{"id":655,"date":"2026-09-25T22:35:25","date_gmt":"2026-09-25T22:35:25","guid":{"rendered":"https:\/\/hoge.gg\/fr\/audit-crypto-2026-bilan-audites-coingecko-bitget\/"},"modified":"2026-09-25T22:35:25","modified_gmt":"2026-09-25T22:35:25","slug":"audit-crypto-2026-bilan-audites-coingecko-bitget","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/audit-crypto-2026-bilan-audites-coingecko-bitget\/","title":{"rendered":"Audit crypto 2026 : 88 % des pertes chez des projets audit\u00e9s"},"content":{"rendered":"

Le 24 septembre 2026, \u00e0 18h31 UTC, la plateforme d’\u00e9change Bitget a vu pr\u00e8s de 306 millions d’euros (351,6 millions de dollars) quitter ses portefeuilles chauds en un apr\u00e8s-midi, selon la plateforme<\/a>. Aucune cl\u00e9 priv\u00e9e vol\u00e9e, aucune faille dans un smart contract. D’apr\u00e8s sa directrice g\u00e9n\u00e9rale Gracy Chen, un attaquant a compromis \u00ab un syst\u00e8me critique au coeur de notre infrastructure de portefeuilles, l’a utilis\u00e9 pour falsifier des donn\u00e9es de transaction et a d\u00e9clench\u00e9 notre processus d’autorisation pour faire sortir les fonds \u00bb<\/a>. L’image qu’elle emploie : de faux bordereaux de retrait gliss\u00e9s au guichet d’une banque par sa propre arri\u00e8re-boutique. La compromission de cl\u00e9s priv\u00e9es, insiste-t-elle, est \u00e9cart\u00e9e.<\/p>

Bitget promet de rembourser : son fonds de protection d\u00e9passe 404 millions d’euros (464 millions de dollars), de quoi couvrir la perte. Certains m\u00e9dias, dont CNBC<\/a>, rapportent que la plateforme soup\u00e7onne une implication nord-cor\u00e9enne, sans confirmation \u00e0 ce stade. Mais l’\u00e9pisode illustre, \u00e0 un jour pr\u00e8s, la conclusion la plus inconfortable de l’ann\u00e9e pour toute l’industrie de l’audit. Fin ao\u00fbt, CoinGecko a publi\u00e9 son rapport 2026 sur l’\u00e9tat de la s\u00e9curit\u00e9 crypto<\/a>. Le chiffre qui reste en t\u00eate : sur 3,16 milliards d’euros (3,63 milliards de dollars) d\u00e9rob\u00e9s en dix-neuf mois, 88,44 % provenaient de projets qui avaient \u00e9t\u00e9 audit\u00e9s. En 2026, l’audit prot\u00e8ge surtout ce que les attaquants ne visent plus.<\/p>

Bitget : 306 millions envol\u00e9s par l’arri\u00e8re-boutique<\/h2>

Le hack Bitget est le cas d’\u00e9cole parfait, parce qu’il ne coche aucune des cases qu’un cabinet d’audit sait examiner. Il n’y a pas de d\u00e9passement d’entier dans une fonction de calcul de liquidit\u00e9, pas de r\u00e9entrance oubli\u00e9e, pas de contr\u00f4le d’acc\u00e8s manquant sur une fonction sensible. Il y a un syst\u00e8me d’autorisation interne qui a fait ce pour quoi il \u00e9tait con\u00e7u : approuver des transferts qui, sur le papier, paraissaient l\u00e9gitimes. L’attaquant n’a pas cass\u00e9 la serrure, il a convaincu le portier d’ouvrir la porte.<\/p>

