Audit de smart contract

Un audit est un examen rémunéré au cours duquel des chercheurs en sécurité lisent le code des smart contracts d'un projet, le testent et rédigent un rapport classant les problèmes par gravité. L'objectif est de repérer les bugs et les failles de logique exploitables avant les attaquants. Les rapports indiquent généralement si chaque problème est corrigé, reconnu ou toujours ouvert.

Les auditeurs combinent une revue manuelle avec des outils comme les analyseurs statiques, les outils de fuzzing et les suites de tests. Ils recherchent notamment les failles de réentrance, les erreurs de calcul, les contrôles d'accès manquants, les possibilités de manipulation d'oracles et les pouvoirs dangereux du propriétaire. Le rapport porte sur une version précise du code, souvent identifiée par un hash de commit ou l'adresse du contrat déployé. Certains cabinets proposent aussi de la vérification formelle ou une surveillance continue.

Pour un acheteur de tokens, un audit montre que l'équipe a au moins payé quelqu'un pour examiner le code. Cela ne signifie pas que le projet est sûr ou honnête. Un audit ne peut pas empêcher une équipe de vendre ses tokens ou de retirer une liquidité non verrouillée, et de nombreux protocoles victimes d'attaques avaient été audités. Pour les petits tokens, les audits bon marché se résument souvent à des scans automatisés présentés comme de véritables examens, et certains badges d'audit sont tout simplement faux.

Lisez le rapport lui-même, pas seulement le badge. Vérifiez que l'adresse ou le code audité correspond bien au contrat déployé, car un projet peut faire auditer un contrat et en lancer un autre. Regardez quels problèmes critiques ou de gravité élevée restent non résolus, et si l'auditeur a signalé des pouvoirs du propriétaire comme le mint, la modification des taxes ou la mise sur liste noire. Vérifiez qui a réalisé l'audit et si le rapport est hébergé sur le site de l'auditeur, pas uniquement sur celui du projet.