{"id":249,"date":"2026-08-07T22:35:52","date_gmt":"2026-08-07T22:35:52","guid":{"rendered":"https:\/\/hoge.gg\/fr\/cabinet-audit-crypto-grille-lecture-2026\/"},"modified":"2026-08-07T22:35:52","modified_gmt":"2026-08-07T22:35:52","slug":"cabinet-audit-crypto-grille-lecture-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/cabinet-audit-crypto-grille-lecture-2026\/","title":{"rendered":"Choisir un cabinet d’audit crypto : la grille de lecture 2026"},"content":{"rendered":"

Un rapport publi\u00e9 cet \u00e9t\u00e9 par le cabinet de recherche en s\u00e9curit\u00e9 Ack3 contient un chiffre qui m\u00e9riterait de rester affich\u00e9 au-dessus du bureau de chaque fondateur de protocole. Sur les 68 projets audit\u00e9s qui se sont fait pirater au premier semestre 2026, 46 ont \u00e9t\u00e9 vid\u00e9s par une voie d’attaque situ\u00e9e enti\u00e8rement hors du p\u00e9rim\u00e8tre de leur audit publi\u00e9. Le montant parti par cette porte de service atteint pr\u00e8s de 681 millions de dollars<\/a>, environ 590 millions d’euros, soit 94,4 % de toutes les pertes subies par des victimes pourtant audit\u00e9es.<\/p>

Le message n’est pas que les audits sont inutiles. C’est que la mention affich\u00e9e sur une page d’accueil, ce petit encart qui promet un code pass\u00e9 au crible, est devenue \u00e0 elle seule une garantie presque vide. Un audit reste indispensable ; il n’a jamais suffi. Et l’\u00e9cart entre les deux propositions se paie d\u00e9sormais en centaines de millions d’euros par semestre. Le probl\u00e8me n’est pas que les auditeurs seraient devenus mauvais : c’est que le code, l’infrastructure et les attaquants \u00e9voluent plus vite que le rituel de la relecture ponctuelle, et que le march\u00e9 continue de vendre ce rituel comme un label de confiance.<\/p>

Cet article n’est pas un classement de plus. C’est une grille de lecture pratique : six crit\u00e8res pour juger un cabinet d’audit avant de signer un devis, les cas r\u00e9cents qui montrent o\u00f9 m\u00eame les meilleurs cabinets \u00e9chouent, et les outils qui vous permettent de v\u00e9rifier un auditeur par vous-m\u00eame au lieu de croire son logo. Nous avons d\u00e9j\u00e0 examin\u00e9 qui paie vraiment lorsque le code c\u00e8de malgr\u00e9 un audit<\/a> ; ici, l’enjeu se situe en amont, au moment du choix.<\/p>

\u00ab Audit\u00e9 \u00bb ne veut plus dire \u00ab s\u00fbr \u00bb : ce que montre 2026<\/h2>

Trois maisons de recherche ont chiffr\u00e9 le premier semestre 2026, avec des m\u00e9thodologies diff\u00e9rentes et des totaux qui ne se recoupent pas exactement. Il faut les lire c\u00f4te \u00e0 c\u00f4te plut\u00f4t que d’en choisir un seul. Ack3 a recens\u00e9 135 incidents v\u00e9rifi\u00e9s pour 939,86 millions de dollars<\/a>, environ 810 millions d’euros, soit une perte moyenne de 6,96 millions de dollars par attaque. CertiK, dans son rapport Hack3d, avance un chiffre plus large : environ 1,3 milliard de dollars sur 344 incidents<\/a>, ramen\u00e9s \u00e0 quelque 1,2 milliard nets apr\u00e8s les fonds gel\u00e9s ou r\u00e9cup\u00e9r\u00e9s. TRM Labs, enfin, a compt\u00e9 207 attaques, un record, pour 972 millions de dollars<\/a>, environ 840 millions d’euros, en baisse de 57 % par rapport aux 2,3 milliards du premier semestre 2025.<\/p>

