{"id":772,"date":"2026-10-11T22:35:52","date_gmt":"2026-10-11T22:35:52","guid":{"rendered":"https:\/\/hoge.gg\/fr\/cabinets-audit-crypto-comparatif-fin-2026\/"},"modified":"2026-10-11T22:35:52","modified_gmt":"2026-10-11T22:35:52","slug":"cabinets-audit-crypto-comparatif-fin-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/cabinets-audit-crypto-comparatif-fin-2026\/","title":{"rendered":"Cabinets d’audit crypto : le comparatif de fin 2026"},"content":{"rendered":"

Un trimestre record, et l’audit regardait ailleurs<\/h2>

Le troisi\u00e8me trimestre 2026 restera comme le pire de l’ann\u00e9e pour la s\u00e9curit\u00e9 crypto. Le cabinet CertiK a recens\u00e9 environ 1,26 milliard de dollars de pertes (pr\u00e8s de 1,13 Md\u20ac) sur 247 incidents, soit 53,9 % de plus que les 819,4 M$ du deuxi\u00e8me trimestre, selon son bilan trimestriel<\/a>. Septembre \u00e0 lui seul a concentr\u00e9 768,5 M$ (environ 690 M\u20ac) sur 99 incidents, le mois le plus co\u00fbteux de 2026.<\/p>

Un d\u00e9tail devrait retenir l’attention de quiconque s’appr\u00eate \u00e0 choisir un cabinet d’audit : le plus gros vol du trimestre n’a touch\u00e9 aucune ligne de smart contract audit\u00e9. Le 25 septembre, l’exchange Bitget a perdu 387,5 M$ (environ 350 M\u20ac), soit 31 % des pertes du trimestre, apr\u00e8s l’exploitation d’une faille zero-day log\u00e9e dans des \u00e9quipements de s\u00e9curit\u00e9 tiers. Les attaquants n’ont eu besoin ni du cold storage ni des cl\u00e9s priv\u00e9es : ils ont tromp\u00e9 le processus d’approbation interne<\/a> pour faire passer des retraits frauduleux pour des op\u00e9rations l\u00e9gitimes, automatisant le pillage sur onze blockchains en pr\u00e8s de trois heures. Bitget soup\u00e7onne un groupe nord-cor\u00e9en, et Chainalysis attribue<\/a> le vol \u00e0 des acteurs li\u00e9s \u00e0 la RPDC.<\/p>

Derri\u00e8re Bitget, le classement du trimestre aligne la m\u00eame logique : l’exploit de la sidechain Liquid (319 M$ le 6 septembre), le march\u00e9 mon\u00e9taire Tectonic sur Cronos (120 M$) et le vol de 112,7 M$ li\u00e9 \u00e0 un Coldcard. Les quatre plus grosses pertes rel\u00e8vent d’infrastructures, de cl\u00e9s et de configuration, pas d’un bug de Solidity qu’un audit de code aurait eu vocation \u00e0 trouver.<\/p>

Le contraste est brutal. Le march\u00e9 a sign\u00e9 l’un de ses meilleurs trimestres depuis 2024, port\u00e9 par un reflux macro que nous avons d\u00e9crit dans nos perspectives de fin d’ann\u00e9e<\/a>, pendant que la s\u00e9curit\u00e9 vivait son pire. D’o\u00f9 le paradoxe qui organise cette revue : jamais choisir le bon cabinet d’audit n’a sembl\u00e9 aussi d\u00e9cisif, et jamais l’audit de code seul n’a paru aussi insuffisant face \u00e0 la forme r\u00e9elle des pertes.<\/p>

Ce qui a chang\u00e9 depuis l’\u00e9t\u00e9<\/h2>

Un comparatif des cabinets d’audit n’aurait pas eu le m\u00eame sens il y a trois mois. L’automne 2026 a rebattu les cartes du secteur, au point que le cabinet que vous engagez a peut-\u00eatre chang\u00e9 de propri\u00e9taire, de mod\u00e8le \u00e9conomique ou de priorit\u00e9s depuis le dernier classement.<\/p>

Le 17 septembre, S&P Global a annonc\u00e9 le rachat d’OpenZeppelin<\/a>, le cabinet dont la biblioth\u00e8que de contrats sert de socle \u00e0 la quasi-totalit\u00e9 de la DeFi. Une agence de notation poss\u00e8de d\u00e9sormais un auditeur de code. D\u00e9but octobre, au TOKEN2049 de Singapour, CertiK a d\u00e9voil\u00e9 un changement de marque : le groupe ne se pr\u00e9sente plus comme un simple sp\u00e9cialiste de l’audit Web3 mais comme \u00ab la couche de confiance de la valeur num\u00e9rique \u00bb<\/a>, \u00e9tendant ses outils de supervision et de conformit\u00e9 aux institutions et aux r\u00e9gulateurs.<\/p>

Nous avons analys\u00e9 ce repositionnement \u00e0 part, car il dit quelque chose du m\u00e9tier tout entier : quand l’audit recule<\/a> au profit de la surveillance continue et des services aux institutions. En parall\u00e8le, CertiK vise une entr\u00e9e en bourse \u00e0 2 Md$ de valorisation<\/a> (environ 1,8 Md\u20ac), tandis que la consolidation gagne tout le secteur.<\/p>

