{"id":750,"date":"2026-10-08T22:33:38","date_gmt":"2026-10-08T22:33:38","guid":{"rendered":"https:\/\/hoge.gg\/fr\/certik-couche-confiance-trust-layer-token2049-2026\/"},"modified":"2026-10-08T22:33:38","modified_gmt":"2026-10-08T22:33:38","slug":"certik-couche-confiance-trust-layer-token2049-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/certik-couche-confiance-trust-layer-token2049-2026\/","title":{"rendered":"CertiK devient \u00ab couche de confiance \u00bb : quand l’audit recule"},"content":{"rendered":"

Le 8 octobre 2026, sur la sc\u00e8ne de TOKEN2049 Singapore, l’un des plus grands auditeurs de s\u00e9curit\u00e9 de la crypto a fait une chose \u00e9tonnante pour une maison d’audit : il a cess\u00e9 de se pr\u00e9senter d’abord comme un auditeur. CertiK a d\u00e9voil\u00e9 une refonte de marque et un nouveau positionnement, \u00ab la couche de confiance pour la valeur num\u00e9rique \u00bb (The Trust Layer for Digital Value), en revendiquant une mission plus large, \u00ab b\u00e2tir l’infrastructure de confiance de l’\u00e9conomie num\u00e9rique \u00bb.<\/p>

Le choix du vocabulaire n’est pas anodin. Pendant des ann\u00e9es, CertiK s’est vendue sur une promesse simple : faites relire votre code avant le d\u00e9ploiement, obtenez un rapport, affichez le badge. En 2026, cette promesse a pris l’eau. Les plus grosses pertes de l’ann\u00e9e ne sont pas venues de bugs dans le code audit\u00e9, mais de cl\u00e9s vol\u00e9es, de syst\u00e8mes internes compromis et de processus de signature d\u00e9tourn\u00e9s. Repositionner la marque sur la \u00ab confiance \u00bb plut\u00f4t que sur l’\u00ab audit \u00bb, c’est, qu’on le veuille ou non, un aveu : la carte des pertes ne suit plus la carte des audits.<\/p>

Ce que CertiK a annonc\u00e9 \u00e0 TOKEN2049<\/h2>

L’annonce a \u00e9t\u00e9 faite les 7 et 8 octobre 2026 \u00e0 Marina Bay Sands, \u00e0 l’occasion de TOKEN2049 Singapore<\/a>, le grand rendez-vous crypto asiatique. Selon le communiqu\u00e9 repris par le fil Chainwire<\/a>, CertiK ne change pas de nom mais de posture : la soci\u00e9t\u00e9 n\u00e9e de la relecture de smart contracts se pr\u00e9sente d\u00e9sormais comme un fournisseur d’\u00ab infrastructure de confiance \u00bb pour les institutions financi\u00e8res, les r\u00e9gulateurs et les entreprises.<\/p>

Le porte-parole de ce virage est Jason Jiang, directeur commercial (Chief Business Officer) de CertiK. \u00ab Les actifs num\u00e9riques changent la fa\u00e7on dont la valeur circule. Les institutions qui proposent des services d’actifs num\u00e9riques et les r\u00e9gulateurs qui les supervisent ont besoin que la s\u00e9curit\u00e9, la conformit\u00e9 et la visibilit\u00e9 sur le risque fonctionnent ensemble \u00bb, a-t-il d\u00e9clar\u00e9. \u00ab Notre refonte de marque refl\u00e8te la fa\u00e7on dont CertiK a \u00e9volu\u00e9 pour r\u00e9pondre \u00e0 ces besoins, et notre ambition de servir de couche de confiance pour la valeur num\u00e9rique. \u00bb<\/p>

Derri\u00e8re le slogan, CertiK affiche un catalogue \u00e9largi. L’audit de smart contracts et la v\u00e9rification formelle, son c\u0153ur de m\u00e9tier historique, ne sont plus qu’une ligne parmi d’autres, \u00e0 c\u00f4t\u00e9 du test d’intrusion, de la surveillance on-chain Skynet, de l’AI Auditor lanc\u00e9 au printemps, mais aussi d’outils de conformit\u00e9 (CertiK Compliance), de supervision du risque en temps r\u00e9el (CertiK Supervision), de preuve de r\u00e9serves et de services de validation. Le tableau ci-dessous r\u00e9sume ce que recouvre chaque brique et, surtout, si elle prot\u00e8ge \u00e0 un instant T ou en continu.<\/p>

