Les attaquants n’attendent plus. Ils s’équipent d’outils d’intelligence artificielle de plus en plus performants et les équipes crypto se retrouvent souvent à courir derrière. C’est dans ce contexte tendu que Keone Hon, cofondateur de Monad, a décidé de sortir du silence. Il ne s’est pas contenté d’un simple avertissement. Il a partagé un guide complet de sécurité opérationnelle et a remis en avant un outil open-source baptisé Ultrafuzz, conçu pour aider les développeurs à détecter des failles avant qu’il ne soit trop tard.
Pourquoi La Sécurité Opérationnelle Devient Une Urgence Absolue
Pendant longtemps, le secteur s’est concentré presque exclusivement sur les vulnérabilités des contrats intelligents. Les audits se multipliaient, les programmes de bug bounty fleurissaient. Pourtant, les chiffres racontent une autre histoire. Selon les données compilées par ChainLight via son tracker Lumos, les pertes liées aux détournements de contrôle ont atteint 3,31 milliards de dollars entre janvier 2023 et la date de clôture du rapport, contre 983 millions seulement pour les failles purement techniques des smart contracts.
Ces détournements de contrôle englobent le phishing, les fuites de clés privées, les accès non autorisés, les attaques sur la chaîne d’approvisionnement logicielle et d’autres échecs de sécurité très classiques. Autrement dit, ce ne sont pas toujours les lignes de code qui trahissent, mais les humains, les appareils et les mauvaises habitudes.
À l’ère des attaquants renforcés par l’intelligence artificielle, la seule voie possible pour notre industrie consiste à continuer de se durcir. La sécurité doit devenir la priorité absolue de chaque équipe.
Keone Hon
Ce message, publié le 30 octobre 2026, résonne particulièrement fort. Keone Hon ne se contente pas de constater le problème. Il propose des ressources concrètes mises à disposition par la Monad Foundation. Parmi elles, le Crypto OpSec Bible, des recommandations sur les comptes administrateurs et des travaux de recherche sur l’utilisation de grands modèles de langage pour la chasse aux menaces.
Le Guide OpSec Qui Remet Les Bases Au Centre
Rédigé par Omar, le guide ouvre sur une forme de lassitude. Les mêmes erreurs se répètent encore et encore : code non vérifié, phishing bien orchestré, identifiants exposés, gestion chaotique des appareils. L’auteur estime que les organisations crypto ont trop longtemps négligé la sécurité opérationnelle au profit exclusif de la sécurité du code.
Les conseils sont d’une simplicité déconcertante, et c’est précisément pour cela qu’ils sont efficaces. Séparer les activités personnelles des activités professionnelles sur des appareils distincts. Maintenir un ordinateur ou un navigateur « propre » exclusivement dédié aux opérations crypto. Vérifier chaque détail d’une transaction avant de signer. Ces gestes, trop souvent oubliés, font pourtant la différence entre un incident évité et une perte irréversible.
Les recommandations prioritaires du guide pour les comptes critiques
- Utiliser des clés de sécurité matérielles avec une sauvegarde stockée de façon sûre
- Adopter des mots de passe uniques pour chaque service
- Conserver les codes d’authentification séparément des mots de passe
- Maintenir une protection des points de terminaison active
- Désigner clairement une personne ou un canal pour signaler tout incident
Pour les développeurs de contrats intelligents, Keone Hon insiste particulièrement sur un point : éviter de s’appuyer sur des comptes contrôlés par une clé privée simple (les fameux EOA) pour les rôles d’administrateur. Il recommande également d’utiliser un ordinateur portable dédié exclusivement aux signatures de fonctions administratives. Ces précautions réduisent considérablement la surface d’attaque en cas de compromission d’un appareil du quotidien.
Ultrafuzz : L’Outil Qui Met L’IA Au Service De La Défense
Au-delà du guide, Keone Hon a fortement encouragé les développeurs à tester leurs contrats avec Ultrafuzz. Cet outil open-source, disponible depuis le 10 septembre 2026 sur un dépôt public GitHub, coordonne plusieurs agents d’intelligence artificielle spécialisés. Leur mission : examiner le code, cartographier les comportements utilisateurs, investiguer les propriétés de sécurité, lancer différentes stratégies de test et préparer des rapports de conclusions structurés.
Antonio Viggiano, qui a joué un rôle clé dans son développement, raconte avoir conçu cet outil alors qu’il aidait une équipe à se préparer pour un audit externe. Le projet manquait complètement de tests de fuzzing. L’idée d’un workflow assisté par l’IA s’est imposée naturellement. Les agents identifient d’abord les conditions qu’un protocole doit préserver, puis explorent si certaines actions ou séquences d’actions peuvent les violer. Les résultats sont ensuite consolidés, vérifiés et organisés.
Monad précise que plus de vingt exécutions sur des projets de son écosystème ont permis d’affiner l’outil avant sa mise à disposition publique. Ultrafuzz prend en charge Solidity et Vyper. Une mise en garde importante accompagne cependant son utilisation : les agents opèrent avec des permissions non restreintes. Il est donc impératif de le lancer uniquement sur des machines virtuelles jetables et isolées, jamais sur un poste de travail de développeur ni sur une machine contenant des identifiants de valeur.