Le d\u00e9tail le plus instructif se cache dans la ventilation de TRM : les exploits de smart contracts repr\u00e9sentent 125 des 207 incidents, mais les compromissions d’infrastructure et op\u00e9rationnelles, \u00e0 peine 15 % des incidents, concentrent pr\u00e8s de 76 % de la valeur vol\u00e9e. Autrement dit, l’audit couvre le vecteur le plus fr\u00e9quent, celui du code, pas le plus co\u00fbteux, celui des cl\u00e9s, des serveurs et des configurations. Les acteurs li\u00e9s \u00e0 la Cor\u00e9e du Nord ont pes\u00e9 environ 66 % des pertes du semestre, dont quelque 577 millions de dollars sur les seuls dossiers Drift et KelpDAO d’avril.<\/p>

Source<\/th>Incidents (S1 2026)<\/th>Pertes<\/th>Constat distinctif<\/th><\/tr><\/thead>
Ack3<\/td>135<\/td>939,86 M$ (~810 M\u20ac)<\/td>94,4 % des pertes des projets audit\u00e9s pass\u00e9es hors du p\u00e9rim\u00e8tre de l’audit<\/td><\/tr>
CertiK (Hack3d)<\/td>344<\/td>~1,3 Md$ (~1,1 Md\u20ac)<\/td>~1,2 Md$ nets apr\u00e8s gels et r\u00e9cup\u00e9rations<\/td><\/tr>
TRM Labs<\/td>207<\/td>972 M$ (~840 M\u20ac)<\/td>Infra et op\u00e9rationnel : ~15 % des incidents, ~76 % de la valeur<\/td><\/tr><\/tbody><\/table><\/figure>

Ces trois jeux de donn\u00e9es ne se contredisent pas ; ils mesurent des choses diff\u00e9rentes. Ce qui converge, en revanche, c’est la direction : le nombre d’attaques grimpe, la mention \u00ab audit\u00e9 \u00bb n’arr\u00eate plus rien \u00e0 elle seule, et la valeur fuit par des portes que l’audit n’avait jamais promis de garder.<\/p>

Ce qu’un audit couvre vraiment, et l’angle mort qu’il laisse<\/h2>

Un audit de smart contract est une revue manuelle, born\u00e9e dans le temps, d’un ensemble de fichiers de code d\u00e9fini \u00e0 l’avance. Sur ce p\u00e9rim\u00e8tre, un bon cabinet traque la logique m\u00e9tier fautive, la r\u00e9entrance, les erreurs de contr\u00f4le d’acc\u00e8s, les d\u00e9passements d’entier et les failles d’arithm\u00e9tique. C’est r\u00e9el, c’est utile, et cela a \u00e9vit\u00e9 d’innombrables catastrophes. Mais la liste de ce qui reste dehors est longue : la configuration de l’infrastructure (n\u0153uds RPC, oracles, v\u00e9rificateurs de messages inter-cha\u00eenes), les d\u00e9pendances hors cha\u00eene, le pipeline de build et le front-end, la gestion des cl\u00e9s priv\u00e9es, la conception \u00e9conomique et th\u00e9orique du jeu, la gouvernance, les int\u00e9grations tierces, et tout code ajout\u00e9 apr\u00e8s le passage de l’auditeur.<\/p>

