La sécurité devient un test déterminant pour les projets de finance décentralisée (DeFi), alors que les protocoles font face à des risques croissants et à une scrutiny plus poussé. Les experts du secteur affirment que les audits indépendants, la vérification formelle, les contrôles en temps réel, la gouvernance transparente et la divulgation responsable des vulnérabilités peuvent aider à protéger les fonds des utilisateurs et à démontrer leur responsabilité.

Les exemples présentés ci-dessous illustrent également pourquoi identifier et divulguer les faiblesses tôt peut instaurer une confiance plus durable que promettre une sécurité parfaite. Les transactions blockchain étant généralement irréversibles, la sécurité doit aller au-delà d'un audit préalable au lancement et rester partie intégrante du cycle de développement et d'exploitation d'un protocole. Les chiffres cités dans ces exemples — des pertes d'exploit à neuf chiffres aux compétitions d'audit et plafonds de primes se chiffrant en millions — montrent l'ampleur de la valeur qui repose désormais sur la fiabilité de ce code.

Aave V3 fait de la sécurité un fondement

Aave, en particulier son protocole V3, est cité comme exemple de projet ayant intégré la sécurité à son processus de développement. Aave V3 a fait l'objet d'audits menés par plusieurs firmes indépendantes, dont Trail of Bits, SigmaPrime et ABDK, avant son déploiement. Le protocole exploite également un programme continu de bug bounty via Immunefi, avec des récompenses pouvant atteindre 250 000 dollars.

Une mesure supplémentaire est la vérification formelle de ses smart contracts. La vérification formelle utilise des preuves mathématiques pour tester si le code se comporte comme spécifié, allant au-delà de la revue de code classique.

« De mon point de vue, en tant qu'ingénieur logiciel qui construit des pipelines de données et a développé des outils open source d'audit de sécurité (promptfirewall, ai-project-audit), je vois un parallèle direct avec la manière dont nous gérons l'intégrité des données dans les systèmes d'entreprise », déclare Timur Rakhmatullin, ingénieur logiciel senior chez Softline Solutions. « Chez Softline Solutions, où je travaille sur des plateformes de données servant plus de 1 500 comptes clients, nous appliquons le même principe : ne rien considérer comme fiable, tout vérifier, et rendre la vérification automatisée et continue plutôt qu'une simple case à cocher ponctuelle. »

Rakhmatullin précise que cette approche est particulièrement importante car la DeFi ne bénéficie pas du filet de sécurité des intermédiaires financiers traditionnels. Lorsqu'une banque commet une erreur, les clients peuvent avoir accès à un processus de réclamation. Lorsqu'un smart contract contient une vulnérabilité, les fonds peuvent disparaître définitivement. L'irréversibilité des transactions blockchain peut donc affecter à la fois les utilisateurs et la crédibilité d'un projet.

Selon lui, les projets viables à long terme traiteront la sécurité comme une infrastructure permanente plutôt que comme une formalité avant le lancement. La combinaison d'audits indépendants multiples, de vérification formelle, de bug bounties continus et de divulgation transparente témoigne d'un engagement réel, et non d'un simple « théâtre de la sécurité ».

Morpho réduit sa surface d'attaque

Ace Zhuo, PDG et responsable des ventes et du marketing chez TradingFXVPS, cite Morpho comme exemple de protocole conçu pour réduire la quantité de code à sécuriser. Le contrat de prêt central de Morpho Blue contient environ 650 lignes de code Solidity et est immuable après déploiement. Il a été examiné par plusieurs firmes d'audit indépendantes, formellement vérifié et ouvert à des compétitions d'audit publiques dans lesquelles des chercheurs sont rémunérés pour identifier des faiblesses.

« Ce qui m'impressionne, c'est que Morpho a cherché à réduire la surface d'attaque avant même l'audit », souligne Zhuo. Il oppose cette approche à 20 000 lignes de code évolutif contrôlées par un dispositif multisignature capable de modifier les règles, qu'il estime impossible à auditer de manière aussi fiable.