Chen pr\u00e9cise que seuls les portefeuilles chauds et ti\u00e8des, ceux qui restent connect\u00e9s pour le trading quotidien, ont \u00e9t\u00e9 touch\u00e9s ; le stockage \u00e0 froid, hors ligne, est rest\u00e9 intact. Elle affirme aussi que \u00ab la fuite est contenue \u00bb et qu’\u00ab aucun transfert non autoris\u00e9 suppl\u00e9mentaire n’est possible \u00bb<\/a>. C’est important pour les clients, mais cela ne change rien \u00e0 la le\u00e7on de fond : la faille \u00e9tait op\u00e9rationnelle et infrastructurelle, exactement la cat\u00e9gorie que le code d’un contrat ne d\u00e9crit pas et qu’un audit de smart contract ne teste pas. M\u00eame la nuance habituelle sur les CEX, ces plateformes tombant le plus souvent par vol de cl\u00e9s, ne tient pas ici : Bitget dit avoir perdu ses fonds sans qu’aucune cl\u00e9 n’ait fuit\u00e9. La surface d’attaque s’est d\u00e9plac\u00e9e d’un cran de plus en dehors du p\u00e9rim\u00e8tre du code.<\/p>

88 % des pertes chez des audit\u00e9s : le verdict de CoinGecko<\/h2>

Le rapport de CoinGecko a le m\u00e9rite de mettre un chiffre sur ce que le secteur r\u00e9p\u00e9tait de fa\u00e7on qualitative depuis un an. Sur la fen\u00eatre allant de janvier 2025 \u00e0 juillet 2026, il recense 245 incidents pour 3,63 milliards de dollars de pertes. Parmi ces 245 plateformes touch\u00e9es, 147 (environ 60 %) avaient bel et bien fait r\u00e9aliser un audit ind\u00e9pendant avant de se faire pirater. Et ces projets audit\u00e9s concentrent 88,44 % de la valeur totale d\u00e9rob\u00e9e.<\/p>

L’\u00e9cart entre les deux pourcentages, 60 % des plateformes mais 88 % de la valeur, n’est pas une contradiction, c’est l’information. Les projets qui paient un audit sont en moyenne les plus gros, les plus fr\u00e9quent\u00e9s, ceux qui g\u00e8rent les tr\u00e9soreries les plus lourdes. Un audit est un signal de s\u00e9rieux qui attire les capitaux, donc les cibles les plus riches sont pr\u00e9cis\u00e9ment celles qui ont un rapport \u00e0 montrer. Autrement dit, l’audit ne rend pas un protocole plus s\u00fbr en proportion de ce qu’il a \u00e0 perdre ; il le rend plus attirant. Le rapport note d’ailleurs que les dix plus grosses attaques ont, \u00e0 elles seules, repr\u00e9sent\u00e9 72,5 % de la valeur vol\u00e9e sur la p\u00e9riode. La s\u00e9curit\u00e9 crypto est un probl\u00e8me de queue de distribution : quelques catastrophes \u00e9crasent tout le reste.<\/p>

Le d\u00e9tail du rapport, vecteur par vecteur<\/h2>

La ventilation par type de faille est la partie la plus utile du document, car elle montre o\u00f9 part r\u00e9ellement l’argent. Les vuln\u00e9rabilit\u00e9s d’infrastructure et de cha\u00eene d’approvisionnement (cl\u00e9s compromises, syst\u00e8mes internes, d\u00e9pendances logicielles, noeuds et relais) constituent de loin la premi\u00e8re cat\u00e9gorie, avec plus de 1,8 milliard de dollars. Les exploits de smart contracts sur des applications d\u00e9centralis\u00e9es p\u00e8sent 546 millions de dollars. Et la part la plus \u00e9troite, celle des failles de code effectivement comprises dans le p\u00e9rim\u00e8tre d’un audit, ne repr\u00e9sente qu’environ 11 % des incidents, pour 396 millions de dollars.<\/p>

