Audit

Qu'est-ce qu'un Audit ?

Un Audit est une revue indépendante d'un projet crypto visant à détecter des faiblesses dans le code, la conception et les opérations avant qu'elles n'affectent les utilisateurs. C'est une sorte de contrôle de l'état du code où des spécialistes testent, provoquent et tentent de casser le système. Comme une équipe de mécaniciens avant une course, mais pour les smart contracts.

Comment fonctionne Audit

Voici un aperçu rapide d'une revue de sécurité type pour les smart contracts, du lancement au rapport public.

1. Périmètre : L'équipe et les auditeurs s'accordent sur le code, les configurations et les hypothèses qui seront vérifiés.
2. Revue : Des outils analysent le dépôt, puis des humains examinent le code ligne par ligne pour rechercher des problèmes comme attaques par réentrance et des erreurs logiques.
3. Tests : Les auditeurs écrivent des tests, lancent du fuzzing et simulent des flux réels pour provoquer des cas limites.
4. Rapport : Les constats sont classés par gravité, avec des corrections claires et des exemples. L'équipe corrige et procède par itérations.
5. Vérification : Les auditeurs revérifient les corrections et publient un rapport que l'on peut lire.

Oui, c'est aussi simple et aussi complet quand c'est bien fait.

Pourquoi l'Audit compte

Cela vous concerne car l'argent circule à la vitesse du code. Un Audit de qualité peut faire la différence entre un bon lancement et une grosse erreur.

• Avantage : Moins de bugs, moins de surprises, plus de confiance pour les utilisateurs et les partenaires.
• Perspective : Les attaques vont des pièges logiques subtils aux attaques par déni de service (DoS), donc un second regard est conseillé.
• Pertinence : Vous verrez des rapports d'Audit lors des lancements de tokens, des sorties DeFi, des bridges, des mint de NFT et des mises à jour de DAO.

Principales caractéristiques de l'Audit

Ce qui distingue un bon Audit :

• Indépendant : Les examinateurs sont distincts de l'équipe et mettent leur réputation en jeu dans le rapport.
• Transparent : Les constats sont documentés avec des niveaux de gravité, des preuves de concept et des résolutions.
• Daté : Le code peut changer après la mise en ligne, mais de nombreux contrats sont immutables, donc les revues avant le lancement ont plus d'importance.
• Répétable : Un bon processus permet à des projets similaires d'avoir des vérifications cohérentes et une profondeur de tests comparable.

Variantes

Les Audits existent en plusieurs types. Choisissez celui qui correspond à votre stack technique et à votre profil de risque.

• Code : Axé sur les smart contracts et la logique on chain.
• Sécurité : Vue plus large sur les clés, l'infra, les déploiements et les modèles de menace.
• Économique : Analyse les incitations token, les hypothèses d'oracle et la théorie des jeux.
• Continu : Contrôles permanents avec alertes et mini revues périodiques.
• Interne : Revue conduite par l'équipe avant de faire appel à des auditeurs externes.

Exemple

Un protocole de prêt met en pause une nouvelle fonctionnalité jusqu'à ce que l'Audit signale une voie de liquidation risquée, l'équipe corrige le problème et les auditeurs vérifient la correction avant le lancement.

Fait amusant

Le mot audit vient du latin audire, « entendre », car les premières vérifications étaient lues à voix haute aux responsables. Aujourd'hui on écoute toujours, mais plutôt les journaux de test et les rapports de gas que des discours.

En résumé

En bref : un Audit est votre contrôle préalable pour le code qui gère de l'argent. Considérez-le comme indispensable, puis publiez en confiance.