\u00ab Nous n’avons pas encore de plan d’introduction en bourse tr\u00e8s concret. Mais c’est clairement l’objectif que nous poursuivons. \u00bb En marge du Forum \u00e9conomique mondial de Davos, en janvier 2026, Ronghui Gu, cofondateur et directeur g\u00e9n\u00e9ral de CertiK, a pos\u00e9 une ambition que peu d’acteurs de la s\u00e9curit\u00e9 crypto avaient os\u00e9 formuler \u00e0 voix haute : faire de son cabinet \u00ab le premier cabinet de cybers\u00e9curit\u00e9 Web3 cot\u00e9 en bourse \u00bb, selon les propos rapport\u00e9s par The Block<\/a>.<\/p> Sur le papier, l’ambition se tient. CertiK est le nom le plus cit\u00e9 de l’audit de smart contracts, revendique plus de 5 000 clients et affirme avoir pass\u00e9 au crible du code qui s\u00e9curise environ 600 milliards de dollars d’actifs (quelque 516 milliards d’euros). Une cotation la ferait basculer du statut de prestataire technique discret \u00e0 celui de soci\u00e9t\u00e9 publique, soumise \u00e0 la discipline des march\u00e9s et de la Securities and Exchange Commission (SEC) am\u00e9ricaine. Pour une entreprise dont le m\u00e9tier est de vendre de la confiance, entrer en bourse revient \u00e0 soumettre cette confiance \u00e0 un examen permanent.<\/p> Le probl\u00e8me, c’est le calendrier. Quelques mois avant de porter cette ambition \u00e0 Davos, CertiK a pr\u00e9sent\u00e9 des excuses publiques pour avoir audit\u00e9 le stablecoin d’une place de march\u00e9 cambodgienne li\u00e9e au travail forc\u00e9 et au blanchiment \u00e0 grande \u00e9chelle. Sur le fond, une introduction en bourse ravive une question que le secteur pr\u00e9f\u00e8re contourner : que vaut un label de s\u00e9curit\u00e9 lorsque la soci\u00e9t\u00e9 qui le d\u00e9livre est r\u00e9mun\u00e9r\u00e9e par ceux-l\u00e0 m\u00eames qu’elle note, et doit d\u00e9sormais rendre des comptes \u00e0 des actionnaires qui, par nature, attendent de la croissance ?<\/p> La question n’a rien d’abstrait. En 2026, \u00ab audit\u00e9 \u00bb reste l’un des mots les plus charg\u00e9s de sens et les plus pauvres en garanties de toute la crypto, au point que HOGE Wire a consacr\u00e9 une enqu\u00eate enti\u00e8re \u00e0 l’arnaque du label de s\u00e9curit\u00e9<\/a>. Une cotation ne r\u00e9sout pas ce paradoxe. Elle risque m\u00eame de le rendre plus aigu, parce qu’elle ajoute une couche d’incitations, celle du cours de bourse, par-dessus un mod\u00e8le \u00e9conomique d\u00e9j\u00e0 tendu.<\/p> CertiK est n\u00e9e des travaux universitaires de Ronghui Gu (professeur associ\u00e9 d’informatique \u00e0 Columbia) et de Zhong Shao (Yale) sur la v\u00e9rification formelle, ces m\u00e9thodes math\u00e9matiques qui prouvent qu’un programme respecte une sp\u00e9cification. Leur noyau CertiKOS, salu\u00e9 en 2016, a \u00e9t\u00e9 l’un des premiers syst\u00e8mes formellement v\u00e9rifi\u00e9s \u00e0 cette \u00e9chelle. Le cabinet a ensuite transpos\u00e9 ces techniques \u00e0 la blockchain, \u00e0 New York, \u00e0 la fin des ann\u00e9es 2010, et en a fait un commerce.<\/p> Le catalogue s’est \u00e9toff\u00e9. Il y a l’audit de smart contracts, c\u0153ur historique du m\u00e9tier, qui combine relecture manuelle, moteurs de v\u00e9rification formelle et, depuis 2026, un moteur d’intelligence artificielle. Il y a Skynet, la plateforme de surveillance continue qui attribue un score aux projets. Il y a le test d’intrusion, les programmes de bug bounty, et SkyInsights, une brique de conformit\u00e9 (KYC et lutte anti-blanchiment). Bref, CertiK ne vend pas un seul produit ; elle vend un \u00e9cosyst\u00e8me de signaux de confiance.<\/p> Reste la m\u00e9canique \u00e9conomique, d\u00e9cisive pour la suite. Dans l’immense majorit\u00e9 des cas, c’est le projet audit\u00e9 qui paie son propre audit. Le client choisit son auditeur, lui remet son code, r\u00e8gle la prestation, puis d\u00e9cide s’il publie ou non le rapport, et s’il applique ou non les recommandations. L’auditeur produit un avis sur un p\u00e9rim\u00e8tre d\u00e9fini par le client, \u00e0 un instant donn\u00e9. Ce n’est pas une fraude, c’est le mod\u00e8le standard de tout le secteur. Mais c’est aussi, en creux, la source d’un conflit d’int\u00e9r\u00eats que la finance traditionnelle conna\u00eet bien.