{"id":330,"date":"2026-08-19T22:29:46","date_gmt":"2026-08-19T22:29:46","guid":{"rendered":"https:\/\/hoge.gg\/fr\/halborn-equipe-offensive-autopsies-crypto-2026\/"},"modified":"2026-08-19T22:29:46","modified_gmt":"2026-08-19T22:29:46","slug":"halborn-equipe-offensive-autopsies-crypto-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/halborn-equipe-offensive-autopsies-crypto-2026\/","title":{"rendered":"Halborn : l’\u00e9quipe offensive derri\u00e8re les autopsies crypto"},"content":{"rendered":"

En avril 2026, le protocole de liquid restaking Kelp DAO a vu pr\u00e8s de 292 millions de dollars (environ 252 millions d’euros) quitter ses coffres en quelques minutes, dans ce qui restera comme l’un des plus gros vols de l’ann\u00e9e. Quelques jours plus tard, un billet au titre clinique circulait dans les canaux sp\u00e9cialis\u00e9s : Explained: The Kelp DAO Hack (April 2026)<\/a>. Ni la plateforme pirat\u00e9e, ni un r\u00e9gulateur, ni la police : l’autopsie \u00e9tait sign\u00e9e Halborn, un cabinet de s\u00e9curit\u00e9 blockchain bas\u00e9 \u00e0 Miami.<\/p>

D\u00e9tail qui a son importance : Halborn n’avait pas audit\u00e9 Kelp DAO. C’est pr\u00e9cis\u00e9ment l\u00e0 que se joue la r\u00e9putation de la maison. En sept ans, elle s’est impos\u00e9e moins en emp\u00eachant les piratages qu’en les expliquant, plus vite et plus clairement que les autres. Le cabinet a fait de l’autopsie un genre \u00e0 part enti\u00e8re, au point que ses billets \u00ab Explained \u00bb sont devenus une r\u00e9f\u00e9rence crois\u00e9e par Chainalysis<\/a> comme par les projets concurrents.<\/p>

Alors qui est vraiment Halborn, comment une entreprise autofinanc\u00e9e pendant trois ans a-t-elle fini par lever 90 millions de dollars, et que dit son ascension de l’\u00e9tat r\u00e9el de la s\u00e9curit\u00e9 crypto en 2026 ? La r\u00e9ponse tient dans une phrase que le secteur r\u00e9p\u00e8te sans toujours l’admettre : un audit est n\u00e9cessaire, mais il est tr\u00e8s loin de suffire. Les conversions mon\u00e9taires de cet article utilisent un cours d’environ 1,16 dollar pour un euro, relev\u00e9 \u00e0 la mi-ao\u00fbt 2026.<\/p>

Le pompier et le m\u00e9decin l\u00e9giste de la crypto<\/h2>

Il existe deux fa\u00e7ons de vendre de la s\u00e9curit\u00e9. La premi\u00e8re consiste \u00e0 d\u00e9fendre : poser des serrures, relire du code, cocher des cases de conformit\u00e9. La seconde consiste \u00e0 attaquer : se mettre dans la peau de l’adversaire, chercher la faille avant lui, et raconter ensuite ce qui s’est pass\u00e9 quand un autre l’a trouv\u00e9e en premier. Halborn a b\u00e2ti sa marque sur ce second registre. Le cabinet se pr\u00e9sente d’abord comme une \u00e9quipe offensive, une red team<\/em> qui pense en attaquant, et non comme un simple relecteur de contrats.<\/p>

Cette identit\u00e9 offensive irrigue tout le reste. Les auditeurs de Halborn ne se contentent pas de lire du Solidity, du Rust ou du Move ligne \u00e0 ligne : ils simulent des intrusions r\u00e9elles sur des applications d\u00e9centralis\u00e9es, des portefeuilles, des interfaces web, des cha\u00eenes de d\u00e9ploiement et des environnements cloud. Quand un protocole se fait vider, le m\u00eame savoir-faire sert \u00e0 reconstituer la sc\u00e8ne de crime, tracer les fonds et publier une autopsie. Le pompier et le m\u00e9decin l\u00e9giste sont, ici, la m\u00eame personne.<\/p>

