Audit de sécurité des contrats intelligents et des dispositifs de conservation (Tokenisation et DeFi)

Nous examinons le périmètre convenu sur le thème Tokenisation et DeFi : revue manuelle du code, analyse statique, tests sur un environnement isolé, puis revue des procédures qui entourent le dispositif (génération et stockage des clés, habilitations, signature multiple, supervision). Aucun test n'est conduit sur un système de production ni sur des fonds réels.

Le rapport décrit la méthode, le périmètre, la version examinée et les limites, puis classe les constats par gravité avec un scénario d'exploitation et une correction proposée. Il ne démontre pas l'absence de toute vulnérabilité et ne vaut pas certification. Il s'adresse aux ingénieurs financiers qui doivent décider des corrections, et vise notamment à maîtriser la tokenisation pour améliorer la gestion d'actifs.

Déroulé de la prestation

1. Cadrage

   Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité, de déontologie et d'accès aux documents.

2. Lecture documentaire

   Nous lisons les politiques, procédures, enregistrements et comptes rendus de comité relatifs au thème Tokenisation et DeFi, avant toute rencontre, pour arriver aux entretiens avec des questions précises.

3. Entretiens et contrôles par échantillon

   Nous rencontrons les responsables et les équipes, observons les pratiques et contrôlons des échantillons sur des extraits anonymisés que vous préparez dans votre environnement, ou sur des données de test, sans aucune information privilégiée ni donnée d'ordre ou de position.

4. Analyse des écarts

   Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.

5. Restitution

   Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.

Livrables, format et conditions

Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre audit interne ou à votre superviseur.

• Rapport d'audit avec constats classés par gravité, scénarios d'exploitation et corrections proposées
• Preuves de concept rejouables sur un environnement de test
• Revue des procédures de gestion des clés et des accès autour du dispositif

Format et charge : forfait, 5 à 15 jours selon le volume de code. Idéal pour : responsable de la sécurité des systèmes d'information, architecte ou responsable des risques d'un prestataire de services sur crypto-actifs, d'une banque ou d'une société de gestion qui exploite ou évalue un dispositif blockchain. Prérequis de votre côté : code source figé à une version identifiée, documentation fonctionnelle, accès à un environnement de test et procédures de gestion des clés et des accès à examiner.

Exemples d'usage

Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du périmètre et du contexte.