{"id":275,"date":"2026-08-11T22:35:34","date_gmt":"2026-08-11T22:35:34","guid":{"rendered":"https:\/\/hoge.gg\/fr\/certik-auditeur-crypto-decrypte-limites-2026\/"},"modified":"2026-08-11T22:35:34","modified_gmt":"2026-08-11T22:35:34","slug":"certik-auditeur-crypto-decrypte-limites-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/certik-auditeur-crypto-decrypte-limites-2026\/","title":{"rendered":"CertiK d\u00e9crypt\u00e9 : l’auditeur star de la crypto pass\u00e9 au crible"},"content":{"rendered":"

Deux fois par an, un rapport rythme la conversation sur la s\u00e9curit\u00e9 crypto : le Hack3d de CertiK, publi\u00e9 par le plus gros cabinet d’audit de la blockchain. L’\u00e9dition du premier semestre 2026 chiffre les pertes de l’\u00e9cosyst\u00e8me \u00e0 pr\u00e8s de 1,14 milliard d’euros (1,31 milliard de dollars) sur 344 incidents, selon le communiqu\u00e9 officiel de la soci\u00e9t\u00e9<\/a>. Mais le chiffre n’est pas ce qui a le plus marqu\u00e9 son cofondateur.<\/p>

\u00ab Ce qui ressort le plus, c’est la forme des pertes \u00bb, r\u00e9sume Ronghui Gu, PDG de CertiK, cit\u00e9 par Forbes<\/a>. La quasi-totalit\u00e9 des sommes vol\u00e9es au premier semestre n’a rien \u00e0 voir avec un bug de code. Elles sont parties par des cl\u00e9s priv\u00e9es compromises, des multisig mal gard\u00e9es, des infrastructures d\u00e9tourn\u00e9es. Autrement dit : par la porte que l’audit de smart contract, c\u0153ur de m\u00e9tier historique de CertiK, ne verrouille pas.<\/p>

C’est tout le paradoxe de l’entreprise que cet article d\u00e9cortique. CertiK a b\u00e2ti un empire valoris\u00e9 environ 1,7 milliard d’euros sur la promesse de prouver math\u00e9matiquement qu’un contrat est s\u00fbr, au moment m\u00eame o\u00f9 ses propres donn\u00e9es montrent que le risque s’est d\u00e9plac\u00e9 ailleurs. Gardien salu\u00e9 par les uns, symbole du \u00ab tampon d’audit \u00bb qui rassure \u00e0 tort pour les autres, CertiK m\u00e9rite qu’on regarde sous le capot : son histoire, ses produits, ses chiffres, ses controverses et ce que vaut vraiment, en 2026, la mention \u00ab audit\u00e9 par CertiK \u00bb.<\/p>

De la salle de classe de Yale \u00e0 la salle des march\u00e9s<\/h2>

CertiK ne na\u00eet pas dans la crypto, mais dans un laboratoire universitaire. En 2016, Ronghui Gu, alors doctorant, et Zhong Shao, professeur et directeur du d\u00e9partement d’informatique de l’universit\u00e9 Yale, ach\u00e8vent CertiKOS : le premier noyau de syst\u00e8me d’exploitation multic\u0153ur enti\u00e8rement v\u00e9rifi\u00e9 de fa\u00e7on formelle, c’est-\u00e0-dire dont chaque comportement possible a \u00e9t\u00e9 prouv\u00e9 math\u00e9matiquement correct. Le r\u00e9sultat, salu\u00e9 \u00e0 l’\u00e9poque comme \u00ab inviolable \u00bb, donne \u00e0 l’entreprise son nom (Certified Kernel) et son ADN : appliquer la v\u00e9rification formelle, r\u00e9serv\u00e9e jusque-l\u00e0 \u00e0 l’a\u00e9ronautique ou au nucl\u00e9aire, au code qui d\u00e9place de l’argent.<\/p>