Vecteur de perte<\/th>Montant (USD)<\/th>\u00c9quivalent EUR<\/th>Lecture<\/th><\/tr><\/thead>
Infrastructure et cha\u00eene d’approvisionnement<\/td>plus de 1,8 Md$<\/td>plus de 1,57 Md\u20ac<\/td>1re cat\u00e9gorie, hors p\u00e9rim\u00e8tre d’audit<\/td><\/tr>
Exploits de smart contracts (dApps)<\/td>546 M$<\/td>475 M\u20ac<\/td>en partie auditable<\/td><\/tr>
Failles de code dans le p\u00e9rim\u00e8tre de l’audit<\/td>396 M$ (environ 11 % des cas)<\/td>345 M\u20ac<\/td>la seule part vraiment couverte<\/td><\/tr>
Plateformes centralis\u00e9es<\/td>surtout par compromission de cl\u00e9s<\/td>–<\/td>op\u00e9rationnel, hors code<\/td><\/tr><\/tbody><\/table>
R\u00e9partition des pertes selon le rapport 2026 de CoinGecko (janvier 2025 \u00e0 juillet 2026). Conversions EUR indicatives.<\/figcaption><\/figure>

Formul\u00e9 autrement : sur chaque tranche de 100 dollars vol\u00e9s en 2026, la portion qui rel\u00e8ve d’un bug de code qu’un auditeur aurait d\u00fb trouver dans son p\u00e9rim\u00e8tre est minoritaire. Le reste s’\u00e9chappe par des portes que l’audit n’a jamais eu pour mission de fermer. Ce n’est pas un proc\u00e8s contre les cabinets, c’est un constat sur le d\u00e9calage entre ce qu’un audit vend et ce que le march\u00e9 croit acheter.<\/p>

Les 11 % que l’audit couvre vraiment<\/h2>

Ces 396 millions de dollars de failles de code dans le p\u00e9rim\u00e8tre ne sont pas rien, et c’est pr\u00e9cis\u00e9ment le domaine o\u00f9 un bon cabinet gagne son argent. On y trouve les classiques du genre : erreurs d’arrondi et de pr\u00e9cision, mauvaise gestion des d\u00e9cimales, contr\u00f4les d’acc\u00e8s d\u00e9faillants, logique de calcul de prix ou de liquidit\u00e9 qui d\u00e9raille sous des entr\u00e9es extr\u00eames. Beaucoup passent par des pr\u00eats flash<\/a>, qui permettent d’emprunter des sommes \u00e9normes le temps d’un seul bloc pour tordre un oracle ou une courbe de prix, puis de rembourser dans la m\u00eame transaction. Ce sont des attaques que la v\u00e9rification manuelle, le fuzzing et la v\u00e9rification formelle savent, en principe, d\u00e9tecter.<\/p>

Le probl\u00e8me n’est donc pas que les audits sont inutiles sur leur terrain. Le probl\u00e8me est que leur terrain r\u00e9tr\u00e9cit face \u00e0 l’ampleur du reste. Un cabinet peut livrer un rapport impeccable sur le contrat qu’on lui a soumis, \u00e0 la date o\u00f9 on le lui a soumis, et le protocole peut quand m\u00eame perdre neuf fois ce montant par une porte d\u00e9rob\u00e9e que personne ne lui avait demand\u00e9 de regarder. La comp\u00e9tence technique de l’auditeur et la s\u00e9curit\u00e9 r\u00e9elle de l’utilisateur sont deux variables qui ont cess\u00e9 d’\u00e9voluer ensemble.<\/p>

Trois rapports, une m\u00eame conclusion<\/h2>

La force du chiffre de CoinGecko, c’est qu’il ne vit pas seul. Deux autres jeux de donn\u00e9es, produits ind\u00e9pendamment et avec des m\u00e9thodologies diff\u00e9rentes, pointent dans la m\u00eame direction. Le rapport Hack3d du premier semestre 2026 de CertiK<\/a> chiffre 1,31 milliard de dollars de pertes sur 344 incidents, et sa ventilation est \u00e9loquente : la compromission de portefeuilles et de cl\u00e9s a co\u00fbt\u00e9 plus de 444 millions de dollars sur seulement 33 incidents (environ 13 millions par cas, le vecteur le plus cher), le phishing 366 millions sur 63 incidents, tandis que les bugs de code, avec 204 incidents, sont les plus nombreux mais les moins chers, \u00e0 152 millions. Le code est le probl\u00e8me le plus fr\u00e9quent et le moins co\u00fbteux.<\/p>