Offre<\/th>Ce qu’elle couvre<\/th>Ponctuel ou continu<\/th><\/tr><\/thead>
Audit de smart contracts<\/td>le code avant d\u00e9ploiement<\/td>Ponctuel<\/td><\/tr>
V\u00e9rification formelle<\/td>preuve math\u00e9matique de propri\u00e9t\u00e9s du code<\/td>Ponctuel<\/td><\/tr>
Test d’intrusion<\/td>infrastructure et p\u00e9rim\u00e8tre applicatif<\/td>P\u00e9riodique<\/td><\/tr>
AI Auditor<\/td>triage automatis\u00e9 du code<\/td>Continu<\/td><\/tr>
Skynet<\/td>surveillance on-chain et score de s\u00e9curit\u00e9<\/td>Continu<\/td><\/tr>
CertiK Compliance<\/td>KYC\/AML et filtrage des sanctions<\/td>Continu<\/td><\/tr>
CertiK Supervision<\/td>risque et conformit\u00e9 en temps r\u00e9el pour institutions et r\u00e9gulateurs<\/td>Continu<\/td><\/tr>
Preuve de r\u00e9serves<\/td>solvabilit\u00e9 d’un d\u00e9positaire ou d’un exchange<\/td>P\u00e9riodique<\/td><\/tr>
Services de validation<\/td>exploitation de validateurs<\/td>Continu<\/td><\/tr><\/tbody><\/table>
Le catalogue de CertiK apr\u00e8s la refonte d’octobre 2026. Sources : Chainwire, mpost.<\/figcaption><\/figure>

CertiK en bref : de CertiKOS \u00e0 \u00ab couche de confiance \u00bb<\/h2>

CertiK est n\u00e9e en 2018 \u00e0 New York, fond\u00e9e par deux universitaires : Ronghui Gu, professeur \u00e0 Columbia et actuel PDG, et Zhong Shao, professeur \u00e0 Yale. Leur point de d\u00e9part n’avait rien \u00e0 voir avec la crypto : CertiKOS, le premier noyau de syst\u00e8me d’exploitation enti\u00e8rement v\u00e9rifi\u00e9 formellement. Le nom m\u00eame de l’entreprise, contraction de Certified Kernel, en garde la trace. L’id\u00e9e \u00e9tait de transposer la v\u00e9rification formelle, qui prouve math\u00e9matiquement qu’un programme respecte une sp\u00e9cification, aux smart contracts.<\/p>

Huit ans plus tard, l’entreprise revendique plus de 5 500 clients dans plus de 150 pays, plus de 119 000 vuln\u00e9rabilit\u00e9s d\u00e9tect\u00e9es et du code s\u00e9curisant plus de 600 milliards de dollars d’actifs num\u00e9riques (environ 543 milliards d’euros), selon le communiqu\u00e9 de la refonte<\/a>. Elle a \u00e9t\u00e9 valoris\u00e9e autour de 2 milliards de dollars (environ 1,8 milliard d’euros) lors d’une lev\u00e9e de 2022 men\u00e9e notamment par Insight Partners, Tiger Global et Advent International, avec Binance et Coinbase au capital, d’apr\u00e8s The Block<\/a>. Autrement dit, ce n’est pas une start-up qui se cherche, mais le leader d’un secteur qui d\u00e9cide de changer de discours.<\/p>

Pourquoi \u00ab couche de confiance \u00bb et pas \u00ab auditeur de code \u00bb<\/h2>

Un audit de code est une photographie. On fige le code \u00e0 un instant donn\u00e9, on le relit, on signe un rapport. Le probl\u00e8me, r\u00e9sum\u00e9 par Ronghui Gu lui-m\u00eame, est que la fen\u00eatre de danger ne se referme pas apr\u00e8s le lancement : un projet est audit\u00e9 une fois, passe l’examen, puis ne revisite jamais ce code, alors que l’attaque, elle, peut survenir des mois plus tard et viser tout autre chose que le contrat. En 2026, ce d\u00e9calage est devenu la r\u00e8gle plut\u00f4t que l’exception.<\/p>

Le vocabulaire de la \u00ab couche de confiance \u00bb tente de combler ce vide. L\u00e0 o\u00f9 l’audit s’arr\u00eate au d\u00e9ploiement, la surveillance continue (Skynet), la supervision du risque et la preuve de r\u00e9serves pr\u00e9tendent accompagner un projet, un exchange ou une institution dans la dur\u00e9e. C’est coh\u00e9rent sur le papier. C’est aussi, commercialement, un bien meilleur mod\u00e8le : un rapport ponctuel se vend une fois, un abonnement de supervision se facture tous les mois. Reste \u00e0 savoir si l’\u00e9tiquette d\u00e9crit une capacit\u00e9 r\u00e9elle \u00e0 emp\u00eacher les pertes, ou seulement \u00e0 les constater plus vite.<\/p>

Le paradoxe de l’audit, en chiffres 2026<\/h2>

Les chiffres de CertiK racontent mieux que n’importe quel slogan pourquoi l’entreprise change de registre. Sur les neuf premiers mois de 2026, les acteurs de la crypto ont perdu pr\u00e8s de 2,7 milliards de dollars (environ 2,44 milliards d’euros) en 658 incidents de s\u00e9curit\u00e9, dont quelque 2,26 milliards de dollars de pertes nettes une fois d\u00e9duits les fonds gel\u00e9s ou restitu\u00e9s, soit environ 420 millions de dollars r\u00e9cup\u00e9r\u00e9s, selon le d\u00e9compte relay\u00e9 par Atlas21<\/a>. Septembre \u00e0 lui seul a co\u00fbt\u00e9 766,5 millions de dollars (environ 694 millions d’euros), le pire mois de l’ann\u00e9e, tir\u00e9 par les affaires Bitget et Liquid Network.<\/p>