Gu, devenu professeur assistant \u00e0 l’universit\u00e9 Columbia (titulaire de la chaire Tang Family, doctorat de Yale, dipl\u00f4me de Tsinghua), fonde CertiK en 2017 avec Shao, docteur de Princeton et titulaire de chaire \u00e0 Yale. Le raisonnement de d\u00e9part est simple : puisqu’un smart contract est immuable une fois d\u00e9ploy\u00e9 et qu’il g\u00e8re parfois des milliards, il faut le traiter avec la rigueur d’un logiciel critique, pas d’un site web. La v\u00e9rification formelle promet ce que les tests classiques ne donnent jamais : non pas \u00ab nous n’avons pas trouv\u00e9 de bug \u00bb, mais \u00ab nous avons prouv\u00e9 qu’une classe enti\u00e8re de bugs est impossible \u00bb.<\/p>

Cette filiation acad\u00e9mique reste, encore aujourd’hui, l’argument de vente le plus solide de CertiK face \u00e0 des concurrents n\u00e9s du conseil ou du hacking offensif. Elle a aussi ses limites : prouver qu’un contrat respecte sa sp\u00e9cification ne sert \u00e0 rien si la sp\u00e9cification elle-m\u00eame est fausse, ou si le danger vient d’ailleurs que du code. Toute l’histoire r\u00e9cente de l’entreprise se joue dans cet \u00e9cart entre la promesse math\u00e9matique et la r\u00e9alit\u00e9 du terrain.<\/p>

Le passage de la th\u00e9orie \u00e0 la pratique a suivi le rythme de la crypto elle-m\u00eame. Quand la vague des ICO de 2017 et 2018 a d\u00e9vers\u00e9 des milliers de contrats non test\u00e9s sur Ethereum, la demande d’audits a explos\u00e9, et CertiK s’est engouffr\u00e9 dans la br\u00e8che avec un discours simple : nous ne faisons pas que relire votre code, nous le prouvons. L’entreprise a ensuite \u00e9largi son offre bien au-del\u00e0 de l’audit ponctuel, \u00e0 mesure que les montants en jeu, et donc les cibles, grossissaient. C’est cette trajectoire, d’un outil universitaire de niche \u00e0 une plateforme de s\u00e9curit\u00e9 tous services, qui explique sa position dominante actuelle.<\/p>

Ce que CertiK fait vraiment : quatre m\u00e9tiers, un tableau de bord<\/h2>

R\u00e9duire CertiK \u00e0 \u00ab un cabinet d’audit \u00bb est trompeur. La soci\u00e9t\u00e9 vend en r\u00e9alit\u00e9 une pile de services qui se compl\u00e8tent, et c’est cette int\u00e9gration, plus que l’audit seul, qui explique sa position dominante. Le socle reste l’audit de smart contract, qui combine trois approches : revue manuelle par des ing\u00e9nieurs, moteurs de v\u00e9rification formelle qui calculent l’ensemble des \u00e9tats possibles d’un contrat, et, depuis peu, des outils d’intelligence artificielle.<\/p>

Service<\/th>Ce qu’il couvre<\/th>Ce qu’il ne couvre pas<\/th><\/tr><\/thead>
Audit de smart contract<\/td>Logique du code, arithm\u00e9tique, contr\u00f4le d’acc\u00e8s (revue manuelle, v\u00e9rification formelle, IA)<\/td>Cl\u00e9s priv\u00e9es, configuration hors cha\u00eene, code d\u00e9ploy\u00e9 apr\u00e8s l’audit<\/td><\/tr>
Skynet<\/td>Surveillance continue, Skynet Score, alertes on-chain<\/td>Ne bloque ni une transaction ni une cl\u00e9 vol\u00e9e<\/td><\/tr>
Test d’intrusion<\/td>Failles d’infrastructure, applications, portefeuilles<\/td>Failles \u00e9conomiques ou de gouvernance<\/td><\/tr>
Bug bounty<\/td>Vuln\u00e9rabilit\u00e9s trouv\u00e9es apr\u00e8s d\u00e9ploiement<\/td>D\u00e9pend de la prime et du p\u00e9rim\u00e8tre d\u00e9fini<\/td><\/tr>
SkyInsights (KYC\/AML)<\/td>Conformit\u00e9, tra\u00e7age de fonds, filtrage d’adresses<\/td>S\u00e9curit\u00e9 technique du contrat<\/td><\/tr><\/tbody><\/table><\/figure>