Cette revue prend acte de ce basculement. Elle note les grands cabinets sur cinq crit\u00e8res, \u00e0 la lumi\u00e8re du trimestre record, et pose une question simple : en cette fin 2026, \u00e0 qui achetez-vous r\u00e9ellement un audit, et que vaut encore son label ?<\/p>

Cinq crit\u00e8res pour juger un cabinet<\/h2>

Comparer des cabinets d’audit n’est pas comparer des prix. Un rapport n’est pas un certificat de garantie : c’est un document technique dont la valeur d\u00e9pend de ce qu’il couvre et de la rigueur de qui le signe. Nous retenons cinq crit\u00e8res, appliqu\u00e9s ensuite firme par firme.<\/p>

Crit\u00e8re<\/th>Ce qu’il mesure<\/th>Signal de qualit\u00e9<\/th>Signal d’alerte<\/th><\/tr><\/thead>
Sp\u00e9cialisation<\/td>Langages et \u00e9cosyst\u00e8mes r\u00e9ellement ma\u00eetris\u00e9s (EVM\/Solidity, Rust\/Solana, Move, ZK)<\/td>\u00c9quipe d\u00e9di\u00e9e au langage du projet, r\u00e9f\u00e9rences publiques<\/td>\u00ab tout auditer \u00bb sans sp\u00e9cialit\u00e9 affich\u00e9e<\/td><\/tr>
M\u00e9thodologie<\/td>Revue manuelle, fuzzing, v\u00e9rification formelle, outillage<\/td>Plusieurs techniques combin\u00e9es, outils ouverts<\/td>scan automatis\u00e9 pr\u00e9sent\u00e9 comme un audit complet<\/td><\/tr>
Transparence<\/td>Rapports publics, p\u00e9rim\u00e8tre explicite, aveu des rat\u00e9s<\/td>Rapports t\u00e9l\u00e9chargeables, post-mortems assum\u00e9s<\/td>un badge, aucun rapport consultable<\/td><\/tr>
Bilan 2026<\/td>Comportement quand un client audit\u00e9 se fait vider<\/td>Post-mortem rapide et honn\u00eate<\/td>silence ou rejet de toute responsabilit\u00e9<\/td><\/tr>
Ind\u00e9pendance<\/td>Qui paie, qui poss\u00e8de le cabinet, conflits d’int\u00e9r\u00eats<\/td>honoraires clairs, pas de pression au volume<\/td>mod\u00e8le \u00ab l’\u00e9metteur paie \u00bb et pression actionnariale non dits<\/td><\/tr><\/tbody><\/table><\/figure>

Ces crit\u00e8res prolongent sans les r\u00e9p\u00e9ter nos pr\u00e9c\u00e9dents guides sur la mani\u00e8re de choisir un cabinet et de lire un rapport. La nouveaut\u00e9 de cette fin d’ann\u00e9e tient au cinqui\u00e8me, l’ind\u00e9pendance : avec le rachat d’OpenZeppelin et la cotation vis\u00e9e par CertiK, la question \u00ab qui poss\u00e8de qui \u00bb cesse d’\u00eatre th\u00e9orique.<\/p>

Ce qu’un audit prouve, et ce qu’il ne prouvera jamais<\/h2>

Un audit est une photographie, prise \u00e0 un instant donn\u00e9, d’un p\u00e9rim\u00e8tre de code d\u00e9fini. La meilleure illustration de ses limites vient d’OpenZeppelin lui-m\u00eame. Son autopsie du vol de Kelp DAO (environ 292 M$ en avril) s’intitule \u00ab 292 millions perdus, z\u00e9ro bug trouv\u00e9 \u00bb<\/a>, avec cette phrase rest\u00e9e c\u00e9l\u00e8bre : \u00ab Les contrats se sont comport\u00e9s exactement comme \u00e9crit. \u00bb<\/p>

Le cabinet y \u00e9num\u00e8re ce qu’un audit n’examine pas : la configuration des int\u00e9grations tierces au d\u00e9ploiement, le fait de savoir si l’infrastructure (n\u0153uds RPC, relais, oracles) introduit un point de d\u00e9faillance unique, le respect des r\u00e9glages recommand\u00e9s, et le comportement du syst\u00e8me quand une d\u00e9pendance hors-cha\u00eene est compromise. L’incident rsETH relevait des quatre \u00e0 la fois. Les angles morts logiciels, comme la monoculture des clients de staking<\/a>, \u00e9chappent eux aussi au p\u00e9rim\u00e8tre d’un audit de contrat.<\/p>

La forme des pertes confirme la le\u00e7on. Sur le premier semestre 2026, le rapport Hack3d de CertiK<\/a> recense 1,31 Md$ vol\u00e9s sur 344 incidents : la compromission de portefeuilles et de cl\u00e9s p\u00e8se 444 M$ sur 33 incidents (le vecteur le plus co\u00fbteux, environ 13 M$ par \u00e9v\u00e9nement), le phishing 366 M$ sur 63 incidents, et les bugs de code 152 M$ sur 204 incidents, le vecteur le plus fr\u00e9quent mais le moins cher. Autrement dit, le seul vecteur v\u00e9ritablement \u00ab auditable \u00bb, le code, est celui qui co\u00fbte le moins.<\/p>