Le plus parlant tient dans la nature des cinq plus grosses pertes, qui totalisent \u00e0 elles seules environ 1,57 milliard de dollars (environ 1,42 milliard d’euros).<\/p>

Incident<\/th>Montant<\/th>Date<\/th>Classe d’attaque<\/th>Bug de code ?<\/th><\/tr><\/thead>
Bitget<\/td>387,5 M$ (\u2248351 M\u20ac)<\/td>24 sept.<\/td>backend et signature<\/td>Non<\/td><\/tr>
Liquid Network<\/td>318,7 M$ (\u2248288 M\u20ac)<\/td>6 sept.<\/td>validation de preuve<\/td>Oui<\/td><\/tr>
Kelp DAO<\/td>291,3 M$ (\u2248264 M\u20ac)<\/td>18 avr.<\/td>RPC\/DVN compromis<\/td>Non<\/td><\/tr>
Drift Protocol<\/td>285,3 M$ (\u2248258 M\u20ac)<\/td>1er avr.<\/td>cl\u00e9 admin compromise<\/td>Non<\/td><\/tr>
Victime non identifi\u00e9e<\/td>284,8 M$ (\u2248258 M\u20ac)<\/td>2026<\/td>non communiqu\u00e9e<\/td>n.c.<\/td><\/tr><\/tbody><\/table>
Les cinq plus grosses pertes crypto de 2026 \u00e0 fin septembre. Source : CertiK via Atlas21.<\/figcaption><\/figure>

Un seul de ces cinq sinistres, Liquid Network, tient \u00e0 un bug dans le code (une faille de validation de preuve). Les autres rel\u00e8vent de ce que le secteur appelle pudiquement les failles hors code : une cl\u00e9 d’administration compromise chez Drift, un serveur RPC d\u00e9tourn\u00e9 chez Kelp DAO, un syst\u00e8me interne pirat\u00e9 et un circuit de signature retourn\u00e9 contre la maison chez Bitget. Aucun auditeur de smart contracts, aussi rigoureux soit-il, n’aurait vu venir ces quatre-l\u00e0 en relisant le code. C’est exactement le constat que dresse Gu chez Forbes<\/a> : \u00ab Les attaquants obtiennent un meilleur rendement en s’en prenant \u00e0 la gestion des cl\u00e9s, \u00e0 la gouvernance multisig et \u00e0 l’infrastructure op\u00e9rationnelle qu’en cherchant des bugs dans le code. \u00bb \u00c0 l’autre bout du spectre, les incidents les plus nombreux restent le phishing et les petites failles de code ; le premier vise l’utilisateur plut\u00f4t que le protocole, comme le rappelle le casse du copier-coller de l’empoisonnement d’adresses<\/a>.<\/p>

Le d\u00e9tail de septembre enfonce le clou. Dans la ventilation par type de faille de ce mois record, ce sont les compromissions de services tiers et les signatures ou preuves invalides qui ont repr\u00e9sent\u00e9 l’\u00e9crasante majorit\u00e9 des pertes, selon crypto.news<\/a>. La r\u00e9entrance, pourtant le bug de smart contract le plus \u00e9tudi\u00e9, le plus enseign\u00e9 et le premier que traque tout audit, fermait la marche avec une part marginale. En clair : la cat\u00e9gorie que l’audit de code sait le mieux attraper est devenue un d\u00e9tail statistique, pendant que les failles qu’il ne couvre pas raflent la mise.<\/p>

La m\u00eame semaine, deux protocoles vid\u00e9s sans faille de code<\/h2>

Pour mesurer \u00e0 quel point ce constat est d’actualit\u00e9, il suffit de regarder la semaine m\u00eame de la refonte. Le 7 octobre 2026, le protocole 79thVault a perdu environ 12,5 millions de dollars (pr\u00e8s de 11,3 millions d’euros), soit 16 249 BNB, sur BNB Chain. L’attaquant n’a exploit\u00e9 aucune subtilit\u00e9 cryptographique : une adresse disposant du r\u00f4le privil\u00e9gi\u00e9 OPERATOR_ROLE a utilis\u00e9 une fonction d’administration pour d\u00e9placer les jetons 79AU hors de la r\u00e9serve sans paiement, puis les a revendus dans le pool pour en extraire les r\u00e9serves en USDT. CertiK a signal\u00e9 l’op\u00e9ration<\/a> comme un exploit pr\u00e9sum\u00e9 passant par une fonction privil\u00e9gi\u00e9e.<\/p>