Au-dessus de l’audit, Skynet surveille les protocoles en continu une fois d\u00e9ploy\u00e9s ; la pile ajoute le test d’intrusion (pentest), un programme de bug bounty, et SkyInsights, une offre de conformit\u00e9 KYC\/AML destin\u00e9e aux plateformes et aux r\u00e9gulateurs. Le message commercial est limpide : un audit est une photographie, la s\u00e9curit\u00e9 est un film. Chaque produit r\u00e9pond \u00e0 un angle mort du pr\u00e9c\u00e9dent, et c’est pr\u00e9cis\u00e9ment parce que l’audit seul ne suffit pas que CertiK a construit tout le reste.<\/p>

La v\u00e9rification formelle, joyau technique de la maison, m\u00e9rite qu’on en pr\u00e9cise les limites. Prouver math\u00e9matiquement qu’un contrat se comporte \u00ab comme pr\u00e9vu \u00bb suppose d’abord de d\u00e9finir ce que veut dire \u00ab comme pr\u00e9vu \u00bb : une sp\u00e9cification. Si cette sp\u00e9cification oublie un sc\u00e9nario, par exemple une interaction inattendue avec un autre protocole, la preuve reste vraie mais inutile. La m\u00e9thode \u00e9limine des classes enti\u00e8res de bugs d’impl\u00e9mentation ; elle ne dit rien des erreurs de conception, des hypoth\u00e8ses \u00e9conomiques fausses ou des cl\u00e9s mal gard\u00e9es. C’est un outil puissant sur un p\u00e9rim\u00e8tre \u00e9troit, pas une baguette magique, et confondre les deux est la premi\u00e8re erreur de lecture d’un audit.<\/p>

Skynet, le tableau de bord qui note toute la crypto<\/h2>

Skynet est l’arme de diff\u00e9renciation de CertiK. C’est un tableau de bord public qui attribue \u00e0 des milliers de projets, de plateformes et de portefeuilles un \u00ab Skynet Score \u00bb cens\u00e9 refl\u00e9ter, en temps r\u00e9el, leur niveau de risque. Selon la page produit de la soci\u00e9t\u00e9<\/a>, l’outil surveille l’\u00e9quivalent de pr\u00e8s de 500 milliards de dollars (environ 430 milliards d’euros) de valeur de march\u00e9. Pour beaucoup d’investisseurs particuliers, ce score est devenu un premier r\u00e9flexe avant d’acheter un jeton.<\/p>

L’\u00e9chelle de CertiK impressionne : plus de 5 000 clients, pr\u00e8s de 20 000 projets audit\u00e9s et plus de 115 000 vuln\u00e9rabilit\u00e9s d\u00e9tect\u00e9es depuis sa cr\u00e9ation, d’apr\u00e8s ses propres chiffres. Cette omnipr\u00e9sence est \u00e0 double tranchant. Elle fait de CertiK un point de passage quasi oblig\u00e9 pour tout projet cherchant de la cr\u00e9dibilit\u00e9 ; elle transforme aussi son logo en signal marketing, parfois brandi par des \u00e9quipes dont l’audit ne couvrait qu’une fraction du code. Nous y reviendrons, car c’est l\u00e0 que se nichent les controverses.<\/p>

Le Skynet Score lui-m\u00eame fait d\u00e9bat. Il agr\u00e8ge des signaux vari\u00e9s (qualit\u00e9 du code audit\u00e9, s\u00e9curit\u00e9 op\u00e9rationnelle, activit\u00e9 de gouvernance, fondamentaux du march\u00e9, sentiment de la communaut\u00e9) en une note synth\u00e9tique facile \u00e0 lire. La commodit\u00e9 a un revers : une note unique peut donner un faux sentiment de s\u00e9curit\u00e9, r\u00e9agir avec retard \u00e0 un \u00e9v\u00e9nement, ou \u00eatre per\u00e7ue comme un feu vert par des investisseurs qui n’ouvriront jamais le rapport d’audit sous-jacent. CertiK pr\u00e9sente le score comme un point de d\u00e9part, pas comme un verdict ; dans les faits, beaucoup le lisent comme une note sur vingt, ce qui est pr\u00e9cis\u00e9ment l’usage contre lequel il faudrait se pr\u00e9munir.<\/p>