Le hack de KelpDAO, le 18 avril 2026, en est l’illustration la plus nette. Ce protocole de restaking liquide, \u00e9metteur du rsETH, a perdu environ 292 millions de dollars, quelque 253 millions d’euros, sans qu’aucun bug de contrat n’entre en jeu. La cause racine \u00e9tait une configuration de v\u00e9rificateur DVN LayerZero r\u00e9gl\u00e9e sur un seul signataire, coupl\u00e9e \u00e0 des n\u0153uds RPC compromis, qui a permis de forger un message inter-cha\u00eenes. Dans son autopsie, OpenZeppelin r\u00e9sume la limite en une phrase : \u00ab Les contrats se sont comport\u00e9s exactement comme ils avaient \u00e9t\u00e9 \u00e9crits. \u00bb Le cabinet y ajoute la liste explicite de ce qu’un audit n’examine pas<\/a> : la configuration des int\u00e9grations tierces, les points de d\u00e9faillance uniques de l’infrastructure, le comportement des d\u00e9pendances hors cha\u00eene. Pour qui d\u00e9couvre la m\u00e9canique du restaking et de ses risques de sortie, notre dossier sur pourquoi sortir d’EigenLayer est devenu le vrai probl\u00e8me<\/a> d\u00e9taille ce terrain.<\/p>

Cet angle mort n’a rien de th\u00e9orique. Les compromissions mat\u00e9rielles et op\u00e9rationnelles, celles qui \u00e9chappent par nature \u00e0 une relecture de code, ont drain\u00e9 l’essentiel de la valeur en 2026. Le post-mortem d’un hack de portefeuille mat\u00e9riel sans coupable clair<\/a> et la checklist multisig qui s\u00e9pare la s\u00e9curit\u00e9 de l’illusion<\/a> d\u00e9crivent exactement ce type de faille : ni le code ni l’auditeur ne sont en cause, mais l’argent part quand m\u00eame. Un cabinet honn\u00eate vous dira o\u00f9 s’arr\u00eate son mandat. Un mauvais cabinet vous laissera croire que sa signature couvre tout. La distinction est concr\u00e8te : un bon rapport s’ouvre sur une section \u00ab p\u00e9rim\u00e8tre \u00bb qui \u00e9num\u00e8re noir sur blanc ce qui n’a pas \u00e9t\u00e9 examin\u00e9, quand un mauvais livrable se contente d’un verdict rassurant sans jamais tracer ses propres limites.<\/p>

Cetus : trois cabinets, une faille, et personne ne l’a vue<\/h2>

Si KelpDAO montre ce que l’audit ne promet pas de couvrir, Cetus montre ce qu’il promet de couvrir et rate quand m\u00eame. Le 22 mai 2025, ce teneur de march\u00e9 automatis\u00e9 sur Sui a perdu environ 223 millions de dollars, quelque 193 millions d’euros, en moins de quinze minutes. La faille se logeait dans une fonction nomm\u00e9e checked_shlw, cens\u00e9e d\u00e9tecter un d\u00e9passement d’entier lors d’un d\u00e9calage de bits. Son impl\u00e9mentation comparait la valeur fournie \u00e0 0xFFFFFFFFFFFFFFFF d\u00e9cal\u00e9 de 192 bits, au lieu de 0x1 d\u00e9cal\u00e9 de 192 bits ; certaines valeurs qui provoquaient bel et bien un overflow passaient donc le contr\u00f4le. L’attaquant a choisi une valeur de liquidit\u00e9 qui franchissait la v\u00e9rification tout en d\u00e9clenchant le d\u00e9passement dans le calcul.<\/p>

Le point qui devrait glacer tout acheteur d’audit : cette fonction avait \u00e9t\u00e9 relue trois fois. Selon la reconstitution de Halborn<\/a>, l’audit de MoveBit en avril 2023 mentionnait la v\u00e9rification des d\u00e9passements de valeur dans sa m\u00e9thodologie, mais n’a pas identifi\u00e9 le motif pr\u00e9cis. Celui d’OtterSec, en mai 2023, avait bien not\u00e9 qu’un transtypage de valeurs de retour pouvait causer des erreurs arithm\u00e9tiques, mais l’a class\u00e9 en simple suggestion, pas en criticit\u00e9. Et Zellic, en avril 2025, un mois avant l’exploit, n’a relev\u00e9 que des observations informatives. Trois cabinets comp\u00e9tents, la fonction vuln\u00e9rable dans leur p\u00e9rim\u00e8tre, et la faille est pass\u00e9e.<\/p>

