Les audits de smart contracts ne suffisent plus à rassurer les investisseurs institutionnels dans la crypto. Selon Hacken, société spécialisée en cybersécurité, les signaux de confiance basculent vers des critères opérationnels, surveillance continue des risques, contrôles des signataires et préparation aux incidents. Le constat repose sur un point central, une large part des pertes ne vient pas d’une faille de code isolée, mais d’échecs d’exécution, de gouvernance et de procédures, souvent regroupés sous l’étiquette d'”opérationnel”. Cette évolution modifie la manière dont les fonds, banques, courtiers et trésoreries d’entreprise organisent leur due diligence en 2026.
Dans ce cadre, l’audit reste un élément utile, mais il se retrouve traité comme une photographie à l’instant T. Les acteurs institutionnels demandent désormais des garanties de “fonctionnement sous contrainte”, par exemple la capacité d’une organisation à détecter un comportement anormal, à limiter les droits d’accès, à réagir à une compromission, puis à documenter ce qui s’est produit. La confiance se construit moins sur un rapport PDF que sur des preuves de contrôle continu, des journaux d’activité, des tests de crise et des mécanismes de décision limitant l’erreur humaine.
Hacken décrit une demande croissante pour des cadres de suivi qui s’alignent davantage sur des pratiques déjà répandues en finance traditionnelle, comme la gestion des accès à privilèges, la séparation des tâches ou le contrôle interne. La crypto conserve des spécificités, vitesse d’exécution, irréversibilité de certaines opérations, exposition aux attaques, mais la logique institutionnelle reste la même, réduire le risque de perte évitable par des procédures et des contrôles. Cette approche influence la sélection des prestataires, des protocoles, des dépositaires et des systèmes de signature.
Hacken décrit des pertes crypto dominées par l’échec opérationnel
Dans l’analyse mise en avant par Hacken, une part importante des pertes en crypto est attribuée à des défaillances de processus plutôt qu’à des bugs purement techniques. Cela inclut des erreurs de configuration, des droits d’accès trop larges, des clés compromises, des procédures de validation insuffisantes, ou des décisions prises dans l’urgence sans garde-fous. Pour des investisseurs institutionnels, ce type d’événement est particulièrement problématique, car il renvoie moins à une “malchance” qu’à un défaut de contrôle interne, donc à un risque potentiellement reproductible.
Les audits restent recherchés, mais leur portée perçue se resserre. Un audit peut attester qu’un code a été relu selon un périmètre défini à une date donnée, mais il ne prouve pas que l’organisation exploitera ce système correctement une fois en production, ni qu’elle détectera une attaque assez tôt pour limiter les dégâts. Les institutions examinent donc la différence entre conformité technique et capacité réelle à opérer un service, notamment quand des intégrations tierces, des bridges, des oracles ou des modules de gouvernance introduisent des surfaces d’attaque supplémentaires.
Ce déplacement du regard s’explique par la nature des incidents récents rapportés par l’industrie, où la chaîne de causes est souvent composite. Une compromission peut démarrer par un accès interne mal protégé, se poursuivre par une transaction signée dans de mauvaises conditions, puis se terminer par un manque d’alerte ou une incapacité à suspendre rapidement certaines actions. Dans ce schéma, le rapport d’audit ne répond pas à la question institutionnelle principale, qui avait le pouvoir de signer, selon quelle règle, avec quel contrôle de second niveau.
Les investisseurs professionnels demandent donc des preuves de maîtrise du risque, au même titre que des métriques de performance. Dans les appels d’offres et due diligence, on voit remonter des exigences de contrôles d’accès, de séparation des rôles, de revue périodique des permissions, et d’existence d’un dispositif documenté d’escalade en cas d’anomalie. La confiance se construit sur la capacité à prouver la discipline opérationnelle, et sur l’existence de mécanismes limitant l’impact d’un mauvais clic, d’une fuite d’identifiants ou d’une décision précipitée.
Cette approche tend aussi à reclasser certains projets, non pas en “sûrs” ou “risqués” selon le marketing, mais selon leur maturité opérationnelle. Un protocole peut être innovant et audité, mais rester fragile si son administration dépend de quelques personnes, si ses clés maîtresses ne sont pas gouvernées correctement, ou si ses procédures de réaction ne sont pas testées. Pour les institutions, cette maturité devient un critère de sélection au même niveau que la liquidité, la transparence des réserves ou la structure des frais.
La due diligence institutionnelle privilégie la surveillance continue et les alertes
Les exigences de due diligence se déplacent vers le monitoring permanent, avec l’idée que le risque évolue chaque jour. Une mise à jour logicielle, l’ajout d’un module externe, une rotation de personnel, une nouvelle intégration, ou un changement de paramètres de gouvernance peuvent modifier l’exposition sans changer le code audité initialement. Les institutions cherchent donc des dispositifs capables de signaler des événements anormaux, par exemple des transferts atypiques, une modification de droits, une création de nouveaux signataires, ou un comportement de smart contract qui s’écarte des habitudes observées.