L’empire chiffr\u00e9 : lev\u00e9es de fonds et valorisation<\/h2>

CertiK n’est pas une association de chercheurs mais une entreprise tr\u00e8s capitalis\u00e9e. D’apr\u00e8s Crunchbase<\/a>, la soci\u00e9t\u00e9 new-yorkaise a lev\u00e9 environ 296 millions de dollars (pr\u00e8s de 256 millions d’euros) au fil de plusieurs tours, pour une valorisation d’environ 2 milliards de dollars (pr\u00e8s de 1,7 milliard d’euros) au stade de s\u00e9rie B. Parmi ses investisseurs figurent des noms qui p\u00e8sent lourd, comme Tiger Global, Coinbase ou Insight Partners.<\/p>

Indicateur<\/th>Valeur<\/th><\/tr><\/thead>
Ann\u00e9e de fondation<\/td>2017 (noyau CertiKOS v\u00e9rifi\u00e9 en 2016)<\/td><\/tr>
Fonds lev\u00e9s<\/td>~296 M$ (pr\u00e8s de 256 M\u20ac)<\/td><\/tr>
Valorisation<\/td>~2 Mds$ (pr\u00e8s de 1,7 Md\u20ac)<\/td><\/tr>
Clients<\/td>plus de 5 000<\/td><\/tr>
Projets audit\u00e9s<\/td>pr\u00e8s de 20 000<\/td><\/tr>
Vuln\u00e9rabilit\u00e9s d\u00e9tect\u00e9es<\/td>plus de 115 000<\/td><\/tr>
Valeur surveill\u00e9e par Skynet<\/td>pr\u00e8s de 500 Mds$ (~430 Mds\u20ac)<\/td><\/tr><\/tbody><\/table><\/figure>

Cette assise financi\u00e8re compte pour comprendre les controverses qui suivent. Un cabinet valoris\u00e9 deux milliards a les moyens d’attirer les meilleurs ing\u00e9nieurs et de b\u00e2tir des outils propri\u00e9taires ; il a aussi une marque \u00e0 d\u00e9fendre et un flux de contrats \u00e0 prot\u00e9ger, ce qui alimente le soup\u00e7on r\u00e9current d’audits men\u00e9s trop vite pour tenir la cadence commerciale. La taille est \u00e0 la fois la meilleure garantie de s\u00e9rieux et la principale source de conflit d’int\u00e9r\u00eats.<\/p>

Hack3d, premier semestre 2026 : la \u00ab forme \u00bb des pertes<\/h2>

Le rapport Hack3d est l’un des barom\u00e8tres les plus cit\u00e9s du secteur, et l’\u00e9dition du premier semestre 2026 est riche d’enseignements. Les pertes atteignent pr\u00e8s de 1,14 milliard d’euros (1,31 milliard de dollars) sur 344 incidents. Le chiffre para\u00eet en baisse par rapport \u00e0 2025, mais c’est un trompe-l’\u0153il : ce record pr\u00e9c\u00e9dent \u00e9tait gonfl\u00e9 par le vol de 1,45 milliard de dollars subi par Bybit. Retir\u00e9 cet \u00e9v\u00e9nement isol\u00e9, les pertes du semestre sont en r\u00e9alit\u00e9 environ 28 % plus \u00e9lev\u00e9es d’une ann\u00e9e sur l’autre, note CertiK. Le deuxi\u00e8me trimestre \u00e0 lui seul compte 194 incidents, contre 145 un an plus t\u00f4t.<\/p>

La tendance de fond, r\u00e9sum\u00e9e par le titre de l’analyse de Forbes, tient en une formule : des piratages moins nombreux mais bien plus chirurgicaux. Les attaquants les plus sophistiqu\u00e9s, souvent li\u00e9s \u00e0 la Cor\u00e9e du Nord selon les enqu\u00eateurs, ne ratissent plus large ; ils choisissent quelques cibles \u00e0 tr\u00e8s forte valeur et frappent au point le plus faible, presque toujours humain ou op\u00e9rationnel. Le nombre d’incidents progresse, port\u00e9 par les arnaques et le phishing de masse, mais la valeur se concentre sur une poign\u00e9e de coups d’\u00e9clat. Un audit de code, par construction, ne change rien \u00e0 cette \u00e9quation.<\/p>