Le cabinet de recherche Ack3 pousse le constat plus loin : sur l’argent d\u00e9rob\u00e9 \u00e0 des projets pourtant audit\u00e9s au premier semestre, 94,4 % est sorti<\/a> par du code ou des infrastructures que les auditeurs n’avaient jamais examin\u00e9s, et 17 des 20 audits les plus proches des protocoles touch\u00e9s dataient de plus de six mois. Ronghui Gu, cofondateur et PDG de CertiK, le r\u00e9sume sans d\u00e9tour : \u00ab Les attaquants obtiennent un meilleur rendement en s’en prenant \u00e0 la gestion des cl\u00e9s, \u00e0 la gouvernance multisig et \u00e0 l’infrastructure op\u00e9rationnelle qu’en cherchant des bugs dans le code \u00bb<\/a>, et \u00ab la fen\u00eatre de danger ne se referme pas apr\u00e8s le lancement \u00bb.<\/p>

Pire, les attaquants reviennent sur du vieux code d\u00e9j\u00e0 audit\u00e9. Le m\u00eame rapport Hack3d<\/a> rel\u00e8ve que le nombre de contrats vis\u00e9s \u00e2g\u00e9s de plus d’un an est pass\u00e9 de 7 en octobre 2025 \u00e0 18 en mai 2026. Un audit de dix-huit mois, portant sur une version qui a chang\u00e9 depuis, ne prot\u00e8ge plus grand-chose : l’audit vieillit, la surface d’attaque, non.<\/p>

Ce cadre pos\u00e9, une r\u00e8gle vaut pour tout ce qui suit : l’audit est un plancher n\u00e9cessaire, jamais un plafond. Un bon cabinet r\u00e9duit la probabilit\u00e9 et la gravit\u00e9 d’un bug de code; aucun ne garantit qu’un protocole ne sera pas vid\u00e9 par une cl\u00e9 vol\u00e9e ou une d\u00e9pendance pi\u00e9g\u00e9e.<\/p>

CertiK : le plus pr\u00e9sent, le plus comment\u00e9<\/h2>

N\u00e9 en 2017 des travaux de v\u00e9rification formelle de Ronghui Gu (Columbia) et Zhong Shao (Yale), CertiK est devenu le cabinet le plus visible de la crypto : plus de 5 000 clients, quelque 20 000 projets examin\u00e9s, et une plateforme de surveillance, Skynet, qui suit en continu des centaines de milliards de dollars de capitalisation. Son bras donn\u00e9es, le rapport Hack3d, fournit les chiffres que cite tout le secteur, y compris ceux de ce comparatif.<\/p>

Cette omnipr\u00e9sence est un atout (couverture, monitoring, r\u00e9activit\u00e9) et une ambigu\u00eft\u00e9 : un cabinet qui publie le barom\u00e8tre des pertes note en partie sa propre copie. Le repositionnement de l’automne accentue le trait. En se pr\u00e9sentant comme \u00ab la couche de confiance \u00bb et en poussant ses services vers les institutions et les r\u00e9gulateurs, CertiK glisse de l’audit de code vers la conformit\u00e9 et la supervision. Jason Jiang, son directeur commercial, l’a formul\u00e9 ainsi<\/a> au TOKEN2049 : \u00ab Les institutions qui offrent des services d’actifs num\u00e9riques et les r\u00e9gulateurs qui les surveillent ont besoin que s\u00e9curit\u00e9, conformit\u00e9 et visibilit\u00e9 du risque fonctionnent ensemble. \u00bb<\/p>

Sur l’ind\u00e9pendance, CertiK tra\u00eene le dossier le plus lourd. En juin 2024, ses chercheurs avaient retir\u00e9 environ 3 M$ de fonds r\u00e9els \u00e0 la faveur d’un bug de Kraken; le directeur de la s\u00e9curit\u00e9 de l’exchange, Nick Percoco, avait parl\u00e9 d’\u00ab extorsion \u00bb<\/a>. En 2025, le cabinet a d\u00fb pr\u00e9senter ses excuses<\/a> apr\u00e8s avoir audit\u00e9 le stablecoin d’un groupe cambodgien li\u00e9 au travail forc\u00e9; il avait toutefois class\u00e9 le projet au plus bas score Skynet, assorti d’un avertissement, et revers\u00e9 ses honoraires. La cotation vis\u00e9e ajoute une pression actionnariale \u00e0 un mod\u00e8le o\u00f9 le client audit\u00e9 choisit et paie son auditeur.<\/p>

Verdict.<\/strong> Le plus complet en couverture et en donn\u00e9es, le mieux arm\u00e9 pour le monitoring continu, mais le plus expos\u00e9 aux conflits d’int\u00e9r\u00eats et le plus visiblement en train de quitter l’audit pur. Lisez le score Skynet et le rapport, pas le logo.<\/p>

OpenZeppelin : la biblioth\u00e8que pass\u00e9e sous pavillon S&P<\/h2>

OpenZeppelin (fond\u00e9 en 2015) n’est pas d’abord un auditeur, c’est un biblioth\u00e9caire : il \u00e9crit les impl\u00e9mentations de r\u00e9f\u00e9rence des standards (ERC-20, ERC-721, contr\u00f4le d’acc\u00e8s, proxys \u00e9volutifs) que recopie la quasi-totalit\u00e9 de la DeFi. Selon le communiqu\u00e9 de S&P<\/a>, ses contrats sous-tendent plus de 37 000 milliards de dollars de valeur transf\u00e9r\u00e9e, pour plus de 900 missions de s\u00e9curit\u00e9 et plus de 10 000 vuln\u00e9rabilit\u00e9s d\u00e9tect\u00e9es avant mise en production. Ses clients vont d’Aave \u00e0 Coinbase en passant par la Fondation Ethereum.<\/p>