Suhail Kakar, responsable des relations d\u00e9veloppeurs chez TAC Blockchain, a tir\u00e9 la m\u00eame le\u00e7on d’un cas jumeau, celui de Balancer : \u00ab Balancer a pass\u00e9 plus de dix audits. Le vault a \u00e9t\u00e9 audit\u00e9 trois fois s\u00e9par\u00e9ment par des cabinets diff\u00e9rents et il s’est quand m\u00eame fait pirater pour 110 millions de dollars. Ce secteur doit accepter que la mention \u2039 audit\u00e9 par X \u203a ne veut presque rien dire. Le code est difficile, la DeFi l’est encore plus \u00bb, \u00e9crivait-il apr\u00e8s l’exploit<\/a>. Le tableau suivant recense les cas r\u00e9cents o\u00f9 l’\u00e9tiquette d’audit n’a pas tenu.<\/p>

Protocole<\/th>Date<\/th>Perte<\/th>Cabinet(s)<\/th>Cause racine<\/th>Dans le p\u00e9rim\u00e8tre ?<\/th><\/tr><\/thead>
Cetus (Sui)<\/td>Mai 2025<\/td>~223 M$<\/td>MoveBit, OtterSec, Zellic<\/td>D\u00e9passement d’entier (checked_shlw)<\/td>Oui, manqu\u00e9 3 fois<\/td><\/tr>
Balancer v2<\/td>Nov. 2025<\/td>>100 M$<\/td>OpenZeppelin, Trail of Bits, Certora, ABDK<\/td>Erreur d’arrondi<\/td>Partiel (code ajout\u00e9 hors scope)<\/td><\/tr>
KelpDAO<\/td>Avr. 2026<\/td>~292 M$<\/td>Audit\u00e9<\/td>Config DVN LayerZero 1-sur-1 + RPC compromis<\/td>Non (infrastructure)<\/td><\/tr>
Bunni<\/td>Sept. 2025<\/td>~8,4 M$<\/td>Trail of Bits<\/td>Arrondi cumul\u00e9, correctif incomplet<\/td>Oui, fix partiel<\/td><\/tr>
GMX v1<\/td>Juil. 2025<\/td>~42 M$<\/td>Audit\u00e9<\/td>R\u00e9entrance<\/td>Oui<\/td><\/tr><\/tbody><\/table><\/figure>

Lu ligne \u00e0 ligne, le tableau raconte quatre fa\u00e7ons distinctes d’\u00e9chouer. Cetus est un motif d’arithm\u00e9tique manqu\u00e9 \u00e0 l’int\u00e9rieur du p\u00e9rim\u00e8tre. GMX v1, vid\u00e9 de plus de 42 millions de dollars le 9 juillet 2025 par une r\u00e9entrance dans sa fonction executeDecreaseOrder, montre qu’une classe de bugs bien connue survit encore ; l’attaquant a d’ailleurs rendu les fonds contre une prime de 5 millions, selon Halborn<\/a>. Balancer rel\u00e8ve de la fra\u00eecheur et du p\u00e9rim\u00e8tre, un contrat ajout\u00e9 apr\u00e8s l’audit. KelpDAO n’est m\u00eame pas un bug de contrat, mais une infrastructure forg\u00e9e. Un seul mot, \u00ab audit\u00e9 \u00bb, recouvre ces quatre r\u00e9alit\u00e9s et n’en d\u00e9samorce aucune. Juger un cabinet, c’est d\u00e9composer ce que ce mot cache.<\/p>

Ce n’est pas un r\u00e9quisitoire contre l’audit. C’est le point de d\u00e9part de la seule question qui compte pour un fondateur ou un investisseur : puisque m\u00eame les bons cabinets manquent des failles, comment distinguer un cabinet s\u00e9rieux d’un tampon d\u00e9coratif ? Les six crit\u00e8res qui suivent r\u00e9pondent \u00e0 cette question.<\/p>

