{"id":395,"date":"2026-08-27T22:30:05","date_gmt":"2026-08-27T22:30:05","guid":{"rendered":"https:\/\/hoge.gg\/fr\/verification-formelle-audit-crypto-prouver-code-2026\/"},"modified":"2026-08-27T22:30:05","modified_gmt":"2026-08-27T22:30:05","slug":"verification-formelle-audit-crypto-prouver-code-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/verification-formelle-audit-crypto-prouver-code-2026\/","title":{"rendered":"V\u00e9rification formelle : l’audit crypto qui prouve le code"},"content":{"rendered":"

Balancer V2 avait \u00e9t\u00e9 audit\u00e9 onze fois par quatre cabinets, dont Certora, le sp\u00e9cialiste mondial de la preuve math\u00e9matique appliqu\u00e9e au code. Le 3 novembre 2025, un attaquant a quand m\u00eame vid\u00e9 ses pools de plus de 116 millions de dollars<\/a> (pr\u00e8s de 100 millions d’euros), certaines estimations montant jusqu’\u00e0 128 millions de dollars<\/a> (environ 111 millions d’euros), en exploitant une erreur d’arrondi pr\u00e9sente dans le code depuis 2021. Le plus troublant n’est pas que des auditeurs aient laiss\u00e9 passer le bug. C’est que Certora avait bel et bien prouv\u00e9, formellement, que le contrat \u00e9tait correct. Correct au regard des propri\u00e9t\u00e9s qu’on lui avait demand\u00e9 de v\u00e9rifier. Or l’arrondi fautif n’en faisait pas partie.<\/p>

Cette nuance r\u00e9sume tout ce qu’il faut comprendre de la v\u00e9rification formelle en 2026 : la m\u00e9thode d’audit la plus rigoureuse qui existe, et la plus mal comprise. L\u00e0 o\u00f9 un audit manuel relit le code et o\u00f9 un fuzzer le bombarde d’entr\u00e9es al\u00e9atoires, la v\u00e9rification formelle produit une preuve math\u00e9matique qu’un programme respecte une sp\u00e9cification sur la totalit\u00e9 de ses ex\u00e9cutions possibles. Pas un \u00e9chantillon : toutes. C’est le seul outil du secteur qui promet une garantie plut\u00f4t qu’une opinion. Et c’est aussi celui dont la limite est la plus contre-intuitive : il ne prouve que ce qu’on prend la peine de sp\u00e9cifier.<\/p>

Ce dossier passe la v\u00e9rification formelle au banc d’essai : comment elle fonctionne, ce que le Certora Prover attrape vraiment, pourquoi il a manqu\u00e9 Balancer, comment il se compare \u00e0 Runtime Verification, Veridise ou Halmos, et pourquoi, en pleine vague de code g\u00e9n\u00e9r\u00e9 par intelligence artificielle, elle redevient le sujet le plus strat\u00e9gique de la s\u00e9curit\u00e9 on-chain.<\/p>

Prouver n’est pas tester : ce que change la v\u00e9rification formelle<\/h2>

La v\u00e9rification formelle est une technique h\u00e9rit\u00e9e de l’informatique acad\u00e9mique, o\u00f9 elle sert depuis des d\u00e9cennies \u00e0 certifier des logiciels critiques : avionique, noyaux de syst\u00e8mes d’exploitation, circuits \u00e9lectroniques. Appliqu\u00e9e aux smart contracts, elle produit, selon la pr\u00e9sentation qu’en fait Certora<\/a>, une preuve math\u00e9matique que le programme se comporte conform\u00e9ment \u00e0 sa sp\u00e9cification sur l’ensemble de ses ex\u00e9cutions. La formulation exacte compte : sur toutes les ex\u00e9cutions, pas sur celles qu’un testeur a imagin\u00e9es.<\/p>

La diff\u00e9rence avec les autres m\u00e9thodes est de nature, pas de degr\u00e9. Le test unitaire v\u00e9rifie une poign\u00e9e de sc\u00e9narios choisis \u00e0 la main. Le fuzzing en g\u00e9n\u00e8re des millions au hasard, mais reste un \u00e9chantillonnage : il peut passer \u00e0 c\u00f4t\u00e9 du seul cas pathologique qui compte. L’audit manuel augmente la confiance, mais ne fournit aucune garantie de correction. La v\u00e9rification formelle, elle, offre une couverture compl\u00e8te des chemins pour une propri\u00e9t\u00e9 donn\u00e9e : soit la r\u00e8gle tient sur toutes les entr\u00e9es et tous les chemins, soit l’outil recrache un contre-exemple, c’est-\u00e0-dire une entr\u00e9e concr\u00e8te qui la viole. Il n’y a pas de zone grise.<\/p>

L’image la plus juste est celle de la serrure. Tester un cadenas, c’est essayer beaucoup de cl\u00e9s et conclure qu’aucune ne l’ouvre. Le prouver formellement, c’est d\u00e9montrer qu’aucune cl\u00e9, existante ou non, ne peut l’ouvrir ; et si l’une le peut, l’outil vous la tend. Cette promesse fait toute la valeur de la m\u00e9thode, et explique pourquoi elle co\u00fbte cher et pourquoi elle est r\u00e9serv\u00e9e, en pratique, aux protocoles qui gardent des milliards.<\/p>

