Le 13 mai 2026, Code4rena a annonc\u00e9 sa fermeture. La plateforme qui avait rendu populaire l’audit concurrentiel, ces concours o\u00f9 des dizaines de chercheurs ind\u00e9pendants s’affrontent pour d\u00e9busquer les failles d’un smart contract, passe la main \u00e0 Immunefi, le plus gros programme de bug bounty du secteur. Deux ans plus t\u00f4t, la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 Zellic l’avait rachet\u00e9e ; en 2023, elle avait lev\u00e9 six millions de dollars (environ 5,2 millions d’euros) aupr\u00e8s du fonds Paradigm. Sa disparition ne signe pas l’\u00e9chec d’un mod\u00e8le, elle raconte une industrie qui se concentre \u00e0 vitesse acc\u00e9l\u00e9r\u00e9e.<\/p>
Cette industrie forme ce que l’on peut appeler la seconde ligne de d\u00e9fense de la crypto. \u00c0 c\u00f4t\u00e9 du cabinet d’audit classique, factur\u00e9 au forfait pour quelques semaines de travail, une deuxi\u00e8me famille d’acteurs s’est impos\u00e9e depuis 2022 : les concours d’audit et les bug bounties, o\u00f9 la s\u00e9curit\u00e9 se paie au r\u00e9sultat et o\u00f9 la foule remplace le bin\u00f4me d’experts. Cet article passe en revue ces plateformes, Immunefi, Sherlock, Cantina et l’h\u00e9ritage de Code4rena, confronte leur promesse \u00e0 celle du cabinet traditionnel, et d\u00e9taille ce que la vague de consolidation de 2026 change pour un projet francophone qui cherche \u00e0 prot\u00e9ger son code, et pour l’investisseur qui lit l’\u00e9tiquette \u00ab audit\u00e9 \u00bb sur une page de token.<\/p>
Code4rena, souvent abr\u00e9g\u00e9 C4, a invent\u00e9 une partie du vocabulaire du secteur. Ses chercheurs s’appelaient des \u00ab wardens \u00bb, ils s’affrontaient pendant une fen\u00eatre de quelques jours, et un classement public r\u00e9compensait ceux qui trouvaient les failles les plus graves. Le mod\u00e8le a fonctionn\u00e9 : entre 2021 et 2025, les concours ont d\u00e9tect\u00e9 des milliers de vuln\u00e9rabilit\u00e9s avant qu’un attaquant ne les exploite. Puis Zellic, un cabinet sp\u00e9cialis\u00e9 dans Solana et le langage Rust, a rachet\u00e9 C4 en 2024, en promettant de le laisser fonctionner de fa\u00e7on ind\u00e9pendante.<\/p>
L’ind\u00e9pendance n’a pas dur\u00e9. Le 13 mai 2026, l’\u00e9quipe a publi\u00e9 un message sobre : apr\u00e8s m\u00fbre r\u00e9flexion, elle mettait fin \u00e0 Code4rena. Immunefi a aussit\u00f4t annonc\u00e9 qu’elle reprendrait les clients, les programmes de bug bounty, les r\u00e8gles et les grilles de r\u00e9compense, ainsi que la communaut\u00e9 de wardens, en soulignant que \u00ab Code4rena a jou\u00e9 un r\u00f4le majeur dans la construction de la s\u00e9curit\u00e9 crypto \u00bb. Aucun engagement en cours ne serait laiss\u00e9 inachev\u00e9, promettait C4, comme l’a rapport\u00e9 The Block<\/a>.<\/p> Il serait tentant d’y lire la mort du mod\u00e8le concurrentiel. C’est l’inverse. La demande pour ce type de revue n’a jamais \u00e9t\u00e9 aussi forte ; c’est l’offre qui se regroupe autour de quelques plateformes capables de tenir la distance. En 2026, la s\u00e9curit\u00e9 on-chain ressemble de moins en moins \u00e0 une mosa\u00efque de petits ateliers et de plus en plus \u00e0 un oligopole de grandes places de march\u00e9. Comprendre qui reste debout, et ce que chacun sait faire, devient un exercice indispensable avant de signer un devis.<\/p> Pour s’y retrouver, il faut distinguer deux familles. La premi\u00e8re, la plus ancienne, est le cabinet d’audit factur\u00e9 au forfait. OpenZeppelin, Trail of Bits, Halborn, Certora ou CertiK d\u00e9tachent une \u00e9quipe d’ing\u00e9nieurs seniors pendant quelques semaines, combinent revue manuelle et outils automatis\u00e9s (analyse statique, fuzzing, v\u00e9rification formelle), puis rendent un rapport classant chaque probl\u00e8me par s\u00e9v\u00e9rit\u00e9. C’est pr\u00e9visible, profond et document\u00e9, mais c’est une photographie prise un jour donn\u00e9, sur un p\u00e9rim\u00e8tre fig\u00e9.