Le cabinet couvre l’essentiel des \u00e9cosyst\u00e8mes qui comptent : l’univers EVM (Ethereum, Polygon, Avalanche), Solana, Cosmos, la famille Move (Sui, Aptos) et d’autres. Sa client\u00e8le m\u00eale fondations de Layer 1, fournisseurs d’infrastructure, studios de jeux et, de plus en plus, institutions financi\u00e8res traditionnelles. Cette derni\u00e8re bascule, on le verra, est le pari central de la maison pour la seconde moiti\u00e9 de la d\u00e9cennie.<\/p>

De trois ans d’autofinancement \u00e0 90 millions de dollars<\/h2>

Halborn a \u00e9t\u00e9 fond\u00e9 en 2019 par Steven Walbroehl et Rob Behnke. Walbroehl, aujourd’hui directeur technique, vient du terrain offensif : plus de dix ans dans la s\u00e9curit\u00e9 informatique, les certifications OSCP et OSWP d’Offensive Security, un poste d’instructeur au SANS. Pendant environ trois ans, les deux fondateurs ont fait tourner l’entreprise sans capital ext\u00e9rieur, une raret\u00e9 dans un secteur o\u00f9 la lev\u00e9e de fonds pr\u00e9c\u00e8de souvent le premier client.<\/p>

Cette p\u00e9riode d’autofinancement n’est pas un simple d\u00e9tail biographique. Elle a forg\u00e9 une culture o\u00f9 la cr\u00e9dibilit\u00e9 technique pr\u00e9c\u00e8de le marketing, et o\u00f9 les revenus viennent de missions factur\u00e9es plut\u00f4t que d’une tr\u00e9sorerie lev\u00e9e d’avance. Beaucoup de cabinets concurrents ont pris le chemin inverse, ce qui explique en partie pourquoi Halborn a longtemps cultiv\u00e9 l’image d’une maison d’ing\u00e9nieurs davantage que de commerciaux.<\/p>

Le tournant intervient en juillet 2022. Halborn boucle une s\u00e9rie A de 90 millions de dollars (environ 78 millions d’euros), sa toute premi\u00e8re lev\u00e9e externe, men\u00e9e par Summit Partners<\/a> avec la participation de Castle Island, Digital Currency Group, Brevan Howard, Third Prime, Sky Vision Capital et Fenwick. Le calendrier ne doit rien au hasard : 2022 fut l’ann\u00e9e des ponts vid\u00e9s et des effondrements en cha\u00eene. Au moment de l’annonce, Steven Walbroehl r\u00e9sumait la conjoncture par une formule sobre, expliquant que la demande de s\u00e9curit\u00e9 Web3 \u00ab ne fait que cro\u00eetre \u00bb alors que les pertes li\u00e9es aux hacks DeFi d\u00e9passaient d\u00e9j\u00e0 1,5 milliard de dollars sur la seule ann\u00e9e en cours.<\/p>

L’argent devait servir \u00e0 muscler l’\u00e9quipe offensive et \u00e0 d\u00e9velopper des outils maison. Il valait aussi comme signal : dans un m\u00e9tier o\u00f9 la confiance ne s’ach\u00e8te pas, une lev\u00e9e de cette taille, adoss\u00e9e \u00e0 des noms de la finance traditionnelle, changeait la cat\u00e9gorie dans laquelle jouait Halborn. Le cabinet cite parmi ses r\u00e9f\u00e9rences des acteurs comme la Solana Foundation, Avalanche ou Figment, et affiche autour de 78 employ\u00e9s au premier trimestre 2026.<\/p>