Zhuo indique que de nombreuses équipes DeFi traitent les audits comme des badges. Elles obtiennent un rapport et affichent le nom de l'auditeur sur leur site, mais des défaillances ultérieures peuvent survenir dans du code écrit après la revue, dans une clé d'administration qui n'a pas été renouvelée, ou dans un oracle non audité qui renvoie des valeurs inexactes en période de forte volatilité.

Selon lui, les causes récurrentes des piratages en DeFi incluent des flux de prix défaillants, des clés compromises et des mises à niveau de smart contracts non auditées. À son avis, la confiance se gagne en écrivant moins de code, en limitant le nombre de personnes pouvant le modifier et en continuant à tester face à des scénarios adversariaux après le déploiement.

« Les utilisateurs ne savent pas lire le Solidity, mais ils peuvent lire le code d'une équipe et déterminer si celle-ci accorde à 1 bug == trésorerie entière le sérieux qu'il mérite », ajoute Zhuo. « Quand l'argent se déplace à la vitesse des machines, il n'y a ni rollback ni ticket de support pour résoudre les problèmes. Ce qui compte, c'est produit = sécurité. »

Morpho Midnight construit ses défenses tôt

Brett Smith, fondateur et PDG de 7aSavvy, a également mis en avant Morpho, en particulier son nouveau protocole de prêt Morpho Midnight. Il indique que ce protocole privilégie les audits indépendants de smart contracts, la vérification formelle et les revues de sécurité publiques. Morpho Midnight a été évalué par Spearbit, Trust Security et Blackthorn, ainsi que dans le cadre d'une compétition d'audit publique.

Smith souligne que l'intérêt de cette approche réside dans l'intégration de la sécurité au développement dès le début, plutôt que dans son traitement comme une liste de contrôle finale. Les plateformes DeFi gèrent de véritables actifs financiers via des smart contracts automatisés, si bien qu'une seule vulnérabilité peut mettre en danger les fonds des utilisateurs.

La publication des résultats d'audit, l'encouragement des tests indépendants et le maintien de programmes de bug bounty peuvent donner aux utilisateurs une meilleure visibilité sur la gestion des risques, précise Smith. Il insiste également sur le fait qu'un audit ne garantit pas une sécurité totale. Il démontre plutôt la responsabilisation, la confiance se construisant par des preuves constantes que la sécurité est prise au sérieux.

Les résultats d'audit ne comptent que si les équipes agissent

Cache Merrill, fondateur de Zibtek, indique que le travail d'audit de plateformes DeFi réalisé par son entreprise pour Wantoo a montré qu'un audit n'a de valeur que si un projet donne suite aux constatations.

Une faille dans un smart contract peut mettre en danger de véritables fonds, et les utilisateurs peuvent disposer de peu de recours une fois la transaction effectuée. Merrill précise qu'il n'évaluerait pas un projet émergent sur son seul badge d'audit. Il examinerait qui a réalisé l'audit, si les constatations ont été traitées et si l'équipe a divulgué ses risques résiduels.

Les revues de sécurité doivent également se poursuivre lorsque les contrats évoluent ou que de nouvelles fonctionnalités sont ajoutées. Un audit d'une version antérieure ne couvre pas automatiquement le code suivant. Pour les utilisateurs, les preuves de la manière dont une équipe teste son code, répond aux vulnérabilités et assume les corrections sont plus significatives qu'une simple affirmation de sécurité.

Montrer les risques avant les avantages

Larry Jones, fondateur et animateur de STOCK UP! with Larry Jones, indique qu'il ne peut recommander un projet DeFi spécifique ni en identifier un à suivre. Il anime une chaîne d'éducation boursière et financière plutôt qu'une structure de recherche blockchain, et ne souhaite pas orienter ses lecteurs vers un token ou une plateforme en particulier.

Jones estime que le principe général consistant à expliquer les risques de sécurité avant d'évoquer les avantages potentiels s'applique directement à l'éducation financière. D'après son expérience d'enseignement des options aux débutants, la crédibilité se construit en montrant où l'on peut se faire mal avant d'aborder ce qu'un produit peut apporter.