De son c\u00f4t\u00e9, TRM Labs<\/a> recense 207 incidents pour 972 millions de dollars sur le m\u00eame semestre, et conclut que l’infrastructure et l’op\u00e9rationnel repr\u00e9sentent environ 15 % des incidents mais pr\u00e8s de 76 % de la valeur perdue, la Cor\u00e9e du Nord captant \u00e0 elle seule environ 643 millions de dollars (les deux tiers du total). Trois sources, trois m\u00e9thodes, une convergence : les bugs de code sont communs mais bon march\u00e9 ; l’argent, lui, sort par les cl\u00e9s, l’infrastructure et l’humain.<\/p>

Source (S1 2026 ou 19 mois)<\/th>Pertes totales<\/th>Le vecteur le plus fr\u00e9quent<\/th>L\u00e0 o\u00f9 part la valeur<\/th><\/tr><\/thead>
CoinGecko (janv. 2025 \u00e0 juil. 2026)<\/td>3,63 Md$<\/td>failles de code (mais 11 % des cas)<\/td>infrastructure et cha\u00eene d’appro. (plus de 1,8 Md$)<\/td><\/tr>
CertiK Hack3d (S1 2026)<\/td>1,31 Md$<\/td>bugs de code (204 incidents)<\/td>cl\u00e9s et portefeuilles (444 M$, le plus cher par cas)<\/td><\/tr>
TRM Labs (S1 2026)<\/td>972 M$<\/td>smart contracts (part des incidents)<\/td>infra et op\u00e9rationnel (76 % de la valeur)<\/td><\/tr><\/tbody><\/table>
Trois jeux de donn\u00e9es distincts, une m\u00eame hi\u00e9rarchie : le code n’est pas le poste le plus co\u00fbteux. Ne pas additionner ces chiffres, les fen\u00eatres et m\u00e9thodes diff\u00e8rent.<\/figcaption><\/figure>

Ronghui Gu, cofondateur de CertiK, r\u00e9sume la bascule sans d\u00e9tour : \u00ab Un protocole peut passer un audit de code impeccable et perdre quand m\u00eame des millions \u00e0 cause d’une cl\u00e9 d’administration compromise. \u00bb<\/a> Il ajoute que les attaquants \u00ab obtiennent un meilleur rendement en ciblant la gestion des cl\u00e9s, la gouvernance multisig et l’infrastructure op\u00e9rationnelle qu’en cherchant des bugs dans le code \u00bb. C’est, mot pour mot, le portrait du hack Bitget.<\/p>

Audit\u00e9s et pill\u00e9s quand m\u00eame : le mus\u00e9e 2026<\/h2>

Le catalogue des grands sinistres de l’ann\u00e9e ressemble \u00e0 une galerie de projets qui avaient tous une case \u00ab audit\u00e9 \u00bb coch\u00e9e. Le cas le plus embl\u00e9matique reste Kelp DAO, pill\u00e9 de 292 millions de dollars le 18 avril 2026 via une configuration de pont \u00e0 v\u00e9rificateur unique et des noeuds RPC compromis, sans aucun bug dans les contrats. OpenZeppelin, qui avait audit\u00e9 le code, a titr\u00e9 son post-mortem d’une phrase devenue un slogan du secteur, \u00ab 292 millions perdus, z\u00e9ro bug trouv\u00e9 \u00bb<\/a>, et pr\u00e9cis\u00e9 que \u00ab les contrats se sont comport\u00e9s exactement comme \u00e9crit \u00bb. L’incident tombait dans les quatre angles morts que le cabinet \u00e9num\u00e8re : la configuration des int\u00e9grations tierces, les points de d\u00e9faillance uniques de l’infrastructure, le respect des r\u00e9glages recommand\u00e9s, et le comportement du syst\u00e8me quand une d\u00e9pendance hors cha\u00eene est compromise.<\/p>

