Audits sur mesure.Assistés par IA, vérifiés par des humains.

Cinq vrais exploits se rejouent tour à tour : chaque contrat s’écrit, l’analyse signale la faille, et une note dit ce qu’elle a coûté et comment la corriger.

• The DAO, 2016-06-17: 3,6 M d’ETH drainés. splitDAO versait la récompense par un appel externe avant de remettre le solde à zéro. L’attaquant rappelait la fonction et divisait les mêmes jetons encore et encore. Remettre le solde à zéro avant tout appel externe.
• Parity Multisig, 2017-11-06: 513 774 ETH gelés. La bibliothèque partagée n’avait jamais été initialisée : n’importe qui pouvait appeler initWallet, en devenir propriétaire et la détruire avec kill. Tous les wallets qui lui déléguaient ont gelé. Initialiser la bibliothèque au déploiement et ne lui donner aucune autodestruction.
• Wormhole, 2022-02-02: 120 000 wETH, ~325 M$. verify_signatures lisait la vérification de signature depuis un compte choisi par l’appelant, sans jamais vérifier qu’il s’agissait du sysvar d’instructions. Un faux passait pour une approbation complète des gardiens. Utiliser load_instruction_at_checked, qui vérifie l’adresse du sysvar.
• Nomad Bridge, 2022-08-01: ~190 M$ drainés. Une mise à jour a fixé la racine de confiance à 0x00. Un message non prouvé donne 0x00 : process acceptait donc tout message, et des centaines d’imitateurs ont rejoué le premier. Ne jamais confirmer la racine nulle et refuser tout message non prouvé.
• Euler Finance, 2023-03-13: ~197 M$ drainés. donateToReserves brûlait des eTokens sans vérifier que le donateur restait solvable. L’attaquant s’est mis en dette irrécouvrable par un don, puis s’est liquidé lui-même avec une décote. Vérifier la liquidité après le don, comme pour les autres retraits.