Crit\u00e8re n\u00b01 : la sp\u00e9cialisation par \u00e9cosyst\u00e8me<\/h2>

Auditer du Solidity sur l’EVM, du Rust sur Solana et du Move sur Sui ou Aptos, ce ne sont pas trois variantes du m\u00eame m\u00e9tier. Le mod\u00e8le de comptes de Solana, le syst\u00e8me de ressources de Move, les pi\u00e8ges arithm\u00e9tiques propres \u00e0 chaque machine virtuelle demandent une expertise distincte. Un cabinet excellent sur la DeFi Ethereum peut passer \u00e0 c\u00f4t\u00e9 d’un motif de d\u00e9passement typique de Move, pr\u00e9cis\u00e9ment ce qui est arriv\u00e9 sur Cetus. La bonne question \u00e0 poser n’est pas \u00ab \u00eates-vous r\u00e9put\u00e9s ? \u00bb mais \u00ab combien d’audits avez-vous men\u00e9s sur ma machine virtuelle, avec des rapports publics \u00e0 l’appui ? \u00bb.<\/p>

Le paysage 2026 s’est sp\u00e9cialis\u00e9 en cons\u00e9quence. Sur l’EVM et la v\u00e9rification formelle, on retrouve OpenZeppelin, dont la biblioth\u00e8que de contrats \u00e9quipe une bonne partie de la DeFi, Trail of Bits, Certora et Consensys Diligence. Sur l’univers Solana et Move, OtterSec, Zellic et MoveBit se sont impos\u00e9s comme les r\u00e9f\u00e9rences, m\u00eame si Cetus rappelle qu’une sp\u00e9cialisation n’est pas une immunit\u00e9. Halborn, n\u00e9e \u00e0 Miami en 2019, couvre \u00e0 la fois l’EVM, Solana, Cosmos, Move et Algorand, et adjoint aux audits une pratique offensive de red team et de tests d’intrusion. Un g\u00e9n\u00e9raliste sans r\u00e9f\u00e9rences v\u00e9rifiables sur votre pile technique est un signal d’alarme, pas un gage de polyvalence.<\/p>

Halborn illustre ce qu’une maison sp\u00e9cialis\u00e9e met sur la table au-del\u00e0 de la relecture. Fond\u00e9e \u00e0 Miami en 2019 par Steven Walbroehl et Rob Behnke, autofinanc\u00e9e pendant environ trois ans avant une lev\u00e9e de 90 millions de dollars, quelque 78 millions d’euros, men\u00e9e par Summit Partners en 2022, elle m\u00eale audits manuels, red team offensive et s\u00e9curit\u00e9 de l’infrastructure. Sa divulgation la plus connue, baptis\u00e9e Rab13s, portait en 2022 sur la base de code de Dogecoin et a mis en \u00e9vidence des failles touchant plus de 280 r\u00e9seaux, dont un d\u00e9ni de service capable de faire tomber un n\u0153ud, pour plus de 25 milliards de dollars d’actifs expos\u00e9s. Depuis l’arriv\u00e9e de Jacques Boschung \u00e0 sa t\u00eate en 2024, le cabinet pousse vers les institutions ; \u00ab les services financiers se transforment, et les institutions adoptent les actifs num\u00e9riques \u00e0 un rythme sans pr\u00e9c\u00e9dent ; l’infrastructure sous-jacente doit suivre \u00bb, r\u00e9sume-t-il<\/a>. Du hack de n\u0153ud \u00e0 la salle de march\u00e9, cette trajectoire dit quelle profondeur un acheteur peut attendre d’un cabinet de premier plan.<\/p>

Crit\u00e8re n\u00b02 : la m\u00e9thodologie, au-del\u00e0 de la revue manuelle<\/h2>