Certora : le cabinet qui a fait de la preuve un produit<\/h2>

Certora n’est pas un auditeur qui aurait ajout\u00e9 la v\u00e9rification formelle \u00e0 son catalogue : c’est une entreprise construite autour d’elle. Fond\u00e9e en 2018, elle est dirig\u00e9e par Mooly Sagiv, chercheur reconnu en m\u00e9thodes formelles et titulaire de la chaire de syst\u00e8mes logiciels \u00e0 l’universit\u00e9 de Tel-Aviv, et par Shelly Grossman au poste de directrice technique. L’\u00e9quipe dirigeante aligne les doctorats en v\u00e9rification de programmes, ce qui, dans un secteur o\u00f9 beaucoup de cabinets recrutent des d\u00e9veloppeurs autodidactes, constitue un positionnement \u00e0 part.<\/p>

Le mod\u00e8le a convaincu les investisseurs : Certora a lev\u00e9 36 millions de dollars en s\u00e9rie B<\/a> (environ 31 millions d’euros) en mai 2022, dans un tour men\u00e9 par Jump Crypto<\/a>, avec Tiger Global, Galaxy Digital et des investisseurs de la s\u00e9rie A comme Coinbase, Framework Ventures et Electric Capital. La Fondation Ethereum figure aussi parmi les soutiens de la maison, ce qui n’a rien d’anodin pour un fournisseur de s\u00e9curit\u00e9 qui se veut infrastructure neutre plut\u00f4t que prestataire parmi d’autres.<\/p>

Les chiffres d’usage donnent la mesure de son emprise. Certora avance que son moteur a s\u00e9curis\u00e9 plus de 100 milliards de dollars<\/a> (environ 86 milliards d’euros) de valeur verrouill\u00e9e, \u00e0 travers des protocoles comme Aave, MakerDAO, Uniswap, Lido, EigenLayer, ether.fi, Morpho, Safe ou la Fondation Solana, et que les d\u00e9veloppeurs ont \u00e9crit plus de 70 000 r\u00e8gles de v\u00e9rification \u00e0 ce jour. Aave, dont on a d\u00e9taill\u00e9 ailleurs le duel avec Morpho sur le cr\u00e9dit on-chain<\/a>, est le client vitrine : chacune de ses versions majeures passe par la preuve avant d\u00e9ploiement.<\/p>

Sous le capot du Certora Prover : CVL, solveurs SMT et explosion des chemins<\/h2>

Le coeur de l’offre s’appelle le Certora Prover. Son fonctionnement tient en trois temps. D’abord, l’ing\u00e9nieur \u00e9crit des r\u00e8gles dans un langage maison, le CVL (Certora Verification Language), proche de Solidity dans sa syntaxe mais con\u00e7u pour exprimer des propri\u00e9t\u00e9s : par exemple qu’aucune s\u00e9quence d’op\u00e9rations ne peut faire appara\u00eetre des fonds, ou que la somme des soldes reste toujours \u00e9gale au total \u00e9mis. Ces r\u00e8gles sont la sp\u00e9cification.<\/p>

Un exemple rend la m\u00e9canique tangible. Pour un token classique, on \u00e9crira une r\u00e8gle imposant que la somme de tous les soldes reste en permanence \u00e9gale \u00e0 l’offre totale : si une seule s\u00e9quence de transferts, de frappes ou de br\u00fblages parvenait \u00e0 casser cette \u00e9galit\u00e9, le Prover la remonterait sous forme de transaction pr\u00e9cise. Pour un coffre, on exigera qu’aucun appelant autre que le r\u00f4le autoris\u00e9 ne puisse modifier un param\u00e8tre sensible. Ces invariants paraissent \u00e9vidents une fois \u00e9crits ; toute la difficult\u00e9, et tout le m\u00e9tier, consiste \u00e0 penser \u00e0 les \u00e9crire, et \u00e0 les formuler assez fort pour qu’ils ferment vraiment la porte.<\/p>

Ensuite, le Prover traduit le contrat et sa sp\u00e9cification en un jeu de contraintes logiques, puis les confie \u00e0 des solveurs SMT de r\u00e9f\u00e9rence, Z3 (d\u00e9velopp\u00e9 par Microsoft) et CVC5 (issu des universit\u00e9s de Stanford et de l’Iowa). Le solveur cherche s’il existe une seule entr\u00e9e capable de violer la r\u00e8gle. S’il n’en trouve aucune, la propri\u00e9t\u00e9 est prouv\u00e9e. S’il en trouve une, il la restitue sous forme de contre-exemple exploitable. Une couche d’analyse statique vient d\u00e9grossir le probl\u00e8me, car la r\u00e9solution brute est vite intraitable.<\/p>

C’est l\u00e0 qu’intervient la limite technique la plus importante \u00e0 comprendre. L’espace des ex\u00e9cutions possibles d’un contrat est gigantesque, et les solveurs peuvent buter dessus : boucles non born\u00e9es, arithm\u00e9tique complexe, ce que les sp\u00e9cialistes appellent l’explosion des chemins. Quand le solveur cale ou d\u00e9passe son temps imparti, la propri\u00e9t\u00e9 n’est ni prouv\u00e9e ni r\u00e9fut\u00e9e : elle reste ind\u00e9termin\u00e9e. Un rapport de v\u00e9rification formelle honn\u00eate distingue toujours ce qui a \u00e9t\u00e9 prouv\u00e9 de ce qui n’a pas pu l’\u00eatre. Depuis f\u00e9vrier 2025, n’importe qui peut d’ailleurs inspecter cette m\u00e9canique : le d\u00e9p\u00f4t public du Prover<\/a> est ouvert.<\/p>