Ce suivi continu prend plusieurs formes. D’un côté, des outils d’analytique on-chain mettent en place des règles d’alerte sur des portefeuilles, des contrats ou des flux de liquidité. De l’autre, des pratiques de cybersécurité plus classiques s’appliquent aux environnements internes, journalisation, détection d’accès suspect, durcissement des postes administrateurs, et vérification régulière des comptes à privilèges. Pour des structures régulées, la capacité à archiver et expliquer une alerte devient aussi importante que la capacité à la déclencher.
Un point clé est la réduction du temps entre l’anomalie et la décision. Dans la crypto, quelques minutes peuvent suffire pour transformer une tentative en perte. Les investisseurs institutionnels évaluent donc non seulement l’existence d’alertes, mais aussi la chaîne d’escalade, qui reçoit l’alerte, qui a le droit d’agir, quelle action est autorisée, et comment éviter l’abus de pouvoir. Les organisations qui peuvent prouver des procédures d’astreinte, des canaux de validation clairs et des seuils d’intervention gagnent des points de confiance.
La surveillance continue réoriente aussi la relation entre prestataires. Un dépositaire, un prime broker crypto, un protocole DeFi, ou un fournisseur d’infrastructure peut être évalué sur sa capacité à produire des attestations régulières, des tableaux de bord de risque, et des rapports d’incidents structurés. Pour un comité de risques, ces éléments facilitent le suivi, permettent de comparer des contreparties, et donnent une base de décision en cas de dégradation d’un indicateur, comme une concentration des signataires, une hausse de permissions critiques ou des mouvements de fonds inhabituels.
Ce basculement change enfin la temporalité de la due diligence. Le contrôle ne se limite plus à l’entrée en relation, il devient un processus, avec des revues mensuelles ou trimestrielles des droits, des tests d’alerte, et des exercices de crise. Dans cette logique, l’audit s’intègre comme une pièce du puzzle, mais le facteur différenciant devient la capacité de surveillance continue, d’alerte temps réel et de documentation opérationnelle exploitable par des équipes conformité et sécurité.
Les contrôles de signataires et le multisig deviennent des critères de confiance
Dans l’approche décrite par Hacken, la question des signataires devient centrale. Qui peut autoriser un transfert, une mise à jour de contrat, une opération d’administration, ou une modification de paramètres critiques. Les institutions se focalisent sur la gouvernance des clés, car une grande partie des pertes associées aux incidents opérationnels passe par une signature obtenue de manière frauduleuse, ou par une signature valide mais déclenchée dans un contexte erroné.
Les schémas de multisig et les politiques de signature à seuil, par exemple 2 sur 3 ou 3 sur 5, sont souvent examinés, mais ils ne suffisent pas à eux seuls. Les investisseurs demandent des détails sur la distribution des rôles, l’indépendance des signataires, la manière dont les clés sont conservées, et les procédures de révocation. Un multisig géré par des personnes d’une même équipe, utilisant les mêmes appareils, peut offrir une illusion de sécurité. À l’inverse, une organisation qui répartit les signataires, impose des dispositifs matériels, et documente la rotation des clés peut réduire significativement le risque.
Les institutions s’intéressent aussi aux contrôles d'”enveloppe”, par exemple des limites de montant, des délais de validation, ou des règles conditionnelles selon le type d’opération. Les mécanismes de timelock peuvent introduire une fenêtre de réaction, utile si une transaction malveillante est détectée. La présence d’un canal d’arrêt d’urgence, quand il est bien gouverné, peut également faire partie des critères, même si ce type de mécanisme doit être évalué avec prudence, car il introduit une forme de pouvoir centralisé.
Autre point scruté, la traçabilité. Les équipes risques veulent pouvoir relier une action à une décision, une validation, un ticket interne, un message d’astreinte, ou un enregistrement d’approbation. L’objectif est double, réduire les abus et faciliter les enquêtes internes en cas d’incident. Cette exigence rapproche la crypto des standards de contrôle interne, où chaque action critique doit pouvoir être auditée, expliquée et, si nécessaire, contestée.
Ce déplacement vers les contrôles de signataires influence la manière dont les projets se présentent aux investisseurs institutionnels. Les documents techniques sont complétés par des descriptions de gouvernance, des diagrammes de droits, des preuves de contrôle des signataires, des règles de gestion des clés et des politiques de changement. Pour les institutions, la robustesse de ces mécanismes pèse dans la décision d’allocation, parfois davantage que la sophistication fonctionnelle du produit.