Rab13s : la d\u00e9couverte qui a mis Halborn sur la carte<\/h2>

Si un seul dossier a fait la notori\u00e9t\u00e9 de Halborn, c’est celui que le cabinet a baptis\u00e9 Rab13s. En mars 2022, lors d’un audit du code source de Dogecoin, l’ing\u00e9nieur offensif senior Hossam Mohamed met au jour une s\u00e9rie de failles critiques. La plus grave n’affecte pas seulement Dogecoin : parce que des centaines de cha\u00eenes ont copi\u00e9 la m\u00eame base de code, elle se retrouve pr\u00e9sente dans plus de 280 r\u00e9seaux<\/a>, dont Litecoin et Zcash. Halborn chiffre \u00e0 plus de 25 milliards de dollars (pr\u00e8s de 22 milliards d’euros) le montant d’actifs num\u00e9riques expos\u00e9s.<\/p>

Techniquement, Rab13s regroupe trois probl\u00e8mes. Le plus s\u00e9rieux touche la communication pair \u00e0 pair : un attaquant peut forger un message de consensus malveillant, l’envoyer \u00e0 un n\u0153ud et le faire tomber. R\u00e9p\u00e9t\u00e9 \u00e0 grande \u00e9chelle, le proc\u00e9d\u00e9 fragilise le r\u00e9seau au point d’ouvrir la voie \u00e0 une attaque des 51 %. Les deux autres failles, dont une ex\u00e9cution de code \u00e0 distance via l’interface RPC visant les mineurs, sont jug\u00e9es moins graves car elles supposent des acc\u00e8s valides. Dogecoin, Litecoin et Zcash ont corrig\u00e9 avant la divulgation publique de mars 2023<\/a> ; de nombreux forks moins suivis, eux, sont rest\u00e9s vuln\u00e9rables.<\/p>

Rab13s illustre parfaitement le positionnement de la maison. Il ne s’agit pas d’un audit command\u00e9 par un client soucieux de rassurer ses investisseurs, mais d’une recherche offensive men\u00e9e pour son propre compte, d\u00e9bouchant sur une divulgation coordonn\u00e9e. Le message envoy\u00e9 au march\u00e9 \u00e9tait limpide : Halborn ne relit pas seulement le code qu’on lui confie, il chasse les z\u00e9ro-day que personne n’a demand\u00e9 de trouver.<\/p>

Ce que Halborn vend vraiment : l’attaque comme service<\/h2>

R\u00e9duire Halborn \u00e0 un \u00ab auditeur de smart contracts \u00bb serait passer \u00e0 c\u00f4t\u00e9 de son mod\u00e8le. Le cabinet vend un catalogue de prestations o\u00f9 l’audit de code n’est qu’une brique parmi d’autres, souvent la plus visible mais rarement la plus d\u00e9cisive dans les gros sinistres.<\/p>

Offre<\/th>En quoi cela consiste<\/th>\u00c0 qui cela s’adresse<\/th><\/tr><\/thead>
Audit de smart contracts<\/td>Revue manuelle du code Solidity, Rust ou Move, ligne \u00e0 ligne<\/td>Protocoles DeFi, Layer 1 et Layer 2, ponts<\/td><\/tr>
Pentest offensif et red team<\/td>Simulation d’attaque r\u00e9elle sur dApps, portefeuilles, API, cloud<\/td>Exchanges, \u00e9diteurs de wallets, infrastructures<\/td><\/tr>
S\u00e9curit\u00e9 d’infrastructure et DevOps<\/td>Durcissement des n\u0153uds, gestion des cl\u00e9s, cha\u00eenes CI\/CD, secrets<\/td>Validateurs, d\u00e9positaires, fondations<\/td><\/tr>
R\u00e9ponse \u00e0 incident et forensique<\/td>Investigation apr\u00e8s piratage, tra\u00e7age des fonds, autopsie publique<\/td>Victimes de hacks<\/td><\/tr>
Conseil et RSSI \u00e0 la demande<\/td>Gouvernance de la s\u00e9curit\u00e9, conformit\u00e9, formation des \u00e9quipes<\/td>Institutions, plateformes r\u00e9gul\u00e9es<\/td><\/tr><\/tbody><\/table><\/figure>