F\u00e9vrier 2025 : le Prover passe en open source<\/h2>

Pendant des ann\u00e9es, la v\u00e9rification formelle s’est vendue comme une bo\u00eete noire : on livrait le code au cabinet, on r\u00e9cup\u00e9rait un rapport et un label. Le 24 f\u00e9vrier 2025, Certora a fait sauter ce verrou en ouvrant le code source du Prover<\/a>. Le moteur, qui couvre d\u00e9sormais l’EVM mais aussi Solana et Stellar, peut \u00eatre lu, ex\u00e9cut\u00e9 et am\u00e9lior\u00e9 par n’importe qui.<\/p>

La d\u00e9cision est strat\u00e9gique autant que technique. Pour un outil de s\u00e9curit\u00e9, l’ouverture est un argument de confiance : on ne demande plus aux utilisateurs de croire sur parole que le prouveur prouve ce qu’il pr\u00e9tend, on les invite \u00e0 le v\u00e9rifier. Elle change aussi le rapport de force \u00e9conomique. Un protocole n’est plus oblig\u00e9 de payer une prestation compl\u00e8te pour toucher \u00e0 la preuve ; une \u00e9quipe technique peut \u00e9crire ses propres r\u00e8gles, les faire tourner, et ne recourir au cabinet que pour les invariants les plus d\u00e9licats. Certora pari que la valeur se d\u00e9place de la vente d’un rapport vers l’expertise de sp\u00e9cification, la partie que l’open source ne commoditise pas.<\/p>

Pour le reste du march\u00e9, l’ouverture rebat les cartes. Elle rapproche la v\u00e9rification formelle du statut d’infrastructure partag\u00e9e, au m\u00eame titre que les biblioth\u00e8ques de contrats standard, et met la pression sur les concurrents pour justifier leurs propres approches, souvent rest\u00e9es ferm\u00e9es.<\/p>

Balancer, cas d’\u00e9cole : la preuve ne couvre que ce qu’on sp\u00e9cifie<\/h2>

Revenons au 3 novembre 2025, parce que ce hack est le meilleur professeur de tout le dossier. La faille venait d’un arrondi dans la fonction d’upscaling des montants lors des swaps : le code arrondissait vers le bas un montant qui aurait d\u00fb \u00eatre arrondi vers le haut pour favoriser le protocole. Dans les pools composables, cet \u00e9cart minuscule devenait exploitable en le r\u00e9p\u00e9tant, jusqu’\u00e0 d\u00e9former la liquidit\u00e9 et siphonner les fonds. Le d\u00e9faut dormait dans le code depuis 2021.<\/p>

Ce qui rend le cas exemplaire, c’est la franchise du post-mortem de Certora. Le cabinet reconna\u00eet noir sur blanc<\/a> que son audit de 2022 ne contraignait pas la relation entre swaps individuels ni le comportement d’arrondi, et que les propri\u00e9t\u00e9s v\u00e9rifi\u00e9es n’\u00e9taient pas assez fortes pour d\u00e9tecter l’erreur. Autrement dit, la preuve \u00e9tait valide : le contrat respectait bien les r\u00e8gles \u00e9crites. Mais aucune de ces r\u00e8gles ne disait que l’arrondi devait toujours pencher du c\u00f4t\u00e9 du protocole. La sp\u00e9cification avait un trou, et le trou a co\u00fbt\u00e9 cher.<\/p>

La suite est le contrepoint instructif. Sur Balancer V3, Certora a pr\u00e9cis\u00e9ment sp\u00e9cifi\u00e9 ce qui manquait : toutes les op\u00e9rations se font en pr\u00e9cision \u00e0 18 d\u00e9cimales g\u00e9r\u00e9e par le vault, les directions d’arrondi sont explicites et impos\u00e9es pour chaque calcul, les pools composables c\u00e8dent la place \u00e0 des tampons ERC4626 plus simples \u00e0 v\u00e9rifier, et une r\u00e8gle nomm\u00e9e swappingBackAndForth garantit qu’un aller-retour d’un token vers un autre puis retour ne peut jamais produire de gain. Certora a v\u00e9rifi\u00e9 que la faille de V2 n’existe pas dans V3. R\u00e9sultat : le 3 novembre, V3 est rest\u00e9 intact. La le\u00e7on n’est pas que la v\u00e9rification formelle a \u00e9chou\u00e9, c’est qu’elle ne prouve que ce qu’on lui demande de prouver.<\/p>

Suhail Kakar, responsable des relations d\u00e9veloppeurs chez TAC Blockchain, a tir\u00e9 la morale la plus cit\u00e9e de l’affaire. Rappelant que Balancer avait subi plus de dix audits<\/a>, il \u00e9crit que le secteur doit accepter qu’\u00eatre audit\u00e9 par tel ou tel cabinet ne veut presque rien dire : le code est difficile, la DeFi l’est encore plus. La preuve formelle ne dispense pas de cette humilit\u00e9 ; elle la rend seulement plus pr\u00e9cise.<\/p>

Ce qu’une preuve attrape vraiment : Maker, Sushi et l’\u00e9quation du DAI<\/h2>

Insister sur Balancer sans montrer les prises serait injuste, car le palmar\u00e8s de la m\u00e9thode est r\u00e9el et souvent spectaculaire. Le cas le plus c\u00e9l\u00e8bre concerne MakerDAO. En passant le code au Prover, Certora a mis au jour une violation de ce que le protocole appelle l’\u00e9quation fondamentale du DAI, une erreur math\u00e9matique rest\u00e9e invisible depuis 2018. Certora chiffre \u00e0 environ 10 milliards de dollars (pr\u00e8s de 9 milliards d’euros) la valeur qui \u00e9tait potentiellement expos\u00e9e. Aucun audit humain, aucune campagne de fuzzing n’avait d\u00e9nich\u00e9 ce d\u00e9faut en plusieurs ann\u00e9es.<\/p>