Trois jours plus t\u00f4t, le 4 octobre, un coffre d\u00e9ploy\u00e9 sur Base (la couche 2 d’Ethereum incub\u00e9e par Coinbase) s’est fait siphonner 1 783 wstETH, environ 6 millions de dollars (5,4 millions d’euros). Le d\u00e9tail qui tue : le Safe du propri\u00e9taire du coffre avait retir\u00e9 le contrat de l’attaquant de sa liste blanche \u00e0 8 h 52 UTC, avant de l’y r\u00e9autoriser une minute plus tard, \u00e0 8 h 53. Ce n’est pas un d\u00e9faut du contrat, c’est un processus de signature ou des cl\u00e9s de signataire qui ont bascul\u00e9 du mauvais c\u00f4t\u00e9. L\u00e0 encore, CertiK a figur\u00e9 parmi les soci\u00e9t\u00e9s ayant donn\u00e9 l’alerte<\/a>, apr\u00e8s Blockaid et PeckShield.<\/p>

Ces deux affaires, minuscules \u00e0 l’\u00e9chelle du milliard, disent la m\u00eame chose que Bitget en plus petit : ce sont les acc\u00e8s privil\u00e9gi\u00e9s, les r\u00f4les d’administration et les cl\u00e9s qui c\u00e8dent, pas le code. Nous avions document\u00e9 ce basculement \u00e0 propos des ponts cross-chain, o\u00f9 les cl\u00e9s c\u00e8dent avant le code<\/a>, et des attaques de gouvernance<\/a>, o\u00f9 une fonction privil\u00e9gi\u00e9e suffit \u00e0 tout emporter.<\/p>

Date<\/th>Cible<\/th>Cha\u00eene<\/th>Montant<\/th>M\u00e9canisme<\/th>Bug de code ?<\/th><\/tr><\/thead>
4 oct. 2026<\/td>Coffre sur Base<\/td>Base<\/td>\u22486 M$ (1 783 wstETH)<\/td>liste blanche r\u00e9activ\u00e9e (signature)<\/td>Non<\/td><\/tr>
7 oct. 2026<\/td>79thVault<\/td>BNB Chain<\/td>\u224812,5 M$<\/td>r\u00f4le OPERATOR_ROLE<\/td>Non<\/td><\/tr>
24 sept. 2026<\/td>Bitget<\/td>Exchange centralis\u00e9<\/td>\u2248351,6 M$<\/td>backend et signature<\/td>Non<\/td><\/tr>
6 sept. 2026<\/td>Liquid Network<\/td>Sidechain Bitcoin<\/td>\u2248318,7 M$<\/td>validation de preuve<\/td>Oui<\/td><\/tr><\/tbody><\/table>
De fin septembre \u00e0 d\u00e9but octobre 2026 : le code tient, les acc\u00e8s c\u00e8dent. Sources : CryptoTimes, CoinDesk.<\/figcaption><\/figure>

\u00ab Servir les institutions et les r\u00e9gulateurs \u00bb : la posture \u00e0 double tranchant<\/h2>

La phrase de Jason Jiang m\u00e9rite qu’on s’y arr\u00eate : CertiK veut servir \u00e0 la fois les institutions qui proposent des services d’actifs num\u00e9riques et les r\u00e9gulateurs qui les supervisent. Vendre des outils de s\u00e9curit\u00e9 aux deux camps d’un m\u00eame rapport de force est une ambition commerciale puissante, et un terrain glissant. C’est la logique d\u00e9j\u00e0 \u00e0 l’\u0153uvre dans son accord de septembre avec la Banque nationale de la R\u00e9publique kirghize<\/a> pour s\u00e9curiser le som num\u00e9rique, la monnaie num\u00e9rique de banque centrale du pays : fournir aux autorit\u00e9s des solutions de supervision et de conformit\u00e9 en temps r\u00e9el.<\/p>

Le pari est clair. Avec MiCA en Europe, le GENIUS Act aux \u00c9tats-Unis et une vague de licences d’actifs num\u00e9riques dans le monde, les r\u00e9gulateurs ont besoin d’outils techniques qu’ils n’ont pas en interne, et les institutions ont besoin de prouver leur conformit\u00e9. CertiK se propose comme le tuyau commun. Mais un fournisseur qui \u00e9quipe \u00e0 la fois le surveill\u00e9 et le surveillant concentre un pouvoir d’infrastructure consid\u00e9rable, et pose une question de confiance en miroir : qui audite la couche de confiance ? Nous y revenons plus bas.<\/p>

Ce virage institutionnel n’a rien d’abstrait. Gestionnaires d’ETF au comptant, banques d\u00e9positaires, \u00e9metteurs de stablecoins, courtiers traditionnels : la finance classique entre dans les actifs num\u00e9riques et arrive avec ses exigences de conformit\u00e9, de contr\u00f4le interne et de reporting. Ces acteurs ne cherchent pas un rapport d’audit isol\u00e9, mais un prestataire capable de parler \u00e0 la fois le langage du smart contract et celui du risque op\u00e9rationnel r\u00e9glement\u00e9. C’est exactement le cr\u00e9neau que vise la \u00ab couche de confiance \u00bb. Reste que vendre de la tranquillit\u00e9 d’esprit \u00e0 des directions des risques est un exercice o\u00f9 la promesse commerciale peut vite d\u00e9passer ce que la technique garantit.<\/p>