<\/p> Cette d\u00e9pendance au client qui paie n’est pas un d\u00e9tail comptable. Elle fa\u00e7onne la relation commerciale, la pression sur les d\u00e9lais, la tentation de conserver un gros compte, et in fine la valeur informationnelle du fameux label. C’est pr\u00e9cis\u00e9ment ce point que l’affaire Huione a mis en pleine lumi\u00e8re, quelques mois avant que Gu ne parle d’entr\u00e9e en bourse.<\/p> Huione Guarantee est une place de march\u00e9 en ligne, h\u00e9berg\u00e9e sur Telegram et op\u00e9r\u00e9e par le groupe cambodgien Huione. Selon la soci\u00e9t\u00e9 d’analyse blockchain Elliptic<\/a>, elle a re\u00e7u au moins 24 milliards de dollars (environ 20,6 milliards d’euros) en cryptoactifs et compte plus de 900 000 utilisateurs, ce qui en fait la plus grande place de march\u00e9 illicite jamais observ\u00e9e, loin devant Hydra. On y a vendu des donn\u00e9es vol\u00e9es, des services de blanchiment et jusqu’\u00e0 du mat\u00e9riel destin\u00e9 aux camps de travail forc\u00e9 d’Asie du Sud-Est, des matraques \u00e9lectriques aux entraves \u00e9quip\u00e9es de GPS.<\/p> En septembre 2024, Huione a lanc\u00e9 son propre stablecoin adoss\u00e9 au dollar, USDH, pr\u00e9sent\u00e9 comme \u00ab \u00e9chappant aux gels et aux restrictions de transfert habituels des monnaies num\u00e9riques \u00bb et \u00ab non soumis aux r\u00e9gulateurs traditionnels \u00bb. La conception \u00e9tait limpide : contrairement \u00e0 l’USDT de Tether, qui peut geler des adresses, USDH ne comportait pas de tel m\u00e9canisme, pr\u00e9cis\u00e9ment pour \u00e9viter le sort d’un compte Huione Pay gel\u00e9 par Tether en juillet 2024. Le jeton a \u00e9t\u00e9 \u00e9mis sur Ethereum, BSC, Tron et la propre cha\u00eene du groupe. Un stablecoin dont le trait de vente est de r\u00e9sister \u00e0 toute censure vaut ce que valent les acteurs qui s’en servent ; d’o\u00f9 l’int\u00e9r\u00eat de comprendre d’o\u00f9 vient r\u00e9ellement la confiance qu’on place dans un stablecoin<\/a>.<\/p> C’est ce code qu’un auditeur de premier plan a valid\u00e9. Selon DL News<\/a>, CertiK a achev\u00e9 l’audit du contrat d’USDH le 25 d\u00e9cembre 2024. La controverse a \u00e9clat\u00e9 publiquement le 7 f\u00e9vrier 2025, quand la communaut\u00e9 a fait le lien entre le stablecoin certifi\u00e9 et la place de march\u00e9 criminelle. Taylor Monahan, chercheuse principale en s\u00e9curit\u00e9 chez MetaMask, a figur\u00e9 parmi les voix qui ont d\u00e9nonc\u00e9 l’\u00e9pisode. Le message \u00e9tait brutal : le label le plus reconnu de la crypto venait d’apposer sa signature sur l’infrastructure financi\u00e8re d’un r\u00e9seau de fraude.<\/p> La suite a donn\u00e9 raison aux critiques sur le fond. En mai 2025, le Tr\u00e9sor am\u00e9ricain, via le Financial Crimes Enforcement Network (FinCEN), a d\u00e9sign\u00e9 le groupe Huione comme \u00ab institution financi\u00e8re de pr\u00e9occupation majeure en mati\u00e8re de blanchiment \u00bb au titre de la section 311 du Patriot Act, estimant qu’il avait blanchi au moins 4 milliards de dollars (environ 3,4 milliards d’euros) entre ao\u00fbt 2021 et janvier 2025. Une r\u00e8gle finale d’octobre 2025 l’a coup\u00e9 du syst\u00e8me bancaire correspondant am\u00e9ricain (Federal Register<\/a>). Autrement dit : l’entit\u00e9 dont CertiK avait audit\u00e9 le stablecoin s’est retrouv\u00e9e, quelques mois plus tard, bannie de la finance am\u00e9ricaine.<\/p> La r\u00e9ponse du cabinet m\u00e9rite d’\u00eatre rapport\u00e9e avec exactitude, car elle est plus nuanc\u00e9e que la version caricaturale. Un porte-parole de CertiK a d\u00e9clar\u00e9 : \u00ab Nous pr\u00e9sentons nos sinc\u00e8res excuses \u00e0 la communaut\u00e9. Nous reconnaissons que travailler avec des projets \u00e0 haut risque peut soulever des pr\u00e9occupations \u00e9thiques et avoir des implications plus larges. CertiK ne soutient ni ne cautionne aucune des activit\u00e9s men\u00e9es par Huione \u00bb (propos rapport\u00e9s par DL News<\/a>). Le cabinet a \u00e9galement fait don des honoraires per\u00e7us \u00e0 la SENS Research Foundation.