Le m\u00eame moteur a signal\u00e9, toujours selon la documentation de Certora<\/a>, un bug d’insolvabilit\u00e9 dans Balancer V2 et une vuln\u00e9rabilit\u00e9 de vidage de pool dans le Trident de Sushi. Ce sont exactement les bugs rares, difficiles \u00e0 trouver par le test, que la v\u00e9rification formelle est faite pour d\u00e9nicher : ceux qui ne se d\u00e9clenchent que sur une combinaison d’entr\u00e9es si improbable qu’aucun testeur ne l’aurait imagin\u00e9e, mais qu’un solveur, lui, \u00e9num\u00e8re.<\/p>

La conclusion \u00e0 retenir est double. La v\u00e9rification formelle attrape des classes enti\u00e8res de bugs invisibles aux autres m\u00e9thodes, surtout les erreurs d’arithm\u00e9tique, de pr\u00e9cision et d’invariants comptables. Et elle ne les attrape que l\u00e0 o\u00f9 une r\u00e8gle a \u00e9t\u00e9 \u00e9crite pour les chercher. Le talent d’un cabinet de preuve ne se mesure pas \u00e0 la puissance de son solveur, mais \u00e0 la qualit\u00e9 des propri\u00e9t\u00e9s qu’il sait formuler.<\/p>

Audit manuel, fuzzing, preuve, IA : le tableau des m\u00e9thodes<\/h2>

Aucune m\u00e9thode ne suffit seule, et les meilleures \u00e9quipes de s\u00e9curit\u00e9 les empilent. Le programme de s\u00e9curit\u00e9 en couches d’Aave V4, qui a combin\u00e9 plusieurs cabinets, un concours public et une suite d’invariants, en est l’illustration : la v\u00e9rification formelle y joue le r\u00f4le de dernier filet sur les propri\u00e9t\u00e9s critiques, pas de solution unique. Le tableau ci-dessous r\u00e9sume ce que chaque approche apporte et ce qu’elle laisse filer.<\/p>

M\u00e9thode<\/th>Ce qu’elle fait<\/th>Garantie<\/th>Angle mort principal<\/th>Co\u00fbt relatif<\/th><\/tr><\/thead>
Audit manuel<\/td>Relecture experte du code et de l’architecture<\/td>Opinion, aucune garantie de couverture<\/td>Fatigue humaine, complexit\u00e9, ce que l’auditeur ne pense pas \u00e0 regarder<\/td>Moyen<\/td><\/tr>
Fuzzing (Echidna, Medusa)<\/td>G\u00e9n\u00e8re des millions d’entr\u00e9es pour casser des invariants<\/td>Probabiliste, d\u00e9pend du temps de calcul<\/td>Le cas pathologique jamais tir\u00e9 au sort<\/td>Faible \u00e0 moyen<\/td><\/tr>
V\u00e9rification formelle (Certora Prover)<\/td>Prouve une propri\u00e9t\u00e9 sur toutes les ex\u00e9cutions<\/td>Math\u00e9matique, mais born\u00e9e \u00e0 la sp\u00e9cification \u00e9crite<\/td>Ce qui n’est pas sp\u00e9cifi\u00e9, l’\u00e9conomie, les d\u00e9pendances externes<\/td>\u00c9lev\u00e9<\/td><\/tr>
Assistance par IA<\/td>Rep\u00e8re des motifs suspects, propose des correctifs<\/td>Aucune, sortie \u00e0 v\u00e9rifier par un humain<\/td>Faux positifs, hallucinations, angles morts du mod\u00e8le<\/td>Faible<\/td><\/tr><\/tbody><\/table><\/figure>

La lecture correcte de ce tableau n’est pas de couronner un vainqueur, mais de comprendre la compl\u00e9mentarit\u00e9 : le fuzzing pour la largeur bon march\u00e9, l’audit manuel pour l’intention et le design, la preuve pour blinder les invariants qui gardent la caisse, l’IA pour trier et acc\u00e9l\u00e9rer. Retirer une colonne, c’est ouvrir une porte.<\/p>

Au-del\u00e0 de Certora : Runtime Verification, Veridise, Halmos<\/h2>

Certora domine, mais ne r\u00e8gne pas seul. La v\u00e9rification formelle est un petit monde d’acteurs tr\u00e8s sp\u00e9cialis\u00e9s, souvent issus des m\u00eames laboratoires universitaires. Runtime Verification, cofond\u00e9e par le professeur Grigore Rosu, mise sur le framework K et sa s\u00e9mantique formelle de l’EVM, la KEVM ; son outil Kontrol<\/a> marie cette KEVM \u00e0 Foundry pour que les d\u00e9veloppeurs prouvent leurs propri\u00e9t\u00e9s \u00e0 partir des tests qu’ils \u00e9crivent d\u00e9j\u00e0, une approche<\/a> pens\u00e9e pour r\u00e9duire la barri\u00e8re d’entr\u00e9e.<\/p>