<\/p> La seconde famille est apparue en 2022 et regroupe deux sous-mod\u00e8les. Le concours d’audit (audit contest) est une comp\u00e9tition \u00e0 dur\u00e9e limit\u00e9e : un protocole met en jeu une cagnotte, des centaines de chercheurs examinent le m\u00eame code en parall\u00e8le, et les r\u00e9compenses vont aux failles les plus s\u00e9v\u00e8res. Sherlock et Cantina en sont les plateformes de r\u00e9f\u00e9rence apr\u00e8s le retrait de Code4rena. Le bug bounty, lui, est permanent : il paie au r\u00e9sultat, faille par faille, une fois le code d\u00e9j\u00e0 en production, avec des primes calibr\u00e9es selon la gravit\u00e9 et les fonds expos\u00e9s. Immunefi domine cette cat\u00e9gorie.<\/p> La logique qui relie ces trois briques est simple. L’audit attrape les bugs connus et les erreurs de motif classiques ; le concours ajoute une diversit\u00e9 d’angles d’attaque, car des centaines de cerveaux ind\u00e9pendants ne pensent pas de la m\u00eame fa\u00e7on ; le bug bounty ajoute du temps, en couvrant le code lorsqu’il est vivant, riche, et donc r\u00e9ellement convoit\u00e9. Chacun r\u00e9pond \u00e0 une question diff\u00e9rente. Aucun ne r\u00e9pond \u00e0 la question des deux autres.<\/p> Le meilleur argument en faveur de cette seconde ligne, ce sont les protocoles audit\u00e9s qui se font quand m\u00eame vider. Jack Sanford, cofondateur et directeur g\u00e9n\u00e9ral de Sherlock, le r\u00e9sume ainsi dans Crypto Briefing<\/a> : \u00ab Les audits ponctuels sont indispensables, mais ils n’ont jamais \u00e9t\u00e9 con\u00e7us pour porter \u00e0 eux seuls tout le poids de la s\u00e9curit\u00e9. \u00bb Les incidents les plus co\u00fbteux des dix-huit derniers mois lui donnent raison.<\/p> Le 3 novembre 2025, une erreur d’arrondi dans la fonction de mise \u00e0 l’\u00e9chelle des swaps par lots de Balancer (un batchSwap en mode EXACT_OUT) a permis de siphonner environ 111 millions d’euros (128,64 millions de dollars) en moins de trente minutes sur six r\u00e9seaux, faisant chuter la valeur bloqu\u00e9e du protocole de 442,96 \u00e0 186,09 millions de dollars, selon Check Point Research<\/a>. Or Balancer avait \u00e9t\u00e9 audit\u00e9 onze fois par quatre cabinets. Un an plus t\u00f4t, le protocole Cetus, sur la blockchain Sui, avait perdu pr\u00e8s de 193 millions d’euros (223 millions de dollars) \u00e0 cause d’un d\u00e9passement d’entier dans sa logique de liquidit\u00e9 ; trois cabinets, OtterSec, MoveBit et Zellic, avaient examin\u00e9 la fonction vuln\u00e9rable, le dernier audit datant d’\u00e0 peine un mois, d’apr\u00e8s le post-mortem de Halborn<\/a>.<\/p> Deux affaires plus r\u00e9centes montrent une limite encore plus dure : parfois, la faille n’est m\u00eame pas dans le code. En avril 2026, KelpDAO a perdu environ 253 millions d’euros (292 millions de dollars) non pas via un bug de contrat, mais via une configuration de v\u00e9rification cross-chain et des n\u0153uds RPC compromis. OpenZeppelin<\/a> l’a formul\u00e9 sans d\u00e9tour dans son analyse : les contrats avaient fonctionn\u00e9 exactement comme ils \u00e9taient \u00e9crits. Le 22 juillet 2026, la plateforme AFX Trade s’est fait drainer environ 21 millions d’euros (24 millions de dollars) sur Arbitrum apr\u00e8s la compromission des cl\u00e9s d’un bridge, malgr\u00e9 des audits ant\u00e9rieurs de SlowMist et Zellic, comme l’a document\u00e9 CoinDesk<\/a>.<\/p>Deux \u00e9coles de la s\u00e9curit\u00e9 on-chain<\/h2>
Pourquoi un audit ponctuel ne suffit plus<\/h2>