Le 17 septembre, S&P Global a annonc\u00e9 son rachat. OpenZeppelin conserve sa marque et son PDG, Demian Brener, qui reporte d\u00e9sormais \u00e0 Yann Le Pallec, pr\u00e9sident de S&P Global Ratings; les termes financiers n’ont pas \u00e9t\u00e9 divulgu\u00e9s. Le Pallec a justifi\u00e9 l’op\u00e9ration : \u00ab Notre strat\u00e9gie sur les actifs num\u00e9riques consiste \u00e0 apporter des donn\u00e9es fiables, des indices de r\u00e9f\u00e9rence et une \u00e9valuation des risques transparente aux march\u00e9s qui passent on-chain. \u00bb<\/p>

Le rapprochement rend litt\u00e9rale une vieille critique : le conflit \u00ab l’\u00e9metteur paie \u00bb, o\u00f9 le client choisit et r\u00e9mun\u00e8re celui qui l’\u00e9value, est exactement la structure qui a permis les notes AAA sur des subprimes en 2008. \u00c0 l’inverse, OpenZeppelin reste l’un des cabinets les plus honn\u00eates sur le p\u00e9rim\u00e8tre. Sa r\u00e9trospective du hack de Balancer V2<\/a> d\u00e9taille que son deuxi\u00e8me audit s’est achev\u00e9 le 10 septembre 2021, dix jours avant l’ajout au d\u00e9p\u00f4t du contrat ensuite exploit\u00e9, \u00ab qui n’entrait pas dans le p\u00e9rim\u00e8tre de notre mission \u00bb.<\/p>

Verdict.<\/strong> La r\u00e9f\u00e9rence absolue pour la biblioth\u00e8que et parmi les plus francs sur ce qu’un audit ne couvre pas. La question ouverte : l’ind\u00e9pendance survit-elle \u00e0 l’int\u00e9rieur d’une agence de notation cot\u00e9e ?<\/p>

Trail of Bits et Halborn : l’ing\u00e9nierie et l’offensive<\/h2>

Trail of Bits (fond\u00e9 en 2012 \u00e0 New York par Dan Guido et Alexander Sotirov) est l’atelier d’ing\u00e9nierie du lot. Non financ\u00e9 par du capital-risque, il vit de ses missions et de contrats de recherche publics, et publie des outils open source devenus des standards de la profession : l’analyseur statique Slither, les fuzzers Echidna et Medusa. Il assume aussi ses rat\u00e9s en public, \u00e0 l’image de sa r\u00e9trospective sur Balancer<\/a>, o\u00f9 il reconna\u00eet avoir sous-\u00e9valu\u00e9 d\u00e8s 2021 la gravit\u00e9 d’un d\u00e9faut d’arrondi. La philosophie maison tient dans une phrase de son cofondateur Guido : \u00ab Je ne veux jamais retrouver deux fois le m\u00eame bug. \u00bb<\/a><\/p>

Sur la fronti\u00e8re technologique, le cabinet a bascul\u00e9 en interne vers l’IA<\/a> (jusqu’\u00e0 200 bugs trouv\u00e9s par semaine sur certaines missions, contre une quinzaine auparavant) et son syst\u00e8me Buttercup a fini deuxi\u00e8me du concours AIxCC<\/a> de la DARPA en 2025. Tarif indicatif : environ 25 000 $ par ing\u00e9nieur et par semaine, soit 80 000 \u00e0 200 000 $ (environ 72 000 \u00e0 180 000 \u20ac) pour une mission d’entreprise.<\/p>

Halborn (fond\u00e9 en 2019 \u00e0 Miami par Steven Walbroehl et Rob Behnke) joue une autre partition, l’offensive : red team, tests d’intrusion de dApps et de portefeuilles, r\u00e9ponse \u00e0 incident, s\u00e9curit\u00e9 d’infrastructure et direction de la s\u00e9curit\u00e9 externalis\u00e9e, sur EVM, Solana, Cosmos, Move et Algorand. Sa signature reste la divulgation Rab13s<\/a>, qui a r\u00e9v\u00e9l\u00e9 des failles mena\u00e7ant plus de 280 r\u00e9seaux et plus de 25 Md$ d’actifs. Apr\u00e8s une lev\u00e9e de 90 M$<\/a> (environ 81 M\u20ac) en s\u00e9rie A aupr\u00e8s de Summit Partners en 2022 et l’arriv\u00e9e du PDG Jacques Boschung en 2024, le cabinet pousse vers les banques et les actifs tokenis\u00e9s, et a fait de ses autopsies \u00ab Explained \u00bb une vitrine.<\/p>

Verdicts.<\/strong> Trail of Bits : la plus grande profondeur d’ing\u00e9nierie et la plus grande franchise sur ses limites, au prix fort, mais ce n’est pas d’abord un sp\u00e9cialiste de la preuve formelle. Halborn : le meilleur choix quand il faut de l’offensif, de la r\u00e9ponse \u00e0 incident et une couverture multi-cha\u00eene orient\u00e9e institutions.<\/p>