Veridise occupe un cr\u00e9neau diff\u00e9rent et de plus en plus strat\u00e9gique : les circuits \u00e0 divulgation nulle de connaissance. Cofond\u00e9e par la professeure Isil Dillig, la maison a fait de la s\u00e9curit\u00e9 des syst\u00e8mes ZK sa sp\u00e9cialit\u00e9, avec des outils comme Picus<\/a>, qui v\u00e9rifie formellement le d\u00e9terminisme des contraintes et d\u00e9busque les circuits sous-contraints, cette faille typique des preuves ZK o\u00f9 une variable mal born\u00e9e laisse passer des sorties invalides. Des infrastructures comme RISC Zero, Linea ou Succinct s’appuient sur cette expertise, et la plateforme AuditHub, lanc\u00e9e fin 2025, regroupe la bo\u00eete \u00e0 outils de Veridise. Du c\u00f4t\u00e9 d’a16z, l’outil open source Halmos<\/a> pousse la m\u00eame logique que Kontrol : r\u00e9utiliser les tests Foundry comme sp\u00e9cifications, avec une garantie dite born\u00e9e, honn\u00eatement pr\u00e9sent\u00e9e comme limit\u00e9e par le nombre d’it\u00e9rations explor\u00e9.<\/p>

Outil ou cabinet<\/th>Approche<\/th>Sp\u00e9cialit\u00e9<\/th>Acc\u00e8s<\/th><\/tr><\/thead>
Certora Prover<\/td>R\u00e8gles CVL, solveurs SMT (Z3, CVC5)<\/td>DeFi \u00e0 forte valeur, invariants comptables<\/td>Open source depuis f\u00e9vrier 2025<\/td><\/tr>
Runtime Verification (Kontrol)<\/td>KEVM plus Foundry, s\u00e9mantique formelle<\/td>Preuve \u00e0 partir des tests existants<\/td>Open source<\/td><\/tr>
Veridise (Picus, ZK Vanguard)<\/td>Analyse de circuits, d\u00e9tection de sous-contrainte<\/td>Syst\u00e8mes ZK, circuits Circom<\/td>Commercial plus AuditHub<\/td><\/tr>
Halmos (a16z)<\/td>Test symbolique, garantie born\u00e9e<\/td>\u00c9quipes Foundry, adoption rapide<\/td>Open source<\/td><\/tr>
SMTChecker (Solidity)<\/td>V\u00e9rification int\u00e9gr\u00e9e au compilateur<\/td>Premier filet gratuit, propri\u00e9t\u00e9s simples<\/td>Int\u00e9gr\u00e9, gratuit<\/td><\/tr><\/tbody><\/table><\/figure>

Pour un protocole, le choix se joue moins sur la marque que sur la nature du risque : une brique DeFi arithm\u00e9tique appelle Certora ou Runtime Verification, un rollup ou une application ZK oriente vers Veridise, une petite \u00e9quipe qui veut un premier filet part de Halmos ou du SMTChecker int\u00e9gr\u00e9 \u00e0 Solidity, gratuit et souvent ignor\u00e9.<\/p>

D’autres acteurs abordent la preuve par des angles voisins. ChainSecurity, n\u00e9 d’un essaimage de l’ETH Zurich, marie analyse automatis\u00e9e et revue humaine sur les protocoles EVM. Trail of Bits, plus connu pour ses fuzzers Echidna et Medusa, maintient aussi Manticore, un moteur d’ex\u00e9cution symbolique cousin de la v\u00e9rification formelle. Et la discipline garde ses racines acad\u00e9miques : les m\u00eames familles de techniques qui ont permis de certifier un micronoyau comme seL4 ou un compilateur comme CompCert irriguent aujourd’hui la s\u00e9curit\u00e9 on-chain. Le march\u00e9 reste petit, pointu, et domin\u00e9 par une poign\u00e9e d’\u00e9quipes capables de traduire un protocole en th\u00e9or\u00e8mes.<\/p>

Le point aveugle : la preuve prouve le code, pas l’intention<\/h2>

Voici la partie que les argumentaires commerciaux escamotent. La v\u00e9rification formelle prouve que le code respecte une sp\u00e9cification. Elle ne prouve pas que la sp\u00e9cification est la bonne, ni que le design \u00e9conomique tient debout. Certora l’admet d’ailleurs sans d\u00e9tour : si la sp\u00e9cification n’encode pas correctement le comportement voulu, on ne peut pas se fier au r\u00e9sultat ; et si elle ne couvre pas une propri\u00e9t\u00e9, la preuve ne dit rien \u00e0 son sujet. C’est le principe du garbage in, garbage out appliqu\u00e9 \u00e0 la s\u00e9curit\u00e9.<\/p>

Cette fronti\u00e8re laisse dehors des classes enti\u00e8res d’attaques. La manipulation d’oracle, les attaques par incitation, le MEV, les mauvais param\u00e8tres de risque : rien de tout cela n’est un bug de code au sens o\u00f9 un solveur l’entendrait. Un protocole de pr\u00eat peut \u00eatre formellement correct et se faire vider parce que son mod\u00e8le de collat\u00e9ral \u00e9tait mal calibr\u00e9, exactement le genre de d\u00e9faillance diss\u00e9qu\u00e9e dans l’autopsie des cr\u00e9ances douteuses des curateurs DeFi<\/a>. La preuve valide la m\u00e9canique, pas la sagesse des r\u00e8gles du jeu.<\/p>

Alexander Urbelis, responsable de la s\u00e9curit\u00e9 des syst\u00e8mes chez ENS Labs, l’a r\u00e9sum\u00e9 pour CoinDesk<\/a> : les bugs qui vident les tr\u00e9soreries se jouent souvent sur l’intention et les incitations adverses. Or l’intention ne se met pas en \u00e9quation : elle se d\u00e9bat, se mod\u00e9lise, s’attaque en conditions r\u00e9elles. C’est pr\u00e9cis\u00e9ment le domaine des exercices offensifs, comme le red teaming pratiqu\u00e9 par Halborn<\/a>, qui compl\u00e8te la preuve au lieu de s’y substituer.<\/p>

