrat validé par une version malveillante après coup, ni contre une équipe qui vide la trésorerie. Comprendre ces mécanismes suppose de savoir qui se fait réellement payer quand un token meurt, une chaîne d’intermédiaires où l’auditeur n’est qu’un maillon parmi d’autres.

La bonne façon de lire un label, c’est donc de le traiter comme le début d’une vérification, jamais comme sa conclusion. Un audit est une donnée parmi d’autres : qui a audité, quelle version, quel périmètre, quelle date, quelles conclusions ont été suivies, et surtout ce que le rapport ne couvre pas. Le badge apposé sur une page d’accueil ne dit rien de tout cela ; il faut aller chercher le rapport lui-même.

Le trou réglementaire : personne n’accrédite les auditeurs

Voici l’ironie que l’ambition boursière de CertiK met en pleine lumière. L’entreprise cherche à se soumettre à la discipline la plus exigeante qui soit, celle d’une cotation et d’un régulateur des marchés, alors que le produit qu’elle vend, l’audit de code, n’est encadré par aucun régulateur au monde. En Europe, ni le règlement MiCA ni le règlement DORA (applicable aux prestataires de services sur cryptoactifs depuis le 17 janvier 2025) n’imposent d’auditer le code d’un smart contract, et aucun texte n’accrédite ceux qui le font.

En France, l’Autorité des marchés financiers (AMF) supervise les prestataires enregistrés, non le code qu’ils déploient. La période transitoire du régime PSAN vers l’agrément CASP prévu par MiCA s’est d’ailleurs achevée le 1er juillet 2026, l’AMF ayant rappelé que les acteurs non conformes devaient organiser une sortie ordonnée (voir la note de l’AMF sur la fin de la période transitoire). Mais rien, dans ce dispositif, ne définit ce qu’est un audit de smart contract valable, ni qui a le droit d’en délivrer.

Le contraste avec la profession comptable est éclairant. Un commissaire aux comptes est un professionnel réglementé, soumis à une autorité de contrôle (en France, la Haute autorité de l’audit, ou H2A, depuis le 1er janvier 2024), engageant sa responsabilité et son inscription. Un auditeur de smart contracts n’a ni licence, ni autorité de tutelle, ni cadre de responsabilité clair. N’importe qui peut se déclarer auditeur crypto demain matin. Le seul juge de paix est la réputation, ce qui nous ramène, inévitablement, au conflit du modèle « l’émetteur paie ».

Une CertiK cotée serait donc dans une position singulière : ultra-encadrée en tant qu’entreprise, non encadrée en tant que fournisseur de sécurité. Ses états financiers seraient certifiés, ses audits de code ne le seraient par personne. Cette asymétrie n’est pas un défaut de CertiK ; c’est un défaut du secteur tout entier, que l’introduction en bourse rend simplement plus visible.

Un précédent pour toute une industrie

Si CertiK réussit sa cotation, elle créerait un précédent bien au-delà de son propre bilan. La sécurité Web3 est aujourd’hui une industrie fragmentée de cabinets privés, de Halborn à Trail of Bits en passant par PeckShield, Zellic ou OtterSec, souvent nés d’équipes de chercheurs et financés par capital-risque. Aucun n’est coté. Le premier à franchir le pas fixerait, de fait, la référence de valorisation et de gouvernance pour tous les autres, et attirerait l’attention des marchés publics sur un métier qu’ils connaissent mal.

Ce mouvement de professionnalisation a des vertus. Il pourrait accélérer la consolidation, faire émerger des normes communes, et injecter des capitaux dans la recherche en sécurité, un domaine chroniquement sous-financé au regard des sommes en jeu. Il pourrait aussi rassurer une clientèle institutionnelle qui, après les faillites de 2022 et les piratages en série, exige des partenaires bancables et durables plutôt que des équipes éphémères.

Mais le même mouvement comporte un risque de conformisme. Un secteur qui se structure autour d’un acteur coté peut converger vers ses méthodes, ses barèmes, ses angles morts. L’histoire de la notation financière, là encore, offre un avertissement : la domination de trois agences a créé une pensée unique du risque, dont la crise de 2008 a révélé les limites. La diversité des approches, en sécurité, est une protection ; l’uniformisation autour d’un champion coté pourrait l’éroder.

La vraie inconnue est de savoir si les marchés publics récompenseront la rigueur ou le volume. Si la valorisation d’une CertiK cotée dépend surtout du nombre d’audits vendus et de la croissance du chiffre d’affaires, l’incitation penchera vers la quantité. Si elle dépend de la qualité démontrée, du taux de détection réel et de la rareté des échecs post-audit, elle penchera vers la prudence. Le prospectus dira dans quel sens l’entreprise oriente le récit ; le marché tranchera.