Preuve de r\u00e9serves et services de validation : la s\u00e9curit\u00e9 au-del\u00e0 du contrat<\/h2>

Deux briques du nouveau catalogue illustrent ce glissement hors du contrat. La preuve de r\u00e9serves (proof of reserves) cherche \u00e0 d\u00e9montrer qu’un d\u00e9positaire ou un exchange d\u00e9tient bien les actifs de ses clients. Apr\u00e8s l’effondrement de FTX en 2022 et, cette ann\u00e9e, le vol de centaines de millions chez Bitget, c’est une demande de march\u00e9 \u00e9vidente. Mais la preuve de r\u00e9serves a ses limites connues : elle atteste d’un solde d’actifs \u00e0 un instant T, pas du passif en face, et ne dit rien d’un backend qui se ferait pirater la semaine suivante. Elle rassure sur la solvabilit\u00e9, pas sur la s\u00e9curit\u00e9 op\u00e9rationnelle. Nos lecteurs qui suivent les mouvements de r\u00e9serves des exchanges<\/a> connaissent la nuance.<\/p>

Les services de validation, eux, consistent \u00e0 exploiter des validateurs pour le compte de tiers. C’est un m\u00e9tier d’infrastructure, r\u00e9mun\u00e9rateur et r\u00e9current, mais qui place CertiK du c\u00f4t\u00e9 des op\u00e9rateurs qu’elle est par ailleurs cens\u00e9e \u00e9valuer. La fronti\u00e8re entre \u00ab je s\u00e9curise \u00bb et \u00ab j’op\u00e8re \u00bb se brouille, et avec elle la lecture d’un label. Un auditeur qui devient prestataire d’exploitation n’est plus tout \u00e0 fait un tiers neutre, et c’est un point que la grille de lecture d’un rapport doit int\u00e9grer.<\/p>

Le mod\u00e8le \u00ab l’audit\u00e9 paie \u00bb survit au changement de marque<\/h2>

Une refonte de marque ne touche pas au c\u0153ur du mod\u00e8le \u00e9conomique, et c’est l\u00e0 que le b\u00e2t blesse. Comme la quasi-totalit\u00e9 des auditeurs de smart contracts, CertiK est pay\u00e9e par le projet qu’elle \u00e9value. C’est le m\u00eame conflit d’int\u00e9r\u00eats que celui des agences de notation financi\u00e8re, o\u00f9 l’\u00e9metteur de la dette choisit et r\u00e9mun\u00e8re celui qui la note, un arrangement dont on a vu les d\u00e9g\u00e2ts avec les notes AAA pos\u00e9es sur les subprimes en 2008. La diff\u00e9rence, qui n’est pas mince, c’est que les agences de notation sont enregistr\u00e9es et supervis\u00e9es (par la SEC, par l’ESMA), l\u00e0 o\u00f9 aucun r\u00e9gulateur n’accr\u00e9dite les auditeurs de code.<\/p>

Le contexte de cette refonte rend la question plus aigu\u00eb encore : CertiK pr\u00e9pare une entr\u00e9e en Bourse. Au Forum de Davos, en janvier 2026, Ronghui Gu a affich\u00e9 l’ambition de faire de CertiK la premi\u00e8re soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 web3 cot\u00e9e. \u00ab Nous n’avons pas encore de plan d’introduction en Bourse tr\u00e8s concret, mais c’est assur\u00e9ment l’objectif que nous poursuivons \u00bb, a-t-il dit \u00e0 The Block<\/a>. L’entreprise a d’ailleurs publi\u00e9 un billet intitul\u00e9 sans d\u00e9tour \u00ab la voie de CertiK vers un avenir public \u00bb<\/a>, et racont\u00e9 \u00e0 CoinDesk<\/a> comment elle a reconstruit sa r\u00e9putation en vue de cette cotation. Or une cotation empile sur le conflit \u00ab l’audit\u00e9 paie \u00bb une pression suppl\u00e9mentaire, celle de la croissance du chiffre d’affaires et du cours de l’action, qui tire vers le volume d’audits plut\u00f4t que vers la rigueur. Le repositionnement en \u00ab couche de confiance \u00bb est aussi, lu froidement, un argumentaire pour investisseurs.<\/p>

La Cor\u00e9e du Nord, vrai arbitre de l’ann\u00e9e<\/h2>

Si la carte des pertes 2026 a une couleur dominante, c’est celle d’un acteur \u00e9tatique. Selon la soci\u00e9t\u00e9 d’analyse Elliptic, cit\u00e9e dans le m\u00eame d\u00e9compte, des op\u00e9rateurs aux liens nord-cor\u00e9ens pr\u00e9sum\u00e9s ont d\u00e9rob\u00e9 plus d’un milliard de dollars d’actifs num\u00e9riques en 2026 (plus de 900 millions d’euros), sur plus de 51 incidents pr\u00e9sum\u00e9s. Elliptic juge une implication nord-cor\u00e9enne \u00ab hautement probable \u00bb dans le cas Bitget et relie quelque 286 millions de dollars du vol de Drift \u00e0 ces m\u00eames op\u00e9rateurs.<\/p>