Balancer, de son c\u00f4t\u00e9, avait \u00e9t\u00e9 audit\u00e9 plus de dix fois par quatre cabinets et s’est quand m\u00eame fait vider de 128,64 millions de dollars le 3 novembre 2025 par une erreur d’arrondi. Cetus, sur Sui, avait pass\u00e9 trois audits (dont l’un un mois avant l’attaque) et a perdu 223 millions de dollars en mai 2025<\/a>. Suhail Kakar, responsable des relations d\u00e9veloppeurs chez TAC Blockchain, en tire une formule brutale \u00e0 propos de Balancer : \u00ab audit\u00e9 par X ne veut presque rien dire ; le code est difficile, la DeFi l’est encore plus \u00bb<\/a>.<\/p>

Incident<\/th>Date<\/th>Perte<\/th>Statut d’audit<\/th>Vecteur r\u00e9el<\/th><\/tr><\/thead>
Bitget<\/td>24 sept. 2026<\/td>351,6 M$ (306 M\u20ac)<\/td>plateforme \u00e9tablie, syst\u00e8mes revus<\/td>syst\u00e8me backend, transferts falsifi\u00e9s<\/td><\/tr>
Kelp DAO<\/td>18 avr. 2026<\/td>292 M$ (254 M\u20ac)<\/td>audit\u00e9 (OpenZeppelin)<\/td>pont \u00e0 v\u00e9rificateur unique, RPC<\/td><\/tr>
Coldcard (via un vecteur logiciel)<\/td>juil. 2026<\/td>plus de 116 M$ (plus de 101 M\u20ac)<\/td>mat\u00e9riel r\u00e9put\u00e9, hors ligne<\/td>cha\u00eene d’approvisionnement<\/td><\/tr>
Balancer V2<\/td>3 nov. 2025<\/td>128,64 M$ (112 M\u20ac)<\/td>audit\u00e9 plus de 10 fois, 4 cabinets<\/td>erreur d’arrondi (code, en partie hors p\u00e9rim\u00e8tre)<\/td><\/tr>
Cetus (Sui)<\/td>mai 2025<\/td>223 M$ (194 M\u20ac)<\/td>3 audits<\/td>d\u00e9passement d’entier<\/td><\/tr><\/tbody><\/table>
Le mus\u00e9e 2026 des audit\u00e9s pill\u00e9s. Conversions EUR indicatives (environ USD x 0,87).<\/figcaption><\/figure>

Pourquoi \u00ab audit\u00e9 \u00bb ne veut pas dire \u00ab s\u00fbr \u00bb<\/h2>

Les limites d’un audit ne sont pas des d\u00e9fauts de z\u00e8le, elles sont structurelles. Un audit est une photographie prise \u00e0 un instant pr\u00e9cis, sur un p\u00e9rim\u00e8tre d\u00e9fini, d’un code fig\u00e9. Or un protocole vit : il se met \u00e0 jour, ajoute des contrats, change de d\u00e9pendances, modifie ses param\u00e8tres de gouvernance. Balancer en est l’illustration parfaite : le contrat exploit\u00e9 en 2025 avait \u00e9t\u00e9 ajout\u00e9 au d\u00e9p\u00f4t apr\u00e8s la cl\u00f4ture d’un audit majeur, donc hors p\u00e9rim\u00e8tre par construction. Un rapport dat\u00e9 de 2021 ne prot\u00e8ge pas du code \u00e9crit en 2022.<\/p>