« Les projets et les éducateurs qui durent sont ceux qui acceptent de ralentir et de dire « voici ce qui peut mal tourner » avant d'en venir à « voici ce que cela peut faire pour vous » », note Jones. Il compare un audit correctement mené à ce même principe exprimé dans le code : un projet identifie où des faiblesses peuvent exister plutôt que de les dissimuler.

Jones ajoute que les audiences financières ont été exposées à suffisamment de discours promotionnels pour reconnaître les assurances non fondées. Selon lui, montrer d'abord le côté négatif n'est pas optionnel ; c'est le fondement sur lequel repose la confiance.

Surveillance continue et contrôles en temps réel

Ankit Sarawagi, curateur chez CFO Matrix, cite un protocole DeFi émergent dont le programme de sécurité s'articule autour de la surveillance continue, de la gestion proactive des identités et des accès, et de l'observabilité continue des API.

Sarawagi souligne que les coches vertes ne sont qu'un point de départ et que les politiques doivent être appliquées en temps réel. En testant continuellement les configurations et les limites d'identité, une équipe peut détecter les anomalies et les erreurs de configuration avant qu'elles ne deviennent des incidents. Ce processus continu peut fournir aux utilisateurs et aux partenaires la preuve que les contrôles fonctionnent comme prévu.

Euler V2 tire les leçons d'un exploit

Lizaveta Piaskova, responsable des relations publiques chez Innowise, cite Euler V2 comme exemple de protocole reconstruit après un exploit. Euler a été lancé en 2021, mais la V2 a été effectivement reconstruite de zéro à la suite d'un incident en 2023.

En mars 2023, le protocole original a perdu environ 197 millions de dollars via une fonction introduite dans un correctif antérieur qui avait lui-même été audité. La faille était l'absence de contrôle de santé du compte sur un chemin de don, et elle est devenue dangereuse en combinaison avec la logique de liquidation. La revue avait été limitée au changement, mais celui-ci a rompu un invariant situé ailleurs dans le protocole.

Pour le relancement de la V2 en 2024, l'équipe a consacré plus de 4 millions de dollars aux travaux de sécurité. Ce programme comprenait 29 audits par 12 firmes, suivis d'une compétition publique dotée d'un prix de 1,25 million de dollars. Plus de 600 chercheurs y ont participé, sans qu'aucun problème de sévérité haute ou moyenne ne soit détecté. Un programme de bug bounty a été lancé en même temps.

L'architecture a également évolué. La V2 divise le système en modules séparés, permettant à chaque revue de couvrir une surface plus restreinte et facilitant l'évaluation des changements au sein de chaque module.

Piaskova indique que la différence clé entre les deux versions ne tenait pas simplement au nombre d'auditeurs. La V2 a été conçue pour que la revue couvre l'ensemble du système et se poursuive après le lancement. Un audit unique examine un instantané du code dans un périmètre défini. Des audits indépendants, une compétition publique et un bug bounty permanent indiquent qu'un protocole s'attend à ce que des faiblesses soient découvertes et est prêt à payer des chercheurs pour les identifier avant des attaquants.

Cette approche a aussi ses limites. En novembre 2025, un gestionnaire de fonds externe supervisant les fonds de Stream Finance a révélé une perte d'environ 93 millions de dollars, tandis qu'une exposition d'environ 285 millions de dollars est apparue sur des protocoles de prêt incluant Euler, Silo, Morpho et Gearbox. Aucun contrat Euler n'a été exploité. Le risque est arrivé via des collatéraux que les curateurs de coffres avaient choisi d'accepter.

Pour les nouvelles équipes, la leçon, selon Piaskova, est d'évaluer les frontières du système aussi sérieusement que le code lui-même. Cela inclut la revue de chaque mise à niveau par rapport au système complet, l'organisation d'une compétition publique après les audits payés, l'ajustement de la prime au montant risqué, et le traitement de chaque listing de collatéral ou d'oracle comme une décision de sécurité.