<\/p> Le d\u00e9tail technique complique le r\u00e9cit du simple tampon complaisant. CertiK affirme avoir re\u00e7u la demande d’audit via une organisation tierce ayant pass\u00e9 ses v\u00e9rifications KYC, sans que le lien avec la place de march\u00e9 soit apparent. Apr\u00e8s avoir identifi\u00e9 des probl\u00e8mes, le cabinet dit avoir demand\u00e9 une v\u00e9rification compl\u00e9mentaire de l’\u00e9quipe du projet ; devant le refus du tiers, il a class\u00e9 le stablecoin au score le plus bas, assorti d’un avertissement, sur sa plateforme Skynet. Le label existait bien, mais la surveillance continue signalait d\u00e9j\u00e0 le danger. Le rapport et le score racontaient deux histoires diff\u00e9rentes.<\/p> C’est exactement l\u00e0 que le b\u00e2t blesse. Un audit se r\u00e9sume dans le march\u00e9 \u00e0 un logo et \u00e0 une mention \u00ab audit\u00e9 par CertiK \u00bb. Le score Skynet plancher, l’avertissement, le refus de coop\u00e9ration du client : tout ce contexte dispara\u00eet d\u00e8s que le badge circule sur un site ou dans un canal Telegram. Le signal survit \u00e0 sa mise en garde. Voil\u00e0 pourquoi CertiK maintient une page d\u00e9di\u00e9e avertissant que des escrocs apposent son logo sur de faux audits qu’elle n’a jamais r\u00e9alis\u00e9s, un probl\u00e8me structurel du secteur bien plus large que la seule fraude ouverte.<\/p> Selon CoinDesk<\/a>, le cabinet a tir\u00e9 des le\u00e7ons op\u00e9rationnelles de l’\u00e9pisode : renforcement du KYC clients, recours \u00e0 des experts de risque externes, surveillance accrue de l’usage qui est fait de ses rapports, et repositionnement vers une client\u00e8le et un niveau de service \u00ab institutionnels \u00bb. Gu y voit une preuve de maturit\u00e9 qui, selon lui, fait de CertiK \u00ab un candidat cr\u00e9dible \u00e0 une cotation de plusieurs milliards de dollars \u00bb. La question reste de savoir si ces garde-fous corrigent le vice de forme, ou s’ils l’habillent mieux.<\/p> Le conflit d’int\u00e9r\u00eats au c\u0153ur de l’audit crypto n’est pas nouveau : c’est une resuc\u00e9e du mod\u00e8le \u00ab l’\u00e9metteur paie \u00bb des agences de notation financi\u00e8re. Moody’s, S&P et Fitch sont r\u00e9mun\u00e9r\u00e9es par les entit\u00e9s dont elles notent la dette. Avant 2008, ce mod\u00e8le a produit un d\u00e9sastre : des tranches de cr\u00e9dits immobiliers am\u00e9ricains de qualit\u00e9 douteuse ont re\u00e7u la note maximale AAA, parce que les banques qui construisaient ces produits payaient les agences charg\u00e9es de les \u00e9valuer, et faisaient jouer la concurrence entre elles. Le r\u00e9gulateur am\u00e9ricain a pass\u00e9 la d\u00e9cennie suivante \u00e0 colmater cette br\u00e8che, sans jamais vraiment supprimer le conflit de fond.<\/p> Le parall\u00e8le avec l’audit de smart contracts est frappant, et instructif. Dans les deux cas, l’entit\u00e9 not\u00e9e choisit son \u00e9valuateur, le paie, et b\u00e9n\u00e9ficie du r\u00e9sultat aupr\u00e8s de tiers (investisseurs, d\u00e9posants, utilisateurs). Dans les deux cas, la valeur commerciale de la note d\u00e9pend de sa r\u00e9putation d’ind\u00e9pendance, mais sa source de revenus d\u00e9pend de la satisfaction du client. Et dans les deux cas, un mauvais avis co\u00fbte potentiellement un contrat, tandis qu’un bon avis fid\u00e9lise. La diff\u00e9rence tient au garde-fou : les agences de notation sont des entit\u00e9s enregistr\u00e9es et supervis\u00e9es ; les auditeurs de code, eux, n’ont aucun r\u00e9gulateur.<\/p>Ce que CertiK vend, et qui r\u00e8gle la facture<\/h2>
L’affaire Huione : le label au service d’une place de march\u00e9 criminelle<\/h2>
La d\u00e9fense de CertiK : excuses, don et score plancher<\/h2>
Le mod\u00e8le \u00ab l’\u00e9metteur paie \u00bb, ou la le\u00e7on de 2008<\/h2>