📌 Fiche Synthèse / ELI5: imaginez un coffre-fort électronique dont la serrure est décrite par un manuel mathématique. Le manuel peut prouver que, si le code suit exactement les règles, l'ouverture se fera toujours dans les bonnes conditions. Mais si le coffre dépend d’un partenaire extérieur (un oracles, un autre contrat ou une donnée défectueuse), ou si le manuel lui‑même ne décrit pas toutes les situations réelles, la sécurité peut échouer malgré le manuel parfait. C’est là tout le dilemme des audits formels: ils fournissent des garanties sur des modèles et des hypothèses bien définies, pas sur le tumulte du monde réel des contrats interopérés. (ethereum.org)
1. Contexte Macro & Métriques On-Chain
Les chiffres récents montrent que les audits, aussi rigoureux soient-ils, ne capturent qu’une partie des risques opérationnels rencontrés par les protocoles DeFi. Le recensement Ack3 pour le premier semestre 2026 indique que 46 chemins d’attaque échappent aux périmètres d’audit publics, 20 chemins passent par au moins un périmètre d’audit, et 2 restent non résolus. Ces chiffres illustrent une réalité: les attaques naissent souvent là où les vérifications traditionnelles ne regardent pas. (arxiv.org)
L’un des cas les plus documentés reste Euler Finance, victime d’un mouvement coordonné en mars 2023 qui a drainé près de 197 millions de dollars en quelques minutes avant que les fonds ne puissent être récupérés. Cet épisode illustre le décalage entre le nombre d’audits réalisés et la capacité à prévenir une attaque when les mécanismes de prêt/liquidation et les interactions inter-contrats s’enchaînent rapidement. (coinbase.com)
Plusieurs analyses récentes soulignent que l’existence d’audits ne suffit pas à assurer une sécurité totale: Euler avait déclaré avoir subi une dizaine d’audits sur deux ans, et pourtant le compromis a été réalisé, démontrant que les audits ne remplacent pas les autres couches de sécurité et de supervision. Cette réalité est largement discutée dans les rapports de l’écosystème et les revues de sécurité récentes. (cointelegraph.com)
Des synthèses sectorielles récentes, notamment Halborn dans son étude sur les tops hacks DeFi (2025/2026), montrent que les vecteurs d’attaque évoluent et que les audits couvrent parfois only des parties de la chaîne ou des états particuliers, laissant des surfaces d’attaque inattendues lorsque les conditions changent. Cela confirme une tendance: les audits forment une ligne de défense, mais pas une barrière impénétrable contre les failles réelles rencontrées en chaîne. (cdn.halbornmainframe.com)
2. Décodage & Nuance Technique
a) Ce que les audits formels peuvent garantir
Les audits formels offrent une garantie mathématique lorsque les modèles et les environnements sont correctement définis: ils permettent de vérifier que le code respecte une spécification précise et, idéalement, d’obtenir une preuve de correction fonctionnelle sous ces hypothèses. Dans ce cadre, les méthodes de vérification formelle peuvent cibler des propriétés invariantes du contrat ou des motifs de sécurité bien connus (accès contrôlé, absence de réentrance dans des configurations spécifiques, etc.). Cette approche est clairement présentée comme un moyen de renforcer la fiabilité du comportement métier lorsqu’elle est appliquée à des contrats simples ou bien délimités. (ethereum.org)
Des contributions récentes proposent aussi des cadres plus avancés pour raisonner sur des systèmes inter-contrats et des ressources, ce qui permet de modéliser des scénarios où plusieurs contrats collaborent pour préserver des invariants. Par exemple, des travaux sur les “Rich Specifications” démontrent comment raisonner en présence de code non vérifié et de réentrance générale, tout en introduisant des notions natives de ressources et de transferts entre contrats. Cela ouvre la voie à des vérifications plus proches des architectures DeFi réelles, mais avec des limites claires. (arxiv.org)
b) Ce que les audits formels échouent à sécuriser en pratique
Les limites techniques et pratiques des audits formels sont bien documentées: les environnements réels comportent des appels à des codes externes non vérifiés et potentiellement adverses, ce qui affaiblit fortement les hypothèses sur lesquelles les analyses s’appuient. Cette faiblesse structurelle est explicitement décrite comme un frein majeur à la généralité et à l’autonomie des preuves, et elle est au cœur des défis de modularité et d’analyse des interactions inter-contrats. (arxiv.org)
En outre, les audits formels nécessitent des spécifications de grande qualité; si les invariants écrits sont incomplètement définis ou mal formulés, des chemins d’exécution vulnérables peuvent exister même si le code respecte les spécifications imposées. Cette réalité est répétée dans les ressources grand public et professionnelles, comme le rappelle Ethereum dans sa section « Drawbacks of formal verification ». (ethereum.org)
La dimension temporelle et opérationnelle pose aussi problème: le coût et le temps requis pour configurer des spécifications et guider les preuves peuvent être prohibitifs, et l’expertise nécessaire est rare. Les analyses de Chainlink soulignent que l’installation et la rédaction de spécifications formelles peuvent ajouter des semaines, voire des mois à des cycles de développement, ce qui pèse sur les budgets et les feuilles de route. Ce n’est pas une contrainte purement technique: c’est une réalité économique et organisationnelle qui influence l’adoption. (chain.link)
Au-delà des contraintes d’implémentation, la qualité des spécifications est, en pratique, un gage insuffisant: même une vérification complète peut louper des vulnérabilités si le champ des invariants ne couvre pas suffisamment le comportement souhaité ou si des interactions non prévues ne sont pas modélisées. Des travaux empiriques et des revues de sécurité montrent que les audits et les vérifications ne remplacent pas les tests fonctionnels, les vérifications hors chaîne et les programmes de bounty. (ethereum.org)
Enfin, même les approches les plus abouties peuvent être limitées par des défis cognitifs et techniques: les systèmes DeFi modernes impliquent des échanges de ressources, des contrats non vérifiés et des patterns de réentrance complexes qui échappent à des cadres de vérification classiques. Les partisans des méthodes récentes insistent sur la nécessité d’approches hybrides (vérification + tests + audits manuels + supervision opérationnelle) pour réduire le risque. (arxiv.org)