{"id":354,"date":"2026-08-22T22:34:35","date_gmt":"2026-08-22T22:34:35","guid":{"rendered":"https:\/\/hoge.gg\/fr\/rapport-audit-trail-of-bits-lire-pas-badge-2026\/"},"modified":"2026-08-22T22:34:35","modified_gmt":"2026-08-22T22:34:35","slug":"rapport-audit-trail-of-bits-lire-pas-badge-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/rapport-audit-trail-of-bits-lire-pas-badge-2026\/","title":{"rendered":"Rapport d’audit Trail of Bits : lire l’audit, pas le badge"},"content":{"rendered":"

Depuis dix-huit mois, la m\u00eame sc\u00e8ne se r\u00e9p\u00e8te. Un protocole DeFi l\u00e8ve des fonds, d\u00e9ploie ses contrats, affiche sur sa page d’accueil un logo \u00ab audit\u00e9 par Trail of Bits \u00bb, puis se fait vider quelques mois plus tard. Sur X comme sur les forums de gouvernance, la premi\u00e8re r\u00e9action des victimes est presque toujours identique : \u00ab mais il avait \u00e9t\u00e9 audit\u00e9 \u00bb. Comme si le mot suffisait \u00e0 faire office de garantie.<\/p>

Au premier semestre 2026, les attaquants ont emport\u00e9 environ 1,32 milliard de dollars sur 344 incidents selon le d\u00e9compte de CertiK<\/a>, ou pr\u00e8s de 972 millions sur 207 attaques selon TRM Labs<\/a>, selon la m\u00e9thode de comptage. Une part non n\u00e9gligeable de ces protocoles portait un badge d’audit. Le probl\u00e8me n’est pas que les audits ne servent \u00e0 rien : c’est que presque personne ne lit le document qui se trouve derri\u00e8re le badge. Un rapport Trail of Bits compte en moyenne une soixantaine de pages, et l’essentiel de sa valeur se loge dans des sections que la plupart des investisseurs n’ouvrent jamais. Ce guide explique comment lire l’un de ces rapports, section par section, et pourquoi le badge, seul, ne vous dit presque rien.<\/p>

Le badge \u00ab audit\u00e9 \u00bb ne vaut presque rien<\/h2>

Commen\u00e7ons par le point qui d\u00e9range. L’affirmation \u00ab audit\u00e9 par un grand cabinet \u00bb n’est pas une preuve de s\u00e9curit\u00e9, c’est une donn\u00e9e de marketing. Suhail Kakar, responsable des relations d\u00e9veloppeurs chez TAC Blockchain, l’a r\u00e9sum\u00e9 sans d\u00e9tour apr\u00e8s l’un des plus gros piratages de la derni\u00e8re d\u00e9cennie : \u00ab Balancer a subi plus de dix audits. Le vault a \u00e9t\u00e9 audit\u00e9 trois fois par des cabinets diff\u00e9rents et s’est quand m\u00eame fait pirater pour 110 millions de dollars. Cet \u00e9cosyst\u00e8me doit accepter que la mention audit\u00e9 par X<\/em> ne veut presque rien dire. Le code est difficile, la DeFi l’est encore plus. \u00bb<\/a><\/p>

Cette phrase n’est pas du cynisme. C’est une invitation \u00e0 changer d’objet d’attention : cesser de regarder le logo, et commencer \u00e0 lire le rapport. Un audit n’est pas un label de conformit\u00e9 d\u00e9livr\u00e9 par un r\u00e9gulateur; c’est un compte rendu dat\u00e9, \u00e0 p\u00e9rim\u00e8tre limit\u00e9, d’un travail d’ing\u00e9nierie men\u00e9 sur une version pr\u00e9cise du code. Sa valeur d\u00e9pend enti\u00e8rement de ce qu’il contient, et de ce qu’il exclut explicitement. Pour l’investisseur, le fondateur ou le simple utilisateur, savoir lire ce document est devenu une comp\u00e9tence de survie.<\/p>

Trail of Bits, l’auteur du rapport que vous allez lire<\/h2>

Avant d’ouvrir un rapport, il faut savoir qui l’\u00e9crit. Trail of Bits est un cabinet de recherche et de conseil en s\u00e9curit\u00e9 fond\u00e9 en 2012 \u00e0 New York par Dan Guido et Alexander Sotirov. La maison n’a jamais lev\u00e9 de gros tours de capital-risque : elle se finance par ses prestations payantes et par des contrats de recherche, notamment pour la DARPA, l’agence de recherche du Pentagone. Selon les sources, elle emploie entre 125 et 140 personnes, revendique plus de 945 publications de recherche et plus de 620 rapports d’audit publics<\/a>, r\u00e9partis sur six domaines : s\u00e9curit\u00e9 applicative, cryptographie, blockchain, intelligence artificielle, syst\u00e8mes et cha\u00eene d’approvisionnement logicielle.<\/p>