Ensuite, un audit de code ne dit rien de la conception \u00e9conomique. Un protocole peut \u00eatre parfaitement cod\u00e9 et reposer sur un mod\u00e8le de rendement insoutenable, financ\u00e9 par l’\u00e9mission de jetons plut\u00f4t que par des revenus r\u00e9els ; c’est tout l’enjeu des d\u00e9bats sur le rendement r\u00e9el contre subvention<\/a>, que l’auditeur n’a pas mandat pour trancher. Il ne dit rien non plus de la garde des cl\u00e9s, de la solidit\u00e9 des oracles quand un march\u00e9 devient illiquide, de la r\u00e9sistance de la gouvernance \u00e0 une prise de contr\u00f4le, ni de la robustesse des ponts et des relais. Toutes ces surfaces, prises ensemble, forment l’essentiel de la valeur en jeu ; l’audit en couvre une tranche, et le march\u00e9 fait comme s’il les couvrait toutes.<\/p>

Le facteur humain : le vrai front<\/h2>

Si l’on veut comprendre pourquoi la Cor\u00e9e du Nord domine les statistiques, il faut regarder du c\u00f4t\u00e9 de l’humain, pas du code. Les groupes affili\u00e9s \u00e0 Pyongyang ont perfectionn\u00e9 l’ing\u00e9nierie sociale de longue haleine : faux recruteurs, fausses soci\u00e9t\u00e9s de trading, d\u00e9veloppeurs infiltr\u00e9s sur des mois, faux entretiens d’embauche. Le hack de Kelp a commenc\u00e9 par un d\u00e9veloppeur pi\u00e9g\u00e9 ; celui de Bitget, si l’attribution nord-cor\u00e9enne se confirme, s’inscrira dans la m\u00eame logique de compromission op\u00e9rationnelle plut\u00f4t que technique.<\/p>

Le mode op\u00e9ratoire le plus inqui\u00e9tant est l’infiltration : de faux ing\u00e9nieurs nord-cor\u00e9ens, munis de CV et d’identit\u00e9s fabriqu\u00e9s, d\u00e9crochent des postes de d\u00e9veloppeur dans des projets crypto pour se placer au coeur de l’infrastructure. Le vol de Drift, au printemps 2026, a suivi ce sch\u00e9ma, avec des mois pass\u00e9s \u00e0 gagner la confiance d’une \u00e9quipe avant de pr\u00e9-signer des instructions frauduleuses. C’est le prolongement logique du constat de CertiK : un attaquant obtient davantage en devenant, ou en manipulant, un d\u00e9tenteur de cl\u00e9s de confiance qu’en cherchant une faille dans le code.<\/p>

Le ph\u00e9nom\u00e8ne n’est pas propre \u00e0 la crypto de niche. Nos confr\u00e8res ont document\u00e9 un casse \u00e0 246 millions d’euros qui n’a pirat\u00e9 personne au sens technique<\/a> : tout s’est jou\u00e9 sur la manipulation humaine et la falsification de confiance. C’est exactement le registre o\u00f9 un audit de smart contract est structurellement aveugle. On ne peut pas relire des lignes de Solidity pour emp\u00eacher un employ\u00e9 de valider un ordre qui semble venir d’un syst\u00e8me interne de confiance. La fronti\u00e8re de la s\u00e9curit\u00e9 s’est d\u00e9plac\u00e9e du compilateur vers le comportement, et aucun cabinet de code ne surveille le comportement de vos \u00e9quipes.<\/p>

L’assurance recule quand elle devrait grimper<\/h2>

Face \u00e0 des pertes qui d\u00e9bordent le p\u00e9rim\u00e8tre de l’audit, la parade logique serait l’assurance on-chain : puisque le code ne peut pas tout couvrir, une couverture financi\u00e8re prendrait le relais. C’est l’inverse qui se produit. Le rapport de CoinGecko constate un recul de 20,2 % de la couverture active sur les principaux protocoles d’assurance, de 163,2 \u00e0 130,2 millions de dollars, avec des indemnisations cumul\u00e9es d’\u00e0 peine 33 millions de dollars, quasi stagnantes, et cinq des neuf protocoles d’assurance on-chain d\u00e9j\u00e0 inactifs ou reconvertis \u00e0 l’\u00e9t\u00e9 2026.<\/p>