Les sp\u00e9cialistes : preuve math\u00e9matique et hors-EVM<\/h2>

Certora occupe un cr\u00e9neau \u00e0 part : la v\u00e9rification formelle, c’est-\u00e0-dire la preuve math\u00e9matique qu’un contrat respecte une sp\u00e9cification pour toutes les ex\u00e9cutions possibles, pas seulement pour les cas test\u00e9s. L’ing\u00e9nieur \u00e9crit des r\u00e8gles dans le langage CVL, que le Prover confronte au code via des solveurs SMT (Z3, CVC5). Fond\u00e9 en 2018 par Mooly Sagiv et Shelly Grossman, le cabinet a ouvert le code de son Prover<\/a> en f\u00e9vrier 2025 et revendique plus de 100 Md$ (environ 90 Md\u20ac) de valeur couverte et plus de 70 000 r\u00e8gles \u00e9crites, avec une s\u00e9rie B de 36 M$<\/a> men\u00e9e par Jump Crypto.<\/p>

La limite est explicite, et Certora la formule lui-m\u00eame : la preuve ne vaut que pour ce qui est sp\u00e9cifi\u00e9. Dans son d\u00e9cryptage du hack de Balancer<\/a>, le cabinet admet que son audit de 2021 \u00ab ne contraignait pas la relation entre les swaps individuels ni le comportement d’arrondi \u00bb et que les propri\u00e9t\u00e9s v\u00e9rifi\u00e9es \u00ab n’\u00e9taient pas assez fortes pour d\u00e9tecter l’erreur d’arrondi \u00bb. Sur la V3, en revanche, il a prouv\u00e9 qu’un aller-retour A vers B vers A ne pouvait pas produire de gain, et la V3 est rest\u00e9e intacte pendant l’attaque. Illustration parfaite de la r\u00e8gle : la v\u00e9rification formelle est aussi solide que la sp\u00e9cification qu’on lui fournit.<\/p>

Reste le hors-EVM. Le code qui casse en 2026 tourne de plus en plus sur Rust (Solana) et Move (Sui, Aptos), o\u00f9 l’outillage est plus jeune et le vivier d’auditeurs plus mince. Les sp\u00e9cialistes s’appellent Zellic (fond\u00e9 en 2020, issu de l’\u00e9quipe de CTF perfect blue, qui a rachet\u00e9 la plateforme de concours Code4rena en 2024) et OtterSec (fond\u00e9 en 2022 par Robert Chen). Le cas qui les hante est Cetus : en mai 2025, ce protocole sur Sui a perdu environ 223 M$ (pr\u00e8s de 200 M\u20ac) par un d\u00e9passement d’entier dans sa fonction de liquidit\u00e9, alors que trois cabinets<\/a> (OtterSec, MoveBit, Zellic) avaient examin\u00e9 le code sans l’arr\u00eater, le dernier audit datant d’environ un mois avant l’attaque. Pour Robert Chen, les programmes Solana \u00ab sont fondamentalement plus s\u00fbrs gr\u00e2ce au mod\u00e8le de programmation \u00bb<\/a>, mais les attaques \u00e9conomiques, elles, transcendent la machine virtuelle.<\/p>

Verdicts.<\/strong> Certora : la garantie la plus forte, mais prisonni\u00e8re de sa sp\u00e9cification; indispensable pour les protocoles critiques, inutile si la bonne propri\u00e9t\u00e9 n’est pas \u00e9crite. Zellic et OtterSec : incontournables sur Solana et Move, \u00e0 condition de retenir la le\u00e7on de Cetus, \u00e0 savoir que trois audits hors-EVM n’ont pas suffi. Le Rust et le Move se paient d’ailleurs 30 \u00e0 120 % de plus<\/a> que l’EVM, faute d’experts.<\/p>

Concours, couverture, conformit\u00e9 : les mod\u00e8les alternatifs<\/h2>

\u00c0 c\u00f4t\u00e9 des cabinets \u00e0 honoraires fixes, d’autres mod\u00e8les se sont install\u00e9s. L’audit par concours, d’abord : Cantina (le bras public de Spearbit, fusionn\u00e9s en 2025) et Sherlock mettent des centaines de chercheurs en comp\u00e9tition sur un m\u00eame code, r\u00e9mun\u00e9r\u00e9s selon les failles trouv\u00e9es. Cantina revendique environ 46,7 M$ (pr\u00e8s de 42 M\u20ac) vers\u00e9s sur plus de 200 protocoles et a h\u00e9berg\u00e9 le concours d’Uniswap v4 (2,35 M$ de r\u00e9compenses<\/a>). Sherlock ajoute une couche \u00e9conomique : une couverture qui indemnise le protocole si une faille dans le p\u00e9rim\u00e8tre est exploit\u00e9e, \u00e0 l’image du million de dollars vers\u00e9 \u00e0 Euler en 2023. La plateforme pionni\u00e8re, Code4rena, a ferm\u00e9 en mai 2026, ses clients repris par Immunefi<\/a>.<\/p>

Les bug bounties forment la troisi\u00e8me voie : Immunefi, le plus grand programme, a d\u00e9pass\u00e9 140 M$<\/a> (environ 126 M\u20ac) de primes vers\u00e9es depuis sa cr\u00e9ation et prot\u00e8ge plus de 180 Md$ d’actifs. C’est un filet compl\u00e9mentaire, pas un audit : il paie apr\u00e8s coup pour une faille trouv\u00e9e. Enfin le versant conformit\u00e9, o\u00f9 Hacken<\/a> (fond\u00e9 en 2017 par des chercheurs ukrainiens) combine audit, tests d’intrusion et conformit\u00e9, avec son score d’exchanges CER.live et sa plateforme de primes HackenProof; son rapport du premier trimestre 2026 recensait 44 incidents pour 482 M$ de pertes.<\/p>