Dans le monde crypto, le cabinet est surtout connu pour ses outils libres : Slither, un analyseur statique pour Solidity et Vyper; Echidna, un fuzzer \u00e0 base de propri\u00e9t\u00e9s; et Medusa, son successeur \u00e9crit en Go. Ces outils tournent en amont de chaque mission humaine. Trail of Bits a par ailleurs reconstruit une bonne partie de son processus d’audit autour de l’IA<\/a> en 2026, au point de faire remonter une partie de ses bugs via des agents automatis\u00e9s, toujours v\u00e9rifi\u00e9s par un humain avant publication. Le cabinet n’est pas seul sur ce march\u00e9 : d’autres maisons comme Halborn ou CertiK occupent le terrain, et choisir un cabinet est un exercice \u00e0 part enti\u00e8re<\/a>. Mais une fois le cabinet choisi et la mission termin\u00e9e, tout se joue dans la lecture du livrable. Rien ne change la r\u00e8gle de base : le produit final n’est pas le badge, c’est le rapport.<\/p>

L’anatomie d’un rapport : huit sections, pas une note globale<\/h2>

Trail of Bits publie un guide public, Anatomy of a Report<\/a>, qui d\u00e9crit la structure standard de ses livrables. Un rapport type s’organise en huit sections. Aucune ne donne une note globale sur cent : c’est un choix d\u00e9lib\u00e9r\u00e9. La s\u00e9curit\u00e9 n’est pas un score unique, mais un ensemble de constats qu’il faut pond\u00e9rer soi-m\u00eame. Voici ce que chaque section vous apprend r\u00e9ellement.<\/p>

Section<\/th>Ce qu’elle contient<\/th>Ce que vous devez y chercher<\/th><\/tr><\/thead>
Page de garde<\/td>P\u00e9riode d’engagement, nombre d’ing\u00e9nieurs, niveau d’effort<\/td>Le niveau d’effort en semaines-personnes, le chiffre le plus important<\/td><\/tr>
R\u00e9sum\u00e9 ex\u00e9cutif<\/td>Matrice s\u00e9v\u00e9rit\u00e9 par difficult\u00e9, synth\u00e8se des risques<\/td>La r\u00e9partition des findings, pas seulement leur nombre<\/td><\/tr>
\u00c9valuation de maturit\u00e9<\/td>Six dimensions d’ing\u00e9nierie not\u00e9es s\u00e9par\u00e9ment<\/td>Les dimensions not\u00e9es faibles, signal d’un chantier immature<\/td><\/tr>
Fiches de findings<\/td>Une par vuln\u00e9rabilit\u00e9, avec sc\u00e9nario d’attaque<\/td>Le d\u00e9roul\u00e9 d’attaque : comment un adversaire proc\u00e8de<\/td><\/tr>
Recommandations<\/td>Correctif court terme et changement structurel long terme<\/td>Si l’\u00e9quipe n’a trait\u00e9 que le court terme<\/td><\/tr>
Annexe A (artefacts)<\/td>R\u00e8gles Semgrep, requ\u00eates CodeQL, harnais de fuzzing, PoC<\/td>La preuve que le travail est reproductible<\/td><\/tr>
Annexe B (revue de correctifs)<\/td>Statut de chaque finding : corrig\u00e9, ouvert, risque accept\u00e9<\/td>Ce qui n’a PAS \u00e9t\u00e9 corrig\u00e9<\/td><\/tr>
Diffusion<\/td>Informations de publication publique<\/td>Si le rapport publi\u00e9 est complet ou tronqu\u00e9<\/td><\/tr><\/tbody><\/table><\/figure>

La page de garde et le niveau d’effort : le premier chiffre \u00e0 lire<\/h2>

La page de garde ressemble \u00e0 une formalit\u00e9 administrative. C’est en r\u00e9alit\u00e9 la section la plus sous-estim\u00e9e. Elle indique la p\u00e9riode d’engagement, le nombre d’ing\u00e9nieurs mobilis\u00e9s et, surtout, le niveau d’effort exprim\u00e9 en semaines-personnes. Trail of Bits le dit lui-m\u00eame : c’est le chiffre le plus important pour pond\u00e9rer un finding.<\/p>

Le raisonnement est simple. Un rapport qui annonce z\u00e9ro finding critique apr\u00e8s deux semaines-personnes sur une base de code de 15 000 lignes ne dit pas la m\u00eame chose qu’un rapport z\u00e9ro critique apr\u00e8s douze semaines-personnes sur les m\u00eames 15 000 lignes. Dans le premier cas, l’absence de faille grave peut simplement signifier que personne n’a eu le temps de creuser. Le niveau d’effort est le d\u00e9nominateur de tout le reste : sans lui, le nombre de findings n’a pas de sens. Un protocole qui met en avant \u00ab audit\u00e9, aucune faille critique \u00bb sans jamais citer le niveau d’effort vous cache, volontairement ou non, la moiti\u00e9 de l’information.<\/p>