Le plus instructif tient dans la r\u00e9partition par vecteur d’attaque. La compromission de portefeuilles et de cl\u00e9s domine largement en valeur, loin devant le phishing, tandis que les bugs de code, pourtant les plus nombreux, co\u00fbtent le moins cher. C’est exactement l’inverse de ce que le grand public associe \u00e0 un \u00ab hack crypto \u00bb.<\/p>

Vecteur d’attaque<\/th>Pertes H1 2026<\/th>Incidents<\/th>Moyenne par incident<\/th><\/tr><\/thead>
Compromission de portefeuille et de cl\u00e9s<\/td>~385 M\u20ac (444 M$)<\/td>33<\/td>~11,7 M\u20ac (13 M$)<\/td><\/tr>
Phishing<\/td>~268 M\u20ac (310 M$)<\/td>63 (contre 132 en 2025)<\/td>~4,3 M\u20ac<\/td><\/tr>
Vuln\u00e9rabilit\u00e9s de code<\/td>~131 M\u20ac (151,6 M$)<\/td>204<\/td>~0,6 M\u20ac<\/td><\/tr><\/tbody><\/table><\/figure>

\u00ab La compromission de portefeuilles a \u00e9t\u00e9 la cat\u00e9gorie la plus co\u00fbteuse du semestre, avec plus de 444 millions de dollars, soit une moyenne de plus de 13 millions de dollars par \u00e9v\u00e9nement, de loin la plus \u00e9lev\u00e9e de toutes les cat\u00e9gories \u00bb, \u00e9crit Ronghui Gu, cit\u00e9 par Forbes. Sa conclusion r\u00e9sume la th\u00e8se de tout cet article : \u00ab Les attaquants obtiennent un meilleur rendement en s’attaquant \u00e0 la gestion des cl\u00e9s, \u00e0 la gouvernance multisig et \u00e0 l’infrastructure op\u00e9rationnelle qu’en cherchant des bugs dans le code. \u00bb<\/p>

Kelp DAO et Drift : quand le code n’est pas coupable<\/h2>

Deux incidents d’avril 2026 concentrent \u00e0 eux seuls pr\u00e8s de 44 % des pertes du semestre. Kelp DAO, un protocole de restaking liquide (rsETH), a perdu environ 252 millions d’euros (291,3 millions de dollars) ; Drift Protocol, environ 247 millions d’euros (285,3 millions de dollars). \u00ab Une part \u00e9norme des d\u00e9g\u00e2ts du semestre se r\u00e9sume \u00e0 deux incidents, Kelp DAO et Drift Protocol (…) Les deux \u00e9taient des d\u00e9faillances de s\u00e9curit\u00e9 op\u00e9rationnelle et d’infrastructure, pas des vuln\u00e9rabilit\u00e9s de code au sens traditionnel \u00bb, d\u00e9taille Gu.<\/p>

Le cas Kelp DAO est embl\u00e9matique. Le rendement du restaking, recycl\u00e9 en collat\u00e9ral dans toute la DeFi, propage le risque bien au-del\u00e0 du contrat d’origine ; nous l’avions d\u00e9taill\u00e9 dans notre analyse du rendement du restaking recycl\u00e9 en collat\u00e9ral<\/a>. Or aucun de ces deux vols n’a exploit\u00e9 une faille dans un smart contract audit\u00e9 : ils ont vis\u00e9 la configuration hors cha\u00eene, les n\u0153uds RPC, les cl\u00e9s. C’est pr\u00e9cis\u00e9ment le domaine que couvre notre dossier sur la compromission de cl\u00e9s priv\u00e9es<\/a>, devenue le vrai risque crypto de 2026. Quand un protocole de restaking tombe, la contagion peut aussi frapper les march\u00e9s de pr\u00eat qui acceptaient son jeton en garantie, un encha\u00eenement d\u00e9crit dans notre papier sur le pr\u00eat DeFi et le risque des curateurs<\/a>.<\/p>

Ce m\u00e9canisme de contagion est ce qui rend les d\u00e9faillances op\u00e9rationnelles si dangereuses en 2026. Un jeton de restaking compromis n’est pas un probl\u00e8me isol\u00e9 : r\u00e9utilis\u00e9 comme collat\u00e9ral d’emprunt, empil\u00e9 dans des strat\u00e9gies \u00e0 effet de levier, il peut d\u00e9clencher des liquidations en cha\u00eene bien au-del\u00e0 du protocole d’origine. L’audit du contrat initial, m\u00eame parfait, n’aurait rien emp\u00each\u00e9, parce que le point de rupture se trouvait dans la configuration d’un pont et la garde d’une cl\u00e9, pas dans une ligne de Solidity. C’est la d\u00e9finition m\u00eame du risque syst\u00e9mique appliqu\u00e9e \u00e0 la finance d\u00e9centralis\u00e9e.<\/p>