Uniswap V4 recourt aux défis indépendants

Uniswap V4 a été lancé le 31 janvier 2025 après avoir commandité neuf audits de sécurité indépendants de ses contrats centraux et annexes auprès de six organisations d'audit établies.

Pour identifier ce que les revues initiales auraient pu manquer, le projet a également organisé une compétition de sécurité de 2,35 millions de dollars réunissant plus de 500 chercheurs en sécurité. Il a lancé un programme continu de bug bounty offrant des récompenses pouvant atteindre 15,5 millions de dollars pour les vulnérabilités critiques.

Aaron Whittaker, ingénieur IA et professionnel du développement web chez Thrive Internet Marketing Agency, indique que des primes substantielles encouragent les chercheurs indépendants à enquêter sur les faiblesses nouvellement découvertes et à les signaler de manière responsable. Selon lui, les utilisateurs veulent des preuves documentées que des spécialistes externes ont examiné les contrats, plutôt que de s'appuyer uniquement sur des affirmations marketing.

Uniswap n'a signalé aucune vulnérabilité critique dans sa compétition de sécurité ou son programme de bug bounty avant le lancement. Whittaker estime que les protocoles de déploiement par étapes sont importants tant dans les logiciels d'entreprise que sur les systèmes on-chain. Dans les flux DevOps Demand Gen de son entreprise, chaque outil prenant en charge les opérations clients fait l'objet d'audits de permissions et de tests d'intégration avant sa mise en production.

Si des défauts logiciels dans des outils marketing peuvent causer des interruptions de service, les vulnérabilités de smart contracts peuvent entraîner des pertes financières irréversibles, exigeant des normes de sécurité plus strictes en DeFi. Whittaker précise que les rapports d'audit publiés et les bug bounties continus donnent aux utilisateurs des constatations de sécurité qu'ils peuvent examiner avant d'engager leurs fonds.

Code épuré et tests en couches

Omer Malik, PDG d'ORM Systems, décrit les audits de sécurité comme un signal de confiance majeur, car les utilisateurs DeFi placent des actifs financiers réels dans des systèmes gouvernés par des smart contracts. Il cite également Morpho Midnight, dont le programme de sécurité comprend des revues de code indépendantes, la vérification formelle et des tests continus de vulnérabilités.

Ce programme a inclus des revues par Spearbit, Trust Security, Blackthorn et StErMi, ainsi qu'une compétition d'audit publique. Malik indique que cette approche en couches permet d'identifier des faiblesses qu'une seule évaluation pourrait manquer.

Il souligne également l'effort de Morpho pour réduire la complexité technique. Morpho Midnight a été conçu autour d'environ 1 100 lignes de code, rendant son système central plus facile à examiner et à vérifier. Morpho documente un programme de bug bounty de 2,5 millions de dollars couvrant plusieurs de ses protocoles.

D'un point de vue technologie d'entreprise et gestion des risques, Malik évaluerait un projet DeFi selon trois critères : des rapports d'audit indépendants, des procédures transparentes de divulgation des vulnérabilités et la preuve que les problèmes identifiés ont été résolus. Un simple certificat d'audit est insuffisant, car des vulnérabilités peuvent émerger via des mises à niveau, des intégrations ou des changements de conditions d'exploitation.

La publication des résultats d'audit et le maintien de tests de sécurité continus peuvent réduire l'incertitude pour les investisseurs, les développeurs et les utilisateurs, précise Malik. Il ajoute que même les protocoles largement audités conservent des risques de smart contract, de liquidité et opérationnels.

Centrifuge relie la sécurité à la gouvernance

Penny Sommerfeld, directrice chez RecruitBlock, identifie Centrifuge comme exemple d'entreprise DeFi plaçant la sécurité et les standards institutionnels au cœur de sa stratégie de croissance. Le travail de l'entreprise reliant la gestion d'actifs traditionnelle à la finance décentralisée est soutenu par des audits de sécurité indépendants, la vérification formelle et des revues continues du protocole.