La lecture humaine du code reste centrale, mais elle ne suffit plus. Un cabinet s\u00e9rieux empile les couches : analyse statique (des outils comme Slither), fuzzing par propri\u00e9t\u00e9s (Echidna, puis son successeur Medusa), et v\u00e9rification formelle qui prouve math\u00e9matiquement des invariants plut\u00f4t que de les tester. Apr\u00e8s le hack de Balancer, Trail of Bits a publi\u00e9 un cadre en quatre volets qui r\u00e9sume l’\u00e9tat de l’art : documenter chaque invariant d’arrondi comme une assertion formelle et non comme un commentaire, viser une couverture de tests compl\u00e8te assortie de tests de mutation, mener des campagnes de fuzzing continues, et ajouter la v\u00e9rification formelle comme quatri\u00e8me filet. Le cabinet y reconna\u00eet que son propre mod\u00e8le de menace de 2021<\/a>, domin\u00e9 par le vol de cl\u00e9s et les contr\u00f4les d’acc\u00e8s, avait sous-estim\u00e9 les cas limites d’arithm\u00e9tique.<\/p>

\u00c0 quoi ressemble un budget qui ach\u00e8te vraiment cette profondeur ? Le programme \u00ab Security by Design \u00bb d’Aave v4 en donne l’\u00e9talon. Pour 1,5 million de dollars, environ 1,3 million d’euros<\/a>, il a r\u00e9uni Trail of Bits, ChainSecurity et Blackthorn sur plus de 345 jours de revue cumul\u00e9s, une suite de tests d’invariants et un concours public de code de six semaines, sans qu’aucune vuln\u00e9rabilit\u00e9 critique ou \u00e9lev\u00e9e ne soit trouv\u00e9e. C’est l’exception, pas la norme, et cela situe le co\u00fbt r\u00e9el d’une s\u00e9curit\u00e9 en couches. Si un cabinet ne cite ni fuzzing ni v\u00e9rification formelle et se contente de lire le code, vous payez la moiti\u00e9 du travail.<\/p>

Ces outils ne sont pas des arguments marketing. Slither, Echidna et Medusa sont ouverts, publics et maintenus par Trail of Bits ; Medusa r\u00e9utilise la sortie de Slither pour orienter son fuzzing, de sorte que la machine cherche l\u00e0 o\u00f9 le code est le plus tortueux. La v\u00e9rification formelle, port\u00e9e par des cabinets comme Certora, va encore plus loin : elle d\u00e9montre qu’une propri\u00e9t\u00e9 tient pour toutes les entr\u00e9es possibles, pas seulement pour celles qu’un testeur a imagin\u00e9es. Un cabinet qui empile ces couches transforme l’audit d’une opinion d’expert en un ensemble de preuves reproductibles. Demandez \u00e0 voir les harnais de fuzzing et les r\u00e8gles employ\u00e9es : un bon rapport les fournit en annexe, un mauvais n’en pr\u00e9sente aucun.<\/p>

Crit\u00e8re n\u00b03 : la transparence des rapports<\/h2>

Un cabinet qui publie ses rapports complets s’expose au jugement ; un cabinet qui ne d\u00e9livre qu’un badge se met \u00e0 l’abri. La transparence est donc, \u00e0 elle seule, un filtre de qualit\u00e9. Un rapport digne de ce nom porte des identifiants de findings, une matrice croisant s\u00e9v\u00e9rit\u00e9 et difficult\u00e9 d’exploitation, une \u00e9valuation de la maturit\u00e9 du code sur plusieurs dimensions (documentation, tests, contr\u00f4les d’acc\u00e8s, hygi\u00e8ne de la cha\u00eene d’approvisionnement, gestion des erreurs, configuration), et surtout un \u00ab niveau d’effort \u00bb exprim\u00e9 en semaines-ing\u00e9nieur. Ce dernier chiffre est le plus r\u00e9v\u00e9lateur : un audit d’une semaine sur un protocole complexe ne p\u00e8se pas comme un audit de six semaines, quel que soit le nom du signataire.<\/p>

