Revue ciblée
Une question précise, un composant, une version. Pour vérifier un point critique sans ouvrir tout le produit.
- Revue de code ciblée
- Scénarios de test dirigés
- Note technique et recommandations
Pour les équipes qui livrent vite
03 / Audit de wallets
Un wallet se juge à ses chemins de clés,
pas à son interface.
Un portefeuille peut être élégant, rapide et parfaitement audité — puis perdre des fonds par une approbation opaque, un générateur d’aléa prévisible, une émission radio non maîtrisée ou un implant dans la chaîne d’approvisionnement. Nous auditons la chaîne complète, de la puce à la récupération après incident.
Périmètre
Là où une erreur devient définitive.
Huit surfaces d’analyse, adaptées à chaque produit et à chaque niveau de risque.
01 / ENTROPIE
Génération des clés
Source d’aléa, dérivation, chemins BIP-32/39, gestion des comptes et des phrases de récupération.
02 / STOCKAGE
Sauvegarde et chiffrement
Secure elements, coffres logiciels, sauvegardes hors ligne, partage de secrets et exposition des métadonnées.
03 / SIGNATURE
Ce qui est réellement signé
Décodage, EIP-712, signatures à l’aveugle, simulation, adresses ressemblantes et lisibilité des montants.
04 / PERMISSIONS
Approbations et délégations
Approbations illimitées (allowances), clés de session (session keys), modules de comptes abstraits, signataires délégués et droits persistants.
05 / SUPPLY CHAIN
Dépendances et mises à jour
Bibliothèques, compilations reproductibles, canaux de distribution, extensions de navigateur et compromission de mise à jour.
06 / RÉCUPÉRATION
Perte, urgence, succession
Procédures de récupération, social recovery, plans de continuité et scénarios de compromission partielle.
07 / ALÉA
Qualité du générateur d’aléa
Entropie, RNG firmware, génération de seed, nonces de signature et dérivation. Tests statistiques et reproduction.
08 / RADIO & ÉMISSIONS
Ce que l’appareil émet
LTE/eSIM, Bluetooth, émissions électromagnétiques, réception de stations de référence et de signaux horaires, inspection physique et recherche d’implants de chaîne d’approvisionnement.
Règle absolue : aucune clé privée, aucune phrase de récupération et aucun accès aux fonds ne nous sont nécessaires. Les analyses radio sont passives et réalisées sur des appareils possédés ou avec autorisation écrite : aucune interception de communications de tiers, aucun brouillage. Lorsqu’un test l’exige, il est exécuté par vos équipes, dans votre environnement, sous votre contrôle.
Formats de mission
Quatre niveaux, un même standard de preuve.
Chaque intervention fait l’objet d’une lettre de mission et d’un devis établis après cadrage. Les missions seront ouvertes après sa déclaration en préfecture.
Audit complet
Du modèle de menace au rapport final, avec revue du code, des flux de signature et de l’expérience utilisateur.
- Périmètre et menace documentés
- Analyse statique, analyse dynamique et revue de l’expérience utilisateur
- Registre des constats et plan de correction
- Restitution et vérification des correctifs
Pour un wallet avant mise à disposition
Revue d’architecture
Concevoir avant de coder. Nous éprouvons les choix de custody, de récupération et de délégation.
- Modèle de menace et frontières de confiance
- Comparaison des options de garde des clés
- Recommandations de conception
Pour les nouveaux produits et trésoreries
Analyse RNG & RF
Deux surfaces que les revues logicielles ne voient pas : la qualité de l’aléa et les émissions de l’appareil.
- Tests statistiques du générateur d’aléa
- Cartographie des émissions RF / EM
- Inspection d’un appareil suspect
- Scénarios de reproduction et divulgation
Pour les portefeuilles matériels et leurs intégrateurs
Déroulé
De la première question au dernier correctif.
Un audit n’est pas un PDF. C’est un processus contradictoire, documenté et suivi.
01
Cadrage
Objectifs, périmètre, versions, contraintes et attentes. Nous refusons un périmètre que nous ne pouvons pas couvrir.
02
Proposition
Lettre de mission, livrables, calendrier, règles d’engagement et conditions de confidentialité.