Le cas Bitget r\u00e9sume la saison. L’exchange a vu dispara\u00eetre environ 351,6 millions de dollars (pr\u00e8s de 318 millions d’euros) le 24 septembre, non pas par une faille de son code mais, selon sa PDG Gracy Chen et CoinDesk<\/a>, par la compromission d’un syst\u00e8me backend qui a permis de falsifier des donn\u00e9es de transaction et de d\u00e9clencher le propre circuit d’autorisation de la maison. CertiK, qui n’a pas audit\u00e9 Bitget, classe l’affaire \u00e0 387,5 millions de dollars dans son d\u00e9compte sectoriel : une diff\u00e9rence de p\u00e9rim\u00e8tre qu’il faut garder en t\u00eate. Esme Pau, responsable des march\u00e9s de capitaux et des politiques publiques chez CertiK, y voyait aupr\u00e8s de Bloomberg<\/a> \u00ab l’un des exploits les plus substantiels visant un exchange centralis\u00e9 en 2026 \u00bb et \u00ab un nouveau signal d’alarme pour l’industrie des actifs num\u00e9riques \u00bb.<\/p>

Pour une entreprise qui veut devenir l’infrastructure de confiance des institutions, c’est un argument \u00e0 double sens. Un adversaire disposant des moyens d’un \u00c9tat ne cherche pas une virgule mal plac\u00e9e dans un contrat ; il infiltre un prestataire, pi\u00e8ge un poste de d\u00e9veloppeur, d\u00e9tourne un processus interne. Face \u00e0 cela, un audit de code est hors sujet, et m\u00eame la surveillance la plus fine ne fait souvent que constater les d\u00e9g\u00e2ts. La valeur d’une couche de confiance se jouera donc moins sur la d\u00e9tection que sur la r\u00e9duction de la surface d’attaque humaine et op\u00e9rationnelle, un terrain o\u00f9 personne, CertiK comprise, ne vend de solution miracle.<\/p>

Les casseroles que le changement de marque n’efface pas<\/h2>

Une nouvelle signature ne r\u00e9\u00e9crit pas le pass\u00e9. CertiK tra\u00eene deux affaires que ses d\u00e9tracteurs ressortent \u00e0 chaque annonce. En juin 2024, des chercheurs de CertiK ont exploit\u00e9 un bug de solde de d\u00e9p\u00f4t chez l’exchange Kraken et retir\u00e9 pr\u00e8s de 3 millions de dollars de fonds r\u00e9els sur cinq jours, avant de longues tractations sur leur restitution. Le directeur de la s\u00e9curit\u00e9 de Kraken, Nick Percoco, avait tranch\u00e9 aupr\u00e8s de CoinDesk<\/a> : \u00ab Ce n’est pas du piratage white hat, c’est de l’extorsion. \u00bb CertiK a d\u00e9fendu une d\u00e9marche de recherche l\u00e9gitime et a fini par rendre les fonds.<\/p>

Plus lourde symboliquement, l’affaire Huione : CertiK avait audit\u00e9 le contrat du stablecoin USDH, li\u00e9 \u00e0 une place de march\u00e9 cambodgienne d\u00e9crite comme la plus grande marketplace illicite jamais recens\u00e9e. Face au toll\u00e9, l’entreprise avait pr\u00e9sent\u00e9 ses excuses<\/a> : \u00ab Nous pr\u00e9sentons nos sinc\u00e8res excuses \u00e0 la communaut\u00e9. Nous reconnaissons que travailler avec des projets \u00e0 haut risque peut soulever des pr\u00e9occupations \u00e9thiques et avoir des implications plus larges. \u00bb CertiK souligne qu’elle avait class\u00e9 ce stablecoin au plus bas de son score Skynet et assorti d’un avertissement, apr\u00e8s qu’un tiers eut refus\u00e9 des v\u00e9rifications suppl\u00e9mentaires. C’est pr\u00e9cis\u00e9ment ce genre de nuance, \u00ab audit\u00e9 \u00bb ne voulant pas dire \u00ab approuv\u00e9 \u00bb, qu’un slogan de \u00ab confiance \u00bb risque d’aplatir.<\/p>

Ce qu’une \u00ab couche de confiance \u00bb peut et ne peut pas promettre<\/h2>

Il faut \u00eatre juste : la surveillance continue a une vraie valeur. Rep\u00e9rer un drainage en quelques minutes, tracer les fonds, pr\u00e9venir les exchanges pour tenter un gel, tout cela a permis de r\u00e9cup\u00e9rer environ 420 millions de dollars en 2026. Le cas Liquid Network le montre \u00e0 l’envers : le code a cass\u00e9 (une faille de validation de preuve a permis de cr\u00e9er du L-BTC non adoss\u00e9), mais une bonne partie des quelque 4 000 bitcoins a \u00e9t\u00e9 restitu\u00e9e par un white hat<\/a>. D\u00e9tecter et r\u00e9agir vite, ce n’est pas rien.<\/p>