La raison est \u00e9conomique. Tant qu’un protocole de pr\u00eat offre un rendement sup\u00e9rieur \u00e0 la prime d’une couverture, l’utilisateur pr\u00e9f\u00e8re encaisser le rendement et parier qu’il ne sera pas le prochain sur la liste. Hugh Karp, fondateur de Nexus Mutual, y voit \u00ab l’un des plus grands obstacles \u00e0 une v\u00e9ritable adoption de la DeFi \u00bb<\/a>, et rappelle que les montants indemnis\u00e9s jusqu’ici restent \u00ab une fraction de ce dont le march\u00e9 a besoin \u00bb. Reste la r\u00e9cup\u00e9ration apr\u00e8s coup, mais elle est l’exception : payer un pirate pour ravoir les fonds, via une prime de r\u00e9cup\u00e9ration<\/a> ou un gel de stablecoins, ne fonctionne ni contre un acteur \u00e9tatique ni une fois l’argent blanchi. Bitget rembourse ses clients avec son propre fonds de garantie, pas en r\u00e9cup\u00e9rant le butin : ce sont deux choses diff\u00e9rentes.<\/p>

L’industrie de l’audit se r\u00e9organise<\/h2>

Pendant que les pertes migrent hors du code, le secteur de l’audit vit sa propre ann\u00e9e de consolidation. Le 17 septembre 2026, S&P Global a annonc\u00e9 le rachat d’OpenZeppelin<\/a>, pla\u00e7ant une agence de notation traditionnelle \u00e0 la t\u00eate du cabinet dont les biblioth\u00e8ques de contrats \u00e9quipent l’essentiel de la DeFi. CertiK, de son c\u00f4t\u00e9, affiche depuis Davos son ambition de devenir la premi\u00e8re soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Web3 cot\u00e9e en bourse. Les plateformes de concours d’audit se sont regroup\u00e9es : Code4rena a ferm\u00e9 au printemps 2026 et Immunefi en a absorb\u00e9 les clients et les chercheurs<\/a>, tandis que Spearbit et Cantina avaient d\u00e9j\u00e0 fusionn\u00e9.<\/p>

Cette maturation a un versant vertueux. La Fondation Ethereum a lanc\u00e9 au printemps 2026 un programme de subvention d’audit<\/a> d’un million de dollars, couvrant jusqu’\u00e0 30 % de la facture pour une vingtaine de cabinets, et pay\u00e9 seulement une fois les correctifs appliqu\u00e9s. Les primes de bug prennent le relais l\u00e0 o\u00f9 l’audit ponctuel s’arr\u00eate : Immunefi a vers\u00e9 environ 13,45 millions de dollars pour 837 vuln\u00e9rabilit\u00e9s valides au premier semestre 2026, et d\u00e9passe d\u00e9sormais 140 millions de dollars de primes cumul\u00e9es<\/a>. Mais aucun de ces mouvements ne change la nature du probl\u00e8me : ils rendent l’audit plus professionnel, pas plus \u00e9tendu.<\/p>