03
Analyse
Revue de code, tests, analyse dynamique, entretiens avec les équipes produit et sécurité.
04
Restitution
Rapport, sévérités, preuves, recommandations priorisées et réunion de restitution.
05
Suivi
Vérification des correctifs, échanges avec l’éditeur et divulgation coordonnée si nécessaire.
Livrables
Des preuves, pas des impressions.
Chaque constat est rattaché à une version, à un scénario de reproduction et à une recommandation. Le rapport distingue ce qui est exploitable de ce qui relève du durcissement.
01
Rapport confidentiel
Synthèse exécutive, périmètre, méthode et limites de l’analyse.
02
Registre des constats
Notation CVSS v4.0, scénarios, preuves et conditions d’exploitation.
03
Reproduction
Étapes et artefacts permettant à vos équipes de vérifier chaque constat.
04
Plan de correction
Recommandations hiérarchisées, avec effort et risque résiduel.
Ce que nous ne faisons pas
- Détenir, manipuler ou demander vos clés privées.
- Signer une transaction en votre nom.
- Garantir l’absence de toute vulnérabilité.
- Réaliser un audit financier, juridique ou comptable.
- Publier un rapport sans coordination préalable.
Demande de cadrage
Décrivez le wallet. Nous poserons les bonnes questions.
Un échange de 30 minutes suffit souvent à clarifier le périmètre, les risques prioritaires et la pertinence d’une mission. Aucun engagement à ce stade.
Transparence : les missions d’audit seront ouvertes après sa déclaration en préfecture et la déclaration en préfecture. Ce formulaire permet d’ouvrir le dialogue dès maintenant.
Vous préférez écrire directement ?
contact@frblockchain.icu
Préparer un message
Ce formulaire n’envoie aucune donnée à un serveur : il ouvre votre logiciel de messagerie avec un message prérempli, que vous relisez avant envoi.
Questions fréquentes
Avant de nous confier un périmètre.
Combien coûte un audit ?
Le prix dépend du périmètre, du nombre de composants, des versions et du niveau de preuve attendu. Nous établirons un devis après cadrage, jamais avant. Les tarifs et le modèle économique seront précisés lorsque l’association sera constituée.
Travaillez-vous sous accord de confidentialité ?
Oui. La lettre de mission prévoit la confidentialité des échanges, des artefacts et du rapport. Les constats critiques peuvent être partagés avec les parties concernées sous embargo. Toute publication nécessite un accord écrit, sauf obligation légale.
Que se passe-t-il si vous découvrez une faille critique ?
Nous vous prévenons immédiatement par un canal dédié, avant la remise du rapport si nécessaire. Nous proposons un plan d’urgence, aidons à la correction et coordonnons la divulgation. Aucune publication n’a lieu avant que les utilisateurs puissent être protégés.
Pouvez-vous auditer un wallet sans l’accord de l’éditeur ?
La recherche sur des logiciels publics peut se faire dans un cadre légal et éthique strict. En revanche, un audit formel — avec accès au code, aux équipes et aux environnements de test — suppose l’autorisation de l’éditeur. Nous ne contournons jamais une mesure de protection.
Les particuliers peuvent-ils demander un audit ?
Les demandes sont étudiées au cas par cas. Nous donnons la priorité aux personnes exposées (journalistes, militants, entrepreneurs, petites structures) et aux situations à fort risque. Nous ne promettons jamais de récupérer des fonds perdus ou volés.
Pouvez-vous analyser un Ledger ou un autre portefeuille matériel ?
Oui, sur un appareil qui vous appartient ou avec une autorisation écrite du propriétaire. Nous n’interceptons pas les communications de tiers, nous ne brouillons pas les signaux et nous ne testons pas un appareil sans accord. Les constats sont reproduits, documentés et divulgués de façon coordonnée.
Comment testez-vous les émissions radio ?
La méthode combine écoute passive en enceinte blindée, sondes électromagnétiques, récepteur SDR et comparaison avec des appareils de référence. Un signal n’est retenu qu’après reproduction et analyse du firmware. Nous distinguons une fuite réelle d’un artefact de mesure.