Cette diversit\u00e9 n’est pas cosm\u00e9tique. Elle correspond \u00e0 une conviction que les chiffres de 2026 valident : le code n’est plus le principal point d’entr\u00e9e des attaquants les plus co\u00fbteux. Un pentest d’infrastructure, un durcissement de la gestion des cl\u00e9s ou un exercice de red team sur les processus internes prot\u00e8gent parfois davantage qu’une \u00e9ni\u00e8me relecture de contrats d\u00e9j\u00e0 audit\u00e9s. Vendre l’attaque comme service, c’est vendre la capacit\u00e9 \u00e0 penser comme l’adversaire sur toute la surface, pas seulement sur les quelques centaines de lignes d\u00e9ploy\u00e9es on-chain.<\/p>

La franchise des autopsies : \u00ab Explained: The X Hack \u00bb<\/h2>

Le vrai actif de marque de Halborn n’est pas une prestation factur\u00e9e, c’est une s\u00e9rie \u00e9ditoriale. \u00c0 chaque piratage marquant, le cabinet publie un billet \u00ab Explained \u00bb qui reconstitue la cause racine, la chronologie et le cheminement des fonds. Ces autopsies, gratuites et d\u00e9taill\u00e9es, valent mille plaquettes commerciales : elles montrent le savoir-faire en action sur un cas que tout le monde suit. Le format s’inscrit dans une culture crypto plus large o\u00f9 l’autopsie publique tient lieu de recours<\/a> quand aucun tribunal ne viendra.<\/p>

Le catalogue est fourni. Sur le hack de Balancer V2 en novembre 2025<\/a>, Halborn a diss\u00e9qu\u00e9 l’encha\u00eenement d’une erreur d’arrondi et d’un d\u00e9faut de contr\u00f4le d’acc\u00e8s qui a permis de vider environ 128 millions de dollars (pr\u00e8s de 110 millions d’euros) en moins d’une heure. Sur Kelp DAO, il a \u00e9t\u00e9 l’un des premiers \u00e0 d\u00e9crire pr\u00e9cis\u00e9ment la m\u00e9canique : un v\u00e9rificateur unique c\u00f4t\u00e9 cross-chain et deux n\u0153uds RPC compromis, un vol d’infrastructure et non un bug de contrat. On retrouve la m\u00eame signature sur le d\u00e9bordement d’entier de Cetus au printemps 2025 comme sur la compromission de Humanity Protocol \u00e0 l’\u00e9t\u00e9 2026, chaque fois avec le m\u00eame geste : reconstituer la m\u00e9canique exacte avant que les rumeurs ne l’emportent. Le cabinet publie aussi des r\u00e9capitulatifs mensuels des principaux hacks DeFi, transformant la veille en rendez-vous r\u00e9gulier.<\/p>

Cette franchise cr\u00e9e un effet vertueux pour la maison : plus elle explique bien les catastrophes des autres, plus elle appara\u00eet cr\u00e9dible pour pr\u00e9venir les prochaines. Le revers, rarement dit, est que la qualit\u00e9 d’une autopsie n’a aucun lien m\u00e9canique avec la qualit\u00e9 d’un audit pr\u00e9alable. Expliquer un incendie et savoir construire une maison ignifug\u00e9e sont deux comp\u00e9tences r\u00e9elles, mais distinctes.<\/p>

Audit\u00e9 et quand m\u00eame pirat\u00e9 : les limites d’un audit<\/h2>

Le point aveugle du secteur, Halborn le conna\u00eet mieux que quiconque puisqu’il en tire une part de sa notori\u00e9t\u00e9. Des protocoles audit\u00e9s, parfois plusieurs fois, se font r\u00e9guli\u00e8rement vider. Le cas de Cetus, sur Sui, est devenu un cas d’\u00e9cole : un d\u00e9bordement d’entier log\u00e9 dans une biblioth\u00e8que tierce a permis de d\u00e9rober environ 223 millions de dollars en mai 2025, alors que la fonction fautive avait \u00e9t\u00e9 relue par trois cabinets diff\u00e9rents<\/a>. Balancer, lui, avait \u00e9t\u00e9 audit\u00e9 plus de dix fois avant novembre 2025.<\/p>