Mais il ne faut pas confondre les verbes. Une couche de surveillance d\u00e9tecte ; elle n’emp\u00eache pas. Quand un r\u00f4le OPERATOR_ROLE d\u00e9place des fonds ou qu’un Safe r\u00e9autorise un contrat malveillant, l’alerte tombe souvent apr\u00e8s la transaction, pas avant. C’est toute la limite que nous avons d\u00e9j\u00e0 pos\u00e9e en examinant la surveillance en temps r\u00e9el<\/a> : un tableau de bord qui s’allume en rouge \u00e0 8 h 53 ne remet pas les 1 783 wstETH dans le coffre. La \u00ab couche de confiance \u00bb d\u00e9place le curseur de la pr\u00e9vention vers la d\u00e9tection et la r\u00e9action ; c’est utile, ce n’est pas la m\u00eame promesse.<\/p>

MiCA, DORA, AMF : servir les r\u00e9gulateurs sans \u00eatre r\u00e9gul\u00e9<\/h2>

C\u00f4t\u00e9 europ\u00e9en, le paradoxe est presque institutionnel. Depuis le 1er juillet 2026, la p\u00e9riode transitoire de MiCA est close en France : les prestataires de services sur actifs num\u00e9riques doivent \u00eatre agr\u00e9\u00e9s par l’AMF<\/a> ou cesser leur activit\u00e9. MiCA encadre les \u00e9metteurs et les prestataires (la garde rel\u00e8ve de son article 75), pas le code des protocoles ; et le r\u00e8glement DORA, applicable aux acteurs financiers depuis janvier 2025, impose une r\u00e9silience op\u00e9rationnelle et une gestion du risque li\u00e9 aux prestataires informatiques tiers, c’est-\u00e0-dire exactement le type de faille qui a fait tomber Bitget. Mais ni MiCA ni DORA n’imposent d’audit de code, et aucun r\u00e9gulateur n’accr\u00e9dite les auditeurs de smart contracts<\/a>.<\/p>

D’o\u00f9 l’ironie de la nouvelle posture. CertiK veut vendre de la supervision et de la conformit\u00e9 aux r\u00e9gulateurs, tout en exer\u00e7ant un m\u00e9tier que ces m\u00eames r\u00e9gulateurs n’encadrent pas. Un rapport d’audit de code n’est pas une attestation de conformit\u00e9 DORA, et un badge \u00ab s\u00e9curis\u00e9 par CertiK \u00bb n’est ni un agr\u00e9ment AMF, ni une garantie. Servir le r\u00e9gulateur n’est pas \u00eatre r\u00e9gul\u00e9 ; les deux peuvent m\u00eame s’additionner sans jamais se recouper.<\/p>

CertiK n’est pas seule, et le secteur bouge dans le m\u00eame sens<\/h2>

Il serait injuste de faire porter \u00e0 CertiK seule un constat qui vaut pour toute la profession. Les autres grands noms de l’audit, de Trail of Bits \u00e0 OpenZeppelin, de Halborn \u00e0 Certora, affrontent la m\u00eame r\u00e9alit\u00e9 : le code qu’ils relisent n’est plus l’endroit d’o\u00f9 part l’essentiel de l’argent. Tous \u00e9largissent leur offre vers la surveillance continue, la r\u00e9ponse \u00e0 incident, la formation ou la v\u00e9rification formelle, parce que le march\u00e9 de l’audit ponctuel plafonne pendant que celui du risque op\u00e9rationnel explose. Le virage de vocabulaire de CertiK n’est donc pas une lubie isol\u00e9e, c’est la forme la plus aboutie d’un mouvement g\u00e9n\u00e9ral.<\/p>

La diff\u00e9rence tient \u00e0 l’\u00e9chelle et \u00e0 l’ambition affich\u00e9e. En revendiquant le statut d’\u00ab infrastructure de confiance \u00bb et en visant la Bourse, CertiK ne cherche pas seulement \u00e0 vendre quelques produits de plus ; elle tente de devenir le point de passage par lequel institutions et r\u00e9gulateurs valident ce qui est \u00ab s\u00fbr \u00bb. C’est une position de pouvoir, et elle m\u00e9rite d’autant plus d’\u00eatre questionn\u00e9e que personne, dans ce secteur, ne jouit d’un mandat public ni d’une responsabilit\u00e9 juridique comparable \u00e0 celle d’un commissaire aux comptes, dont l’engagement est encadr\u00e9 par la loi depuis des d\u00e9cennies. La confiance, ici, reste un produit vendu par une entreprise priv\u00e9e \u00e0 ses clients, pas une garantie adoss\u00e9e \u00e0 un cadre l\u00e9gal.<\/p>