Ce chiffre a aussi une traduction \u00e9conomique directe. Le tarif d’un cabinet haut de gamme tourne autour de 25 000 dollars par ing\u00e9nieur et par semaine (de l’ordre de 23 000 euros), et une mission d’entreprise classique se situe entre 80 000 et 200 000 dollars. Multiplier les semaines-personnes co\u00fbte cher; c’est pr\u00e9cis\u00e9ment pour cela qu’une \u00e9quipe s\u00e9rieuse budg\u00e8te l’effort en cons\u00e9quence, et qu’un audit bon march\u00e9 est souvent un audit court. Quand un projet vous dit avoir fait auditer son code, la vraie question est : combien de semaines-personnes, et sur quelle version ?<\/p>

La matrice s\u00e9v\u00e9rit\u00e9 par difficult\u00e9 : un medium facile bat un critical difficile<\/h2>

Le r\u00e9sum\u00e9 ex\u00e9cutif ne classe pas les findings sur une seule \u00e9chelle. Il les positionne sur deux axes : la s\u00e9v\u00e9rit\u00e9 (l’impact si la faille est exploit\u00e9e) et la difficult\u00e9 (l’effort n\u00e9cessaire pour l’exploiter). Cette matrice change tout dans la lecture. Trail of Bits r\u00e9sume la logique par une formule que tout lecteur devrait garder en t\u00eate : un medium facile peut l’emporter sur un critical difficile.<\/p>

Autrement dit, une faille \u00e0 impact moyen mais triviale \u00e0 d\u00e9clencher peut repr\u00e9senter un risque r\u00e9el plus \u00e9lev\u00e9 qu’une faille catastrophique qui exige un alignement de conditions quasi impossible. Un lecteur press\u00e9 qui ne compte que les critiques passe \u00e0 c\u00f4t\u00e9 de cette nuance. Le tableau ci-dessous donne une grille de lecture pratique.<\/p>

S\u00e9v\u00e9rit\u00e9<\/th>Difficult\u00e9 faible (facile \u00e0 exploiter)<\/th>Difficult\u00e9 \u00e9lev\u00e9e (conditions rares)<\/th><\/tr><\/thead>
\u00c9lev\u00e9e ou critique<\/td>Danger imm\u00e9diat : \u00e0 corriger avant tout d\u00e9ploiement<\/td>Risque r\u00e9el mais conditionnel; surveiller les hypoth\u00e8ses<\/td><\/tr>
Moyenne<\/td>Souvent le vrai pi\u00e8ge : impact limit\u00e9 mais exploitation triviale<\/td>Priorit\u00e9 mod\u00e9r\u00e9e, \u00e0 documenter<\/td><\/tr>
Faible ou informationnelle<\/td>Dette technique, \u00e0 traiter dans la dur\u00e9e<\/td>Bruit de fond, mais r\u00e9v\u00e9lateur de la maturit\u00e9<\/td><\/tr><\/tbody><\/table><\/figure>

Une derni\u00e8re cat\u00e9gorie m\u00e9rite votre attention : la s\u00e9v\u00e9rit\u00e9 ind\u00e9termin\u00e9e. Trail of Bits l’utilise quand l’exploitabilit\u00e9 d’un probl\u00e8me ne peut pas \u00eatre confirm\u00e9e dans la configuration examin\u00e9e au moment de l’audit. C’est un drapeau jaune, pas vert. Comme on va le voir avec Balancer, une faille marqu\u00e9e ind\u00e9termin\u00e9e en 2021 peut devenir une faille \u00e0 plus de cent millions de dollars trois ans plus tard, quand la configuration change.<\/p>

L’\u00e9valuation de maturit\u00e9 : six dimensions, not\u00e9es faible \u00e0 robuste<\/h2>

La section suivante est celle qui distingue un audit s\u00e9rieux d’un simple scan. Trail of Bits note la maturit\u00e9 de la base de code sur six dimensions d’ing\u00e9nierie, sans les agr\u00e9ger en une note unique. Chaque dimension re\u00e7oit une appr\u00e9ciation qualitative (typiquement de faible \u00e0 robuste), jamais un chiffre. Pourquoi est-ce plus utile qu’une note globale ? Parce qu’un projet peut avoir un code \u00e9l\u00e9gant et des contr\u00f4les d’acc\u00e8s d\u00e9faillants, ou une couverture de tests exemplaire et une documentation inexistante.<\/p>