Développeurs de contrats intelligents, faites tourner Ultrafuzz sur vos contrats. C’est open-source et accessible à tous.
Keone Hon
Ce rappel arrive à un moment où les exemples de compromissions se multiplient. Fin octobre 2026, le fabricant de portefeuilles Foundation a subi la compromission d’une clé API Cloudflare. Des e-mails frauduleux ont pu être envoyés en se faisant passer pour les domaines officiels de l’entreprise. Les identifiants ont été révoqués rapidement et les fonds ainsi que le matériel Passport sont restés sécurisés, mais l’incident illustre parfaitement la fragilité des dépendances externes.
Des Incidents Récents Qui Illustrent Les Risques Quotidiens
En juillet 2026, un paquet de développement lié à Injective a été compromis. Selon la société de sécurité Socket, du code malveillant interceptait les fonctions de génération de portefeuilles et transmettait clés privées et phrases de récupération via une fausse télémétrie. Le PDG d’Injective, Eric Chen, a confirmé que les versions concernées avaient été dépréciées et que le problème avait été corrigé. Pourtant, le mal était potentiellement déjà fait pour certains utilisateurs.
La même période a vu l’émergence d’OkoBot, un malware voleur de portefeuilles distribué via des dépôts GitHub se faisant passer pour des logiciels légitimes. La campagne utilisait de faux messages d’erreur et des instructions de réparation pour convaincre les victimes d’exécuter des commandes malveillantes. Parmi ses modules figuraient des écrans de récupération de portefeuille frauduleux, un enregistreur de frappe et une surveillance du presse-papiers.
Ces affaires montrent que les points d’accès ciblés par le guide OpSec ne sont pas théoriques. Les e-mails, les dépendances logicielles, les appareils personnels et les pratiques de signature restent les maillons faibles les plus exploités.
Ce Que Change Véritablement L’Arrivée De L’IA Côté Attaquants
L’intelligence artificielle ne crée pas de nouveaux types d’attaques ex nihilo. Elle multiplie leur efficacité et leur échelle. Un phishing qui demandait auparavant des heures de préparation peut désormais être personnalisé en quelques minutes. L’analyse de code pour trouver des failles devient plus rapide. La génération de malware polymorphe s’automatise. Face à cette accélération, les équipes qui continuent de traiter la sécurité comme une tâche secondaire se retrouvent désarmées.
Keone Hon insiste sur le fait que la Monad Foundation investit lourdement dans ce domaine et choisit de partager ses ressources avec l’ensemble de la communauté. Ce n’est pas seulement un geste de bonne volonté. C’est une reconnaissance que la sécurité d’un écosystème dépend de la solidité de chacun de ses participants. Une chaîne n’est jamais plus forte que son maillon le plus faible.
Points clés à retenir de l’appel de Keone Hon
- La sécurité opérationnelle cause davantage de pertes que les failles de smart contracts selon les données récentes
- Ultrafuzz permet d’automatiser une partie de la recherche de vulnérabilités grâce à des agents IA
- Les appareils, les clés et les permissions d’accès tiers méritent autant d’attention que le code
- Les équipes doivent adopter une posture de durcissement permanent
Comment Les Équipes Peuvent Passer À L’Action Dès Maintenant
La première étape consiste à évaluer honnêtement les pratiques actuelles. Combien de personnes ont accès aux comptes administrateurs ? Sur quels appareils les signatures critiques sont-elles effectuées ? Existe-t-il une procédure claire en cas de suspicion d’incident ? Ces questions, souvent reportées « au prochain sprint », deviennent urgentes.
Ensuite vient l’intégration d’outils comme Ultrafuzz dans le cycle de développement. L’outil ne remplace pas un audit humain approfondi, mais il permet d’identifier rapidement des classes de problèmes avant même d’engager un auditeur externe. L’important reste de respecter les consignes d’isolement : machine virtuelle jetable, absence de secrets, environnement contrôlé.
Le guide OpSec insiste aussi sur la séparation des contextes. Un navigateur dédié aux opérations crypto, un ordinateur propre pour les actions à fort impact, des clés matérielles pour les comptes sensibles : ces mesures réduisent drastiquement le risque de contamination croisée. Beaucoup d’incidents commencent par un simple clic sur un lien reçu sur le même appareil que celui utilisé pour signer des transactions importantes.
La Place Des Comptes Administrateurs Dans La Réflexion
Keone Hon a particulièrement insisté sur la gestion des rôles d’administrateur. S’appuyer sur un compte contrôlé par une clé privée unique expose l’ensemble du protocole en cas de compromission de cette clé. Les solutions multi-signatures, les wallets matériels dédiés et les processus de signature isolés deviennent indispensables dès qu’un projet gère des fonds ou des paramètres critiques.
L’utilisation d’un ordinateur portable exclusivement réservé aux opérations administratives peut sembler excessive. Dans la pratique, elle crée une barrière physique et logicielle qui complique considérablement la tâche d’un attaquant. Même si le poste de travail quotidien est compromis, les clés les plus sensibles restent hors de portée.