Aucun de ces mod\u00e8les ne remplace une revue manuelle approfondie. Ils ajoutent des regards (concours), un adossement \u00e9conomique (couverture), une incitation continue (primes) ou une brique de conformit\u00e9 (Hacken). La bonne lecture est celle de couches empil\u00e9es, pas de substituts.<\/p>

Le comparatif, cabinet par cabinet<\/h2>

Le tableau ci-dessous r\u00e9sume la revue. Il n’\u00e9tablit pas un vainqueur unique : il met en regard sp\u00e9cialit\u00e9, mod\u00e8le \u00e9conomique, point fort et r\u00e9serve principale, pour que le choix se fasse selon le langage, le p\u00e9rim\u00e8tre et le budget du projet.<\/p>

Cabinet<\/th>Sp\u00e9cialit\u00e9<\/th>Mod\u00e8le<\/th>Point fort<\/th>R\u00e9serve principale<\/th><\/tr><\/thead>
CertiK<\/td>EVM et multi-cha\u00eene, surveillance<\/td>Honoraires + donn\u00e9es (Hack3d) + SaaS<\/td>Couverture et monitoring \u00e0 grande \u00e9chelle<\/td>Ind\u00e9pendance (l’\u00e9metteur paie), repositionnement hors audit<\/td><\/tr>
OpenZeppelin<\/td>Biblioth\u00e8que et EVM<\/td>Honoraires, d\u00e9sormais filiale de S&P<\/td>Standards de r\u00e9f\u00e9rence, franchise sur le p\u00e9rim\u00e8tre<\/td>Conflit : une agence de notation pour propri\u00e9taire<\/td><\/tr>
Trail of Bits<\/td>EVM, cryptographie, ZK, outils publics<\/td>Honoraires \u00e9lev\u00e9s + recherche<\/td>Profondeur d’ing\u00e9nierie, aveu des rat\u00e9s<\/td>Prix, pas centr\u00e9 v\u00e9rification formelle<\/td><\/tr>
Halborn<\/td>Offensif, red team, r\u00e9ponse \u00e0 incident<\/td>Honoraires + r\u00e9ponse \u00e0 incident<\/td>Pentest et autopsies, orientation institutions<\/td>Moins \u00ab biblioth\u00e8que et standards \u00bb<\/td><\/tr>
Certora<\/td>V\u00e9rification formelle<\/td>Honoraires + outil open source<\/td>Preuve math\u00e9matique, Prover ouvert<\/td>Ne prouve que ce qui est sp\u00e9cifi\u00e9<\/td><\/tr>
Zellic \/ OtterSec<\/td>Rust (Solana), Move (Sui, Aptos)<\/td>Honoraires + concours<\/td>Expertise hors-EVM rare<\/td>Outillage plus jeune (le\u00e7on Cetus)<\/td><\/tr>
Cantina \/ Sherlock<\/td>Concours et couverture<\/td>Prix au concours + prime + couverture<\/td>Beaucoup de regards, enjeu \u00e9conomique<\/td>Qualit\u00e9 variable selon la participation<\/td><\/tr>
Hacken<\/td>Audit, conformit\u00e9, pentest<\/td>Honoraires + abonnements (CER.live)<\/td>Large p\u00e9rim\u00e8tre s\u00e9curit\u00e9 et conformit\u00e9<\/td>Moins de prestige \u00ab top-tier \u00bb DeFi<\/td><\/tr><\/tbody><\/table><\/figure>

Le bilan 2026, ou l’audit au banc d’accusation<\/h2>

La meilleure fa\u00e7on de juger des cabinets reste de confronter leurs tampons \u00e0 l’actualit\u00e9. Le tableau suivant relie les grands vols de 2026 (et deux cas de 2025 devenus des r\u00e9f\u00e9rences) \u00e0 leur statut d’audit et \u00e0 leur vecteur.<\/p>

Incident<\/th>Date<\/th>Perte<\/th>Audit\u00e9 ?<\/th>Vecteur<\/th>Dans le p\u00e9rim\u00e8tre ?<\/th><\/tr><\/thead>
Bitget<\/td>25 sept. 2026<\/td>387,5 M$<\/td>s.o. (exchange)<\/td>Zero-day dans des \u00e9quipements de s\u00e9curit\u00e9 tiers<\/td>Non<\/td><\/tr>
Liquid<\/td>6 sept. 2026<\/td>319 M$<\/td>Oui (code historique)<\/td>Collision de cache (Elements)<\/td>Partiellement<\/td><\/tr>
Kelp DAO<\/td>18 avr. 2026<\/td>292 M$<\/td>Oui (OpenZeppelin)<\/td>V\u00e9rificateur LayerZero unique + RPC<\/td>Non (\u00ab z\u00e9ro bug \u00bb)<\/td><\/tr>
Drift<\/td>1er avr. 2026<\/td>285 M$<\/td>Oui<\/td>Ing\u00e9nierie sociale + pr\u00e9-signature<\/td>Non<\/td><\/tr>
Balancer V2<\/td>3 nov. 2025<\/td>plus de 100 M$<\/td>Oui (10+ audits, 4 cabinets)<\/td>Erreur d’arrondi (_upscale)<\/td>Oui, et pourtant manqu\u00e9<\/td><\/tr>
Cetus<\/td>22 mai 2025<\/td>223 M$<\/td>Oui (3 cabinets)<\/td>D\u00e9passement d’entier hors p\u00e9rim\u00e8tre<\/td>Oui, et pourtant manqu\u00e9<\/td><\/tr><\/tbody><\/table><\/figure>