La préparation aux incidents remplace le rapport d’audit comme assurance implicite
Hacken met en avant un dernier pilier, la préparation aux incidents. Les institutions demandent de plus en plus un plan clair, qui fait quoi si une clé est compromise, si un contrat se comporte de manière inattendue, ou si une contrepartie ne répond plus. Cette préparation s’évalue sur des éléments concrets, existence d’un runbook, organisation d’astreintes, partenaires de réponse à incident, canaux de communication, et capacité à coordonner juristes, conformité, sécurité et direction.
La différence majeure avec une approche centrée sur l’audit est que la préparation suppose que l’incident arrivera. Le sujet devient alors la capacité à limiter la perte, à préserver des preuves, à communiquer sans aggraver la situation, et à restaurer un service. Les institutions interrogent aussi les mécanismes de gel, de pause, ou de limitation des actions, quand ils existent. La question n’est pas seulement technique, elle est aussi organisationnelle, quelles validations sont nécessaires pour activer une mesure exceptionnelle, dans quel délai, et avec quelle documentation.
Les investisseurs professionnels demandent fréquemment une transparence accrue sur l’historique des incidents, même mineurs. Une organisation qui documente un événement, décrit sa chronologie, ses causes racines, et les corrections apportées peut inspirer plus de confiance qu’une organisation affirmant n’avoir jamais eu de problème, sans preuves. La maturité se mesure à la capacité de reconnaître les failles de processus, de les corriger, puis d’en tirer des règles opérationnelles vérifiables.
Ce cadre pousse aussi à évaluer la qualité de la communication en situation de crise. Les institutions veulent éviter l’improvisation, les informations contradictoires et les délais trop longs. Elles attendent des points de contact identifiés, des messages structurés, et une capacité à produire rapidement des éléments factuels. Cela rejoint des standards connus en cybersécurité, où la gestion de crise est une compétence en soi, distincte du développement logiciel.
Dans ce contexte, l’audit conserve une utilité, notamment pour cartographier des risques techniques et valider des hypothèses de sécurité. Mais il n’est plus perçu comme une assurance implicite. La confiance se déplace vers la préparation aux incidents, la résilience opérationnelle et la capacité à prouver, de manière continue, que les contrôles sont en place, testés et adaptés à l’évolution des menaces.
Questions fréquentes
- Pourquoi les audits ne suffisent-ils plus à rassurer les institutions en crypto ?
- Les audits apportent une assurance limitée dans le temps et sur un périmètre défini. Les institutions constatent que de nombreuses pertes proviennent d’échecs opérationnels, droits d’accès mal gérés, signatures compromises, procédures d’urgence absentes. Elles privilégient donc des preuves de contrôle continu, de gouvernance des clés et de capacité de réponse aux incidents.
- Qu’est-ce que la surveillance continue dans la due diligence crypto ?
- Il s’agit d’un ensemble d’outils et de processus qui suivent en permanence des signaux de risque, sur la chaîne et hors chaîne, alertes sur mouvements anormaux, changements de permissions, création de nouveaux signataires, comportements inhabituels. L’objectif est de réduire le délai entre détection et décision, puis de documenter les actions prises.
- Pourquoi le contrôle des signataires est-il devenu central ?
- Parce que l’autorisation d’une transaction ou d’une action d’administration peut être le point de défaillance principal. Les institutions évaluent la répartition des signataires, l’indépendance des rôles, la conservation des clés, les règles de rotation et de révocation, ainsi que l’existence de limites, délais ou validations additionnelles pour les opérations sensibles.
- Que doit contenir un plan de préparation aux incidents pour être crédible ?
- Un plan crédible décrit les responsabilités, les procédures pas à pas, les contacts d’astreinte, les canaux de communication, la conservation des preuves, et les options techniques disponibles, limitation, pause, révocation de clés, coordination avec des partenaires spécialisés. Il doit être testé via des exercices, et mis à jour après chaque changement important.
À retenir
- Hacken observe un basculement de la confiance, des audits vers la discipline opérationnelle
- La due diligence institutionnelle privilégie la surveillance continue et des alertes actionnables
- La gouvernance des clés et le contrôle des signataires pèsent lourd dans les décisions
- La préparation aux incidents devient un critère central de sélection des contreparties
- Faux support Coinbase, vraies clés volées : la réforme du démarchage ne stoppera pas 65 millions de dollars d’arnaques - 5 août 2026
- CLARITY Act : pourquoi ce texte crypto risque de ne jamais passer en 2026 au Sénat américain - 3 août 2026
- Euro numérique : la BCE vise 2029 après un pilote en 2027, banques et fintechs sommées de se préparer - 1 août 2026
