Vous avez validé un smart contract qui a été piraté : et après ?

Dans l'informatique classique, un bug exploité se corrige, se patche, et les transferts frauduleux peuvent parfois être annulés ou contestés. Sur une blockchain publique, rien de tel. Une fois qu'un attaquant a exploité une faille de smart contract, les fonds quittent le contrat de manière irréversible. Pas de chargeback, pas de service client, pas de retour arrière. L'argent est parti.

Cette irréversibilité change tout dans la gestion du risque. Le préjudice est immédiat, total et chiffré à l'euro près : c'est le montant verrouillé dans le contrat au moment de l'attaque. Pour le client victime, la question suivante est brutale : qui a validé cette architecture ?

La culture Web3 répète volontiers que « le code fait loi » : ce qui s'exécute on-chain est censé être la seule vérité, sans intervention extérieure. Cette philosophie a un mérite technique, mais elle n'efface pas le droit français de la responsabilité.

Quand un client subit une perte de plusieurs centaines de milliers d'euros, il ne se contente pas d'un principe philosophique. Il cherche un responsable identifiable et solvable. L'attaquant est anonyme et introuvable. Le développeur du protocole open source est hors d'atteinte. Restez… vous, le consultant qui a validé, recommandé ou audité l'architecture, dûment facturé et localisable.

Dans la chaîne des intervenants, le consultant est souvent le maillon le plus exposé : visible, contractualisé et assurable. C'est précisément vers lui que se tourne la réclamation.

D'où l'importance vitale de cadrer ce que vous avez réellement fait — et ce que vous n'avez pas fait.

Toute la responsabilité se joue sur le niveau précis de votre intervention. Quatre situations très différentes :

1. Cadrage stratégique seul : vous avez défini les besoins et l'orientation, sans toucher au code. Votre exposition au bug technique est faible, mais vos recommandations d'architecture restent engageantes.
2. Choix et recommandation de protocole : vous avez préconisé une brique technique précise. Si cette brique avait une faille connue ou prévisible, votre conseil peut être questionné.
3. Relecture / revue technique : vous avez relu sans mission d'audit formelle. Le client peut soutenir qu'il s'est appuyé sur votre regard.
4. Audit de sécurité complet : vous engagez votre responsabilité de manière directe sur la détection des vulnérabilités, dans la limite du périmètre annoncé.

Plus votre intervention touche au code, plus votre exposition augmente. Mais même un simple cadrage peut générer une réclamation si le client estime que votre conseil l'a conduit vers une solution défaillante. Une RC Pro calibrée sur votre type réel d'intervention est indispensable.

Le jour de la réclamation, ce qui vous protège n'est pas votre mémoire, c'est votre traçabilité écrite. Trois réflexes structurants :

• Définir le périmètre par écrit : indiquez noir sur blanc ce que la mission couvre et ce qu'elle exclut. Un cadrage n'est pas un audit ; une revue n'est pas une garantie d'absence de faille.
• Recommander explicitement un audit de sécurité indépendant avant tout déploiement de fonds réels, et conserver la trace de cette recommandation.
• Lister les hypothèses et limites de votre analyse : versions, périmètre du code examiné, scénarios non testés.

Ces documents font la différence entre une mise en cause qui s'effondre et une condamnation. Ils démontrent que vous avez agi en professionnel diligent et délimitent l'étendue de votre engagement. Votre assureur s'en sert d'ailleurs pour construire votre défense.

La meilleure stratégie combine deux niveaux. Le premier est contractuel : un contrat de mission précis, des clauses de limitation de responsabilité proportionnées, et la recommandation systématique d'un audit tiers. Le second est assurantiel : une RC Pro qui couvre la faute, l'erreur et l'omission dans vos livrables et conseils, ainsi que les frais de défense.

Attention à un point souvent négligé : si votre activité inclut de la relecture de code ou de l'audit, votre RC Pro doit explicitement le mentionner. Une police pensée pour du seul conseil stratégique pourrait contester sa prise en charge sur un sinistre lié au code.

Enfin, pensez à votre propre exposition cyber : si l'incident résulte d'une compromission de vos outils ou de vos accès, une garantie cyber complète le dispositif. Pour calibrer l'ensemble selon votre activité réelle, notre page consultant blockchain détaille les garanties recommandées.