Comment lire un label \u00ab s\u00e9curis\u00e9 par CertiK \u00bb en 2026<\/h2>

Pour un investisseur ou une \u00e9quipe produit, le changement de marque ne change rien \u00e0 la m\u00e9thode de lecture. Quelques r\u00e9flexes valent mieux qu’un slogan.<\/p>

  • Un audit est dat\u00e9 : v\u00e9rifiez \u00e0 quelle version du code il correspond et ce qui a \u00e9t\u00e9 d\u00e9ploy\u00e9 depuis.<\/li>
  • Lisez le p\u00e9rim\u00e8tre : un audit de smart contract ne couvre ni le backend, ni les cl\u00e9s, ni les circuits de signature, l\u00e0 o\u00f9 partent la plupart des fonds en 2026.<\/li>
  • \u00ab Audit\u00e9 \u00bb n’est pas \u00ab approuv\u00e9 \u00bb : CertiK elle-m\u00eame a list\u00e9 des projets avec un score bas et un avertissement ; le badge seul ne dit rien du score.<\/li>
  • Surveillance ne veut pas dire pr\u00e9vention : une alerte en temps r\u00e9el aide \u00e0 r\u00e9agir, elle n’emp\u00eache pas la transaction.<\/li>
  • Demandez qui a pay\u00e9 et qui op\u00e8re : le mod\u00e8le reste \u00ab l’audit\u00e9 paie \u00bb, et un prestataire qui exploite aussi des validateurs n’est plus un pur tiers.<\/li><\/ul>

    Rien de tout cela n’enl\u00e8ve \u00e0 CertiK sa comp\u00e9tence technique, r\u00e9elle, ni l’utilit\u00e9 de ses outils. Mais une \u00ab couche de confiance \u00bb reste une marque, pas un bouclier. En 2026, l’argent ne quitte presque plus les protocoles par la porte du code ; il sort par les cl\u00e9s, les acc\u00e8s et les syst\u00e8mes internes. La vraie question, pour 2026 et au-del\u00e0, n’est pas de savoir si CertiK sait relire un contrat (elle le sait), mais si une \u00e9tiquette de \u00ab confiance \u00bb peut suivre le risque l\u00e0 o\u00f9 il se d\u00e9place vraiment : dans les mains qui tiennent les cl\u00e9s, dans les serveurs qui signent, dans les humains que l’on manipule. Un rebranding peut d\u00e9crire ce d\u00e9placement. Il ne le colmate pas.<\/p>

    Foire aux questions<\/h2>

    Qu’a annonc\u00e9 CertiK \u00e0 TOKEN2049 Singapore 2026 ?<\/h3>

    Les 7 et 8 octobre 2026, CertiK a d\u00e9voil\u00e9 une refonte de marque et un nouveau positionnement, \u00ab la couche de confiance pour la valeur num\u00e9rique \u00bb. L’entreprise \u00e9largit officiellement son offre de l’audit de code vers des services de s\u00e9curit\u00e9, de conformit\u00e9 et de supervision du risque destin\u00e9s aux institutions financi\u00e8res, aux entreprises et aux r\u00e9gulateurs.<\/p>

    Qu’est-ce que la \u00ab couche de confiance pour la valeur num\u00e9rique \u00bb ?<\/h3>

    C’est le slogan \u00ab The Trust Layer for Digital Value \u00bb qui r\u00e9sume le virage de CertiK. Au-del\u00e0 de l’audit de smart contracts et de la v\u00e9rification formelle, il regroupe la surveillance on-chain Skynet, l’AI Auditor, des outils de conformit\u00e9, la supervision du risque en temps r\u00e9el, la preuve de r\u00e9serves et des services de validation.<\/p>

    Pourquoi dit-on que l’audit de code ne suffit plus en 2026 ?<\/h3>

    Parce que les plus grosses pertes de l’ann\u00e9e ne viennent pas de bugs dans le code. Sur quatre des cinq plus gros sinistres de 2026, l’origine est une cl\u00e9 compromise, un serveur d\u00e9tourn\u00e9 ou un circuit de signature retourn\u00e9, pas une faille de smart contract. Un audit de code, par nature ponctuel, ne couvre pas ces surfaces.<\/p>

    CertiK a-t-elle audit\u00e9 Bitget ou les protocoles pirat\u00e9s d\u00e9but octobre 2026 ?<\/h3>

    Non. Dans les affaires Bitget, 79thVault ou le coffre sur Base, CertiK est intervenue comme observateur : elle a rep\u00e9r\u00e9, signal\u00e9 et trac\u00e9 les fonds via sa surveillance Skynet, sans \u00eatre l’auditrice de ces plateformes. D\u00e9tecter un vol n’est pas l’avoir emp\u00each\u00e9.<\/p>

    CertiK va-t-elle entrer en Bourse ?<\/h3>

    L’entreprise l’affiche comme objectif, sans calendrier ferme. Son PDG Ronghui Gu a dit vouloir faire de CertiK la premi\u00e8re soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 web3 cot\u00e9e. Le repositionnement institutionnel et cette refonte de marque s’inscrivent dans cette pr\u00e9paration, que l’entreprise assume publiquement.<\/p>