Sommerfeld indique que la participation institutionnelle exige plus qu'une technologie solide. Les entreprises ont également besoin d'un leadership expérimenté en finance, risques, conformité et gouvernance, ainsi que de la capacité à respecter les standards attendus par les partenaires institutionnels.

Les audits apportent une assurance technique importante, mais une confiance durable dépend aussi de la responsabilisation, de contrôles efficaces et de la qualité des personnes qui les supervisent. À son avis, les entreprises qui investissent à la fois dans la sécurité et dans un leadership expérimenté seront mieux placées pour développer des relations institutionnelles durables.

Kamino Finance assure des protections continues

Cédric Rose, fondateur et gestionnaire immobilier chez Management 305, indique que ses plus de 14 années de gestion d'opérations à enjeux élevés et de plateformes de gestion intégrée l'ont amené à évaluer les écosystèmes technologiques sous l'angle de la gestion proactive des risques.

Il cite Kamino Finance comme exemple DeFi émergent plaçant des procédures d'audit strictes et une surveillance des risques en temps réel au cœur de ses coffres automatisés. Selon Rose, le projet soumet continuellement ses smart contracts à des audits indépendants par des tiers et maintient des programmes actifs de bug bounty avant d'accroître la liquidité.

Rose compare cette approche à la maintenance préventive et à la vérification des fournisseurs utilisées pour protéger des actifs physiques de grande valeur. Il indique qu'une supervision transparente peut remplacer l'incertitude par une fiabilité vérifiable, permettant aux utilisateurs de constater que des protections actives sont maintenues autour de leur capital.

Vérification formelle et crédibilité à long terme

Sudhanshu Dubey, directeur de livraison et architecte de solutions d'entreprise chez Errna, indique que les audits de sécurité relient la transparence de la blockchain au besoin pratique de sécurité financière. Fort de deux décennies d'expérience dans la conception de systèmes distribués de niveau entreprise, Dubey estime que l'idée selon laquelle « le code est la loi » devient un handicap plutôt qu'un avantage, sauf si le code est testé de manière rigoureuse et adversariale.

À son avis, les projets DeFi qui gagneront une confiance à long terme traiteront la sécurité comme une exigence architecturale continue plutôt que comme une obligation ponctuelle. Il identifie la vérification formelle et les processus de sécurité continus comme des caractéristiques distinctives des projets cherchant à démontrer leur viabilité à long terme.

Plutôt que de s'appuyer sur un instantané d'audit unique, la vérification formelle utilise des preuves mathématiques pour évaluer si les smart contracts se comporteront correctement dans des conditions spécifiées. Dubey indique que les protocoles les plus fiables publient proactivement l'intégralité de leur historique d'audit, y compris les constatations critiques et de haute sévérité des revues initiales. Ce niveau de divulgation montre qu'une équipe se concentre sur la correction des défauts plutôt que sur l'obtention d'un badge marketing.

La question est particulièrement pertinente pour les projets DeFi d'actifs du monde réel (RWA) et institutionnels, car des capitaux traditionnels et des exigences de conformité peuvent être en jeu. Dubey rappelle que les systèmes décentralisés n'ont pas de fonction d'annulation : une vulnérabilité dans un pool de liquidité ou un pont cross-chain peut permettre le vol de fonds avant qu'une équipe n'élabore une réponse.

Il ajoute que les projets ne devraient pas se contenter d'affirmer qu'ils ne peuvent pas être piratés. Ils devraient démontrer leur capacité à réagir intelligemment lorsque des vulnérabilités apparaissent. Selon lui, une participation de niveau entreprise exige des audits par plusieurs sociétés et un programme de bug bounty efficace. Pour les lecteurs évaluant un protocole, les signaux récurrents dans ces exemples sont concrets : des historiques d'audit publiés, des preuves que les constatations ont été traitées, des primes proportionnées au montant risqué, et des listings de collatéral et d'oracle traités comme des décisions de sécurité à part entière.