\u00ab La fen\u00eatre du danger ne se referme pas apr\u00e8s le lancement \u00bb<\/h2>

Si le code n’est plus le principal coupable, \u00e0 quoi sert encore un audit ponctuel ? Gu r\u00e9pond en pointant un angle mort du mod\u00e8le : \u00ab Un projet est audit\u00e9 une fois avant le d\u00e9ploiement, il passe, puis il ne revisite plus jamais ce code. La fen\u00eatre du danger ne se referme pas apr\u00e8s le lancement. \u00bb Un contrat jug\u00e9 s\u00fbr en janvier peut \u00eatre ensuite int\u00e9gr\u00e9, fork\u00e9, connect\u00e9 \u00e0 un oracle ou \u00e0 un pont qui, eux, changent tout le profil de risque sans qu’une seule ligne du contrat audit\u00e9 n’ait boug\u00e9.<\/p>

Cet argument est aussi, bien s\u00fbr, l’argumentaire de vente de Skynet : si l’audit est une photo, alors il faut vendre l’abonnement \u00e0 la surveillance continue. Le raisonnement n’en est pas moins juste. Le d\u00e9bat n’est plus \u00ab audit\u00e9 ou non \u00bb, mais \u00ab surveill\u00e9 et maintenu, ou abandonn\u00e9 apr\u00e8s le lancement \u00bb. C’est un changement de culture que le secteur commence tout juste \u00e0 int\u00e9grer, et que CertiK, en bon vendeur, a tout int\u00e9r\u00eat \u00e0 acc\u00e9l\u00e9rer.<\/p>

L’affaire Kraken : white hat ou extorsion ?<\/h2>

Aucun r\u00e9cit honn\u00eate sur CertiK ne peut \u00e9viter juin 2024. Le 9 de ce mois, la plateforme Kraken re\u00e7oit, via son programme de bug bounty, un signalement \u00ab extr\u00eamement critique \u00bb : une faille permettait de gonfler artificiellement le solde d’un compte sans finaliser un d\u00e9p\u00f4t. Le probl\u00e8me n’\u00e9tait pas le signalement, mais ce qui a suivi. Pendant cinq jours, des chercheurs ont retir\u00e9 environ 2,6 millions d’euros (3 millions de dollars) de fonds r\u00e9els de l’\u00e9change, puis ont, selon Kraken, refus\u00e9 de les rendre tant qu’une r\u00e9compense n’\u00e9tait pas n\u00e9goci\u00e9e.<\/p>

\u00ab Ce n’est pas du piratage white hat, c’est de l’extorsion \u00bb, a tranch\u00e9 Nick Percoco, directeur de la s\u00e9curit\u00e9 de Kraken, dans des propos rapport\u00e9s par CoinDesk<\/a>. Les chercheurs se sont r\u00e9v\u00e9l\u00e9s \u00eatre des employ\u00e9s de CertiK. La faille, elle, a \u00e9t\u00e9 corrig\u00e9e en 47 minutes.<\/p>

CertiK a livr\u00e9 une version radicalement diff\u00e9rente : la soci\u00e9t\u00e9 affirme avoir men\u00e9 une recherche de s\u00e9curit\u00e9 l\u00e9gitime et dit avoir re\u00e7u des menaces de la part de Kraken. Les fonds ont finalement \u00e9t\u00e9 restitu\u00e9s, \u00e0 quelques frais pr\u00e8s, mais le d\u00e9tail qui a le plus choqu\u00e9 la communaut\u00e9 est venu ensuite : une partie des sommes avait transit\u00e9 par Tornado Cash, le mixeur sous sanctions, un choix que plusieurs experts cit\u00e9s par DL News<\/a> ont jug\u00e9, au mieux, tr\u00e8s maladroit pour une entreprise de s\u00e9curit\u00e9. L’\u00e9pisode a durablement fragilis\u00e9 l’image d’un gardien cens\u00e9 incarner l’\u00e9thique du secteur.<\/p>