Concr\u00e8tement, exigez le rapport int\u00e9gral, pas la vignette. Un protocole qui affiche \u00ab audit\u00e9 par X \u00bb sans lien vers un PDF public a, dans le meilleur des cas, quelque chose \u00e0 cacher sur le p\u00e9rim\u00e8tre, dans le pire des cas rien \u00e0 montrer du tout. Les meilleurs cabinets, de Trail of Bits \u00e0 OpenZeppelin, tiennent un catalogue public de leurs revues pr\u00e9cis\u00e9ment parce que la tra\u00e7abilit\u00e9 est devenue un argument commercial. Un rapport que vous ne pouvez pas lire ne vous prot\u00e8ge pas ; il rassure, ce qui est exactement l’inverse.<\/p>

Crit\u00e8re n\u00b04 : la fra\u00eecheur d’un audit<\/h2>

Un audit ne couvre que le code qui existait le jour o\u00f9 il a \u00e9t\u00e9 men\u00e9. C’est une \u00e9vidence, et c’est pourtant l’erreur la plus co\u00fbteuse du secteur. Dans le jeu de donn\u00e9es d’Ack3, sur les vingt cas o\u00f9 la faille se trouvait bien dans le p\u00e9rim\u00e8tre audit\u00e9, dix-sept concernaient des protocoles dont l’audit datait de plus de six mois. Le code avait v\u00e9cu, chang\u00e9, grandi ; le rapport, lui, \u00e9tait fig\u00e9.<\/p>

Balancer offre l’anecdote parfaite. La deuxi\u00e8me mission d’OpenZeppelin sur ses pools s’est achev\u00e9e le 10 septembre 2021 ; le contrat ComposableStablePool, celui qui sera finalement exploit\u00e9, a \u00e9t\u00e9 ajout\u00e9 au d\u00e9p\u00f4t le 20 septembre, dix jours plus tard, donc hors p\u00e9rim\u00e8tre. Le cabinet l’a \u00e9crit noir sur blanc : \u00ab De nouveaux contrats ont \u00e9t\u00e9 ajout\u00e9s au d\u00e9p\u00f4t, mais ils ne relevaient pas du p\u00e9rim\u00e8tre de notre mission. \u00bb Dix jours d’\u00e9cart, plus de 100 millions de dollars, quelque 90 millions d’euros, de cons\u00e9quences quatre ans plus tard. La question \u00e0 poser est double : quand l’audit a-t-il eu lieu, et le code a-t-il chang\u00e9 depuis ? Un cabinet moderne propose une revue continue plut\u00f4t qu’un clich\u00e9 unique, pr\u00e9cis\u00e9ment parce que le code d’un protocole vivant n’attend pas.<\/p>

Crit\u00e8re n\u00b05 : le suivi des corrections<\/h2>

Trouver un probl\u00e8me ne sert \u00e0 rien si le correctif n’est ni complet ni v\u00e9rifi\u00e9. Un bon engagement inclut une passe de re-test : le cabinet revient constater que chaque finding a \u00e9t\u00e9 corrig\u00e9, avec un statut clair (corrig\u00e9, avec la version concern\u00e9e, ou ouvert, avec une \u00e9ventuelle mention de risque accept\u00e9). L’absence de cette \u00e9tape transforme le rapport en liste de bonnes intentions.<\/p>

Bunni, un DEX b\u00e2ti sur Uniswap v4, illustre le pi\u00e8ge. Trail of Bits avait signal\u00e9 un manque d’approche syst\u00e9matique sur les arrondis ; l’\u00e9quipe a appliqu\u00e9 un correctif, mais celui-ci ne couvrait pas le cas limite pr\u00e9cis qui sera exploit\u00e9 le 2 septembre 2025. Une attaque par flash loan, quarante-quatre retraits minuscules et successifs, a accumul\u00e9 l’erreur d’arrondi jusqu’\u00e0 vider le pool pour environ 8,4 millions de dollars<\/a>, pr\u00e8s de 7 millions d’euros, sur Ethereum et Unichain. L’\u00e9quipe a ferm\u00e9 peu apr\u00e8s, faute de pouvoir financer un nouveau programme de s\u00e9curit\u00e9. La le\u00e7on : un finding correctement identifi\u00e9 mais partiellement corrig\u00e9 et jamais re-test\u00e9 \u00e9quivaut \u00e0 un finding manqu\u00e9. Demandez si le fix-review est inclus, et comparez le commit audit\u00e9 au bytecode r\u00e9ellement d\u00e9ploy\u00e9 on-chain.<\/p>