Deux sch\u00e9mas ressortent. Soit le vecteur \u00e9tait hors du p\u00e9rim\u00e8tre d’un audit de code (Bitget, Kelp DAO, Drift) : aucun cabinet ne pouvait l’attraper, car la faille vivait dans les cl\u00e9s, la configuration ou l’infrastructure. Soit il \u00e9tait dans le p\u00e9rim\u00e8tre et a quand m\u00eame \u00e9t\u00e9 manqu\u00e9 (Balancer, Cetus) : l\u00e0, l’audit a \u00e9chou\u00e9 \u00e0 sa mission propre. Ce second cas est le plus g\u00eanant pour la profession. Suhail Kakar, responsable des relations d\u00e9veloppeurs chez TAC Blockchain, le dit cr\u00fbment \u00e0 propos de Balancer : \u00ab audit\u00e9 par X ne veut presque rien dire; le code est difficile, la DeFi l’est encore plus \u00bb<\/a>. Les plus grosses pertes, elles, rel\u00e8vent souvent d’infrastructures, un risque que nous avons diss\u00e9qu\u00e9 \u00e0 propos des hacks qui n’ont plus besoin de pont<\/a>.<\/p>

La pile de confiance se recompose<\/h2>

Face \u00e0 ce bilan, tous les grands cabinets poussent au-del\u00e0 de l’audit ponctuel. CertiK vend sa \u00ab couche de confiance \u00bb et son monitoring Skynet, OpenZeppelin l’\u00ab \u00e9valuation du risque on-chain \u00bb sous l’aile de S&P, Halborn la r\u00e9ponse \u00e0 incident et la direction de s\u00e9curit\u00e9 externalis\u00e9e, Certora la v\u00e9rification formelle continue, Sherlock sa couverture. La Fondation Ethereum a formalis\u00e9 la m\u00eame id\u00e9e avec son initiative \u00ab Trillion Dollar Security \u00bb : un fonds d’un million de dollars<\/a> (environ 900 000 \u20ac) qui finance jusqu’\u00e0 30 % du co\u00fbt d’un audit aupr\u00e8s d’une vingtaine de cabinets, via la place de march\u00e9 Areta et sous le contr\u00f4le de Nethermind et Chainlink Labs. C’est l’aveu que l’audit ponctuel seul ne tient pas \u00e0 l’\u00e9chelle d’un r\u00e9seau \u00e0 mille milliards.<\/p>

Mais d\u00e9tecter n’est pas emp\u00eacher. La surveillance en temps r\u00e9el vous apprend que vous \u00eates vol\u00e9, souvent pendant que \u00e7a arrive, rarement avant; nous avons montr\u00e9 ailleurs pourquoi la d\u00e9tection ne vaut pas la pr\u00e9vention<\/a>. L’audit, le monitoring, les primes et l’assurance sont des couches qui se compl\u00e8tent, aucune ne d\u00e9douane les autres.<\/p>

Quant \u00e0 l’assurance on-chain, cens\u00e9e indemniser en dernier recours, elle reste marginale : moins de 2 %<\/a> de la valeur verrouill\u00e9e en DeFi est couverte, et le mutualiste Nexus Mutual concentre l’essentiel de ce march\u00e9 minuscule. Apr\u00e8s un hack, la plupart des victimes ne sont donc rembours\u00e9es ni par l’auditeur, ni par un assureur; au mieux, une partie des fonds est gel\u00e9e \u00e0 temps.<\/p>

Et au-dessus de tout cela, un vide. Aucun r\u00e9gulateur n’accr\u00e9dite les auditeurs de smart contracts. En France, l’AMF supervise les prestataires de services sur actifs num\u00e9riques sous MiCA (la p\u00e9riode transitoire a pris fin le 1er juillet 2026<\/a>), et MiCA comme DORA imposent une r\u00e9silience informatique au prestataire centralis\u00e9, mais aucun texte n’exige un audit de code Solidity ni n’habilite un auditeur. Le contraste avec les commissaires aux comptes est frappant : ceux-ci engagent une vraie responsabilit\u00e9 civile et p\u00e9nale et sont encadr\u00e9s par la Haute Autorit\u00e9 de l’audit<\/a> depuis le 1er janvier 2024. Le rachat d’OpenZeppelin aiguise l’ironie : S&P Global Ratings est directement supervis\u00e9e par l’ESMA en tant qu’agence de notation sous le r\u00e8glement 1060\/2009<\/a>, mais l’activit\u00e9 d’audit de code qu’elle vient d’acheter, elle, n’a toujours pas de superviseur. Racheter un auditeur ne cr\u00e9e pas un r\u00e9gime d’accr\u00e9ditation; cela place seulement un parent supervis\u00e9 au-dessus d’une activit\u00e9 qui ne l’est pas.<\/p>