Au-del\u00e0 de la pol\u00e9mique, l’affaire a relanc\u00e9 un d\u00e9bat utile sur les r\u00e8gles du hacking \u00e9thique. Un chercheur white hat signale une faille, en d\u00e9montre l’impact avec le strict minimum de fonds, puis restitue tout : retirer 3 millions de dollars sur cinq jours sort clairement de ce cadre. La plupart des programmes de bug bounty fixent d\u00e9sormais des limites explicites (montant de d\u00e9monstration plafonn\u00e9, obligation de restitution imm\u00e9diate, interdiction de n\u00e9gocier la prime sous la menace). Paradoxalement, c’est le plus grand auditeur du secteur qui a fourni le contre-exemple le plus cit\u00e9 pour \u00e9crire ces r\u00e8gles.<\/p>

Merlin, Swaprum et le label qui d\u00e9rape<\/h2>

La deuxi\u00e8me critique r\u00e9currente vise la qualit\u00e9 et la port\u00e9e des audits eux-m\u00eames. Plusieurs projets estampill\u00e9s CertiK se sont effondr\u00e9s peu apr\u00e8s leur revue. Le cas Swaprum est document\u00e9 : ce protocole DeFi, qui avait obtenu un audit CertiK, a \u00e9t\u00e9 vid\u00e9 d’environ 3 millions de dollars par ses propres d\u00e9veloppeurs, un rug pull rapport\u00e9 par DL News<\/a>, qui rappelait qu’il s’inscrivait dans une s\u00e9rie de protocoles audit\u00e9s par CertiK ayant ensuite perdu des fonds. Le DEX Merlin, sur zkSync, avait connu un sc\u00e9nario voisin en 2023, drain\u00e9 par son \u00e9quipe quelques jours apr\u00e8s avoir re\u00e7u une note de s\u00e9curit\u00e9 \u00e9lev\u00e9e.<\/p>

La nuance est r\u00e9elle : un rug pull rel\u00e8ve d’un design malveillant ou d’une cl\u00e9 d’administration abusive, pas toujours d’un bug qu’un audit de code standard aurait d\u00e9tect\u00e9. Un auditeur peut l\u00e9gitimement plaider que valider la logique d’un contrat ne revient pas \u00e0 certifier l’honn\u00eatet\u00e9 de l’\u00e9quipe qui d\u00e9tient les cl\u00e9s. Mais quand un logo \u00ab audit\u00e9 par CertiK \u00bb sert d’argument de vente \u00e0 une arnaque, la responsabilit\u00e9 morale de l’auditeur, elle, reste pos\u00e9e, et c’est le c\u0153ur du reproche d’anciens clients sur la profondeur r\u00e9elle de certaines revues.<\/p>

Ce reproche renvoie \u00e0 une critique plus large, celle de l’audit devenu un tampon commercial. Quand un cabinet signe des dizaines de milliers de revues, le risque est que la marque prenne le pas sur le travail, et que certains projets ach\u00e8tent surtout un logo \u00e0 afficher plut\u00f4t qu’une analyse en profondeur. CertiK conteste cette lecture et met en avant la rigueur de sa m\u00e9thodologie et l’ampleur de ses effectifs. Mais le simple fait que la question se pose, \u00e0 ce niveau de notori\u00e9t\u00e9, dit la difficult\u00e9 d’aligner un mod\u00e8le \u00e9conomique de volume avec une exigence artisanale de qualit\u00e9.<\/p>

Le virage IA : AI Auditor et la s\u00e9curit\u00e9 des agents<\/h2>

Face \u00e0 ce d\u00e9placement du risque, CertiK a op\u00e9r\u00e9 en 2026 un virage assum\u00e9 vers l’intelligence artificielle. En avril, la soci\u00e9t\u00e9 a lanc\u00e9 AI Auditor<\/a>, un outil d’abord d\u00e9velopp\u00e9 en interne, test\u00e9 plus de six mois, puis ouvert au public. \u00c9valu\u00e9 contre 35 incidents de s\u00e9curit\u00e9 r\u00e9els survenus en 2026, il revendique un taux de d\u00e9tection exacte cumul\u00e9 de 88,6 %, avec un niveau volontairement bas de faux positifs. CertiK insiste : l’outil compl\u00e8te les auditeurs humains, il ne les remplace pas ; il automatise la d\u00e9tection de base pour laisser aux experts les vecteurs d’attaque in\u00e9dits et le jugement de haut niveau.<\/p>