Ultrafuzz Et La Nouvelle Génération D’Outils De Sécurité
Ce qui distingue Ultrafuzz de nombreux autres outils, c’est son approche collaborative entre agents spécialisés. Au lieu d’un seul modèle qui tente de tout faire, plusieurs agents se répartissent les tâches : exploration du code, compréhension des invariants du protocole, génération de scénarios de test, validation des résultats. Cette division du travail s’inspire des pratiques humaines d’audit tout en bénéficiant de la vitesse de calcul des modèles actuels.
Antonio Viggiano a décrit le processus comme une investigation guidée. Les agents cherchent d’abord ce qui doit rester vrai dans le système, puis tentent de trouver des chemins qui brisent ces vérités. Les découvertes sont ensuite recoupées pour limiter les faux positifs avant d’être présentées sous forme de rapport exploitable.
La transparence du projet constitue un autre atout. En rendant le code open-source, Monad permet à la communauté de l’inspecter, de l’améliorer et de l’adapter. Cette ouverture contraste avec certains outils propriétaires qui demandent de faire confiance à une boîte noire. Dans un domaine où la confiance est rarement accordée gratuitement, ce choix a du sens.
Les Limites À Ne Pas Ignorer
Aucun outil, aussi sophistiqué soit-il, ne remplace une culture de sécurité solide. Ultrafuzz peut trouver des problèmes techniques. Il ne empêchera pas un développeur de signer une transaction malveillante sur son téléphone personnel. Le guide OpSec peut lister les bonnes pratiques. Il ne forcera personne à les appliquer au quotidien.
De plus, les agents d’IA restent sujets aux hallucinations et aux biais. C’est pourquoi Monad insiste sur la nécessité de vérifier manuellement les résultats et de ne jamais lancer l’outil dans un environnement contenant des secrets. La puissance de l’outil impose une discipline d’utilisation stricte.
Les chiffres de pertes cités par le guide doivent également être lus avec nuance. Ils reflètent les incidents enregistrés par un tracker spécifique sur une période donnée. Ils ne capturent pas nécessairement toutes les pertes ni tous les types d’attaques. Ils donnent néanmoins une indication claire : les problèmes opérationnels pèsent très lourd dans le bilan global du secteur.
Une Culture De Sécurité Qui Se Construit Collectivement
L’appel de Keone Hon s’inscrit dans une dynamique plus large. De plus en plus de fondations et de projets majeurs commencent à partager ouvertement leurs outils et leurs retours d’expérience. Cette mutualisation des connaissances accélère la montée en compétence de l’ensemble de l’écosystème. Elle réduit aussi le sentiment d’isolement que peuvent ressentir les petites équipes face à des menaces sophistiquées.
La sécurité n’est plus seulement l’affaire des auditeurs ou des spécialistes. Elle devient une responsabilité partagée entre développeurs, fondateurs, community managers et même utilisateurs avancés. Chaque maillon qui se renforce protège indirectement les autres.
Dans ce contexte, le fait que Monad choisisse de documenter et de diffuser ses pratiques constitue un signal positif. Cela montre que la priorité donnée à la sécurité n’est pas seulement déclarative. Elle se traduit par des investissements concrets et un partage volontaire de savoir-faire.
Regarder Vers L’Avenir Sans Naïveté
Les prochains mois verront probablement une accélération des capacités offensives basées sur l’IA. Les outils de défense devront suivre le même rythme. Ultrafuzz représente une étape intéressante, mais d’autres approches verront le jour. Les équipes qui intègrent dès maintenant une culture de tests automatisés et de discipline opérationnelle seront mieux armées pour absorber ces évolutions.
Le guide OpSec, de son côté, a le mérite de rappeler que les fondamentaux restent d’actualité. Un mot de passe unique, une clé matérielle, un appareil dédié et une vérification systématique avant signature continuent de bloquer un grand nombre d’attaques, même les plus sophistiquées. La technologie évolue. Les erreurs humaines, elles, persistent.
Keone Hon a choisi de parler maintenant, alors que les capacités des attaquants progressent rapidement. Son message est clair : attendre n’est plus une option. Les ressources sont disponibles. Les outils existent. Il ne reste plus qu’à les utiliser avec sérieux et constance. Dans un secteur où une seule erreur peut effacer des mois ou des années de travail, cette discipline n’est plus un avantage compétitif. Elle devient une condition de survie.
Les équipes qui prendront ce tournant dès aujourd’hui construiront non seulement des protocoles plus robustes, mais aussi une confiance durable auprès de leurs utilisateurs. Et dans l’univers des cryptomonnaies, cette confiance reste la ressource la plus précieuse et la plus difficile à reconquérir une fois perdue.
En partageant le Crypto OpSec Bible et en poussant l’adoption d’Ultrafuzz, Monad et son cofondateur envoient un signal fort à l’ensemble de l’industrie. La sécurité ne se décrète pas. Elle se construit, jour après jour, par des choix concrets, parfois ingrats, mais indispensables. Le temps des excuses se termine. Celui de l’action commence.