Le vecteur le plus cher \u00e9chappe \u00e0 la preuve<\/h2>

Les chiffres du premier semestre 2026 enfoncent le clou. Selon le rapport Hack3d de CertiK, les pertes ont atteint environ 1,31 milliard de dollars<\/a> (pr\u00e8s de 1,13 milliard d’euros) sur le semestre, et la ventilation par vecteur est le vrai enseignement : les bugs de code sont le vecteur le plus fr\u00e9quent, avec 204 incidents, mais le moins co\u00fbteux, \u00e0 environ 152 millions de dollars (environ 131 millions d’euros) au total. L’argent, lui, est parti ailleurs.<\/p>

La compromission de portefeuilles et de cl\u00e9s a co\u00fbt\u00e9 en moyenne pr\u00e8s de 13 millions de dollars par incident, de loin le vecteur le plus cher \u00e0 l’unit\u00e9, tandis que les d\u00e9faillances d’infrastructure et d’op\u00e9rations concentrent l’essentiel de la valeur vol\u00e9e pour une minorit\u00e9 d’incidents. \u00c0 l’\u00e9chelle du secteur, plus de 972 millions de dollars<\/a> (pr\u00e8s de 840 millions d’euros) ont \u00e9t\u00e9 d\u00e9rob\u00e9s sur le semestre selon le d\u00e9compte relay\u00e9 par The Block, un record en nombre d’attaques. Or la v\u00e9rification formelle ne peut rien contre une cl\u00e9 vol\u00e9e, un validateur de pont corrompu ou un signataire pi\u00e9g\u00e9 par ing\u00e9nierie sociale.<\/p>

C’est la limite structurelle \u00e0 garder en t\u00eate : la preuve durcit le vecteur le plus commun, le code, et reste muette sur le vecteur le plus co\u00fbteux. Une cl\u00e9 compromise, comme dans le hack Coldcard qui a rendu certaines baleines illisibles<\/a>, ou un pont vid\u00e9, comme dans la traque de l’argent vol\u00e9 des ponts en 2026<\/a>, se produisent hors du p\u00e9rim\u00e8tre de tout solveur. Un protocole formellement prouv\u00e9 mais mal gard\u00e9 c\u00f4t\u00e9 cl\u00e9s reste une caisse ouverte.<\/p>

Code g\u00e9n\u00e9r\u00e9 par IA : pourquoi Certora a b\u00e2ti AI Composer<\/h2>

La raison pour laquelle la v\u00e9rification formelle redevient br\u00fblante en 2026 tient en deux mots : code g\u00e9n\u00e9ratif. Les d\u00e9veloppeurs produisent d\u00e9sormais des contrats \u00e0 coups de mod\u00e8les de langage, souvent plus vite qu’ils ne peuvent les relire. Or la recherche est accablante. Une \u00e9tude parue d\u00e9but 2026 montre que les grands mod\u00e8les test\u00e9s produisent des contrats truff\u00e9s de failles critiques<\/a> tout en \u00e9tant syntaxiquement corrects ; et une \u00e9valuation d’OpenAI a vu des agents atteindre un taux de r\u00e9ussite de 72,2 %<\/a> en mode exploitation sur un jeu de contrats. La machine \u00e9crit du code vuln\u00e9rable, et d’autres machines savent l’attaquer.<\/p>

La r\u00e9ponse de Certora est arriv\u00e9e le 21 novembre 2025 avec AI Composer<\/a>, pr\u00e9sent\u00e9 comme la premi\u00e8re plateforme de codage assist\u00e9 par IA s\u00e9curis\u00e9e pour smart contracts. L’id\u00e9e est d’ins\u00e9rer le Prover dans la boucle de g\u00e9n\u00e9ration : le code produit par le mod\u00e8le est confront\u00e9 \u00e0 des r\u00e8gles de s\u00fbret\u00e9 math\u00e9matiques avant m\u00eame d’\u00eatre propos\u00e9, de sorte que la vitesse de l’IA ne se paie pas en dette de s\u00e9curit\u00e9. Mooly Sagiv, fondateur de Certora, le formule ainsi : utiliser l’IA ne devrait jamais signifier renoncer \u00e0 la s\u00e9curit\u00e9, et AI Composer prouve que l’IA et la v\u00e9rification formelle peuvent travailler ensemble pour rendre les smart contracts dignes de confiance par d\u00e9faut.<\/p>

Le contrepoint vient de David Schwed, directeur des op\u00e9rations de SVRN, qui met en garde contre la tentation inverse, celle de croire qu’un mod\u00e8le se suffit \u00e0 lui-m\u00eame. Lancer \u00e0 une IA Claude, audite mon smart contract, ne fais aucune erreur<\/a> n’est pas un programme de s\u00e9curit\u00e9, r\u00e9sume-t-il. La le\u00e7on de fond est la m\u00eame que celle de Balancer : la valeur ne se d\u00e9place pas de l’humain vers l’outil, elle se d\u00e9place vers celui qui sait formuler les bonnes propri\u00e9t\u00e9s \u00e0 prouver.<\/p>