Comment lire un \u00ab audit\u00e9 par X \u00bb en 2026<\/h2>

Pour un investisseur ou une \u00e9quipe, le bon r\u00e9flexe n’est pas de chercher le \u00ab meilleur \u00bb cabinet dans l’absolu, mais de savoir lire ce qu’un label recouvre. Cinq gestes suffisent \u00e0 s\u00e9parer un vrai signal d’un simple autocollant.<\/p>

  • Ouvrez le rapport, pas le badge : s’il n’existe aucun rapport t\u00e9l\u00e9chargeable (site du cabinet, Skynet, GitHub, agr\u00e9gateurs comme Solodit ou DeFiSafety), traitez le label comme inexistant.<\/li>
  • V\u00e9rifiez le p\u00e9rim\u00e8tre et la date : nom du projet, r\u00e9seau, adresse du contrat, version, port\u00e9e, date. Un audit d’il y a dix-huit mois sur une autre version ne dit rien du code d\u00e9ploy\u00e9 aujourd’hui.<\/li>
  • Comparez le code d\u00e9ploy\u00e9 au code audit\u00e9 : le bytecode on-chain doit correspondre au commit r\u00e9f\u00e9renc\u00e9 dans le rapport.<\/li>
  • Lisez la gravit\u00e9 et la maturit\u00e9, pas seulement le nombre de findings : un \u00ab medium \u00bb facile peut peser plus qu’un \u00ab critical \u00bb difficile, et le niveau d’effort (en personnes-semaines) en dit long.<\/li>
  • Regardez surtout ce que l’audit n’a pas couvert : cl\u00e9s, multisig, oracles, infrastructure, d\u00e9pendances hors-cha\u00eene, mises \u00e0 jour. C’est l\u00e0 que 2026 a saign\u00e9.<\/li><\/ul>

    \u00ab Audit\u00e9 \u00bb est un point de d\u00e9part, jamais une conclusion. En cette fin d’ann\u00e9e o\u00f9 un trimestre record coexiste avec des cabinets qui changent de main et de m\u00e9tier, la seule garantie durable reste la v\u00f4tre : savoir lire ce que vous achetez.<\/p>

    Foire aux questions<\/h2>

    Quel est le meilleur cabinet d’audit crypto en 2026 ?<\/h3>

    Il n’existe pas de \u00ab meilleur \u00bb universel. OpenZeppelin et Trail of Bits dominent sur l’EVM et les standards, Certora sur la preuve math\u00e9matique, Zellic et OtterSec sur Solana et Move, Halborn sur l’offensif et la r\u00e9ponse \u00e0 incident, CertiK sur l’\u00e9chelle et la surveillance. Le bon choix d\u00e9pend du langage, du p\u00e9rim\u00e8tre et du budget; exigez toujours un rapport public et r\u00e9cent.<\/p>

    Un projet \u00ab audit\u00e9 \u00bb est-il s\u00fbr ?<\/h3>

    Non. Un audit couvre un p\u00e9rim\u00e8tre de code d\u00e9fini \u00e0 un instant donn\u00e9. En 2026, l’essentiel des pertes est pass\u00e9 par des cl\u00e9s, des infrastructures, des oracles ou de l’ing\u00e9nierie sociale, hors du champ d’un audit de code. Le post-mortem d’OpenZeppelin sur Kelp DAO, intitul\u00e9 \u00ab 292 millions perdus, z\u00e9ro bug trouv\u00e9 \u00bb, r\u00e9sume le probl\u00e8me.<\/p>

    Pourquoi des protocoles audit\u00e9s plusieurs fois se font-ils quand m\u00eame pirater ?<\/h3>

    Deux cas de figure. Soit le vecteur \u00e9tait hors p\u00e9rim\u00e8tre (cl\u00e9s, configuration, infrastructure), comme pour Bitget ou Kelp DAO. Soit il \u00e9tait dans le p\u00e9rim\u00e8tre et a \u00e9t\u00e9 manqu\u00e9, comme l’erreur d’arrondi de Balancer V2 (plus de dix audits) ou le d\u00e9passement d’entier de Cetus (trois cabinets). Un audit r\u00e9duit le risque, il ne l’annule pas.<\/p>

    Combien co\u00fbte un audit de smart contract ?<\/h3>

    Les ordres de grandeur 2026 vont d’environ 8 000 \u00e0 25 000 $ (7 000 \u00e0 22 000 \u20ac) pour une boutique, de 25 000 \u00e0 80 000 $ pour un cabinet interm\u00e9diaire, et de 80 000 \u00e0 350 000 $ pour le haut de gamme. Le Rust (Solana) et le Move se paient 30 \u00e0 120 % de plus que l’EVM, faute d’auditeurs qualifi\u00e9s.<\/p>

    Un r\u00e9gulateur accr\u00e9dite-t-il les auditeurs de smart contracts ?<\/h3>

    Non. Ni l’AMF, ni MiCA, ni DORA n’imposent un audit de code ou n’accr\u00e9ditent les auditeurs; la qualit\u00e9 est polic\u00e9e par la r\u00e9putation. C’est l’inverse des commissaires aux comptes, encadr\u00e9s en France par la H2A depuis le 1er janvier 2024. Le rachat d’OpenZeppelin par S&P Global, agence supervis\u00e9e par l’ESMA, n’y change rien : il place un parent supervis\u00e9 au-dessus d’une activit\u00e9 qui, elle, ne l’est pas.<\/p>