Dusk vient de vivre l’une de ces années qui, soit devient une étude de cas, soit sert d’avertissement, et je ne suis toujours pas sûr de laquelle.

Commencez par AEGIS. Des auditeurs ont découvert un bug qui permettait à une seule signature divulguée de forger de nouvelles signatures sous la même clé. Sur une couche de consensus. Ce n’est pas un bug : c’est une arme chargée posée dans la base de code depuis le mainnet. Ils ont aussi mis au jour une faille de liaison des frais : un attaquant pouvait intercepter une transaction, rediriger le remboursement et créer de la valeur ex nihilo — trois voies d’exploitation issues d’une seule invariance brisée. Trente-neuf correctifs déployés. Pas de preuve d’une exploitation antérieure, disent-ils. Je les crois, mais « pas de preuve » n’est pas la même chose que « ne s’est pas produit ».

Puis l’écran partagé : pendant que la sécurité était reconstruite à partir des montants, le produit lui-même — DuskEVM, Hedger, des contrats Solidity confidentiels — reste encore sur le testnet. Des mois après avoir été présenté comme imminent.

Alors voilà où j’atterris : cette année, Dusk a cessé d’être naïf face à sa propre surface d’attaque. Ce n’est pas rien — c’est peut-être la chose la plus importante qui se soit produite. Mais cela a acheté de la sécurité, pas de la préparation. Le prochain vrai test n’est pas un autre audit. C’est le mainnet, sous charge, avec de l’argent qui n’est pas le leur.

@Dusk #dusk $DUSK

$TAC $TMX