Crit\u00e8re n\u00b06 : le p\u00e9rim\u00e8tre, et la grille compl\u00e8te<\/h2>

Tout le reste d\u00e9coule du p\u00e9rim\u00e8tre. KelpDAO et Balancer le prouvent : la faille n’\u00e9tait pas dans le code relu, elle \u00e9tait dans ce qui n’avait pas \u00e9t\u00e9 relu. Avant de signer, obtenez un p\u00e9rim\u00e8tre \u00e9crit et sans ambigu\u00eft\u00e9 : quels contrats, quel hash de commit, quelles int\u00e9grations tierces incluses, et surtout ce qui est explicitement exclu. Pour un protocole ambitieux, une couverture par plusieurs cabinets sur des p\u00e9rim\u00e8tres compl\u00e9mentaires vaut mieux qu’un audit unique \u00e9largi \u00e0 l’exc\u00e8s. Le risque \u00e9conomique et de gouvernance, lui, sort presque toujours du cadre : notre analyse du risque des curateurs dans le pr\u00eat DeFi modulaire<\/a> montre une cat\u00e9gorie enti\u00e8re de dangers qu’aucune relecture de Solidity ne capture.<\/p>

Voici les six crit\u00e8res ramass\u00e9s en une grille, avec pour chacun la question \u00e0 poser au cabinet et le signal d’alarme correspondant.<\/p>

Crit\u00e8re<\/th>La question \u00e0 poser<\/th>Signal d’alarme<\/th><\/tr><\/thead>
Sp\u00e9cialisation<\/td>Combien d’audits sur ma machine virtuelle, rapports publics \u00e0 l’appui ?<\/td>G\u00e9n\u00e9raliste sans r\u00e9f\u00e9rences sur votre pile<\/td><\/tr>
M\u00e9thodologie<\/td>Fuzzing et v\u00e9rification formelle, ou simple lecture de code ?<\/td>Revue manuelle seule, aucun outil cit\u00e9<\/td><\/tr>
Transparence<\/td>Le rapport complet est-il public (IDs, s\u00e9v\u00e9rit\u00e9, jours-ing\u00e9nieur) ?<\/td>Un badge \u00ab audit\u00e9 \u00bb, aucun PDF<\/td><\/tr>
Fra\u00eecheur<\/td>Quand l’audit a-t-il eu lieu, et le code a-t-il chang\u00e9 depuis ?<\/td>Audit de plus de six mois sur du code modifi\u00e9<\/td><\/tr>
Suivi<\/td>Une passe de re-test des correctifs est-elle pr\u00e9vue ?<\/td>Rapport livr\u00e9, aucun fix-review<\/td><\/tr>
P\u00e9rim\u00e8tre<\/td>Quels contrats, quel commit, quelles int\u00e9grations exclues ?<\/td>P\u00e9rim\u00e8tre flou ou jamais mis par \u00e9crit<\/td><\/tr><\/tbody><\/table><\/figure>

V\u00e9rifier un cabinet par vous-m\u00eame : quatre outils<\/h2>

La grille ci-dessus suppose que vous puissiez contr\u00f4ler les r\u00e9ponses. Bonne nouvelle : quatre ressources publiques permettent de passer du logo \u00e0 la preuve, sans \u00eatre ing\u00e9nieur en s\u00e9curit\u00e9.<\/p>