Protocole<\/th>Date<\/th>Montant<\/th>Cause racine<\/th>Audit\u00e9 avant ?<\/th><\/tr><\/thead>
Cetus (Sui)<\/td>Mai 2025<\/td>env. 223 M$<\/td>D\u00e9bordement d’entier dans une biblioth\u00e8que tierce<\/td>Oui, trois cabinets<\/td><\/tr>
GMX V1<\/td>Juil. 2025<\/td>env. 42 M$<\/td>R\u00e9entrance dans une fonction de fermeture d’ordre<\/td>Oui, mais le correctif de 2022 ne l’\u00e9tait pas<\/td><\/tr>
Balancer V2<\/td>Nov. 2025<\/td>env. 128 M$<\/td>Erreur d’arrondi et d\u00e9faut de contr\u00f4le d’acc\u00e8s<\/td>Oui, plus de dix fois<\/td><\/tr>
Kelp DAO<\/td>Avr. 2026<\/td>env. 292 M$<\/td>V\u00e9rificateur 1-sur-1 et n\u0153uds RPC compromis<\/td>Oui, mais faille hors p\u00e9rim\u00e8tre<\/td><\/tr><\/tbody><\/table><\/figure>

Pourquoi un audit laisse-t-il passer autant ? Parce qu’il est, par nature, une photographie \u00e0 un instant donn\u00e9, prise sous contrainte de temps, sur un p\u00e9rim\u00e8tre d\u00e9fini par le client. Les failles de conception \u00e9conomique, les hypoth\u00e8ses erron\u00e9es sur des d\u00e9pendances externes, les z\u00e9ro-day absents des grilles de v\u00e9rification et les compromissions d’infrastructure \u00e9chappent souvent \u00e0 la revue. Suhail Kakar, responsable des relations d\u00e9veloppeurs chez TAC Blockchain, l’a dit sans d\u00e9tour apr\u00e8s Balancer : \u00ab Le coffre a \u00e9t\u00e9 audit\u00e9 trois fois s\u00e9par\u00e9ment par des cabinets diff\u00e9rents et il a quand m\u00eame \u00e9t\u00e9 pirat\u00e9. Ce secteur doit accepter que la mention ‘audit\u00e9 par X’ ne signifie presque rien. Le code est difficile, la DeFi l’est encore plus. \u00bb<\/a><\/p>

La formule la plus juste vient d’un concurrent de Halborn. Dans son analyse du sinistre de Kelp DAO, OpenZeppelin r\u00e9sumait le malaise d’une phrase : \u00ab les contrats ont fonctionn\u00e9 exactement comme ils avaient \u00e9t\u00e9 \u00e9crits \u00bb<\/a>. Le code \u00e9tait correct. C’est la configuration autour du code, hors du p\u00e9rim\u00e8tre d’audit, qui a c\u00e9d\u00e9.<\/p>

Le hack le plus cher n’est presque jamais dans le code<\/h2>

Les donn\u00e9es agr\u00e9g\u00e9es de 2026 confirment ce que les autopsies de Halborn racontent au cas par cas. Selon TRM Labs<\/a>, le premier semestre 2026 a battu un record de fr\u00e9quence avec 207 incidents, tout en voyant les pertes tomber \u00e0 972 millions de dollars (environ 840 millions d’euros), soit moins de la moiti\u00e9 des 2,3 milliards du premier semestre 2025. Surtout, la r\u00e9partition raconte une histoire pr\u00e9cise : les exploits de smart contracts repr\u00e9sentent 125 des 207 incidents, mais une faible part de la valeur vol\u00e9e ; les compromissions d’infrastructure et de cl\u00e9s p\u00e8sent environ 15 % des incidents et pr\u00e8s de 76 % des montants.<\/p>