Cette concentration pose une question de fond, celle du conflit d’int\u00e9r\u00eats. Depuis toujours, c’est le projet audit\u00e9 qui choisit et paie son auditeur, exactement comme les agences de notation \u00e9taient r\u00e9mun\u00e9r\u00e9es par les \u00e9metteurs de dette qu’elles notaient, avec le r\u00e9sultat que l’on sait sur les subprimes de 2008. Le rachat d’OpenZeppelin par S&P Global rend l’analogie litt\u00e9rale : une v\u00e9ritable agence de notation poss\u00e8de d\u00e9sormais un auditeur de code. La discipline d’un groupe cot\u00e9 et sa responsabilit\u00e9 juridique peuvent tirer la qualit\u00e9 vers le haut ; la pression de croissance d’un actionnariat boursier peut aussi pousser au volume plut\u00f4t qu’\u00e0 la rigueur. Surtout, l’ESMA supervise S&P en tant qu’agence de notation, mais pas l’activit\u00e9 d’audit de code qu’elle vient d’acqu\u00e9rir : racheter un auditeur ne cr\u00e9e pas de r\u00e9gime d’accr\u00e9ditation, cela place un parent supervis\u00e9 au-dessus d’une activit\u00e9 qui ne l’est pas.<\/p>

Ce que l’audit doit devenir : continu, surveill\u00e9, prouv\u00e9<\/h2>

La r\u00e9ponse cr\u00e9dible n’est pas de renoncer \u00e0 l’audit, c’est de cesser de le traiter comme un examen que l’on passe une fois. Trois compl\u00e9ments montent en puissance. D’abord la surveillance continue : les tableaux de bord de monitoring qui scrutent en temps r\u00e9el les transactions et les param\u00e8tres d’un protocole apr\u00e8s le d\u00e9ploiement, car, comme le dit Gu, \u00ab la fen\u00eatre de danger ne se referme pas au lancement \u00bb. Ensuite la v\u00e9rification formelle, qui prouve math\u00e9matiquement qu’un code respecte une sp\u00e9cification plut\u00f4t que de se contenter de le tester ; c’est le terrain de cabinets comme Certora. Enfin l’assistance par l’IA : CertiK annonce un AI Auditor \u00e0 88,6 % de taux de d\u00e9tection exacte<\/a> sur des incidents r\u00e9els de 2026, positionn\u00e9 en compl\u00e9ment des humains.<\/p>

Le mot d’ordre est \u00ab compl\u00e9ment \u00bb, pas \u00ab remplacement \u00bb. David Schwed, directeur des op\u00e9rations de SVRN, pr\u00e9vient que \u00ab Claude, audite mon smart contract et ne fais aucune erreur \u00bb n’est pas un programme de s\u00e9curit\u00e9<\/a>, et que si celui qui lance l’outil ne sait pas juger ce qui remonte, \u00ab vous n’avez pas achet\u00e9 de la s\u00e9curit\u00e9, vous avez achet\u00e9 un faux sentiment de s\u00e9curit\u00e9 \u00bb. L’IA rend la relecture plus rapide et moins ch\u00e8re ; elle ne rend pas le jugement optionnel. La direction est claire : passer d’un audit-photo \u00e0 une s\u00e9curit\u00e9-film, continue, surveill\u00e9e et, quand c’est possible, prouv\u00e9e.<\/p>

\u00c0 ces trois compl\u00e9ments techniques s’ajoute une logique assurantielle et incitative. Les primes de bug prolongent l’audit dans le temps en payant des chercheurs pour trouver ce qu’une revue ponctuelle a manqu\u00e9 ; Immunefi observe que la quasi-totalit\u00e9 de ses programmes actifs de longue date finissent par r\u00e9v\u00e9ler au moins une vuln\u00e9rabilit\u00e9 critique r\u00e9mun\u00e9r\u00e9e<\/a>. Empiler audit, surveillance, prime de bug et, quand elle existe encore, couverture d’assurance co\u00fbte plus cher qu’un simple rapport, mais c’est le prix d’une s\u00e9curit\u00e9 qui ne s’arr\u00eate pas \u00e0 la date de cl\u00f4ture de l’audit.<\/p>

Comment lire un audit en 2026<\/h2>

Pour un investisseur ou un utilisateur, l’enjeu n’est plus de savoir quel cabinet est le meilleur, mais de savoir lire ce qu’un badge \u00ab audit\u00e9 \u00bb recouvre vraiment. Quelques r\u00e9flexes tiennent lieu de grille rapide :<\/p>