La soci\u00e9t\u00e9 a aussi tourn\u00e9 son attention vers un nouveau front : la s\u00e9curit\u00e9 des agents autonomes dot\u00e9s d’un portefeuille. Gu formule le danger avec pr\u00e9cision : \u00ab Un agent IA disposant d’un acc\u00e8s \u00e0 un portefeuille est essentiellement un nouveau type de d\u00e9tenteur de cl\u00e9 privil\u00e9gi\u00e9, sauf que sa prise de d\u00e9cision peut \u00eatre manipul\u00e9e par des entr\u00e9es de fa\u00e7ons qu’un humain pourrait rep\u00e9rer et qu’un agent mal encadr\u00e9 ne rep\u00e9rera pas. \u00bb \u00c0 mesure que la finance on-chain se peuple de bots, cette fronti\u00e8re (l’injection de prompt qui vide un portefeuille) pourrait devenir le terrain d’audit le plus disput\u00e9 des prochaines ann\u00e9es.<\/p>

Reste \u00e0 ne pas confondre l’outil et la garantie. Un taux de d\u00e9tection de 88,6 % contre un panel d’incidents connus impressionne, mais il se mesure sur des attaques d\u00e9j\u00e0 comprises ; or les vols les plus co\u00fbteux de 2026 sont justement ceux que personne n’avait mod\u00e9lis\u00e9s. Une part croissante de la profession met en garde contre l’illusion d’une s\u00e9curit\u00e9 automatis\u00e9e : demander \u00e0 un mod\u00e8le de langage de relire un contrat n’est pas un programme de s\u00e9curit\u00e9, et un faux n\u00e9gatif livr\u00e9 avec l’aplomb d’une machine peut \u00eatre plus dangereux qu’un doute humain. CertiK le reconna\u00eet d’ailleurs en positionnant l’IA en compl\u00e9ment, non en substitut, de ses ing\u00e9nieurs.<\/p>

Les attaques \u00ab \u00e0 la cl\u00e9 \u00e0 molette \u00bb : la violence sort de l’\u00e9cran<\/h2>

CertiK ne se limite pas au code : son unit\u00e9 Intel3D documente aussi la criminalit\u00e9 physique visant les d\u00e9tenteurs de crypto, les \u00ab wrench attacks \u00bb (litt\u00e9ralement \u00ab attaques \u00e0 la cl\u00e9 \u00e0 molette \u00bb, o\u00f9 l’agresseur contraint physiquement la victime \u00e0 transf\u00e9rer ses fonds). Selon son rapport du premier semestre 2026<\/a>, ces agressions ont bondi de 33 % : 52 cas v\u00e9rifi\u00e9s dans le monde (contre 39 un an plus t\u00f4t), pour une exposition financi\u00e8re estim\u00e9e \u00e0 environ 107 millions d’euros (124,1 millions de dollars).<\/p>

Cette statistique dit quelque chose de profond sur la maturit\u00e9 du secteur. Quand la s\u00e9curit\u00e9 logicielle progresse, les attaquants ne renoncent pas : ils descendent d’un cran, vers le maillon humain. Aucun audit de smart contract, aucune v\u00e9rification formelle ne prot\u00e8ge contre une agression au domicile ou un enl\u00e8vement. La s\u00e9curit\u00e9 crypto de 2026 est autant une affaire d’hygi\u00e8ne op\u00e9rationnelle, de discr\u00e9tion et de garde des cl\u00e9s que de qualit\u00e9 du code, et un auditeur qui l’ignore vend une illusion de protection.<\/p>

Ce qu’un audit ne garantira jamais<\/h2>

Il faut le dire clairement, car CertiK lui-m\u00eame le reconna\u00eet \u00e0 demi-mot dans ses rapports : un audit est n\u00e9cessaire, mais tr\u00e8s loin d’\u00eatre suffisant. Ses limites sont structurelles, et les conna\u00eetre change la fa\u00e7on de lire n’importe quel rapport de s\u00e9curit\u00e9.<\/p>