Autrement dit, l’audit couvre le vecteur le plus fr\u00e9quent, pas le plus co\u00fbteux. Les gros sinistres de 2026 ne sont pas des bugs de Solidity, ce sont des cl\u00e9s vol\u00e9es, des v\u00e9rificateurs mal configur\u00e9s et des ponts d\u00e9tourn\u00e9s. La Cor\u00e9e du Nord reste, de loin, le premier pr\u00e9dateur : TRM lui attribue environ 643 millions de dollars (pr\u00e8s de 555 millions d’euros) sur le semestre, soit les deux tiers du total, principalement via les attaques Drift et Kelp DAO. Sur l’ensemble de 2025, Chainalysis<\/a> chiffrait le vol total \u00e0 environ 3,4 milliards de dollars, et le cumul des vols attribu\u00e9s \u00e0 Pyongyang depuis 2017 d\u00e9passe d\u00e9sormais les 6 milliards.<\/p>

C’est pourquoi Kelp DAO est le cas embl\u00e9matique de la p\u00e9riode, et un cousin direct des sinistres d\u00e9crits dans notre dossier sur la s\u00e9curit\u00e9 des ponts cross-chain<\/a>. Un attaquant qui n’a pas touch\u00e9 au contrat, qui a forg\u00e9 un faux message inter-cha\u00eenes en compromettant l’infrastructure autour : le genre d’attaque qu’aucun audit de code, aussi minutieux soit-il, n’\u00e9tait mandat\u00e9 pour attraper.<\/p>

Apr\u00e8s le vol : tracer, n\u00e9gocier, colmater<\/h2>

Un audit se vend avant le d\u00e9ploiement ; la r\u00e9ponse \u00e0 incident se vend dans les heures qui suivent la catastrophe, et c’est un m\u00e9tier \u00e0 part. Quand un protocole se vide, les premi\u00e8res minutes d\u00e9cident souvent du montant final r\u00e9cup\u00e9r\u00e9. Les \u00e9quipes comme celle de Halborn interviennent alors sur trois fronts en parall\u00e8le : tracer les fonds sur la cha\u00eene avant qu’ils ne passent par un mixeur ou un pont, identifier la faille exacte pour la colmater et emp\u00eacher une seconde vague, et coordonner le gel des adresses avec les plateformes d’\u00e9change et les \u00e9metteurs de stablecoins.<\/p>

La crypto a invent\u00e9 pour cela un rituel qui n’existe nulle part ailleurs : la n\u00e9gociation on-chain. L’\u00e9quipe pirat\u00e9e envoie un message sign\u00e9 \u00e0 l’attaquant, propose une prime de \u00ab chapeau blanc \u00bb (souvent 10 % des fonds) en \u00e9change d’un retour du reste, et laisse une fen\u00eatre de quelques jours avant de transmettre le dossier aux autorit\u00e9s. Le proc\u00e9d\u00e9 fonctionne quand l’auteur cherche \u00e0 monnayer un pseudo-anonymat ; il \u00e9choue face \u00e0 un acteur \u00e9tatique qui ne rendra jamais rien. C’est toute la diff\u00e9rence entre un opportuniste isol\u00e9 et un groupe comme ceux qu’attribue r\u00e9guli\u00e8rement la Cor\u00e9e du Nord.<\/p>

Pour Halborn, cette phase est aussi une vitrine. Le cabinet qui a trac\u00e9 les fonds et publi\u00e9 l’autopsie la plus nette gagne le prochain contrat, non pas sur une plaquette, mais sur une d\u00e9monstration publique faite en direct sous les yeux de tout le secteur. La r\u00e9ponse \u00e0 incident n’est pas seulement un service : c’est le meilleur argument commercial d’une maison de s\u00e9curit\u00e9, pr\u00e9cis\u00e9ment parce qu’elle se d\u00e9roule au pire moment, quand tout le monde regarde.<\/p>

Combien co\u00fbte un audit Halborn ?<\/h2>

Halborn ne publie pas de grille tarifaire, mais le march\u00e9 de l’audit crypto a des ordres de grandeur connus. En 2026, une revue de smart contract se n\u00e9gocie sch\u00e9matiquement en trois tranches, converties ici en euros au cours du moment :<\/p>