Ce que signifie réellement « le protocole a passé un audit »

« A passé un audit » est le tampon rassurant principal du DeFi. La liste des protocoles « audités » hackés remplit pourtant des pages. Décomposons ce qu'est vraiment un audit.

Ce que fait l'auditeur

L'équipe lit le code dans un temps limité contre les classes de vulnérabilités connues et écrit un rapport : les trouvailles critiques/hautes/moyennes et la réponse de l'équipe. Cela réduit la probabilité des erreurs connues - c'est tout.

Ce que l'audit ne couvre PAS

• Le code après l'audit : un « petit fix » après le rapport - et tu es de nouveau dans un contrat non audité. Vérifie si le bytecode déployé correspond au commit audité.
• Les attaques économiques : les manipulations d'oracles, les spirales tokenomiques, les prises de governance - le plus souvent hors scope.
• L'opérationnel : les clés, les multisigs, le phishing de l'équipe - l'audit du code se tait sur le vecteur principal des vols modernes.
• Les dépendances : le protocole est propre, mais l'oracle/le bridge/le token dans l'intégration - non.

Comment lire le signal

La hiérarchie de confiance : plusieurs audits de firmes différentes sur du code frais + un bug bounty vivant avec un plafond sérieux + des mois de travail sous TVL > un audit « qui a eu lieu quelque part » > le badge audited sans lien vers le rapport (= rien). Et lis les rapports eux-mêmes : le nombre de trouvailles critiques et la réaction de l'équipe en disent plus sur la culture que le fait de l'audit. Nos analyses de protocoles - dans la section DeFi.