Audits crypto : pourquoi le badge derrière Bybit ne suffit plus

Un badge « Audité » sur un protocole DeFi ne garantit rien contre les vols de clés privées et le phishing, responsables de 43,9 % des pertes crypto à eux seuls, soit plus de 3,4 milliards de dollars depuis 2022. Le cas Bybit illustre ce décalage entre la promesse marketing et la réalité d’audits qui ne couvrent qu’une infime partie du risque.

Au programme

• Le badge « Audité » couvre une poignée de fichiers pendant quelques jours, pas l’infrastructure humaine ni les interfaces de signature.
• 49,6 % des pertes viennent de failles opérationnelles (clés compromises, phishing, gouvernance) qu’un audit de smart contract ne voit pas.
• Face à cette asymétrie, l’industrie réclame des labels de périmètre plus clairs pour éviter le faux sentiment de sécurité.

Comment un badge d’audit peut-il cacher l’essentiel ?

Le 21 février 2025, Bybit perdait près d’1,5 milliard de dollars lors d’un transfert de routine. Les signataires approuvaient une adresse qu’ils croyaient légitime : l’interface avait été altérée pour leur mentir. Aucune vulnérabilité dans les contrats Safe n’a été détectée, la faille se situant dans l’infrastructure humaine, hors du périmètre audité.

Le problème dépasse Bybit. Selon l’étude d’Oak Security sur 23 818 constats d’audit et 218 incidents (7,76 milliards de dollars de pertes), les trois premières causes de perte, compromission de clé privée, phishing et défaillances de contrôle d’accès, représentent 56,7 % des montants volés. Or, ces vecteurs échappent presque toujours aux audits classiques, qui inspectent le code, pas l’opérateur humain. Ce constat rappelle que la sécurité des protocoles décentralisés exige une approche bien plus large que la seule revue de smart contracts.

Pourquoi les audits de smart contract ne couvrent-ils que la moitié du risque ?

Un audit comme celui d’OpenZeppelin identifie des commits précis sur une période courte (parfois trois jours). Il analyse la logique métier et les bugs d’exécution, qui composent la majorité des constats. Mais ces audits ne couvrent ni les ordinateurs des employés, ni les interfaces de signature, ni les configurations de production qui peuvent être modifiées après l’examen.

L’étude d’Oak Security chiffre à 49,6 % la part des pertes attribuables à des vecteurs « humains », incluant les attaques de dépendance et de gouvernance. Le tableau ci-dessous illustre le décalage entre ce que les audits trouvent et la provenance réelle des fonds volés.

Cette asymétrie renforce les inquiétudes exprimées depuis des années sur les arnaques exploitant la confiance des utilisateurs, où l’ingénierie sociale contourne totalement les audits techniques.

Quel avenir pour les labels de sécurité crypto ?

Le chercheur Stefan Beyer compare la situation à celle d’un propriétaire qui inspecte un tableau électrique puis affiche un certificat « maison inviolable ». Le badge rassure, mais il ne dit rien des serrures ou des alarmes : en l’occurrence, les signatures en clair sur Ethereum laissent les utilisateurs approuver des transactions qu’ils ne comprennent pas. Ce brouillard sémantique entretient l’idée que les actifs sont en sécurité, de la même façon que les escroqueries sur les réseaux sociaux exploitent la confiance des utilisateurs bien au-delà du code.

Plusieurs acteurs plaident désormais pour des labels de périmètre indiquant ce qui a été vérifié : smart contract uniquement, infrastructure associée ou gouvernance. C’est un mouvement comparable à celui engagé sur les collectes de fonds crypto où la transparence devient un critère différenciant pour les investisseurs. La maturation de l’écosystème, que Vitalik Buterin appelle encore de ses vœux, passera inévitablement par ce niveau d’exigence. En attendant, un badge « Audité », comme l’a démontré le piratage de Bybit, ne protège pas contre un écran qui ment.

À retenir

Avec près de la moitié des pertes crypto issues de failles opérationnelles invisibles aux audits classiques, le badge « Audité » offre une garantie très partielle. La prochaine étape pour l’industrie sera d’adopter des labels explicites sur le périmètre couvert, seule façon de réduire le fossé entre la réalité technique et la promesse affichée. Dans un secteur où les initiatives réglementaires se multiplient, la clarté des standards de sécurité deviendra un enjeu incontournable pour protéger les utilisateurs.

Questions fréquentes

Un audit garantit-il qu’un protocole DeFi est sans risque ?

Non, un audit ne couvre que le code examiné à un instant donné. Il ne vérifie ni les clés privées, ni les interfaces utilisateur, ni les modifications post-audit. Près de la moitié des pertes proviennent de failles humaines qu’aucun badge « Audité » ne peut anticiper.

Pourquoi Bybit a-t-elle perdu 1,5 milliard de dollars malgré des audits ?

Les contrats Safe utilisés par Bybit ne contenaient aucune faille. L’attaque a détourné l’interface de signature pour faire approuver une transaction malveillante : un vecteur humain et non logiciel, entièrement hors du champ d’un audit classique.

Comment distinguer un audit sérieux d’un simple argument marketing ?

Vérifiez le périmètre exact annoncé par le cabinet : dates des commits audités, composants couverts (smart contracts seuls ou infrastructure élargie) et existence d’un suivi post-audit. Un label de périmètre clair devient le standard minimal attendu des investisseurs.