Comment lire un label CertiK en 2026

Pour l’investisseur ou l’utilisateur, la conclusion pratique tient en quelques réflexes. D’abord, ne jamais confondre le badge et le rapport. Un logo « audité par CertiK » sur une page d’accueil ne prouve rien ; il faut retrouver le rapport d’audit lui-même, sur le site du cabinet ou via sa plateforme Skynet, et vérifier que le nom du projet, le réseau, l’adresse du contrat, la version du code, le périmètre et la date correspondent bien à ce qui tourne réellement en production.

Ensuite, lire ce que le rapport ne couvre pas. La section de périmètre d’un audit sérieux liste explicitement ce qui a été examiné, et donc, en creux, ce qui ne l’a pas été : gestion des clés, montée de version, dépendances externes, hypothèses économiques. C’est souvent dans cette liste d’exclusions que se cache le risque réel. Un score Skynet bas ou un avertissement, comme dans le cas d’USDH, pèse autant que la présence d’un audit.

Enfin, garder en tête la structure d’incitations. L’auditeur est payé par le projet, choisi par le projet, et son avis porte sur un périmètre défini par le projet. Cela ne le disqualifie pas, mais impose de croiser les sources : plusieurs audits par des cabinets différents, un historique de surveillance continue, une transparence sur les correctifs appliqués. L’affaire Huione et l’ambition boursière de CertiK racontent, au fond, la même chose : le label est un point de départ utile, jamais une garantie, et sûrement pas une conclusion.

Reste la toile de fond du marché, où le Bitcoin s’échangeait autour de 66 450 euros (environ 77 150 dollars) le 10 septembre 2026 selon CoinGecko. Dans un secteur qui brasse ces sommes, la question de savoir qui audite l’auditeur, et selon quelles incitations, n’a rien d’accessoire. Elle est au cœur de la confiance que la crypto tente, laborieusement, de reconstruire.

Foire aux questions

CertiK est-elle réellement en train d’entrer en bourse ?

Pas encore. En janvier 2026, le PDG Ronghui Gu a affirmé à Davos que devenir « le premier cabinet de cybersécurité Web3 coté en bourse » était l’objectif de l’entreprise, tout en précisant qu’il n’existait « pas de plan concret ». Des observateurs évoquent une fenêtre fin 2026 ou début 2027, sans confirmation officielle. L’ambition est affichée, l’exécution reste ouverte.

Qu’est-ce que l’affaire Huione qui a visé CertiK ?

CertiK a audité le code du stablecoin USDH, achevant l’audit le 25 décembre 2024. USDH était émis par le groupe Huione, opérateur d’une place de marché cambodgienne liée au blanchiment et au travail forcé, désignée en mai 2025 par le Trésor américain comme préoccupation majeure de blanchiment. Après la controverse, CertiK a présenté ses excuses, fait don des honoraires à une fondation et renforcé ses procédures KYC.

Pourquoi le modèle « l’émetteur paie » pose-t-il problème ?

Parce que c’est le projet audité qui choisit et rémunère son auditeur, exactement comme les émetteurs de dette payaient les agences de notation avant 2008. Cette structure crée une pression permanente vers l’indulgence : un avis sévère peut coûter un client. Une entrée en bourse ajoute une pression de croissance du chiffre d’affaires qui peut accentuer ce conflit d’intérêts.

Un smart contract audité par CertiK est-il sûr ?

Non, pas automatiquement. Un audit couvre un périmètre de code défini, à un instant donné. Selon les données 2026 de CertiK, la majorité des pertes proviennent de la compromission de clés, de l’hameçonnage et de la manipulation de prix, des vecteurs qu’un audit de code ne couvre pas. « Audité » signifie qu’une revue a eu lieu, pas que le protocole est à l’abri.

Un régulateur comme l’AMF encadre-t-il les audits crypto ?

Non. Ni l’AMF, ni MiCA, ni DORA n’imposent d’audit de code pour un smart contract, et aucun régulateur n’accrédite les auditeurs. Contrairement aux commissaires aux comptes, supervisés en France par la H2A depuis 2024, les auditeurs de smart contracts n’ont ni licence ni autorité de tutelle. Le seul garde-fou est la réputation, ce qui rend la vérification indépendante indispensable.

Par Camille Fontaine, desk sécurité de HOGE Wire.