Combien co\u00fbte une preuve, et pour qui<\/h2>

La v\u00e9rification formelle est la m\u00e9thode la plus ch\u00e8re du march\u00e9, et pour de bonnes raisons. \u00c9crire une sp\u00e9cification CVL correcte demande une comp\u00e9tence rare, \u00e0 la crois\u00e9e de la th\u00e9orie et de l’ing\u00e9nierie ; le travail se compte en semaines d’ing\u00e9nieur senior, pas en heures. Elle n’a de sens que l\u00e0 o\u00f9 un invariant unique garde des sommes consid\u00e9rables : un protocole de pr\u00eat \u00e0 plusieurs milliards, une brique d’infrastructure r\u00e9utilis\u00e9e par des dizaines d’autres, un pont. Pour une application modeste, le rapport co\u00fbt-b\u00e9n\u00e9fice bascule vite en faveur d’un audit manuel et d’un fuzzing s\u00e9rieux.<\/p>

Le secteur cherche n\u00e9anmoins \u00e0 d\u00e9mocratiser l’acc\u00e8s. La Fondation Ethereum a lanc\u00e9 en avril 2026 un programme de subvention \u00e0 l’audit<\/a> dot\u00e9 d’environ un million de dollars, ouvert \u00e0 une vingtaine de cabinets dont Certora, qui prend en charge jusqu’\u00e0 30 % du co\u00fbt d’une revue, vers\u00e9s seulement une fois les correctifs appliqu\u00e9s. L’ouverture du Prover en open source va dans le m\u00eame sens : elle permet aux \u00e9quipes de faire tourner elles-m\u00eames des preuves simples et de r\u00e9server le budget cabinet aux invariants les plus retors.<\/p>

En pratique, une prestation de v\u00e9rification formelle s\u00e9rieuse se chiffre en dizaines de milliers d’euros, et grimpe vite quand le p\u00e9rim\u00e8tre s’\u00e9largit ou que les invariants sont ardus. C’est un multiple d’un audit manuel \u00e9quivalent, justifi\u00e9 par la raret\u00e9 des ing\u00e9nieurs capables de l’ex\u00e9cuter et par le temps que r\u00e9clame l’\u00e9criture des sp\u00e9cifications. Beaucoup de protocoles r\u00e9servent donc la preuve \u00e0 leur coeur critique, le module qui d\u00e9tient les fonds ou fixe les prix, et laissent le reste \u00e0 l’audit et au fuzzing. C’est une allocation de budget, pas un label \u00e0 cocher.<\/p>

La bonne question pour un projet n’est donc pas de savoir si la preuve formelle est trop ch\u00e8re, mais quelles propri\u00e9t\u00e9s m\u00e9ritent d’\u00eatre prouv\u00e9es. Sur un p\u00e9rim\u00e8tre bien choisi, quelques invariants critiques bien sp\u00e9cifi\u00e9s, elle offre le meilleur rapport assurance sur euro d\u00e9pens\u00e9 de toute la panoplie. \u00c9tal\u00e9e sans discernement sur tout un codebase, elle ruine un budget sans rien garantir de plus.<\/p>

Lire une preuve sans se faire avoir : la spec, pas le badge<\/h2>

Un label v\u00e9rifi\u00e9 formellement ne signifie qu’une chose : ce code satisfait ces r\u00e8gles pr\u00e9cises. Rien de plus. Le r\u00e9flexe de l’investisseur ou de l’utilisateur averti doit donc \u00eatre de regarder au-del\u00e0 du badge et de poser trois questions. Quelles propri\u00e9t\u00e9s ont r\u00e9ellement \u00e9t\u00e9 prouv\u00e9es ? Qu’est-ce qui a \u00e9t\u00e9 suppos\u00e9 ou d\u00e9clar\u00e9 hors p\u00e9rim\u00e8tre ? Et les invariants qui comptent vraiment, absence de gain de fonds, solvabilit\u00e9, contr\u00f4le d’acc\u00e8s, figuraient-ils bien dans la sp\u00e9cification ?<\/p>

Le d\u00e9sastre de Balancer est n\u00e9 pr\u00e9cis\u00e9ment d’un \u00e9cart entre le badge et la spec : une preuve verte pos\u00e9e sur une sp\u00e9cification incompl\u00e8te cr\u00e9e un faux sentiment de s\u00e9curit\u00e9, parfois plus dangereux que l’absence de preuve, car il endort la vigilance. La discipline de lecture est la m\u00eame que pour n’importe quel rapport d’audit : le badge est du marketing, la substance est dans le d\u00e9tail des r\u00e8gles et des hypoth\u00e8ses.<\/p>

Concr\u00e8tement, un lecteur exigeant traque les mentions de propri\u00e9t\u00e9s ind\u00e9termin\u00e9es, celles que le solveur n’a pas pu trancher, et il note ce que le rapport ne dit pas. Une revue qui prouve dix propri\u00e9t\u00e9s secondaires mais reste muette sur l’invariant central n’est pas une revue rassurante, c’est une revue \u00e0 interroger. La s\u00e9curit\u00e9 n’est jamais un tampon ; c’est un raisonnement qu’on doit pouvoir suivre.<\/p>

France : aucun r\u00e9gulateur ne certifie une preuve<\/h2>

Il faut enfin dissiper un malentendu r\u00e9glementaire. Aucun r\u00e9gulateur, ni en France ni au niveau europ\u00e9en, n’accr\u00e9dite les auditeurs de smart contracts ni n’impose la v\u00e9rification formelle. Le r\u00e8glement MiCA et le r\u00e8glement DORA encadrent les prestataires de services sur crypto-actifs et leurs syst\u00e8mes informatiques, pas la logique Solidity d’un protocole. Et un protocole pleinement d\u00e9centralis\u00e9 sort du p\u00e9rim\u00e8tre de MiCA : il n’existe alors aucun recours de type prestataire, et l’audit ou la preuve constitue la seule garantie disponible.<\/p>

Le contraste avec l’audit financier classique est saisissant. Un commissaire aux comptes engage en France une vraie responsabilit\u00e9 civile et p\u00e9nale, sous la supervision de la Haute Autorit\u00e9 de l’audit (H2A), qui a succ\u00e9d\u00e9 au H3C le 1er janvier 2024<\/a>. Rien de tel n’existe pour l’ing\u00e9nieur en v\u00e9rification formelle qui appose son nom sur une preuve : sa seule sanction est r\u00e9putationnelle, et le march\u00e9 en est le juge unique. Une preuve math\u00e9matiquement valide n’est pas une garantie juridique de remboursement.<\/p>

Le calendrier local ajoute une derni\u00e8re strate. La p\u00e9riode transitoire qui permettait aux anciens PSAN d’op\u00e9rer sous enregistrement s’est referm\u00e9e le 1er juillet 2026<\/a>, l’AMF ayant rappel\u00e9 que les acteurs non conformes doivent organiser une sortie ordonn\u00e9e. Mais cet agr\u00e9ment porte sur le prestataire, sa gouvernance et sa r\u00e9silience informatique, jamais sur la correction du code d\u00e9ploy\u00e9. Entre la conformit\u00e9 MiCA et la s\u00e9curit\u00e9 on-chain, l’\u00e9cart reste entier, et c’est exactement l’espace que la v\u00e9rification formelle occupe, sans mandat officiel mais avec la seule promesse qui vaille encore quelque chose ici : une preuve qu’on peut v\u00e9rifier soi-m\u00eame.<\/p>

Foire aux questions<\/h2>

Qu’est-ce que la v\u00e9rification formelle d’un smart contract ?<\/h3>

C’est une technique qui produit une preuve math\u00e9matique qu’un contrat respecte une sp\u00e9cification donn\u00e9e sur la totalit\u00e9 de ses ex\u00e9cutions possibles, et non sur un \u00e9chantillon comme le fait le test. Un outil comme le Certora Prover traduit le code et les r\u00e8gles en contraintes logiques, puis un solveur d\u00e9montre qu’aucune entr\u00e9e ne viole la r\u00e8gle, ou en exhibe une qui la viole. La garantie est r\u00e9elle, mais strictement born\u00e9e aux propri\u00e9t\u00e9s qu’on a pris la peine d’\u00e9crire.<\/p>

La v\u00e9rification formelle rend-elle un smart contract impossible \u00e0 pirater ?<\/h3>

Non. Elle prouve que le code se conforme \u00e0 sa sp\u00e9cification, pas que la sp\u00e9cification est compl\u00e8te. Balancer V2 \u00e9tait formellement v\u00e9rifi\u00e9 par Certora et a tout de m\u00eame \u00e9t\u00e9 vid\u00e9 de plus de 116 millions de dollars en novembre 2025, parce que la r\u00e8gle d’arrondi exploit\u00e9e ne figurait dans aucune propri\u00e9t\u00e9 prouv\u00e9e. La preuve ne couvre ni la manipulation d’oracle, ni les failles \u00e9conomiques, ni les cl\u00e9s vol\u00e9es, ni l’infrastructure.<\/p>

Qui est Certora et que fait le Certora Prover ?<\/h3>

Certora est une entreprise de s\u00e9curit\u00e9 fond\u00e9e en 2018 par des sp\u00e9cialistes des m\u00e9thodes formelles, dirig\u00e9e par Mooly Sagiv et Shelly Grossman, et financ\u00e9e notamment par Jump Crypto. Son produit phare, le Certora Prover, v\u00e9rifie formellement des smart contracts \u00e0 partir de r\u00e8gles \u00e9crites en langage CVL et de solveurs SMT. Il est pass\u00e9 en open source le 24 f\u00e9vrier 2025 et couvre l’EVM, Solana et Stellar.<\/p>

Quelle est la diff\u00e9rence entre v\u00e9rification formelle, audit et fuzzing ?<\/h3>

L’audit manuel est une relecture experte qui donne un avis, sans garantie de couverture. Le fuzzing bombarde le code d’entr\u00e9es al\u00e9atoires et reste un \u00e9chantillonnage, si vaste soit-il. La v\u00e9rification formelle, elle, prouve une propri\u00e9t\u00e9 sur tous les chemins et toutes les entr\u00e9es, ou fournit un contre-exemple. Les trois sont compl\u00e9mentaires et les meilleures \u00e9quipes les empilent plut\u00f4t que d’en choisir une seule.<\/p>

La v\u00e9rification formelle peut-elle s\u00e9curiser le code g\u00e9n\u00e9r\u00e9 par IA ?<\/h3>

C’est le pari de Certora avec AI Composer, lanc\u00e9 le 21 novembre 2025, qui ins\u00e8re le Prover dans la boucle de g\u00e9n\u00e9ration pour confronter le code produit par un mod\u00e8le \u00e0 des r\u00e8gles de s\u00fbret\u00e9 avant qu’il ne soit accept\u00e9. C’est une piste s\u00e9rieuse face \u00e0 des \u00e9tudes montrant que les mod\u00e8les produisent souvent du code vuln\u00e9rable. Mais elle ne fonctionne que si les bonnes propri\u00e9t\u00e9s sont sp\u00e9cifi\u00e9es : demander \u00e0 une IA d’auditer sans erreur ne remplace pas un vrai programme de s\u00e9curit\u00e9.<\/p>